基于数据包实时分析与行为画像的学生上网监控系统及方法

本发明属于校园网监控，具体地说是基于数据包实时分析与行为画像的学生上网监控系统及方法。

背景技术：

1、基于数据包实时分析与行为画像的协同管控，已成为校园网学生上网监控的主流方向，核心是通过解析数据包提取实时行为特征，结合学生行为画像完成精准判定，其中防控学生私自架设随身wifi、路由器或热点（nat转发）的违规接入行为，是系统重点需求。

2、当前针对该违规行为的监控手段存在明显缺陷，难以适配上述管控逻辑：ttl值检测依赖易篡改的软件层字段，学生可通过技术手段绕过，导致数据包分析特征失真，无法为行为画像提供可靠依据；user-agent分析受https加密限制，全流量解密需巨大算力，在校园网高并发场景下引发性能瓶颈，且ua易伪装，致使行为画像终端识别维度失效；应用层特征统计仅靠连接数、流量建模，在合法多终端使用场景下易误报，无法为行为画像提供区分合规与违规的特征，破坏画像判定基准精准度。

3、综上，现有手段抗规避能力弱、资源消耗大、误报率高，既无法支撑校园网数据包实时分析的性能需求，又导致行为画像缺乏可靠特征维度，使得基于数据包实时分析与行为画像的监控系统，在违规热点接入防控中精准度不足，亟待改进。

4、为此，本发明提供了基于数据包实时分析与行为画像的学生上网监控系统及方法。

技术实现思路

1、为了弥补现有技术的不足，解决背景技术中所提出的至少一个技术问题。

2、本发明解决其技术问题所采用的技术方案是：

3、本发明的目的之一在于，本发明提供了基于数据包实时分析与行为画像的学生上网监控方法，包括：

4、步骤s10：实时获取校园网中目标账号产生的tcp数据包报文，仅提取tcp数据包报文头部的时间戳选项字段tsval，记录接收到各tcp数据包报文时的系统绝对时间；

5、步骤s20：将同一目标账号的时间戳选项字段tsval与系统绝对时间做关联，利用线性回归算法计算目标账号的终端硬件时钟偏移斜率α，生成目标账号的合法硬件指纹基准库；

6、步骤s30：将各目标账号的合法硬件指纹基准库、以及各目标账号允许的合法终端数量基准值，存入对应目标账号的行为画像中，形成各目标账号的判定基准特征库；

7、步骤s40：在预设观测周期内，对同一目标账号下不同网络连接流对应的终端硬件时钟偏移斜率α值进行聚类分析，识别目标账号下实际物理硬件指纹数量，将实际物理硬件指纹数量与行为画像中目标账号对应的合法终端数量基准值做对比，若实际物理硬件指纹数量大于合法终端数量基准值，则判定目标账号存在违规架设代理热点或私接网络设备的异常行为。

8、作为本发明的进一步改进方案，所述实时获取校园网中目标账号产生的tcp数据包报文的具体过程为：

9、在校园网交换机、汇聚交换机及接入层交换机的镜像端口以及校园网无线ac/ap的镜像通道部署数据包采集单元，通过旁路监听模式，采用抓包引擎实时捕获流经对应链路的所有传输控制协议tcp数据包报文。

10、作为本发明的进一步改进方案，所述仅提取tcp数据包报文头部的时间戳选项字段tsval的具体过程为：

11、对接校园网认证系统，获取各目标账号，建立目标账号-校园网认证账号-终端ip-mac地址映射表，获取tcp数据包报文后，提取每帧tcp数据包报文的源ip地址、源mac地址，通过目标账号-校园网认证账号-终端ip-mac地址映射表，筛选出目标账号关联终端的tcp数据包报文，丢弃udp、icmp、dns非tcp协议报文，仅保留tcp数据包报文头部携带时间戳选项字段tsval。

12、作为本发明的进一步改进方案，所述记录接收到各tcp数据包报文时的系统绝对时间的具体过程为：

13、仅解析tcp数据包报文头部数据，不解析tcp数据包报文载荷payload，提取头部时间戳选项字段tsval，记录数据包采集单元接收到tcp数据包报文时的系统绝对时间，形成目标账号-时间戳选项字段tsval-系统绝对时间t关联数据对。

14、作为本发明的进一步改进方案，所述生成目标账号的合法硬件指纹基准库的具体过程为：

15、目标账号-时间戳选项字段tsval-系统绝对时间t关联数据对，计算得到终端硬件时钟偏移斜率α，将终端硬件时钟偏移斜率α与目标账号绑定，存入行为画像存储模块，形成对应目标账号的合法硬件指纹基准库。

16、作为本发明的进一步改进方案，所述计算得到终端硬件时钟偏移斜率α的具体过程为：

17、从目标账号-时间戳选项字段tsval-系统绝对时间t关联数据对中，获取同一目标账号下所有的时间戳选项字段tsval和系统绝对时间，利用线性回归算法计算目标账号对应的终端硬件时钟偏移斜率α，公式为：；

18、为终端生成的时间戳选项字段tsval，为系统绝对时间t，为终端硬件时钟偏移斜率，为终端硬件时钟初始偏移量；

19、采用最小二乘法求解线性回归算法的斜率α，仅保留决定系数大于0.95的斜率α作为终端硬件时钟偏移斜率α。

20、作为本发明的进一步改进方案，所述形成各目标账号的判定基准特征库的具体过程为：

21、将各目标账号的合法硬件指纹基准库中的终端硬件时钟偏移斜率α值，以及各目标账号允许的合法终端数量基准值，存入对应目标账号的行为画像中，形成各目标账号的判定基准特征库。

22、作为本发明的进一步改进方案，所述识别目标账号下实际物理硬件指纹数量的具体过程为：

23、在预设观测周期内，获取同一目标账号下所有网络连接流对应的终端硬件时钟偏移斜率α值，形成α值集合，从判定基准特征库中，获取目标账号对应的合法终端数量基准值，采用k-means聚类算法对α值集合进行相似度聚类，设置两个终端硬件时钟偏移斜率α值的偏差≤0.001时，判定为同一物理终端的物理硬件指纹；

24、将α值集合输入k-means聚类算法模型，以相似度阈值为簇内距离上限，自动划分簇的数量，最终聚类得到的簇的数量，即为目标账号下实际物理硬件指纹数量。

25、作为本发明的进一步改进方案，所述判定目标账号存在违规架设代理热点或私接网络设备的异常行为的具体过程为：

26、获取行为画像中目标账号的合法终端数量基准值，将合法终端数量基准值与实际物理硬件指纹数量进行对比，若实际物理硬件指纹数量大于合法终端数量基准值，则判定目标账号存在违规架设代理热点或私接网络设备的异常行为。

27、本发明目的之二在于，本发明提供了基于数据包实时分析与行为画像的学生上网监控系统，包括如下模块：

28、数据包采集提取模块：实时获取校园网中目标账号产生的tcp数据包报文，仅提取tcp数据包报文头部的时间戳选项字段tsval，记录接收到各tcp数据包报文时的系统绝对时间；

29、硬件指纹计算模块：将同一目标账号的时间戳选项字段tsval与系统绝对时间做关联，利用线性回归算法计算目标账号的终端硬件时钟偏移斜率α，生成目标账号的合法硬件指纹基准库；

30、行为画像存储模块：将各目标账号的合法硬件指纹基准库、以及各目标账号允许的合法终端数量基准值，存入对应目标账号的行为画像中，形成各目标账号的判定基准特征库；

31、违规判定模块：在预设观测周期内，对同一目标账号下不同网络连接流对应的终端硬件时钟偏移斜率α值进行聚类分析，识别目标账号下实际物理硬件指纹数量，将实际物理硬件指纹数量与行为画像中目标账号对应的合法终端数量基准值做对比，若实际物理硬件指纹数量大于合法终端数量基准值，则判定目标账号存在违规架设代理热点或私接网络设备的异常行为。

32、本发明的有益效果如下：

33、1.本发明基于终端硬件晶振的固有频率偏差生成时钟偏移斜率α，该斜率为物理层特征，无法通过软件修改、伪装或绕过，彻底解决了现有ttl值、user-agent等软件层特征易篡改的技术痛点，从根源上提升了违规接入监控的可靠性。

34、2.全程仅提取tcp数据包报文头部的时间戳选项字段tsval，不解析报文载荷，数据处理量大幅减小，采用的最小二乘法、k-means聚类算法计算复杂度低，单账号判定耗时短，完美适配校园网海量并发的实时监控需求，避免了传统全流量解密带来的性能瓶颈。

35、3.通过聚类分析识别同一账号下的实际物理硬件指纹数量，精准区分合法多终端接入与违规架设热点/私接设备，彻底解决了现有应用层特征统计（如并发连接数、流量建模）在合法多终端场景下的误报问题，判定准确率显著提升。

36、4.将终端硬件指纹（α值）与合法终端数量基准值存入行为画像，形成专属判定基准特征库，且支持基准动态更新（如终端更换、管理规则调整），让监控从一刀切升级为个性化精准判定，充分发挥行为画像的基准支撑作用。