[發(fā)明專利]一種VoIP網(wǎng)絡數(shù)據(jù)流的通用識別方法

有效

• 申請?zhí)枺?/td>: 201110353267.5
• 申請日: 2011-11-10
• 公開（公告）號: CN102340454B
• 公開（公告）日: 2017-10-31
• 發(fā)明（設計）人: 李常春;譚建明;黃鸝聲;王康年;楊琳;朱行濤;蔣邦持
• 申請（專利權）人: 中國人民解放軍重慶通信學院
• 主分類號: H04L12/70
• 分類號: H04L12/70;H04M7/00
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種VoIP網(wǎng)絡數(shù)據(jù)流通用識別方法，其特征在于，它由以下步驟實現(xiàn)：

第一步：捕獲網(wǎng)絡流量，對其中的UDP數(shù)據(jù)包進行分析，提取在監(jiān)控時間段內具有相同IP源地址、IP目的地址、源端口和目的端口的數(shù)據(jù)包，將符合這些條件的數(shù)據(jù)包列入待考察流量；

第二步：對捕獲到的數(shù)據(jù)包以網(wǎng)絡流為單位進行跟蹤和分析，該步驟對每個UDP數(shù)據(jù)包進行分析，獲取其如下信息：源IP地址、目的IP地址、源端口和目的端口，以及IP報文總長度、IP首部長度、UDP首部長度、接收到報文的時間，將所有源IP地址、目的IP地址、源端口和目的端口都相同的UDP數(shù)據(jù)包視為同一個網(wǎng)絡流進行處理，如果2個UDP數(shù)據(jù)包具有相同的源IP地址、目的IP地址、源端口和目的端口，則這2個數(shù)據(jù)包屬于同一網(wǎng)絡流，并定義該網(wǎng)絡流為FLOW；將同一網(wǎng)絡流中的數(shù)據(jù)包個數(shù)定義為N，將同一網(wǎng)絡流中的各個數(shù)據(jù)包按照捕獲的先后順序依次定義為P₁、P₂、...P_N，將這N個數(shù)據(jù)包的捕獲時刻依次定義為TS₁、TS₂、...TS_N，將這N個數(shù)據(jù)包的長度分別定義為L₁、L₂、...L_N；

第三步：對每個網(wǎng)絡流的數(shù)據(jù)包進行分析，得到勻速性特征參數(shù)SPEED和有效載荷長度固定性特征參數(shù)PAYLEN的數(shù)值；

特征參數(shù)SPEED和PAYLEN的分析方法和計算公式如下：

(1)流的勻速性特征參數(shù)SPEED數(shù)值

對于一個網(wǎng)絡流FLOW，定義任意兩個數(shù)據(jù)包P_i和P_i+1之間的時間間隔為D_i＝TS_i+1-TS_i，則數(shù)據(jù)包P₁、P₂、...P_N之間的時間間隔可分別定義為D₁、D₂、...D_N-1，將D₁、D₂、...D_N-1的平均值定義為D_avg，以毫秒(ms)為計量單位，定義振動區(qū)間RANGE＝{D_min，D_max)，其中D_min＝D_avg×0.8-30ms，D_max＝D_avg×1.2+30ms，然后對D₁、D₂、...D_N-1依次進行檢查，如果D_min＜D_i＜D_max，則D_i在振動區(qū)間RANGE內；將D₁、D₂、...D_N-1中所有在RANGE內的D_i進行統(tǒng)計計數(shù)，可獲得計數(shù)值M，即：在D₁、D₂、...D_N-1中存在M個成員，這M個成員均在振動區(qū)間RANGE內，則SPEED參數(shù)的計算方法為：

SPEED=M(N-1)×100]]>

(2)有效載荷長度固定性特征參數(shù)PAYLEN數(shù)值

為每個網(wǎng)絡流定義3個有效載荷長度基準值STD₁、STD₂和STD₃，以字節(jié)(Byte)為單位，初始值均為0；同時設置3個相應的計數(shù)器COUNT₁、COUNT₂和COUNT₃，分別記錄與上述3個基準值長度接近的數(shù)據(jù)包數(shù)量，初始值也均為0，根據(jù)基準值計算PAYLEN參數(shù)的算法過程為：

<1>從L₁，L₂，...L_N中依次取出下一個成員L_i；

<2>檢查基準值STD₁是否為0，如果為0，則STD₁＝L_i，COUNT₁＝1，回到第<1>步，否則進入第<3>步；

<3>如果STD₁＞0，則判斷L_i是否接近于基準值STD₁，如果接近，則COUNT₁＝COUNT₁+1，回到第<1>步；否則進入第<4>步；

<4>如果L_i與基準值STD₁不接近，則檢查基準值STD₂是否為0，如果為0，則STD₂＝L_i，COUNT₂＝1，回到第<1>步；否則進入第<5>步；

<5>如果STD₂＞0，則判斷L_i是否接近于基準值STD₂，如果接近，則COUNT₂＝COUNT₂+1，回到第<1>步；否則進入第<6>步；

<6>如果L_i與基準值STD₂不接近，則檢查基準值STD₃是否為0，如果為0，則STD₃＝L_i，COUNT₃＝1，回到第<1>步；否則進入第<7>步；

<7>如果STD₃＞0，則判斷L_i是否接近于基準值STD₃，如果接近，則COUNT₃＝COUNT₃+1，回到第<1>步；否則也進入第<1>步；

上述步驟中，判斷數(shù)據(jù)包P_i的有效載荷長度L_i是否接近于某個基準值STD₁、STD₂或STD₃的方法為：如果STD₁-10bytes＜L_i＜STD₁+10bytes，則L_i接近于基準值STD₁，反之，L_i與基準值STD₁不接近；判斷L_i是否接近于基準值STD₂或STD₃的方法與上述方法一致；

經(jīng)過以上步驟，確定三個基準值STD₁、STD₂和STD₃，并且對長度接近上述三個基準值的數(shù)據(jù)包數(shù)量進行統(tǒng)計，分別得到了COUNT₁、COUNT₂和COUNT₃，當N個數(shù)據(jù)包的長度均被分析完成后，PAYLEN參數(shù)通過公式進行計算；

第四步：進行VoIP數(shù)據(jù)流判定；

針對每個網(wǎng)絡流，均獲得以上2個特征參數(shù)SPEED和PAYLEN的值，如果上述兩個特征參數(shù)值均大于85，且SPEED和PAYLEN的值相加的總和大于180，則判定該網(wǎng)絡流為VoIP數(shù)據(jù)流。