移動應用網絡流量聚類裝置，包括：獲取單元，適于獲取移動終端所產生的網絡流量；預處理單元，適于對所獲取的網絡流量進行預處理，生成DNS流量對應的DNS流量記錄集合和除DNS流量之外的其他網絡流量對應的其他網絡流量記錄集合；第一聚類單元，適于對DNS流量記錄集合進行聚類，得到DNS流量對應的多個DNS網絡流量類；第二聚類單元，適于采用所得到的多個DNS網絡流量類對其他網絡流量記錄集合進行聚類，得到其他網絡流量對應的多個其他網絡流量類；合并單元，適于將DNS流量對應的多個DNS網絡流量類與其他網絡流量對應的多個其他網絡流量類進行合并，得到最終的移動應用網絡流量聚類結果。上述的方案，可以簡易地實現對移動應用網絡流量的聚類分析。

技術領域

本發明涉及數據處理技術領域，具體地涉及一種移動應用網絡流量聚類裝置。

背景技術

隨著移動互聯網和物聯網技術的迅速發展，移動終端，如智能手機、平板Pad、智能眼鏡、智能手表等已經成為日常社會活動的重要輔助工具。

然而，移動終端的廣泛使用也給網絡管理和網絡安全防護帶來了前所未有的巨大挑戰。例如，在某企業內網中，員工個人攜帶的移動終端安裝有惡意應用，該應用調用攝像頭拍攝保密信息，然后利用移動通信網絡或無線網絡將拍攝的保密信息傳輸至攻擊者服務器，造成機密信息泄露。因而，通過網絡流量檢測惡意移動應用或者分析移動終端的操作行為是否異常，成為當前理論研究以及實際應用的熱點問題。

在研究如何通過網絡流量檢測惡意移動應用或者分析移動終端的操作行為是否異常時，一個重要的前提是能夠知悉網絡流量與移動應用間的對應關系。例如，在分析網絡行為以檢測惡意移動應用時，對于不同網絡流F1、F2、F3、F4，現有工作假定已知F1和F2由同一移動應用產生，F3和F4由另一移動應用產生，然后再分析{F1，F2}和{F3，F4}的網絡行為特征以檢測惡意移動應用。為那滿足上述假設條件，可以在移動終端上安裝代理程序，由該程序確定網絡流量與移動應用間的對應關系。但實際中，在移動終端上直接安裝代理程序存在眾多困難，如需強制用戶安裝、用戶可以自行卸載等。

但是，現有技術中尚未出現對移動應用網絡流量進行自動聚類的公開研究和報道。

發明內容

本發明解決的技術問題如何簡易地實現對移動應用網絡流量的聚類分析。

為解決上述技術問題，本發明實施例提供了一種移動應用網絡流量聚類裝置，所述裝置包括：

獲取單元，適于獲取移動終端所產生的網絡流量；

預處理單元，適于對所獲取的網絡流量進行預處理，生成DNS流量對應的DNS流量記錄集合和除所述DNS流量之外的其他網絡流量對應的其他網絡流量記錄集合；

第一聚類單元，適于對所述DNS流量記錄集合進行聚類，得到所述DNS流量對應的多個DNS網絡流量類；

第二聚類單元，適于采用所得到的多個DNS網絡流量類對所述其他網絡流量記錄集合進行聚類，得到所述其他網絡流量對應的多個其他網絡流量類；

合并單元，適于將所述DNS流量對應的多個DNS網絡流量類與所述其他網絡流量對應的多個其他網絡流量類進行合并，得到最終的移動應用網絡流量聚類結果。

可選地，所述DNS網絡流量包括DNS應答流量和DNS查詢流量；

所述預處理單元，適于對所獲取的網絡流量中的DNS流量進行逐條遍歷；當確定遍歷至的當前條DNS流量為DNS應答流量時，提取當前DNS流量中的IP地址和域名，組成對應的一條查詢記錄；當確定遍歷至的當前條DNS流量為DNS查詢流量時，提取當前DNS流量中的域名和捕獲時間，組成對應的一條應答記錄；獲取所述網絡流量中的DNS流量中的下一條DNS流量，直至所述網絡流量中的DNS流量全部遍歷完成，生成所述DNS流量記錄集合。