[發明專利]P2P協議流量識別方法及系統

有效

• 申請號: 201010562396.0
• 申請日: 2010-11-23
• 公開（公告）號: CN101984635A
• 公開（公告）日: 2011-03-09
• 發明（設計）人: 李城龍;薛一波
• 申請（專利權）人: 清華大學
• 主分類號: H04L29/08
• 分類號: H04L29/08;H04L12/56
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王瑩

1.一種P2P協議流量識別方法，其特征在于，該方法包括步驟：

S1.對P2P協議流量的初始握手交互過程進行分析，獲得代表選定的交互過程的狀態轉移集合，其中包括所述狀態轉移過程中的關鍵命令；

S2.根據五元組將待識別的流量分成多條流；

S3.按照P2P協議的消息重組的啟發性條件集合判斷待識別的流是否能夠進行P2P協議的消息重組，若能，則載入下一條流，并重新執行步驟S3，否則，執行步驟S4；

S4.檢查待識別的流的消息中是否包含所述關鍵命令，若不包含，則判斷該流為非P2P協議流量，載入下一條流，并返回步驟S3，否則，執行步驟S5；

S5.判斷待識別的流的消息構成是否符合所述交互過程的狀態轉移集合中的項，若不符合，則判斷所述流為非P2P協議流量，載入下一條流，并返回步驟S3，否則，判定所述流為P2P協議流量，載入下一條流，并返回步驟S3；

其中，所述選定的交互過程為空閑狀態與數據傳輸狀態之間的交互過程；

所述P2P協議的消息重組的啟發性條件為：

a.P2P協議頭沒有加密，體是經過加密的；

b.在P2P協議的連接部分，有多個0x00內容的字節，或者連續兩個或三個0x00內容的字節；

c.P2P協議以連續三個0x00字節結束，或者在連續兩個或三個0x00后有一段設定長度的內容之后結束。

2.如權利要求1所述的P2P協議流量識別方法，其特征在于，步驟S1進一步包括：

S1.1抓取P2P協議純流量；

S1.2對P2P協議純流量進行五元組分流；

S1.3根據P2P協議的基本結構，定義P2P協議消息，得到P2P協議消息重組的啟發性條件集合；

S1.4將P2P協議流量中的每個流按照步驟S1.3中的定義及啟發性條件集合進行P2P協議的消息重組；

S1.5按照每個消息的中所包含的有效屬性對消息進行相似度聚類，通過迭代聚類，獲得所述選定的交互過程的狀態轉移集合，及所述關鍵命令集合。

3.如權利要求2所述的P2P協議流量識別方法，其特征在于，步驟S1.1中，抓取方法為在虛擬機中通過防火墻、以及抓包工具，運行P2P協議軟件，抓取P2P協議純流量。

4.如權利要求2所述的P2P協議流量識別方法，其特征在于，所述五元組為：源IP、目的IP、源端口、目的端口、以及協議號。

5.如權利要求2所述的P2P協議流量識別方法，其特征在于，在步驟S1.3中，定義P2P協議消息為從一個P2P協議頭開始到下一個頭之前結束。

6.如權利要求2所述的P2P協議流量識別方法，其特征在于，步驟S1.4中，每個消息的中所包含的有效屬性包括：命令、頭長度、以及是否包含體。

7.如權利要求2所述的P2P協議流量識別方法，其特征在于，步驟S1.5中的相似度聚類為將有效屬性在設定的相似度閾值范圍內接近的消息判定為同一類消息。

8.一種P2P協議流量識別系統，其特征在于，該系統包括：

分析模塊，用于對P2P協議流量的初始握手交互過程進行分析，獲得代表選定的交互過程的狀態轉移集合，其中包括所述狀態轉移過程中的關鍵命令；

分流模塊，用于根據五元組將待識別的流量分成多條流；

第一識別模塊，用于按照P2P協議的消息重組的啟發性條件集合判斷待識別的流是否能夠進行P2P協議的消息重組；

第二識別模塊，用于檢查待識別的流的消息中是否包含所述關鍵命令；

第三識別模塊，用于判斷待識別的流的消息構成是否符合所述交互過程的狀態轉移集合中的項，若不符合，則判斷所述流為非P2P協議流量，否則，判定所述流為P2P協議流量；

其中，所述選定的交互過程為空閑狀態與數據傳輸狀態之間的交互過程；

所述P2P協議的消息重組的啟發性條件為：

a.P2P協議的頭沒有加密，體是經過加密的；

b.在P2P協議的頭的連接部分，有多個0x00內容的字節，或者連續兩個或三個0x00內容的字節；

c.P2P協議的頭以連續三個0x00字節結束，或者在連續兩個或三個0x00后有一段設定長度的內容之后結束。

9.如權利要求8所述的流量識別系統，其特征在于，所述分析模塊進一步包括：

抓取單元，用于抓取P2P協議純流量；

分流單元，用于對P2P協議純流量進行五元組分流；

消息定義單元，根據P2P協議的基本結構，定義P2P協議消息，得到所述消息重組的啟發性條件集合；

消息重組單元，用于將P2P協議流量中的每個流按照步驟S1.3中的定義及啟發性條件集合進行P2P協議的消息重組；

迭代聚類單元，用于按照每個消息的中所包含的有效屬性對消息進行相似度聚類，通過迭代聚類，獲得P2P協議所述選定的交互過程的狀態轉移集合，及所述關鍵命令集合。