[發明專利]網絡應用流量分類識別裝置及其方法

無效

• 申請號: 200610165296.8
• 申請日: 2006-12-15
• 公開（公告）號: CN101202652A
• 公開（公告）日: 2008-06-18
• 發明（設計）人: 張建宇;廖唯棨;高明;楊彬;朱巖;鄒維
• 申請（專利權）人: 北京大學
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06;H04L12/56
• 代理公司: 北京君尚知識產權代理事務所
• 代理人: 余功勛

1.一種網絡應用流量分類識別裝置，其特征在于，包括：

動態流分類裝置，在該裝置中以報文包含的IP五元組信息為鍵值建立散列表，利用該散列表檢索網絡流表；

<地址，端口>對匹配裝置，以報文的<源地址，源端口>對、<目的地址，目的端口>對作為鍵值建立散列表，利用該散列表檢索地址對信息表來對收到的報文進行匹配；

服務端口匹配裝置，將報文的源端口和目的端口作為鍵值建立散列表，利用該散列表檢索服務端口表來對收到的報文進行匹配；

流量/行為特征匹配裝置，針對流的前M個報文，統計此網絡流以及<源IP，目的IP>地址對的流量特征和行為特征，并與流量/行為特征模式庫中的信息進行匹配；

協議特征碼匹配裝置，將報文凈荷的前L個字節與協議特征碼庫中的協議特征碼進行匹配；

決策裝置，從流記錄表項中讀取緩存的中間結果并與各匹配裝置得到的有效輸出結果一起進行綜合分析，判別網絡流所屬的應用類型或應用協議；

網絡拓撲探測裝置，針對不同的應用服務，搜索當前活躍節點，用節點信息動態更新地址對信息表。

2.如權利要求1所述的網絡應用流量分類識別裝置，其特征在于，所述網絡流表用于記錄網絡流的IP五元組、應用類型/應用協議、中間結果、流量與行為特征、狀態等信息，采用散列表方式進行組織，采用鏈表方式解決散列碰撞。

3.如權利要求1所述的網絡應用流量分類識別裝置，其特征在于，所述網絡拓撲信息表用于記錄<地址，端口>對及其所對應的應用類型/應用協議、匹配度等信息，采用散列表方式進行組織，采用鏈表方式解決散列碰撞。

4.如權利要求1所述的網絡應用流量分類識別裝置，其特征在于，所述地址對信息表用于記錄<源IP，目的IP>地址對的流量特征與行為特征，采用散列表方式進行組織，采用鏈表方式解決散列碰撞。

5.如權利要求1所述的網絡應用流量分類識別裝置，其特征在于，所述流量/行為特征模式庫，用于記錄各種應用類型或者應用協議的流量與行為特征模式以及匹配度等信息。

6.如權利要求1所述的網絡應用流量分類識別裝置，其特征在于，所述協議特征碼庫，用于記錄各種應用協議的特征碼串及匹配度等信息。

7.一種網絡應用流量分類識別方法，其特征在于，包括：

動態流分類步驟，在該步驟中以報文包含的IP五元組信息為鍵值建立散列表，利用該散列表檢索網絡流表；

判斷報文在流中的次序是否超出預定窗口的步驟，在該步驟中判斷該報文是否可知；

<地址，端口>對匹配步驟，以報文的<源地址，源端口>對、<目的地址，目的端口>對作為鍵值建立散列表，利用該散列表檢索地址對信息表來對收到的報文進行匹配；

服務端口匹配步驟，將報文的源端口和目的端口作為鍵值建立散列表，利用該散列表檢索服務端口表來對收到的報文進行匹配；

流量/行為特征匹配步驟，針對流的前M個報文，統計此網絡流以及<源IP，目的IP>地址對的流量特征和行為特征，并與流量/行為特征模式庫中的信息進行匹配；

協議特征碼匹配步驟，將報文凈荷的前L個字節與協議特征碼庫中的協議特征碼進行匹配；

決策步驟，從流記錄表項中讀取緩存的中間結果并與各匹配步驟得到的有效輸出結果一起進行綜合分析，判別網絡流所屬的應用類型或應用協議；

網絡拓撲探測步驟，針對不同的應用服務，搜索當前活躍節點，用節點信息動態更新地址對信息表。

8.如權利要求7所述的網絡應用流量分類識別方法，其特征在于，所述網絡流表用于記錄網絡流的IP五元組、應用類型/應用協議、中間結果、流量與行為特征、狀態等信息，采用散列表方式進行組織，采用鏈表方式解決散列碰撞。

9.如權利要求7所述的網絡應用流量分類識別方法，其特征在于，所述網絡拓撲信息表用于記錄<地址，端口>對及其所對應的應用類型/應用協議、匹配度等信息，采用散列表方式進行組織，采用鏈表方式解決散列碰撞。