[發明專利]一種基于動態數據包采樣的網絡流量識別系統和方法

有效

• 申請號: 201510725503.X
• 申請日: 2015-10-29
• 公開（公告）號: CN105429950B
• 公開（公告）日: 2019-04-23
• 發明（設計）人: 王嘯;王大偉;賀龍濤;曹首峰;劉培朋;趙詠;茍高鵬
• 申請（專利權）人: 國家計算機網絡與信息安全管理中心
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京安博達知識產權代理有限公司 11271
• 代理人: 徐國文

1.一種基于動態數據包采樣的網絡流量識別系統，其特征在于：所述系統包括網絡流量識別服務器、數據包分析模塊和行為分析模塊；所述網絡流量識別服務器、數據包分析模塊和行為分析模塊依次單向連接；

所述網絡流量識別服務器獲取網絡流量，并從獲取的網絡流量中提取數據包首包的載荷特征，網絡流量識別服務器根據提取的載荷特征識別網絡流量；如果網絡流量識別服務器能夠識別網絡流量，則不再進行網絡流量的獲取，否則采用數據包分析模塊進行網絡流量的識別；

所述數據包分析模塊對首包之后的數據包進行均勻采樣，根據采樣的數據包的載荷特征識別網絡流量，如果數據包采樣數超過采樣閾值還未識別出網絡流量，則采用行為分析模塊進行網絡流量的識別；

所述行為分析模塊對隨后的數據包采用隨機遞增的間隔抽樣策略進行隨機抽樣，提取該網絡流量的行為特征，并且將網絡流量的行為特征與數據包的載荷特征相融合，進行網絡流量的識別。

2.根據權利要求1所述的基于動態數據包采樣的網絡流量識別系統，其特征在于：所述網絡流量識別服務器根據提取的載荷特征識別網絡流量，包括：

所述網絡流量識別服務器比較數據包首包載荷特征和網絡流量識別服務器中網絡流量行為特征之間的相似度，最相似的網絡流量類型即為網絡流量識別服務器識別出的網絡流量類型。

3.根據權利要求1所述的基于動態數據包采樣的網絡流量識別系統，其特征在于：所述數據包分析模塊根據采樣的數據包的載荷特征識別網絡流量，包括：

所述數據包分析模塊首先比較采樣的第一個數據包與分類器中網絡流量，確定第一個數據包載荷特征與網絡流量行為特征之間的相似度，然后對確定的相似度進行歸一化處理；所述數據包分析模塊比較采樣的第二個數據包與分類器中網絡流量，確定第二個數據包載荷特征與網絡流量行為特征之間的相似度，對確定的相似度進行歸一化處理；經過歸一化處理后的第一個數據包載荷特征與網絡流量行為特征之間的相似度和第二個數據包載荷特征與網絡流量行為特征之間的相似度相乘，之后再次歸一化處理，依次進行同樣的操作，直到所有數據包采樣運行結束；最后，如果當前均勻采樣的數據包載荷特征與網絡流量行為特征之間的相似度大于90％，則認為當前網絡流量的類型為數據包分析模塊識別出的網絡流量類型。

4.根據權利要求1所述的基于動態數據包采樣的網絡流量識別系統，其特征在于：所述行為分析模塊識別網絡流量包括：

將數據包首包載荷特征與網絡流量行為特征之間的相似度和行為分析模塊采樣得到的數據包載荷特征與網絡流量行為特征之間的相似度進行累加，累加之后的相似度大于90％，則認為當前網絡流量的類型為行為分析模塊識別出的網絡流量類型。

5.一種基于動態數據包采樣的網絡流量識別方法，其特征在于：所述方法包括以下步驟：

步驟1：通過網絡流量識別服務器獲取網絡流量，從獲取的網絡流量中提取數據包首包的載荷特征，如果網絡流量識別服務器能夠識別網絡流量，則不再進行網絡流量的獲取，否則執行步驟2；

步驟2：通過數據包分析模塊對首包之后的數據包進行均勻采樣，均勻采樣的參數包括采樣數據包間隔、總采樣數據包數m和采樣數據包范圍，且在第2個數據包和第k個數據包之間進行均勻采樣，k<m；根據采樣的數據包的載荷特征識別網絡流量，當其中某個數據包已經識別出網絡流量，則終止首包之后數據包的均勻采樣，如果數據包采樣數超過采樣閾值還未識別出網絡流量，則執行步驟3；

步驟3：通過行為分析模塊對第k個數據包之后的數據包進行隨機抽樣，采用隨機遞增的間隔抽樣策略完成隨機抽樣，提取該網絡流量的行為特征，并且將網絡流量的行為特征與數據包的載荷特征相融合，進行網絡流量的識別。