公开(公告)号：CN113489622B

公开(公告)日：2022-05-13

申请号：CN202110738313.7

申请日：2021-06-30

Applicant: 国家计算机网络与信息安全管理中心 ,  南京中新赛克科技有限责任公司

Inventor： 刘科栋 ,  彭成维 ,  王佩 ,  缪亚男 ,  孙发强 ,  李广恺 ,  贾东征 ,  王慧 ,  王子厚 ,  袁庆升 ,  王大伟 ,  肖林焱 ,  王亚箭 ,  黄自强

IPC: H04L43/065 ,  H04L61/3015 ,  H04L9/40

Abstract: 本发明公开了一种提取网络设备指纹的方法，通过对网络设备的地理位置、设备类型、操作系统等信息进行分组预处理，结合编解码、终端类型、知名端口及服务、开放端口特征、活跃账号的特征信息，进行相似性融合分析，高效识别不同IP对应的同一设备。本发明的有益效果为：结合多维度的信息提取，对虚拟设备进行有效身份标识，达到对虚拟网络中硬件设备的准确识别，可以对网络攻击等行为动作进行快速识别及反应。

公开(公告)号：CN111447233A

公开(公告)日：2020-07-24

申请号：CN202010242396.6

申请日：2020-03-31

Applicant: 国家计算机网络与信息安全管理中心 ,  杭州迪普信息技术有限公司

Inventor： 李高超 ,  张乾 ,  王大伟 ,  王晖 ,  邹昕 ,  李政 ,  陈训逊

IPC: H04L29/06 ,  H04L12/741 ,  H04L12/46

Abstract: 本申请提供一种基于VXLAN的报文过滤方法及装置，应用于过滤设备中，所述方法包括：获取待处理队列的当前待处理报文；将所述当前待处理报文匹配转发策略集中的至少一个控制项；若确定所述当前待处理报文匹配上所述至少一个控制项中的选定控制项，则获取所述选定控制项所属的转发策略对应的第一分析服务器；根据所述当前待处理报文、所述第一分析服务器、所述选定控制项所属的转发策略的转发策略优先级和所述当前待处理报文对应的首片时钟周期携带的剩余匹配次数生成第一VXLAN报文；将所述第一VXLAN报文发送给所述第一分析服务器。应用本申请的实施例，实现全面分析报文，使得分析结果多样化。

公开(公告)号：CN106227741B

公开(公告)日：2019-08-30

申请号：CN201610547660.0

申请日：2016-07-12

Applicant: 国家计算机网络与信息安全管理中心

Inventor： 何清林 ,  马秀娟 ,  张家琦 ,  王子厚 ,  王大伟 ,  朱佳伟 ,  刘培朋 ,  李海灵

IPC: G06F16/903 ,  H04L29/06

Abstract: 本发明公开了一种基于多级哈希索引链表的大规模URL的匹配方法。使用本发明能够快速、准确地进行URL匹配，系统资源消耗小。本发明根据URL均具有“DOMAIN‑NAME/DIRECT‑1/DIRECT‑2/.../DIRECT‑N”结构这一特点，利用URL各级的哈希值建立与URL多级结构相对应的多级哈希索引链表，然后利用该索引链表，基于URL结构特性对待匹配的ULR从“DOMAIN‑NAME”开始扫描匹配，进而能够实现快速、准确的URL匹配，从而能够实现大规模URL的实时在线快速匹配，系统资源消耗小。

公开(公告)号：CN105429950B

公开(公告)日：2019-04-23

申请号：CN201510725503.X

申请日：2015-10-29

Applicant: 国家计算机网络与信息安全管理中心

Inventor： 王啸 ,  王大伟 ,  贺龙涛 ,  曹首峰 ,  刘培朋 ,  赵咏 ,  苟高鹏

IPC: H04L29/06

Abstract: 本发明提供一种基于动态数据包采样的网络流量识别系统和方法，系统包括网络流量识别服务器、数据包分析模块和行为分析模块；网络流量识别服务器、数据包分析模块和行为分析模块依次单向连接。本发明解决了传统的网络流量识别方法面对不断变化的流量环境无法及时调整识别策略的矛盾，使得在网络流量识别的过程中，可以通过感知数据包的变化，来调整当前网络流量识别的策略，是根据首包信息结合协议识别方法来进行识别，还是根据数据包分析结合协议识别方法来进行识别，还是根据网络行为分析结合协议识别方法来进行识别，根据运行环境变化并自动选择适合当前流量特征的网络流量协议识别策略，从而保证在任意流量环境下网络流量识别的准确率与处理效率。

公开(公告)号：CN108737291A

公开(公告)日：2018-11-02

申请号：CN201810438595.7

申请日：2018-05-09

Applicant: 北京建筑大学 ,  国家计算机网络与信息安全管理中心

Inventor： 钱丽萍 ,  王大伟 ,  汪立东 ,  王子厚 ,  袁辰 ,  张慧

IPC: H04L12/859 ,  H04L12/851 ,  G06F17/27

Abstract: 本发明提供一种网络流量表示的方法及装置，方法包括：采用预设谓词及其论元，按预定事件语义学方法表示网络流量的语义，并根据网络流量的语义，定义网络流量与其它网络流量之间的关系，再根据上述关系，按照预定特征生成网络流量的集合，最后根据网络流量的集合，确定网络流量对应的通信主体的运行情况。该方法通过定义网络流量产生有关的谓词和论元，并采用预定的语义学方法对网络流量进行语义表示，根据网络流量的语义及语义关系形成网络流量的集合来表示通信主体的运行情况，该方法可以对网络流量进行准确的表示，并且表示形式较为简单，解决了现有技术的问题。

公开(公告)号：CN104135474A

公开(公告)日：2014-11-05

申请号：CN201410343212.X

申请日：2014-07-18

Applicant: 国家计算机网络与信息安全管理中心

Inventor： 贺欣 ,  刘刚 ,  王大伟 ,  刘永强 ,  王秀文 ,  杜大帅 ,  张慧 ,  李城龙 ,  贺龙涛

IPC: H04L29/06 ,  H04L12/26

Abstract: 本发明公开了一种基于主机出入度的检测网络异常行为的方法，从全新的角度提出了一种主机属性判定，攻击检测方法，在技术难度较低，资源耗用较小的情况下能够实现一定量种类的网络行为检测，异常行为监测。首先定义度、出度和入度；其中，度是四元组连接的数量；出度是指主机向其他主机发出的四元组连接的数量；入度是指主机接收其他主机的四元组连接的数量；该方法根据主机的出入度比例是否超出已知范围，以实现网络异常行为的检测；不同业务主机的出入度比例范围不同。