公开(公告)号：CN113709152A

公开(公告)日：2021-11-26

申请号：CN202110991233.2

申请日：2021-08-26

Applicant: 东南大学

Inventor： 胡晓艳 ,  陈浩 ,  程光 ,  吴桦 ,  龚俭

IPC: H04L29/06

Abstract: 本发明提供了一种具备高抗检测能力的对抗域名生成模型，模型由三个部分组成，分别是良性域名建模器，候选域名合成器，无效域名筛选器。良性域名建模器是利用自回归和LSTM对良性域名建立统计学模型，挖掘隐藏在良性域名字符间的相关关系；候选域名合成器是根据建立的统计学模型对输入的良性域名进行字符替换，随机从输入的良性域名中挑选两个位置，利用模型计算替换的字符，完成替换，从而生成新的域名；无效域名筛选器是从上一步骤生成的域名列表中剔除无法使用的域名，最后剩下的域名便是符合使用要求的域名。本发明生成的对抗域名具备很高的抗检测能力，能够误导DGA域名检测器做出错误的分类；同时本发明生成域名的重复率和碰撞率都非常低，实用性很强。

公开(公告)号：CN113656800A

公开(公告)日：2021-11-16

申请号：CN202110950651.7

申请日：2021-08-18

Applicant: 东南大学

Inventor： 胡晓艳 ,  朱成 ,  程光 ,  吴桦 ,  龚俭

IPC: G06F21/56 ,  G06N3/04 ,  G06N3/08

Abstract: 本发明提供了一种基于加密流量分析的恶意软件行为识别方法，具体步骤包括：制作使用加密协议进行数据通信的恶意软件，自动化攻击并提取带标签的行为流量数据集；对采样流量进行特征提取，简单的进行特征筛选后使用三种深度神经网络进行训练；使用训练后的模型对恶意软件执行的恶意行为进行识别，最后输出执行的恶意行为类别。本发明提供了用于研究恶意软件内部的恶意行为流量数据集，并贡献了一种自动化采集带标签的恶意行为样本的方法；本发明能够通过加密流量准确地识别恶意软件内部的恶意行为，并拥有快速部署在网络边缘的能力，为网络管理员确定恶意软件入侵阶段提供新的解决方案，对未来将发生的危险行为针对性的防御。

公开(公告)号：CN113114694A

公开(公告)日：2021-07-13

申请号：CN202110414973.X

申请日：2021-04-17

Applicant: 东南大学

Inventor： 吴桦 ,  陈廷政 ,  程光 ,  邵梓菱

IPC: H04L29/06 ,  H04L29/12

Abstract: 本发明公开了一种面向高速网络分组抽样数据采集场景的DDoS攻击检测方法，该方法首先使用等距抽样技术对网络分组进行抽样，然后使用两个包含多个计数器和哈希表的改良Count‑Min Sketch结构分别对UDP流量和TCP流量的有效特征进行快速提取，通过机器学习的决策树方法分别对UDP流量和TCP流量离线构造UDP Flood和SYN Flood流量分类器。利用这些构造好的分类器，使用Sketch结构在线记录抽样分组流的特征向量，实现在高速网络分组抽样数据采集场景里对常见的DDoS攻击UDP Flood和SYN Flood的在线检测。该方法能够以较低的时间复杂度和空间复杂度在高速网络环境中实现DDoS攻击准确识别，其中，UDP Flood检测方法能够很好的区分UDP Flood攻击流量与DNS单向请求流量，从而降低误判率，可用于高速网络的安全监测。

公开(公告)号：CN112235254A

公开(公告)日：2021-01-15

申请号：CN202011003470.5

申请日：2020-09-22

Applicant: 东南大学

Inventor： 吴桦 ,  郭树一 ,  程光

IPC: H04L29/06 ,  G06K9/62 ,  G06F17/18

Abstract: 本发明提供了一种高速主干网中Tor网桥的快速识别方法，具体步骤包括：选择能够用于高速主干网中Tor网桥识别的相关特征，构建小规模的流量数据训练集进行模型训练；在高速主干网中进行数据包的采样，并使用多重Count Bloom Filter算法进行数据包记录的统计和特征值的提取；使用训练完成的模型对采样后数据包的记录进行识别分类，获得网桥列表。本发明能够快速精确地识别出主干网中存在的Tor网桥，为网络管理者提供一份网桥名单，有效提高网络管理的效率；由于所选择的特征多为比例特征，在采样后的不完整流量数据中也可以提取，用于进行识别分类，减少了特征的存储消耗。

公开(公告)号：CN112188273A

公开(公告)日：2021-01-05

申请号：CN202011036300.7

申请日：2020-09-27

Applicant: 东南大学

Inventor： 吴桦 ,  刘亚 ,  周煦彭 ,  程光

IPC: H04N21/433 ,  H04N21/442

Abstract: 本发明提供了一种基于流量分析的视频卡顿检测方法，包括：在运营服务商网络接入点进行流量采集；根据热门视频服务器域名，ip地址，端口以及热门视频编号ID匹配规则对网络接入点采集的用户流量过滤出热门视频流量；检测视频传输脉冲现象并提取视频数据流中的脉冲信息；对提取的脉冲信息进行计算得出视频播放过程中的平均播放码率；在运营服务商网络接入点进行用户流量数据采集并过滤出热门视频流量；提取视频播放信息；利用求出的平均播放码率和视频播放信息，计算出用户终端视频缓冲区中的视频数据大小；检测出终端用户的视频卡顿情况。本发明可用于运营服务商在网络接入点上对用户终端的视频服务质量进行评估，为提高接入服务质量提供依据。

公开(公告)号：CN110691007A

公开(公告)日：2020-01-14

申请号：CN201910885435.1

申请日：2019-09-19

Applicant: 东南大学

Inventor： 吴桦 ,  王路 ,  程光

IPC: H04L12/26 ,  H04L29/06

Abstract: 本发明公开了一种精确测量QUIC连接丢包率的方法。该方法首先在网络设备上采集数据报文文件，然后从中过滤出UDP报文并对其头部进行解析，进而区分出QUIC协议报文，之后对QUIC数据报文头部进行解析并重整PKN报文序号，最后根据记录的报文序号进行统计并计算QUIC连接的丢包率。本发明具有通用性，所有使用了QUIC协议进行数据传输的应用均适用此方法来计算丢包率。

公开(公告)号：CN109831455A

公开(公告)日：2019-05-31

申请号：CN201910193356.4

申请日：2019-03-14

Applicant: 东南大学 ,  赛尔网络有限公司

Inventor： 程光 ,  赵丽侠 ,  胡晓艳 ,  吴桦 ,  郑少琦

IPC: H04L29/06 ,  H04L12/721

Abstract: 本发明公开一种缓解命名数据网络中隐蔽兴趣包泛洪攻击的方法，基于接入路由器检测每个接口的状态，对于确定受到兴趣包泛洪攻击的接口，限制受攻击接口的兴趣包接收速度；对于无法确定是否为兴趣包泛洪攻击的接口，将异常信息上报控制器；控制器通过收到的异常信息判断网络中是否存在兴趣包泛洪攻击，并将判定结果通知接入路由器；若控制器通知该接入路由器未受到攻击，则接入路由器将其所有接口视为正常接口，攻击防御结束；否则，接入路由器从通知报文中读取被攻击接口列表，限制恶意接口的兴趣包接收速度。本发明方法能够及时检测到隐蔽兴趣包泛洪攻击的存在并准确有效地定位攻击者，进而采取针对性防御措施，避免损害合法用户的数据访问请求。

公开(公告)号：CN109347983A

公开(公告)日：2019-02-15

申请号：CN201811452766.8

申请日：2018-11-30

Applicant: 东南大学

Inventor： 胡晓艳 ,  郑少琦 ,  赵丽侠 ,  龚俭 ,  程光 ,  吴桦

IPC: H04L29/08 ,  H04L12/751 ,  H04L12/741 ,  H04L1/16

CPC classification number: H04L67/2842 ,  H04L1/1607 ,  H04L45/02 ,  H04L45/54

Abstract: 本发明公开了一种基于网络编码的命名数据网络中多路径转发方法，该方法包括探索路径外缓存内容以及利用路径外缓存内容两个阶段，在获取数据内容代的初始探索阶段，路由表正常转发兴趣报文外，还会转发兴趣报文到其他可用接口来主动探索路径外网络节点缓存的该代数据内容的可用性，并根据返回的报文为路径外缓存内容建立可达性信息；路由器一方面根据路由表将兴趣报文转发到原始数据源，另一方面根据探索阶段建立的路径外缓存内容的可达性信息将兴趣报文转发到路径外缓存节点来寻求响应，返回的报文又会进一步更新缓存内容的可达性信息。本发明能够利用路径外的缓存内容，充分发挥命名数据网络多路径传输和网络内缓存的优势，提升网络的传输性能。

公开(公告)号：CN105611406B

公开(公告)日：2018-05-04

申请号：CN201510964462.X

申请日：2015-12-21

Applicant: 东南大学

Inventor： 吴桦 ,  程光

IPC: H04N21/442 ,  H04N21/643 ,  H04N21/647

Abstract: 本发明公开了一种接入网服务商监测用户到视频服务器延迟特性方法，在中间采集设备上，采集报文数据，对报文数据进行处理，获得数据源文件。对数据源文件进行两轮操作，结合传输视频信息时使用的TCP协议中的关键标志位信息，找到特定视频报文对。这对特定数据报文经过中间接入点的时间差为用户终端到服务器端到端往返延迟的近似值，从而满足接入服务商对这个测度的测量要求。

公开(公告)号：CN103634157B

公开(公告)日：2016-08-31

申请号：CN201310696661.8

申请日：2013-12-18

Applicant: 东南大学

Inventor： 程光 ,  吴桦

IPC: H04L12/24 ,  H04L12/26 ,  H04L12/705

Abstract: 一种并行报文路由探测方法，设置一个以被探测的IP地址A为目标地址的ICMP报文，如果收到所述ICMP报文的应答报文，计算该测量点到目标节点的跳数n，否则设置跳数为32，设置n种类型的相同的目标节点A的ICMP报文，每个ICMP报文的TTL字段分别设置为1到n中的n个不同的正整数，由测量点向目标地址发送所设置的n种类型ICMP报文，每种类型ICMP报文发送k个，并记录发送每个报文的发送时间戳、标识号和TTL，接收所有ICMP报文的应答报文并打上接收时间戳，记录数组中发送报文的标识号和测量到应答报文中原IP报文头的标识号相同的记录中的应答报文时戳、应答的IP地址，计算输出到达目标节点的路由，中间节点的时延、丢包率。