一种混合网络安全通信预警方法与流程

本发明涉及网络通信，更具体地说，本发明涉及一种混合网络安全通信预警方法。

背景技术：

1、现有混合网络通信环境中，同一终端的加密通信连接可能在不同接入网络、不同出口网络或者不同虚拟网络之间发生路径迁移。部分加密传输协议允许通信连接在源地址、目的地址或者端口发生变化后继续保持业务传输，同时连接识别信息可能发生更新，部分连接状态还封装在加密控制信息中。

2、现有安全监测方法通常依据传输五元组、连接建立阶段的握手信息或者单一网络域内保存的会话状态识别通信连接，当通信连接进入新的网络域时，后继监测节点可能未获取通信连接建立阶段的完整状态，因而难以确定迁移前网络流与迁移后网络流之间的对应关系。

技术实现思路

1、为了克服现有技术的上述缺陷，本发明的实施例提供一种混合网络安全通信预警方法以解决上述背景技术中提出的问题。

2、为实现上述目的，本发明提供如下技术方案：

3、一种混合网络安全通信预警方法，包括如下步骤：

4、s1、检测到加密通信连接的传输五元组由第一网络域切换至第二网络域时，采集迁移前网络流记录、迁移后网络流记录和初始握手缺失标记；

5、s2、对迁移前网络流记录和迁移后网络流记录进行游程编码，得到方向包长游程序列和突发间隔游程序列；

6、s3、采用动态时间规整算法对方向包长游程序列进行对齐，筛除对齐路径存在时间反向的候选项，得到时序连续会话对；

7、s4、当时序连续会话对对应初始握手缺失标记为缺失时，计算突发间隔游程序列的变点重合段和短首部长度稳定段，生成隐式连接标识延续特征；

8、s5、将隐式连接标识延续特征与迁移前网络流记录中的异常事件队列进行同位序映射，形成跨域风险上下文链；

9、s6、当跨域风险上下文链中迁移后网络流记录的异常事件与迁移前网络流记录的异常事件满足递进次序时，输出连续安全通信预警记录。

10、在一个优选的实施方式中，s1，具体为：

11、以加密通信连接的传输五元组为比对对象，按照网络域标识和报文到达时间生成传输五元组变化记录；

12、当传输五元组变化记录表明传输五元组由第一网络域切换至第二网络域时，分别提取第一网络域和第二网络域内的报文方向、报文长度、报文到达时间、短首部长度和异常事件队列，生成迁移前网络流记录和迁移后网络流记录，并在迁移后网络流记录未包含加密通信连接的初始握手报文时生成初始握手缺失标记。

13、在一个优选的实施方式中，s2，具体为：

14、按照报文到达时间分别排列迁移前网络流记录和迁移后网络流记录；

15、将相邻且报文方向相同、报文长度落入同一预设长度区间的报文合并为方向包长游程，记录方向包长游程的报文方向、预设长度区间、起止报文到达时间和短首部长度序列；

16、以相邻方向包长游程的前一结束报文到达时间与后一开始报文到达时间之间的差值形成游程间隔，将连续落入同一预设间隔区间的游程间隔合并为突发间隔游程，得到方向包长游程序列和突发间隔游程序列。

17、在一个优选的实施方式中，s3，具体为：

18、以迁移前网络流记录对应的方向包长游程序列和迁移后网络流记录对应的方向包长游程序列为输入，按照报文方向一致性和预设长度区间邻近性构建游程匹配代价；

19、采用动态时间规整算法沿游程序列顺序生成候选对齐路径；

20、当候选对齐路径中存在迁移后网络流记录对应方向包长游程的起止报文到达时间相对于迁移前网络流记录对应方向包长游程的起止报文到达时间发生时序倒置时，将候选对齐路径作为对齐路径存在时间反向的候选项筛除，得到时序连续会话对。

21、在一个优选的实施方式中，s4，具体为：

22、当时序连续会话对对应初始握手缺失标记为缺失时，对时序连续会话对内迁移前网络流记录对应突发间隔游程序列和迁移后网络流记录对应突发间隔游程序列分别进行累积和变点检测，取得游程间隔变点位置；

23、以时序连续会话对对应的候选对齐路径将游程间隔变点位置投影至统一游程位序，取统一游程位序相邻且变化方向一致的区段为变点重合段；

24、在变点重合段内读取方向包长游程记录的短首部长度序列，将短首部长度连续保持同一取值的区段作为短首部长度稳定段，生成隐式连接标识延续特征。

25、在一个优选的实施方式中，s5，具体为：

26、以隐式连接标识延续特征对应的统一游程位序为映射基准，分别确定迁移前网络流记录中的异常事件队列和迁移后网络流记录中的异常事件队列在统一游程位序上的同位序位置；

27、将同位序位置落入变点重合段且对应短首部长度稳定段的异常事件标注为跨域关联事件，按照报文到达时间连接跨域关联事件，形成跨域风险上下文链。

28、在一个优选的实施方式中，s6，具体为：

29、遍历跨域风险上下文链中的跨域关联事件，按照报文到达时间确定跨域关联事件来源于迁移前网络流记录或迁移后网络流记录；

30、当来源于迁移前网络流记录的跨域关联事件早于来源于迁移后网络流记录的跨域关联事件，且跨域关联事件在统一游程位序上保持递增并由第一网络域指向第二网络域时，判定跨域风险上下文链满足递进次序；

31、生成包含传输五元组变化记录、初始握手缺失标记、隐式连接标识延续特征和跨域风险上下文链的连续安全通信预警记录。

32、本发明一种混合网络安全通信预警方法的技术效果和优点：

33、通过对加密通信连接跨网络域迁移前后的网络流记录进行游程编码，并利用方向包长游程序列和突发间隔游程序列重建迁移前后通信行为之间的时序对应关系，在传输五元组发生变化且迁移后缺少初始握手状态的情况下，仍能够筛除存在时间反向的错误候选项，获得具有时序连续性的会话关联结果；结合突发间隔变化的一致性和短首部长度的稳定性生成隐式连接标识延续特征，将迁移前后的异常事件映射至统一游程位序并形成跨域风险上下文链，从而避免仅依据传输五元组或单一网络域会话状态造成的会话割裂、异常事件重复归属或遗漏关联，使跨网络域迁移前后的异常通信行为能够按照时间及风险发展次序连续衔接，为加密通信连接的持续识别和安全预警提供完整的数据依据。

1.一种混合网络安全通信预警方法，其特征在于，包括如下步骤：

2.根据权利要求1所述的一种混合网络安全通信预警方法，其特征在于，s1，具体为：

3.根据权利要求2所述的一种混合网络安全通信预警方法，其特征在于，s2，具体为：

4.根据权利要求3所述的一种混合网络安全通信预警方法，其特征在于，s3，具体为：

5.根据权利要求4所述的一种混合网络安全通信预警方法，其特征在于，s4，具体为：

6.根据权利要求5所述的一种混合网络安全通信预警方法，其特征在于，s5，具体为：

7.根据权利要求6所述的一种混合网络安全通信预警方法，其特征在于，s6，具体为：