基于数据流关联分析的网络信息安全监测方法与流程

本发明属于网络安全，具体是基于数据流关联分析的网络信息安全监测方法。

背景技术：

1、在网络流量安全监测领域，对应用层协议数据单元的解析与合规性检查是普遍采用的基础检测手段；现有系统通常提取协议字段的键值对，验证字段值的格式、长度、枚举范围是否满足协议规范，并辅以状态机校验请求-响应的顺序合理性；只要字段值可被正确解析、无畸形特征且状态转换符合预期，该流量即被判定为协议正常；这一逻辑隐含的共识是：合法的字段值必然对应合法的通信行为。

2、在实际网络环境中，协议字段的语义角色已随应用生态的演化发生系统性漂移；例如，在单页应用框架中，本应由服务端生成的“cookie”字段被客户端主动构造并持续变化；各类爬虫工具将自定义标识填入“user-agent”的版本号尾部；这些行为在格式上完全合规，却已偏离字段的原始角色定位；攻击者利用这一现象，将控制指令或外泄数据编码进那些“角色已漂移”的字段中，使其完全符合格式校验规则。

3、更进一步的隐蔽手段是将完整载荷拆分为多个微小片段，分别注入同一事务内的多个不同字段。每个字段的变化幅度极小，单独观察均落在其正常的波动范围内，不会触发任何基于单字段阈值的告警；然而，这些字段的变化在时间上保持同步，在数值上可拼接成有意义的序列。现有技术由于孤立分析每个字段，且仅依赖静态的格式规范或统计基线，缺乏对这种跨字段协同关系的感知能力；当攻击者利用上述手段构建伪正常的通信隧道时，传统方法容易将这种结构化异常误判为多个互不相关的业务波动，导致高隐蔽性威胁持续漏过检测；因此，如何从字段间协同行为的角度识别出这种伪装在合法字段值背后的异常通信，成为亟待解决的技术问题。

技术实现思路

1、本发明的目的在于提供基于数据流关联分析的网络信息安全监测方法，用于解决现有技术无法从字段间协同行为的角度识别出伪装在合法字段值背后的异常通信的问题；

2、本发明需要解决的技术问题为：如何提供一种可以从字段间协同行为的角度识别出伪装在合法字段值背后的异常通信的基于数据流关联分析的网络信息安全监测方法。

3、本发明的目的可以通过以下技术方案实现：

4、基于数据流关联分析的网络信息安全监测方法，包括：

5、获取网络会话中的应用层协议数据单元并解析，得到字段实例，每个字段实例包含字段名、字段值、传输方向及时间戳；

6、提取每个字段实例的微观特征集合，微观特征集合包括：基于传输方向历史分布的产生方倾向比分、基于字段值变化幅度与方向的变化特征、以及基于会话阶段的阶段标识；

7、基于微观特征集合在全局指纹库中匹配查询，得到瞬时偏离度，指纹库存储合法行为模式及其正向计数，正向计数仅在行为模式满足预设的跨源分布条件时增加；

8、为每个会话中的每个字段维护势垒值，按时间周期对势垒值执行指数衰减，并根据瞬时偏离度与预设偏离度阈值的比较结果确定增量值累加入势垒；

9、在同一事务内的多个字段间检测同步变化特征与可组装特征，基于检测结果计算协同放大系数，将该系数作用于后续增量值以调整势垒累积速度；

10、当任一字段的势垒值超过动态阈值时生成可疑标记，基于同一会话内所有字段的势垒值总和与协同畸变对数量计算会话风险评分，并根据该评分执行分级响应。

11、本发明具备下述有益效果：

12、通过为每个字段构建基于跨源分布条件的动态行为指纹，系统不再依赖静态协议规范判定字段合法性，而是利用至少三个不同源地址对行为模式的共同验证来建立正向计数基线；这使得字段的正常角色漂移（如单页应用中客户端主动构造cookie）能够被自动吸纳为合法行为，而攻击者通过单一源地址或短时注入对指纹的污染被有效抑制，从而在工程层面将字段角色误判的漏检率与误报率同时收敛至可接受范围；

13、通过为每个会话中的每个字段独立维护指数衰减势垒值，系统将单次瞬时偏离度转化为具有记忆效应的连续累积量；高偏离度事件使势垒获得与偏离程度成正比的增量，而时间推移使势垒按固定半衰期指数回落；这一机制使得短时突发的业务瞬变（如一次性的user-agent版本升级）在数个周期后自动消退，而长期持续的微小偏离（如慢速心跳信道中每个字段每天仅变化几个字符）则因累积效应逐步抬高势垒，最终超过动态阈值触发可疑标记，实现了对慢速隐蔽信道的灵敏捕获与对瞬态噪声的免疫；

14、通过在同一事务内检测多字段的同步变化特征与可组装特征，系统建立了跨字段协同畸变的联合判定逻辑，当两个或以上字段在同一事务中同时发生相同方向的变化，且这种同步关系在连续多个事务中维持稳定比例时，或不同字段的变化量能够按照预设规则拼接成具有单调规律的数值序列时，协同放大系数被激活并将后续势垒增量放大一至三倍以上；这一设计使得攻击者即使将完整载荷拆分为多个字段内的微弱变化、每个字段单独偏离度均低于阈值，也会因多字段在时间节律与数值拼接上的结构性协同而被放大识别，从而突破了单字段孤岛检测的局限；

15、通过综合字段势垒总和与协同畸变对数量计算会话风险评分，并依据评分分级执行日志记录、告警发送、会话阻断及原始包捕获，系统实现了从微观字段行为到宏观会话风险的逐级汇聚；动态阈值随当前包速率升高而自动上调，防止高负载条件下随机噪声引发告警风暴；被阻断会话中参与协同畸变的字段在后续预设时长内自动提高跨源分布条件的严格程度，形成反馈闭环；由此，系统在正常业务流量与攻击流量共存的复杂环境中，将伪正常通信的结构化异常从背景噪声中分离，使最终输出的告警事件数量与真实威胁数量之间的偏差被控制在工程可接受的边界内。

1.基于数据流关联分析的网络信息安全监测方法，其特征在于，包括：

2.根据权利要求1所述的基于数据流关联分析的网络信息安全监测方法，其特征在于，产生方倾向比分的提取方式为：为每个会话中的每个字段维护历史方向队列，将当前传输方向压入队列，统计队列中与当前方向相同的元素占比，将该占比作为产生方倾向比分。

3.根据权利要求1所述的基于数据流关联分析的网络信息安全监测方法，其特征在于，变化特征的提取方式为：对于数值型字段计算相对差值，对于字符串型字段计算归一化编辑距离，根据计算结果将变化幅度划分为微变、中变、巨变三个等级，并根据当前值与历史值的比较确定变化方向为上升、下降或不变。

4.根据权利要求1所述的基于数据流关联分析的网络信息安全监测方法，其特征在于，全局指纹库的键由字段名、产生方区间、阶段索引、变化幅度等级、变化方向五部分构成；所述跨源分布条件是指指纹库中匹配条目所对应的源地址集合中不同源地址数量达到第一阈值，且该条目的存续时长达到第二阈值。

5.根据权利要求4所述的基于数据流关联分析的网络信息安全监测方法，其特征在于，指纹库的更新方式为：当当前特征组合在指纹库中不存在时创建条目并初始化正向计数为零；当存在匹配条目且满足跨源分布条件时，将该条目的正向计数增加并将当前源地址加入集合；所述瞬时偏离度与正向计数呈反向关系，正向计数越高则瞬时偏离度越低。

6.根据权利要求1所述的基于数据流关联分析的网络信息安全监测方法，其特征在于，势垒值的指数衰减处理为：记录每个字段的上次势垒更新时间，计算与当前时间的时间差，将势垒值乘以基于该时间差计算得到的衰减因子，衰减因子随时间的增加而指数减小；衰减后的势垒值若低于下限则置零。

7.根据权利要求1所述的基于数据流关联分析的网络信息安全监测方法，其特征在于，同步变化特征的检测方式为：在同一事务中，对于任意两个字段，若两者均相对于上一事务发生变化且变化方向一致，则判定该字段对在该事务中满足单次同步条件；为每个字段对维护一个具有预设长度的滑动窗口，用于记录最近多个事务中是否满足单次同步条件；当窗口内有效事务数量达到预设长度后，计算窗口内满足单次同步条件的事务占比，若该占比超过同步阈值，则判定存在同步变化特征。

8.根据权利要求1所述的基于数据流关联分析的网络信息安全监测方法，其特征在于，可组装特征的检测方式为：对于可提取数值的字段对，按照预设的拼接规则将两个字段的变化量组合为拼接值；维护最近多次拼接值的滑动窗口，当窗口满且窗口内数值呈现单调且有规律的变化时，判定存在可组装特征。

9.根据权利要求1所述的基于数据流关联分析的网络信息安全监测方法，其特征在于，协同放大系数根据当前事务中检测到的同步变化字段对数量占总可能字段对数量的比例以及是否存在可组装特征共同确定；存在可组装特征时放大系数的增量大于同步变化特征所带来的增量；该协同放大系数用于放大对应字段后续的增量值。

10.根据权利要求1所述的基于数据流关联分析的网络信息安全监测方法，其特征在于，动态阈值根据当前网络包速率动态调整，包速率越高则动态阈值越大；所述会话风险评分根据势垒值总和与协同畸变对数量计算，且当协同畸变对数量为零时所述风险评分等于势垒值总和；所述风险评分随势垒值总和增大而增大，随协同畸变对数量增加而对数增长；分级响应包括：低于第一风险阈值时仅记录日志，介于第一风险阈值与第二风险阈值之间时发送告警，高于第二风险阈值或存在可组装特征时阻断会话并触发原始包捕获。