[發明專利]應用識別方法和裝置

無效

• 申請號: 201210151384.8
• 申請日: 2012-05-16
• 公開（公告）號: CN102710504A
• 公開（公告）日: 2012-10-03
• 發明（設計）人: 顧子強
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L12/56
• 分類號: H04L12/56;H04L29/12
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種應用識別方法，其特征在于，包括：

對未知網絡流量中的域名服務DNS請求報文和對應的DNS應答報文進行DNS解碼，獲得預定WEB2.0站點域名對應的IP地址；

從所述未知網絡流量分流出源地址或目的地址為所述IP地址的網絡流量；

將分流出的網絡流量輸入第一狀態機進行特征匹配，所述第一狀態機是預先對WEB2.0應用的特征進行編譯生成的；

輸出第一狀態機的匹配結果，所述匹配結果包括WEB2.0應用的標識，所述標識是與所述分流出的網絡流量的特征對應的WEB2.0應用的標識。

2.如權利要求1所述的方法，其特征在于，所述對未知網絡流量中的DNS請求報文和對應的DNS應答報文進行DNS解碼，獲得WEB2.0站點域名對應的IP地址，包括：

根據DNS報文的格式特征，從未知網絡流量中獲得DNS請求報文和對應的DNS應答報文；

將DNS請求報文載荷中攜帶的站點域名與預定WEB2.0站點域名集合中的各WEB2.0站點域名進行比較，若比較結果一致，則從對應的DNS應答報文中提取與所述DNS請求報文攜帶的站點域名對應的站點IP地址；

記錄提取的所述站點IP地址。

3.如權利要求2所述的方法，其特征在于，所述格式特征包括：

目的端口為53的用戶數據報UDP協議報文為DNS請求報文，源端口為53的UDP協議報文為DNS響應報文。

4.如權利要求1至3任一所述的方法，其特征在于，所述將分流出的網絡流量輸入第一狀態機進行特征匹配之前，還包括：

對WEB2.0應用的特征進行編譯，生成所述第一狀態機；

所述對WEB2.0應用的特征進行編譯，生成第一狀態機，包括：

對所述WEB2.0應用的特征進行分解；

設置至少一個狀態節點，順序地將分解后的部分特征作為狀態節點之間跳轉函數的輸入，從而構建出有向圖形，所述狀態節點中包含終態節點和非終態節點，所述終態節點是指將從初始狀態節點跳轉至該節點的路徑上所有跳轉函數的輸入進行順序拼接，拼接結果與一個WEB2.0的應用特征一致的節點；每個終態節點與輸入拼接結果一致的WEB2.0的應用特征相對應；

所述將分流出的網絡流量輸入第一狀態機進行特征匹配，包括：

提取單個報文的有效載荷、或由多個報文重組生成的數據流的有效載荷，從所述有向圖的初始狀態節點開始，將分解后的有效載荷逐次作為跳轉函數的輸入，在所述有向圖形中進行跳轉，若到達終態節點，則輸出該終態節點對應的WEB2.0的應用特征的標識。

5.如權利要求1至3任一所述的方法，其特征在于，所述從所述未知網絡流量分流出源地址或目的地址為所述IP地址的網絡流量后，還包括：

將所述未知網絡流量中分流出源地址或目的地址為所述IP地址的網絡流量后的剩余網絡流量，輸入第二狀態機進行特征匹配，所述第二狀態機是預先對除WEB2.0應用的特征之外的其他特征進行編譯生成的；

輸出第二狀態機的匹配結果，所述匹配結果包括與所述剩余網絡流量的特征對應的其他應用的標識，所述其他應用為除WEB2.0之外的應用。

6.一種應用識別裝置，其特征在于，包括：

DNS解碼器，用于對未知網絡流量中的DNS請求報文和對應的DNS應答報文進行DNS解碼，獲得WEB2.0站點域名對應的IP地址；

分流器，用于從所述未知網絡流量分流出源地址或目的地址為所述IP地址的網絡流量；

所述分流器還用于將分流出的網絡流量輸入第一狀態機進行特征匹配，所述第一狀態機是預先對WEB2.0應用的特征進行編譯生成的；

所述第一狀態機在特征匹配完成后，輸出匹配結果，所述匹配結果包括WEB2.0應用的標識，所述標識是與所述分流出的網絡流量的特征對應的WEB2.0應用的標識。