基于TCP多会话的被动操作系统识别方法及装置

摘要

本发明实施例提供一种基于TCP多会话的被动操作系统识别方法及装置，方法包括：获取设备在预设时间段内产生多次TCP会话的流量数据，以及所述流量数据中的TCP数据包；对各TCP数据包中的IP和TCP协议字段进行解析，获取各字段的解析结果，将任一TCP会话对应的解析结果中的预设字段作为该TCP会话的单会话指纹；将相邻两个TCP会话的单会话指纹中同一字段的解析结果进行比较，将所有字段的比较结果作为所有TCP会话的多会话特征；将所有单会话指纹的组合和多会话特征组成多会话指纹，从指纹库中查找出多会话指纹，将查找的多会话指纹对应的操作系统作为识别结果。本发明实施例提高了操作系统识别的准确率和精度。