一种基于UDP协议流量特征的翻墙行为检测方法及装置

本发明公开了一种基于UDP协议流量特征的翻墙行为检测方法及装置，属于网络安全技术领域。所述方法包括：获取被动镜像采集的全网UDP流量日志和DNS解析日志；剔除UDP流量日志中满足第一条件集合中任一条件的UDP通信会话，得到第一候选会话集；将会话按客户端IP和服务端IP进行分组聚合；保留同时满足第二条件集合中全部条件的分组，将对应的UDP通信会话确定为疑似翻墙会话；将疑似翻墙会话中的服务端IP地址关联DNS解析日志，聚合得到对应的域名信息，将不包含预设DNS特征字符串的域名记录对应的疑似翻墙会话确定为确认翻墙会话；输出确认翻墙会话对应的违规记录。本发明降低了翻墙行为检测的漏报率和误报率。