CN112615870A - 一种基于ntp报文数据的攻击行为检测方法及装置 - Google Patents
一种基于ntp报文数据的攻击行为检测方法及装置 Download PDFInfo
- Publication number
- CN112615870A CN112615870A CN202011531760.7A CN202011531760A CN112615870A CN 112615870 A CN112615870 A CN 112615870A CN 202011531760 A CN202011531760 A CN 202011531760A CN 112615870 A CN112615870 A CN 112615870A
- Authority
- CN
- China
- Prior art keywords
- field
- data
- extended
- attack behavior
- filling
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 18
- 238000004422 calculation algorithm Methods 0.000 claims abstract description 41
- 238000007637 random forest analysis Methods 0.000 claims abstract description 38
- 238000001514 detection method Methods 0.000 claims abstract description 28
- 239000013598 vector Substances 0.000 claims description 36
- 238000007781 pre-processing Methods 0.000 claims description 20
- 238000007635 classification algorithm Methods 0.000 claims description 15
- 230000006399 behavior Effects 0.000 abstract description 73
- 238000010586 diagram Methods 0.000 description 7
- 230000007704 transition Effects 0.000 description 5
- 238000004364 calculation method Methods 0.000 description 4
- 238000012986 modification Methods 0.000 description 4
- 230000004048 modification Effects 0.000 description 4
- 238000012549 training Methods 0.000 description 4
- 230000009286 beneficial effect Effects 0.000 description 2
- 230000005540 biological transmission Effects 0.000 description 2
- 230000000739 chaotic effect Effects 0.000 description 1
- 238000013145 classification model Methods 0.000 description 1
- 230000000295 complement effect Effects 0.000 description 1
- 238000010276 construction Methods 0.000 description 1
- 238000013079 data visualisation Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 238000011160 research Methods 0.000 description 1
- 238000011895 specific detection Methods 0.000 description 1
- 230000002123 temporal effect Effects 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
- 230000005641 tunneling Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本申请公开了一种基于NTP报文数据的攻击行为检测方法及装置，用以检测NTP报文数据中是否存在大数据量的攻击行为，提升设备的安全性。所述方法包括：获取NTP报文数据；判断所述NTP报文数据中是否存在扩展域填充字段；当存在扩展域填充字段时，基于随机森林算法模型判断所述扩展域填充字段中是否存在攻击行为；输出与所述随机森林算法模型的判断结果相应的信息。采用本申请所提供的方案：通过对能够承载大数据量攻击行为的扩展域填充字段进行检测，实现了对NTP报文数据中大数据量的攻击行为的检测，提升了接收NTP报文数据的设备的安全性。
Description
技术领域
本申请涉及网络安全领域，特别涉及一种基于NTP报文数据的攻击行为检测方法及装置。
背景技术
NTP是网络时间协议(Network Time Protocol)，网络中大量存在的开放式分布的NTP服务器，高度开放的NTP协议123端口，以及NTP报文基于不可靠的UDP进行传输的协议特性，使得NTP协议非常容易被黑客利用，实施隐蔽通道攻击。因此，研究基于NTP协议的隐秘通道攻击行为检测方法对网络安全防护具有重要的作用。
现有的对于NTP协议的攻击行为检测方式中，主要是通过贝叶斯分类模型检测NTP协议的最低有效位来判断NTP协议中的含密数据。然而基于时间戳最低有效位的隐蔽隧道行为主要将时间戳信息进行轻微的变换而使其仍符合时间信号特征的同时，可以传输含密数据。由于时间戳最低有效位仅为二进制数字中的第0位，因此无法携带较多的数据，所以使用基于时间戳最低有效位的检测方式只能检测一些小数据量的攻击行为，难以检测发现NTP报文数据中存在的文件传送、远程桌面控制等大数据量的攻击行为，接收TNP数据的设备的安全性存在较大隐患。
可见，现有技术中，无法检测NTP报文数据中大数据量的攻击行为，因此，如何提供一种基于NTP报文数据的攻击行为检测方法，用以检测NTP报文数据中是否存在大数据量的攻击行为，提升设备的安全性，是一亟待解决的技术问题。
发明内容
本申请实施例的目的在于提供一种基于NTP报文数据的攻击行为检测方法及装置，用以检测NTP报文数据中是否存在大数据量的攻击行为，提升设备的安全性。
为了解决上述技术问题，本申请的实施例采用了如下技术方案：一种基于NTP报文数据的攻击行为检测方法，包括：
获取NTP报文数据；
判断所述NTP报文数据中是否存在扩展域填充字段；
当存在扩展域填充字段时，基于随机森林算法模型判断所述扩展域填充字段中是否存在攻击行为；
输出与所述随机森林算法模型的判断结果相应的信息。
本申请实施例的有益效果在于：获取NTP报文数据之后，判断NTP报文数据中是否存在能够承载大数据量攻击行为的扩展域填充字段，如果存在，则判断所述扩展域填充字段中是否存在攻击行为，从而通过对能够承载大数据量攻击行为的扩展域填充字段进行检测，实现了对NTP报文数据中大数据量的攻击行为的检测，提升了接收NTP报文数据的设备的安全性。
在一个实施例中，基于随机森林算法模型判断所述扩展域填充字段中是否存在攻击行为，包括：
对所述扩展域填充字段进行预处理；
将预处理后的扩展域填充字段输入至随机森林算法模型。
在一个实施例中，所述对所述扩展域填充字段进行预处理，包括：
对所述扩展域填充字段中的数据完整性进行判断；
当所述扩展域填充字段中的数据完整时，生成所述数据对应的特征向量。
在一个实施例中，所述方法还包括：
在生成所述数据对应的特征向量之后，判断所述特征向量的数量是否处于第一范围内；
当所述特征向量的数量处于第一范围内时，将所述特征向量输入至分类算法模型中；
当所述特征向量的数量处于第一范围之外时，重新提取NTP数据。
在一个实施例中，所述对所述扩展域填充字段中的数据完整性进行判断，包括：
判断扩展域填充字段的字节数是否处于第二范围内；
当所述扩展域填充字段的字节数处于第二范围内时，判断所述扩展域填充字段的预设特征是否缺失；
当所述扩展域填充字段的预设特征未缺失时，确定所述扩展域填充字段中的数据完整。
在一个实施例中，所述方法还包括：
获取所述NTP报文数据中最低有效位字段；
基于随机森林算法模型判断所述最低有效位字段中是否存在攻击行为。
在一个实施例中，所述输出与所述随机森林算法模型的判断结果相应的信息，包括：
当所述扩展域填充字段中不存在攻击行为时，显示所述NTP报文合法的提示信息；
当所述扩展域填充字段中存在攻击行为时，显示所述NTP报文数据中存在攻击行为的提示信息，并发出报警信息。
本申请还提供一种基于NTP报文数据的攻击行为检测装置，包括：
获取模块，用于获取NTP报文数据；
第一判断模块，用于判断所述NTP报文数据中是否存在扩展域填充字段；
第二判断模块，用于当存在扩展域填充字段时，基于随机森林算法模型判断所述扩展域填充字段中是否存在攻击行为；
输出模块，用于输出与所述随机森林算法模型的判断结果相应的信息。
在一个实施例中，所述第二判断模块，包括：
预处理子模块，用于对所述扩展域填充字段进行预处理；
输入子模块，用于将预处理后的扩展域填充字段输入至随机森林算法模型。
在一个实施例中，所述预处理子模块，具体用于：
对所述扩展域填充字段中的数据完整性进行判断；
当所述扩展域填充字段中的数据完整时，生成所述数据对应的特征向量。
附图说明
图1为本申请一实施例中一种基于NTP报文数据的攻击行为检测方法的流程图；
图2为本申请一实施例中一种基于NTP报文数据的攻击行为检测方法的流程图；
图3为本申请一实施例中对随机森林算法模型进行训练时的数据流向示意图；
图4为本申请一实施例中通过训练完成的分类算法模型模块检测攻击行为的数据流向示意图；
图5为本申请一实施例中一种基于NTP报文数据的攻击行为检测方法的流程图；
图6为本申请一实施例中一种基于NTP报文数据的攻击行为检测方法的流程图；
图7为本申请一总的实施例中一种基于NTP报文数据的攻击行为检测方法的流程图；
图8为本申请一实施例中一种基于NTP报文数据的攻击行为检测装置的框图；
图9为本申请一实施例中一种基于NTP报文数据的攻击行为检测装置的框图。
具体实施方式
此处参考附图描述本申请的各种方案以及特征。
应理解的是，可以对此处申请的实施例做出各种修改。因此，上述说明书不应该视为限制，而仅是作为实施例的范例。本领域的技术人员将想到在本申请的范围和精神内的其他修改。
包含在说明书中并构成说明书的一部分的附图示出了本申请的实施例，并且与上面给出的对本申请的大致描述以及下面给出的对实施例的详细描述一起用于解释本申请的原理。
通过下面参照附图对给定为非限制性实例的实施例的优选形式的描述，本申请的这些和其它特性将会变得显而易见。
还应当理解，尽管已经参照一些具体实例对本申请进行了描述，但本领域技术人员能够确定地实现本申请的很多其它等效形式。
当结合附图时，鉴于以下详细说明，本申请的上述和其他方面、特征和优势将变得更为显而易见。
此后参照附图描述本申请的具体实施例；然而，应当理解，所申请的实施例仅仅是本申请的实例，其可采用多种方式实施。熟知和/或重复的功能和结构并未详细描述以避免不必要或多余的细节使得本申请模糊不清。因此，本文所申请的具体的结构性和功能性细节并非意在限定，而是仅仅作为权利要求的基础和代表性基础用于教导本领域技术人员以实质上任意合适的详细结构多样地使用本申请。
本说明书可使用词组“在一种实施例中”、“在另一个实施例中”、“在又一实施例中”或“在其他实施例中”，其均可指代根据本申请的相同或不同实施例中的一个或多个。
图1为本申请实施例的一种基于NTP报文数据的攻击行为检测方法的流程图，该方法包括以下步骤S11-S14：
在步骤S11中，获取NTP报文数据；
在步骤S12中，判断NTP报文数据中是否存在扩展域填充字段；
在步骤S13中，当存在扩展域填充字段时，基于随机森林算法模型判断扩展域填充字段中是否存在攻击行为；
在步骤S14中，输出与随机森林算法模型的判断结果相应的信息。
NTP是网络时间协议(Network Time Protocol)，是为实现高精确度的时间同步，而设计的网络时钟同步协议NTP使用层次式时间分布模型，具有相当高的灵活性，可以适应各种互联网环境，是互联网上公认的时间同步工具。
NTP报文中有四个时间戳字段：参考时间戳、原始时间戳、接受时间戳、传送时间戳。其中时间戳字段用的是二进制补码编码方式。现有技术主要检测利用数据包时间戳的最低有效位进行隐秘信息传送的含密数据。最低有效位指的是一个二进制数字中的第0位(即最低位)。通过提取时间戳最低有效位的以下三个特征：信息熵、平均值和转移概率，其中信息熵为某种特定信息的出现概率(离散随机事件的出现概率)，一个***越是有序，信息熵就越低；反之，一个***越是混乱，信息熵就越高；平均值指的是一组数据之和除以该组数据的个数；转移概率指的是：由m个状态所组成的序列，从任意一个状态出发，经过任意一次转移，结果到达的点一定是状态1，2，…，m中的一个，这种状态之间的转移称为转移概率。并且使用贝叶斯分类器算法模型，贝叶斯分类器是根据统计学原理，首先计算某个事件发生的先验概率(指的是根据经验和对时间的分析得到该时间发生的概率)，然后通过贝叶斯公式来得到后验概率(该事件的发生属于哪个类别)，从而实现检测NTP协议中的含密数据。
扩展域填充字段是由NTP协议的最新版本NTPV4中，在协议头部之后和MAC校验字段之前添加的一个或多个扩展域组成。扩展域的内容没有被明确定义，但被强制要求最少填充至16字节，最大填充长度未作要求。这样，根据UDP协议包的最大长度512字节，除去UDP报文首部8字节和NTP报文首部48字节，我们可以让填充字段扩充到一个十分可观的456字节的长度，基本可以满足文件传送、远程桌面控制等大数据攻击行为的需求。因此，NTPV4协议中的扩展域填充字段很有可能被非法用户所利用，用来承载大数据量攻击行为。
针对上述问题，本实施例中，获取NTP报文数据；由于NTP报文协议中，只有NTPV4协议中存在扩展域填充字段，因此，需要判断NTP报文数据中是否存在扩展域填充字段；当存在扩展域填充字段时，基于随机森林算法模型判断扩展域填充字段中是否存在攻击行为；输出与随机森林算法模型的判断结果相应的信息。
具体的，基于随机森林算法模型判断扩展域填充字段中是否存在攻击行为可以包括：对扩展域填充字段进行预处理；将预处理后的扩展域填充字段输入至随机森林算法模型。
对扩展域填充字段进行预处理可以包括：对扩展域填充字段中的数据完整性进行判断；当扩展域填充字段中的数据完整时，生成数据对应的特征向量。
在生成数据对应的特征向量之后，在对扩展域填充字段进行预处理之前，判断特征向量的数量是否处于第一范围内；具体的，判断特征向量的数量是否处于第一范围内，如果处于第一范围内，则将特征向量输入至分类算法模型中，如果数据数量不足或过多，视为数据不合法，则重新提取NTP数据。
上述对扩展域填充字段中的数据完整性进行判断，包括：
判断扩展域填充字段的字节数是否处于第二范围内；具体的，在前文中提到：扩展域的内容没有被明确定义，但被强制要求最少填充至16字节，最大填充长度未作要求。这样，根据UDP协议包的最大长度512字节，除去UDP报文首部8字节和NTP报文首部48字节，我们可以让填充字段扩充到一个十分可观的456字节的长度，因此，第二范围可以是[16，456]，判断提取扩展域字段字节数是否在第一范围[16，456]内，如果不在该第二范围内，则认为数据不完整，重新提取NTP数据，如果在第二范围内，认为数据本身是完整的，判断扩展域填充字段的预设特征是否缺失；例如，预设特征可以是指字段长度、字段信息熵、字段马尔科夫跟随概率，那么，判断扩展域填充字段的预设特征是否缺失具体可通过以下公式执行：
字段长度计算公式为：
L(X)＝count(x)
其中，x表示为X中的字符。
信息熵计算公式为：
其中，X表示为字段信息，x表示为X字段信息中的某一个字符，p(x)为这个字符出现的概率。
马尔科夫跟随概率公式为：
根据隐马尔可夫模型，可计算观测序列的联合概率分布：
其中，xi，yi为字符信息中的一个组合，yi为第一个字符，xi为第二个字符。
字母和数字所占比率公式为：
其中，z表示为X中的字母，s表示为X中的数字，L(X)表示为X字段长度。
当扩展域填充字段的预设特征缺失时，则重新计算特征。
当扩展域填充字段的预设特征未缺失时，确定扩展域填充字段中的数据完整。
另外，在实现了对NTP报文数据中大数据量的攻击行为的检测的基础上，不排除非法用户利用最低有效位携带隐蔽隧道攻击行为，另外，对于除NTPV4之外的其他NTP协议下的报文是不存在扩展域填充字段的，因此，唯一可能携带隐蔽隧道攻击行为字段就是最低有效位字段，因此，本申请中，还会获取NTP报文数据中最低有效位字段；基于随机森林算法模型判断最低有效位字段中是否存在攻击行为。
另外，上述步骤S14可被实施为如下步骤：
当扩展域填充字段中不存在攻击行为时，显示NTP报文合法的提示信息；当扩展域填充字段中存在攻击行为时，显示NTP报文数据中存在攻击行为的提示信息，并发出报警信息。
本申请实施例的有益效果在于：获取NTP报文数据之后，判断NTP报文数据中是否存在能够承载大数据量攻击行为的扩展域填充字段，如果存在，则判断扩展域填充字段中是否存在攻击行为，从而通过对能够承载大数据量攻击行为的扩展域填充字段进行检测，实现了对NTP报文数据中大数据量的攻击行为的检测，提升了接收NTP报文数据的设备的安全性。
在一个实施例中，如图2所示，上述步骤S13可被实施为如下步骤S21-S22：
在步骤S21中，对扩展域填充字段进行预处理；
在步骤S22中，将预处理后的扩展域填充字段输入至随机森林算法模型。
本申请中，首先需要对扩展域填充字段进行预处理，使得与处理后的扩展域填充字段能够适用于随机森林算法模型，在此之前，需要对随机森林算法模型进行训练，图3为对随机森林算法模型进行训练时的数据流向示意图，如图3所示，首先从NTP报文数据中提取所需字段(如扩展域填充字段)，然后通过数据预处理模块进行预处理器，预处理之后，形成向量化数据集(即扩展域填充字段中的数据对应的特征向量)，然后将向量化数据集作为训练样本通过算法模型训练模块中对分类算法模型模块进行训练(具体的，可以是算法模型训练模块将数据不断地诸如到分类算法模型模块中，使其不断地进行计算，最终输出误差小于一固定值的结果，则认为分类算法模型模块训练完成)，最终得到训练完成的分类算法模型模块。
图4为本申请中通过训练完成的分类算法模型模块检测攻击行为的数据流向示意图，如图4所示，先从NTP报文数据中提取所需字段(如扩展域填充字段)，然后通过数据预处理模块进行预处理器，预处理之后，形成向量化数据集(即扩展域填充字段中的数据对应的特征向量)，然后将向量化数据集输入至训练完成的分类算法模型模块，模型检测之后，输出具体的检测结果，检测结果分为两种，如果不存在隐蔽隧道攻击行为，则认为NTP报文数据为合法请求(即图4中分类器输出的“合法请求”)，如果存在隐蔽隧道攻击行为，则输出提示(即图4中分类器输出的“隐蔽隧道”)。
需要说明的是，本申请中能够检测NTP报文数据中所有类型的攻击行为，本申请所提及的隐蔽隧道攻击行为仅为一种示例。
在一个实施例中，上述步骤A1可被实施为如下步骤B1-B2：
在步骤B1中，对扩展域填充字段中的数据完整性进行判断；
在步骤B2中，当扩展域填充字段中的数据完整时，生成数据对应的特征向量。
本实施例中，在生成数据对应的特征向量之后，在对扩展域填充字段进行预处理之前，对扩展域填充字段中的数据完整性进行判断；当扩展域填充字段中的数据完整时，生成数据对应的特征向量。
在一个实施例中，如图5所示，方法还可被实施为如下步骤S51-S53：
在步骤S51中，在生成数据对应的特征向量之后，判断特征向量的数量是否处于第一范围内；
在步骤S52中，当特征向量的数量处于第一范围内时，将特征向量输入至分类算法模型中；
在步骤S53中，当特征向量的数量处于第一范围之外时，重新提取NTP数据。
判断特征向量的数量是否处于第一范围内；具体的，判断特征向量的数量是否处于第一范围内，如果处于第一范围内，则将特征向量输入至分类算法模型中，通过分类算法模型对特征向量进行计算，输出分类结果，分类结果用于表征NTP数据是否为正常数据，如果数据数量不足或过多，视为数据不合法，则重新提取NTP数据。
在一个实施例中，如图6所示，上述步骤B1可被实施为如下步骤S61-S63：
在步骤S61中，判断扩展域填充字段的字节数是否处于第二范围内；
在步骤S62中，当扩展域填充字段的字节数处于第二范围内时，判断扩展域填充字段的预设特征是否缺失；
在步骤S63中，当扩展域填充字段的预设特征未缺失时，确定扩展域填充字段中的数据完整。
上述对扩展域填充字段中的数据完整性进行判断，包括：判断扩展域填充字段的字节数是否处于第二范围内；具体的，在前文中提到：扩展域的内容没有被明确定义，但被强制要求最少填充至16字节，最大填充长度未作要求。这样，根据UDP协议包的最大长度512字节，除去UDP报文首部8字节和NTP报文首部48字节，我们可以让填充字段扩充到一个十分可观的456字节的长度，因此，第二范围可以是[16，456]，判断提取扩展域字段字节数是否在第二范围[16，456]内，如果不在该第二范围内，则认为数据不完整，重新提取NTP数据，如果在第二范围内，认为数据本身是完整的，判断扩展域填充字段的预设特征是否缺失；例如，预设特征可以是指字段长度、字段信息熵、字段马尔科夫跟随概率，那么，判断扩展域填充字段的预设特征是否缺失具体可通过以下公式执行：
字段长度计算公式为：
L(X)＝count(x)
其中，x表示为X中的字符。
信息熵计算公式为：
其中，X表示为字段信息，x表示为X字段信息中的某一个字符，p(x)为这个字符出现的概率。
马尔科夫跟随概率公式为：
根据隐马尔可夫模型，可计算观测序列的联合概率分布：
其中，xi，yi为字符信息中的一个组合，yi为第一个字符，xi为第二个字符。
字母和数字所占比率公式为：
其中，z表示为X中的字母，s表示为X中的数字，L(X)表示为X字段长度。
当扩展域填充字段的预设特征缺失时，则重新计算特征。
当扩展域填充字段的预设特征未缺失时，确定扩展域填充字段中的数据完整。
在一个实施例中，方法还可被实施为如下步骤C1-C2：
在步骤C1中，获取NTP报文数据中最低有效位字段；
在步骤C2中，基于随机森林算法模型判断最低有效位字段中是否存在攻击行为。
在实现了对NTP报文数据中大数据量的攻击行为的检测的基础上，不排除非法用户利用最低有效位携带隐蔽隧道攻击行为，另外，对于除NTPV4之外的其他NTP协议下的报文是不存在扩展域填充字段的，因此，唯一可能携带隐蔽隧道攻击行为字段就是最低有效位字段，因此，本实施例中，还会获取NTP报文数据中最低有效位字段；基于随机森林算法模型判断最低有效位字段中是否存在攻击行为。
在一个实施例中，上述步骤S14还可被实施为如下步骤D1-D2：
在步骤D1中，当扩展域填充字段中不存在攻击行为时，显示NTP报文合法的提示信息；
在步骤D2中，当扩展域填充字段中存在攻击行为时，显示NTP报文数据中存在攻击行为的提示信息，并发出报警信息。
图7为本申请一总的实施例中一种基于NTP报文数据的攻击行为检测方法的流程图，包括以下步骤：
从数据流量中提取NTP报文数据，判断数据是否完整(即判断NPT报文数据中的扩展域填充字段的字节数是处于第二范围内)，如果数据不完整，则继续提取数据，如果数据完整，则计算NTP报文数据特征(即上文中所提及的扩展域填充字段的预设特征)，判断特征是否缺失(即上文中所提及的判断扩展域填充字段的预设特征是否缺失)，如果特征缺失，则继续计算特征，如果特征未缺失，则合并特征集，进行特征数据向量化(即上文中所提及的当扩展域填充字段中的数据完整时，生成数据对应的特征向量)，然后判断元数据是否合法(即判断特征向量的数量是否处于第一范围内)，如果合法(即当特征向量的数量处于第一范围内时)，执行分类算法(即将特征向量输入至分类算法模型中)，输出分类结果，分类结果分为两类，即正常数据和隧道数据，基于分类结果进行数据可视化及警告(即输出与随机森林算法模型的判断结果相应的信息，具体的，当扩展域填充字段中不存在攻击行为时，显示NTP报文合法的提示信息；当扩展域填充字段中存在攻击行为时，显示NTP报文数据中存在攻击行为的提示信息，并发出报警信息)。
图8为本申请实施例的一种基于NTP报文数据的攻击行为检测装置的框图，如图8所示，该装置包括以下模块：
获取模块81，用于获取NTP报文数据；
第一判断模块82，用于判断NTP报文数据中是否存在扩展域填充字段；
第二判断模块83，用于当存在扩展域填充字段时，基于随机森林算法模型判断扩展域填充字段中是否存在攻击行为；
输出模块84，用于输出与随机森林算法模型的判断结果相应的信息。
在一个实施例中，如图9所示，第二判断模块83，包括：
预处理子模块91，用于对扩展域填充字段进行预处理；
输入子模块92，用于将预处理后的扩展域填充字段输入至随机森林算法模型。
在一个实施例中，预处理子模块，具体用于：
对扩展域填充字段中的数据完整性进行判断；
当扩展域填充字段中的数据完整时，生成数据对应的特征向量。
以上实施例仅为本申请的示例性实施例，不用于限制本申请，本申请的保护范围由权利要求书限定。本领域技术人员可以在本申请的实质和保护范围内，对本申请做出各种修改或等同替换，这种修改或等同替换也应视为落在本申请的保护范围内。
Claims (10)
1.一种基于NTP报文数据的攻击行为检测方法，其特征在于，包括：
获取NTP报文数据；
判断所述NTP报文数据中是否存在扩展域填充字段；
当存在扩展域填充字段时，基于随机森林算法模型判断所述扩展域填充字段中是否存在攻击行为；
输出与所述随机森林算法模型的判断结果相应的信息。
2.如权利要求1所述的方法，其特征在于，基于随机森林算法模型判断所述扩展域填充字段中是否存在攻击行为，包括：
对所述扩展域填充字段进行预处理；
将预处理后的扩展域填充字段输入至随机森林算法模型。
3.如权利要求2所述的方法，其特征在于，所述对所述扩展域填充字段进行预处理，包括：
对所述扩展域填充字段中的数据完整性进行判断；
当所述扩展域填充字段中的数据完整时，生成所述数据对应的特征向量。
4.如权利要求3所述的方法，其特征在于，所述方法还包括：
在生成所述数据对应的特征向量之后，判断所述特征向量的数量是否处于第一范围内；
当所述特征向量的数量处于第一范围内时，将所述特征向量输入至分类算法模型中；
当所述特征向量的数量处于第一范围之外时，重新提取NTP数据。
5.如权利要求3所述的方法，其特征在于，所述对所述扩展域填充字段中的数据完整性进行判断，包括：
判断扩展域填充字段的字节数是否处于第二范围内；
当所述扩展域填充字段的字节数处于第二范围内时，判断所述扩展域填充字段的预设特征是否缺失；
当所述扩展域填充字段的预设特征未缺失时，确定所述扩展域填充字段中的数据完整。
6.如权利要求1所述的方法，其特征在于，所述方法还包括：
获取所述NTP报文数据中最低有效位字段；
基于随机森林算法模型判断所述最低有效位字段中是否存在攻击行为。
7.如权利要求1-6任意一项所述的方法，其特征在于，所述输出与所述随机森林算法模型的判断结果相应的信息，包括：
当所述扩展域填充字段中不存在攻击行为时，显示所述NTP报文合法的提示信息；
当所述扩展域填充字段中存在攻击行为时，显示所述NTP报文数据中存在攻击行为的提示信息，并发出报警信息。
8.一种基于NTP报文数据的攻击行为检测装置，其特征在于，包括：
获取模块，用于获取NTP报文数据；
第一判断模块，用于判断所述NTP报文数据中是否存在扩展域填充字段；
第二判断模块，用于当存在扩展域填充字段时，基于随机森林算法模型判断所述扩展域填充字段中是否存在攻击行为；
输出模块，用于输出与所述随机森林算法模型的判断结果相应的信息。
9.如权利要求8所述的装置，其特征在于，所述第二判断模块，包括：
预处理子模块，用于对所述扩展域填充字段进行预处理；
输入子模块，用于将预处理后的扩展域填充字段输入至随机森林算法模型。
10.如权利要求9所述的装置，其特征在于，所述预处理子模块，具体用于：
对所述扩展域填充字段中的数据完整性进行判断；
当所述扩展域填充字段中的数据完整时，生成所述数据对应的特征向量。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202011531760.7A CN112615870A (zh) | 2020-12-22 | 2020-12-22 | 一种基于ntp报文数据的攻击行为检测方法及装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202011531760.7A CN112615870A (zh) | 2020-12-22 | 2020-12-22 | 一种基于ntp报文数据的攻击行为检测方法及装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN112615870A true CN112615870A (zh) | 2021-04-06 |
Family
ID=75245546
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202011531760.7A Pending CN112615870A (zh) | 2020-12-22 | 2020-12-22 | 一种基于ntp报文数据的攻击行为检测方法及装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN112615870A (zh) |
Citations (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101383694A (zh) * | 2007-09-03 | 2009-03-11 | 电子科技大学 | 基于数据挖掘技术的拒绝服务攻击防御方法和*** |
| CN105791307A (zh) * | 2016-04-06 | 2016-07-20 | 杭州华三通信技术有限公司 | 网络时间协议报文安全认证方法及装置 |
| CN106453225A (zh) * | 2016-07-18 | 2017-02-22 | 北龙中网（北京）科技有限责任公司 | 实现隐秘通信的方法及客户端、服务器 |
| WO2018040793A1 (zh) * | 2016-08-30 | 2018-03-08 | 中兴通讯股份有限公司 | 防御分布式反射拒绝服务攻击的方法、装置及交换机 |
| CN108111466A (zh) * | 2016-11-24 | 2018-06-01 | 北京金山云网络技术有限公司 | 一种攻击检测方法及装置 |
| US20190289032A1 (en) * | 2018-03-19 | 2019-09-19 | Fortinet, Inc. | Mitigation of ntp amplification and reflection based ddos attacks |
| CN110611640A (zh) * | 2018-06-15 | 2019-12-24 | 成都蓝盾网信科技有限公司 | 一种基于随机森林的dns协议隐蔽通道检测方法 |
| US20200137112A1 (en) * | 2018-10-30 | 2020-04-30 | Charter Communications Operating, Llc | Detection and mitigation solution using honeypots |
| CN111371727A (zh) * | 2018-12-25 | 2020-07-03 | 南京知常容信息技术有限公司 | 一种针对ntp协议隐蔽通信的检测方法 |
| US20200379868A1 (en) * | 2019-05-31 | 2020-12-03 | Gurucul Solutions, Llc | Anomaly detection using deep learning models |
-
2020
- 2020-12-22 CN CN202011531760.7A patent/CN112615870A/zh active Pending
Patent Citations (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101383694A (zh) * | 2007-09-03 | 2009-03-11 | 电子科技大学 | 基于数据挖掘技术的拒绝服务攻击防御方法和*** |
| CN105791307A (zh) * | 2016-04-06 | 2016-07-20 | 杭州华三通信技术有限公司 | 网络时间协议报文安全认证方法及装置 |
| CN106453225A (zh) * | 2016-07-18 | 2017-02-22 | 北龙中网（北京）科技有限责任公司 | 实现隐秘通信的方法及客户端、服务器 |
| WO2018040793A1 (zh) * | 2016-08-30 | 2018-03-08 | 中兴通讯股份有限公司 | 防御分布式反射拒绝服务攻击的方法、装置及交换机 |
| CN108111466A (zh) * | 2016-11-24 | 2018-06-01 | 北京金山云网络技术有限公司 | 一种攻击检测方法及装置 |
| US20190289032A1 (en) * | 2018-03-19 | 2019-09-19 | Fortinet, Inc. | Mitigation of ntp amplification and reflection based ddos attacks |
| CN110611640A (zh) * | 2018-06-15 | 2019-12-24 | 成都蓝盾网信科技有限公司 | 一种基于随机森林的dns协议隐蔽通道检测方法 |
| US20200137112A1 (en) * | 2018-10-30 | 2020-04-30 | Charter Communications Operating, Llc | Detection and mitigation solution using honeypots |
| CN111371727A (zh) * | 2018-12-25 | 2020-07-03 | 南京知常容信息技术有限公司 | 一种针对ntp协议隐蔽通信的检测方法 |
| US20200379868A1 (en) * | 2019-05-31 | 2020-12-03 | Gurucul Solutions, Llc | Anomaly detection using deep learning models |
Non-Patent Citations (1)
| Title |
|---|
| 朱越凡 等: "一种NTP协议隐蔽通道", 《计算机***应用》 * |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9544320B2 (en) | Detection of intrusion in a wireless network | |
| CN108768986B (zh) | 一种加密流量分类方法及服务器、计算机可读存储介质 | |
| JP3872770B2 (ja) | 反復的に挿入されたウォーターマーク抽出方法及びその装置 | |
| KR20090054196A (ko) | 비정상 트래픽 탐지 장치 및 방법 | |
| CN112804253B (zh) | 一种网络流量分类检测方法、***及存储介质 | |
| CN110611640A (zh) | 一种基于随机森林的dns协议隐蔽通道检测方法 | |
| CN114189347B (zh) | 一种数据粒子化与网闸相结合的数据安全传输方法 | |
| CN114021168B (zh) | 基于联邦学习的地铁基坑开挖风险识别方法及装置 | |
| CN110113338A (zh) | 一种基于特征融合的加密流量特征提取方法 | |
| CN114900480A (zh) | 基于数据平台的通讯安全管控*** | |
| CN113541945A (zh) | 一种电子信息加密传输*** | |
| CN113746804B (zh) | Dns隐蔽信道检测方法、装置、设备及存储介质 | |
| CN112615870A (zh) | 一种基于ntp报文数据的攻击行为检测方法及装置 | |
| Zhi-Li et al. | A statistical algorithm for linguistic steganography detection based on distribution of words | |
| Li et al. | Protocol reverse engineering using LDA and association analysis | |
| CN111371727A (zh) | 一种针对ntp协议隐蔽通信的检测方法 | |
| CN109858510A (zh) | 一种针对HTTP协议ETag值隐蔽通信的检测方法 | |
| CN114124834B (zh) | 一种工业控制网络内icmp隐蔽隧道检测的集成学习装置及方法 | |
| CN115987599A (zh) | 基于多层次注意力机制的恶意加密流量检测方法及*** | |
| CN106911807B (zh) | 一种安全感知的车载can fd网络设计空间搜索方法 | |
| Banerjee et al. | Study and analysis of text steganography tools | |
| CN112688911B (zh) | 一种基于PCA+ADASYN和Xgboost的网络入侵检测*** | |
| CN112867002B (zh) | 一种基于可逆水印的无线传感器网络数据认证方法 | |
| CN115426162A (zh) | 一种网络加密流量识别方法、装置、电子设备及存储介质 | |
| Choorod et al. | Classifying tor traffic encrypted payload using machine learning |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| RJ01 | Rejection of invention patent application after publication | ||
| RJ01 | Rejection of invention patent application after publication |
Application publication date: 20210406 |