[發(fā)明專利]一種基于openflow的流深度關(guān)聯(lián)分析方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201510301977.1
• 申請日: 2015-06-03
• 公開（公告）號: CN105007175A
• 公開（公告）日: 2015-10-28
• 發(fā)明（設(shè)計）人: 張?zhí)禊i;張志明;駱怡航
• 申請（專利權(quán)）人: 北京云杉世紀(jì)網(wǎng)絡(luò)科技有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L12/801;H04L29/08;H04L29/12
• 代理公司: 北京路浩知識產(chǎn)權(quán)代理有限公司 11002
• 代理人: 李相雨

1.一種基于openflow的流深度關(guān)聯(lián)分析方法，其特征在于，該方法包括：

openflow流采集器將接收的數(shù)據(jù)包按照流進(jìn)行記錄，對所述流信息進(jìn)行壓縮，并將壓縮后的流信息發(fā)送至流分析控制器；

流分析控制器根據(jù)連接狀態(tài)，對接收到的流信息進(jìn)行整合；

流分析控制器從多個維度對整合后的流信息進(jìn)行分析，得到分析結(jié)果；

將所述分析結(jié)果與預(yù)設(shè)閾值進(jìn)行比較，若所述分析結(jié)果超過預(yù)設(shè)閾值，則發(fā)出警告，并生成報表。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述openflow流采集器將接收的數(shù)據(jù)包按照流進(jìn)行記錄，包括：

openflow流采集器將接收的數(shù)據(jù)包按照流進(jìn)行記錄，并根據(jù)流的協(xié)議在所述流中加入不同的信息；

其中，所述信息包括：時間、包數(shù)量、字節(jié)數(shù)、持續(xù)時間、物理服務(wù)器IP地址、源MAC地址、目的MAC地址、源IP地址、目的IP地址、源端口、目的端口、協(xié)議類型、流的方向、VLAN?Tag、TCP?Flags和Ethernet?Type。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述流分析控制器根據(jù)連接狀態(tài)，對接收到的流信息進(jìn)行整合，包括：

流分析控制器將同一個流的數(shù)據(jù)進(jìn)行合并，并根據(jù)連接狀態(tài)，將同一連接的不同流進(jìn)行合并。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述流分析控制器從多個維度對整合后的流信息進(jìn)行分析，得到分析結(jié)果，包括：

流分析控制器讀取租戶信息及整合后的流信息，根據(jù)MAC地址將流映射到租戶，并針對不同的應(yīng)用進(jìn)行分析；

流分析控制器從包括資源、時間、端口及協(xié)議的多個維度對流信息進(jìn)行統(tǒng)計，得到包括預(yù)設(shè)時間段內(nèi)TCP半開連接的數(shù)量，同一IP地址所連接的IP地址的數(shù)量，同一IP地址所連接的端口的數(shù)量，同一MAC地址所發(fā)送的ARP包的數(shù)量，以及同一虛擬機(jī)所發(fā)送和接收的字節(jié)數(shù)的分析結(jié)果。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述流分析控制器從多個維度對整合后的流信息進(jìn)行分析，得到分析結(jié)果的步驟后，所述方法還包括：

將所述分析結(jié)果保存至數(shù)據(jù)庫中；

從所述數(shù)據(jù)庫中讀取所述分析結(jié)果，并將所述分析結(jié)果通過呈現(xiàn)界面展現(xiàn)出來。

6.一種基于openflow的流深度關(guān)聯(lián)分析系統(tǒng)，其特征在于，該系統(tǒng)包括：流分析控制器及至少一個openflow流采集器；

openflow流采集器，與所述流分析控制器連接，用于將接收的數(shù)據(jù)包按照流進(jìn)行記錄，對所述流信息進(jìn)行壓縮，并將壓縮后的流信息發(fā)送至流分析控制器；

流分析控制器，用于根據(jù)連接狀態(tài)，對接收到的流信息進(jìn)行整合；從多個維度對整合后的流信息進(jìn)行分析，得到分析結(jié)果；將所述分析結(jié)果與預(yù)設(shè)閾值進(jìn)行比較，若所述分析結(jié)果超過預(yù)設(shè)閾值，則發(fā)出警告，并生成報表。

7.根據(jù)權(quán)利要求6所述的系統(tǒng)，其特征在于，所述openflow流采集器包括內(nèi)核模塊及用戶空間模塊，其中：

內(nèi)核模塊，用于將接收的數(shù)據(jù)包按照流進(jìn)行記錄并根據(jù)流的協(xié)議在所述流中加入不同的信息；

其中，所述信息包括：時間、包數(shù)量、字節(jié)數(shù)、持續(xù)時間、物理服務(wù)器IP地址、源MAC地址、目的MAC地址、源IP地址、目的IP地址、源端口、目的端口、協(xié)議類型、流的方向、VLAN?Tag、TCP?Flags和Ethernet?Type；

用戶空間模塊，用于將內(nèi)核模塊中的流復(fù)制到用戶空間，并對所述流進(jìn)行壓縮。

8.根據(jù)權(quán)利要求6所述的系統(tǒng)，其特征在于，所述流分析控制器包括流采集及控制模塊，用于：

流分析控制器將同一個流的數(shù)據(jù)進(jìn)行合并，并根據(jù)連接狀態(tài)，將同一連接的不同流進(jìn)行合并。

9.根據(jù)權(quán)利要求6所述的系統(tǒng)，其特征在于，所述流分析控制器還包括應(yīng)用分析模塊，用于：

流分析控制器讀取租戶信息及整合后的流信息，根據(jù)MAC地址將流映射到租戶，并針對不同的應(yīng)用進(jìn)行分析；

流分析控制器從包括資源、時間、端口及協(xié)議的多個維度對流信息進(jìn)行統(tǒng)計，得到包括預(yù)設(shè)時間段內(nèi)TCP半開連接的數(shù)量，同一IP地址所連接的IP地址的數(shù)量，同一IP地址所連接的端口的數(shù)量，同一MAC地址所發(fā)送的ARP包的數(shù)量，以及同一虛擬機(jī)所發(fā)送和接收的字節(jié)數(shù)的分析結(jié)果。

10.根據(jù)權(quán)利要求6所述的系統(tǒng)，其特征在于，所述流分析控制器還包括呈現(xiàn)接口模塊，用于：

從數(shù)據(jù)庫中讀取分析結(jié)果，并將所述分析結(jié)果通過呈現(xiàn)界面展現(xiàn)出來。