[發明專利]一種基于自主學習的對等網絡流量識別方法

有效

• 申請號: 201310262848.7
• 申請日: 2013-06-28
• 公開（公告）號: CN103312565A
• 公開（公告）日: 2013-09-18
• 發明（設計）人: 肖甫;閆海軍;王汝傳;韓志杰;王少輝
• 申請（專利權）人: 南京郵電大學
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/08
• 代理公司: 江蘇愛信律師事務所 32241
• 代理人: 唐小紅

1.一種基于自主學習的對等網絡流量識別方法，其特征在于該方法所包含的步驟為：

步驟1).當流量經過裝有該系統的主機時,根據Linux的Netfilter架構，利用HOOK函數對數據包進行抓取；

步驟2).對抓取的數據包進行相應的統計；分析數據包的IP層，判斷數據包是TCP報文還是UDP報文，若是UDP報文則根據特征庫進行UDP報文的DPI檢測,若是P2P報文轉到步驟4），否則丟棄；

步驟3).對識別出的TCP報文進行端口檢測，若其端口號在0-1023之間，說明其不是P2P報文，直接結束；對于TCP數據包，根據特征庫進行TCP報文的DPI檢測，若不是P2P報文直接丟棄；

步驟4).將已識別出的P2P報文中的相應的五元組即：源IP地址，源端口，目的IP地址，目的端口，和傳輸層協議號裝入到IP信息列表中；

步驟5).首先通過非P2P和P2P的樣本對基于機器學習的DFI模塊進行訓練，建立關于會話流的數據包長度規律、連接速率、傳輸字節量、數據包間的時間間隔等信息的流量模型；

步驟6).?將DPI檢測未識別出的數據包報文發送給DFI檢測模塊，進行檢測，與流量模型對比，判斷是否是P2P流量，若檢測結果是P2P協議的數據包，則進行步驟7），否則直接結束檢測；

步驟7).將DFI識別出的P2P協議報文中的IP與DPI識別出的IP列表進行對照驗證；

步驟8).若IP列表中含有此IP信息，則驗證成功，說明DFI成功檢測到進行加密的P2P報文，否則結束檢測；

步驟9).對于成功檢測的加密的P2P流量，提取報文中的流量特征信息：源IP地址，源端口，目的IP地址，目的端口，和傳輸層協議號，利用該流量特征信息對DFI檢測模塊再進行一次訓練，提高流量模型的精確性。