[發明專利]網絡即時通信工具流量識別系統及識別方法

有效

• 申請號: 201210564693.8
• 申請日: 2012-12-21
• 公開（公告）號: CN103036773A
• 公開（公告）日: 2013-04-10
• 發明（設計）人: 薛一波;袁振龍
• 申請（專利權）人: 清華大學
• 主分類號: H04L12/58
• 分類號: H04L12/58;H04L12/24
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王瑩

1.一種網絡即時通信工具流量識別系統，其特征在于，包括：流量識別預處理模塊、UDP網絡流識別處理模塊、TCP網絡流識別處理模塊和網絡流數據統計模塊，其中：

流量識別預處理模塊，用于加載正則DFA算法以及將網絡即時通信工具的強特征序列轉換為正則表達式的形式；

UDP網絡流識別處理模塊，根據正則DFA算法判斷出網絡即時通信工具的UDP網絡流，并寫入網絡即時通信工具UDP的節點信息表；

TCP網絡流識別處理模塊，根據所述網絡即時通信工具UDP的節點信息表，判斷出網絡即時通信工具的TCP網絡流，并寫入網絡即時通信工具TCP的節點信息表；

網絡流數據統計模塊，用于統計網絡即時通信工具UDP的節點信息表和網絡即時通信工具TCP的節點信息表中流量數據，并顯示。

2.如權利要求1所述的系統，其特征在于，所述網絡流量數據統計模塊統計出的流量數據包括：網絡流的大小和數據包的數目。

3.一種網絡即時通信工具流量識別方法，其特征在于，包括如下步驟：

S1：流量識別預處理模塊對網絡流量處理接口系統加載，用于通過網絡流量處理接口建立TCP和UDP流量表；

S2：流量識別預處理模塊對加載正則DFA算法以及將網絡即時通信工具的強特征序列轉換為正則表達式的形式；

S3：UDP網絡流識別處理模塊根據五元組確定網絡流，對每條所述網絡流中的每個UDP數據包進行解析，并判斷出所述UDP數據包所在的網絡流為網絡即時通信工具的網絡流；

S4：UDP網絡流識別處理模塊根據S2中的正則DFA算法對S3中的網絡即時通信工具網絡流進行匹配判斷出S3中的五元組網絡流是否為網絡即時通信工具網絡流，如果是則寫入網絡即時通信工具UDP的節點信息表；

S5：TCP網絡流識別處理模塊根據TCP服務器列表判斷出TCP網絡流是否為網絡即時通信工具的TCP網絡流，如果是則進入S6；

S6：TCP網絡流識別處理模塊根據網絡即時通信工具UDP的節點信息表，判斷S5中的網絡即時通信工具的TCP網絡流是否為網絡即時通信工具的網絡流，如果是則寫入網絡即時通信工具TCP的節點信息表；

S7：根據S4和S6得到的網絡即時通信工具UDP的節點信息表和網絡即時通信工具TCP的節點信息表進行統計，統計出流量數據并顯示。

4.如權利要求3所述的方法，其特征在于，S3具體包括：通過判斷UDP數據包的純載荷長度是否達到指定長度3，如果大于3個字節，則判斷此UDP數據包所在的網絡流為網絡即時通信工具的網絡流。

5.如權利要求3所述的方法，其特征在于，S4具體包括：提取S2中正則加載的強特征序列轉換為的正則表達式的第3個字節位置的字節值，將該字節值帶入正則DFA算法進行匹配搜索，如果匹配成功，則證明五元組網絡流是網絡即時通信工具網絡流，并寫入網絡即時通信工具UDP的節點信息表。

6.如權利要求5所述的方法，其特征在于，S4中的匹配搜索步驟如下：

S41：如果屬于五元組網絡流的首個數據包，則初始化此網絡流的DFA狀態值為0，此狀態值代表正則有限狀態機中的狀態號，否則讀取已保存的此網絡流的DFA狀態值；

S42：提取UDP數據包載荷中指定位置的字節值，將此字節值與所在網絡流的DFA狀態值作為形參共同傳入DFA狀態機進行狀態轉換，其中DFA狀態值代表DFA狀態機的指定狀態，字節值代表此指定狀態要輸入的數據，通過這種狀態轉換，得到此網絡流的新的狀態值；

S43：判斷此網絡流新的狀態值是否屬于匹配成功狀態，若是則返回匹配成功，若不是則返回新的狀態值。

7.如權利要求3所述的方法，其特征在于，S5具體包括：

S51：解析TCP網絡流中的IP數據包，提取其IP源地址和目的地址；

S52：根據TCP服務器IP列表判斷IP源和目的地址是否存在網絡即時通信工具通信交互服務器，如果存在，則此網絡流為網絡即時通信工具的TCP網絡流，否則執行S53；

S53：進一步通過機器學習的方法判斷TCP網絡流是否屬于網絡即時通信工具的TCP網絡流。