[發明專利]應用識別方法、裝置及存儲介質

在審

• 申請號: 201910853338.4
• 申請日: 2019-09-10
• 公開（公告）號: CN112564991A
• 公開（公告）日: 2021-03-26
• 發明（設計）人: 王璐;羅奇;華卓雋;王春桃;黃林杰
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L12/741;H04L12/851
• 代理公司: 北京三高永信知識產權代理有限責任公司 11138
• 代理人: 顏晶

1.一種應用識別方法，其特征在于，所述方法包括：

對多條數據流分別提取特征，得到流表和域名表，所述流表包括多個流表項，所述多個流表中的每個流表項包括五元組和流起始時間，所述域名表包括多個域名表項，所述多個域名表項中的每個域名表項包括源互聯網協議IP地址、目的域名、目的IP地址和域名類型；

根據所述流表進行流行為特征的分析，得到多個服務，每個服務由一個IP地址和一個端口標識構成；

根據所述流表和所述域名表，對所述多個服務進行聚類，得到多個應用類型；

確定所述多個應用類型中每個應用類型對應的標簽，所述標簽用于識別數據流所屬的應用。

2.如權利要求1所述的方法，其特征在于，所述根據所述流表進行流行為特征的分析，得到多個服務，包括：

根據所述流表確定具有環路的端口，得到環路端口集；

基于所述環路端口集，根據所述流表確定單客戶端訪問服務集和第一多客戶端訪問服務集，所述單客戶端訪問服務集中的每個服務被單客戶端訪問、服務的IP地址和端口屬于同一端、且端口不屬于所述環路端口集，所述第一多客戶端訪問服務集中的每個服務被多客戶端訪問、服務的IP地址和端口屬于同一端、且端口不屬于所述環路端口集；

基于所述環路端口集和所述第一多客戶端訪問服務集，根據所述流表確定第二多客戶端訪問服務集，所述第二多客戶端訪問服務集中的每個服務被多客戶端訪問、服務的IP地址和端口屬于不同端、且端口不屬于所述環路端口集；

將所述第一多客戶端訪問服務集、所述第二多客戶端訪問服務集和所述單客戶端訪問服務集進行合并，得到所述多個服務。

3.如權利要求2所述的方法，其特征在于，所述根據所述流表確定具有環路的端口，包括：

對于所述流表中的每個端口，根據所述流表獲取所述端口的同端IP地址集合和對端IP地址集合；

確定所述端口的同端IP地址集合和對端IP地址集合的交集，得到多個IP地址；

根據所述流表，確定經由所述端口的所有數據流中所述多個IP地址對應的數據流的總流數，將確定的總流數作為第一總流數；

如果所述第一總流數大于第一閾值，則確定經由所述端口的所有數據流的總流數，將確定的總流數作為第二總流數；

如果所述第一總流數與所述第二總流數之間的比值大于第二閾值，則確定所述端口為具有環路的端口。

4.如權利要求2所述的方法，其特征在于，所述基于所述環路端口集，根據所述流表確定單客戶端訪問服務集和第一多客戶端訪問服務集，包括：

根據所述流表確定被單客戶端訪問且IP地址和端口屬于同一端的服務，以及被多客戶端訪問且IP地址和端口屬于同一端的服務，得到單客戶端訪問潛在服務集和第一多客戶端訪問潛在服務集；

從所述單客戶端訪問潛在服務集中過濾所述環路端口集中的端口所在的服務，得到所述單客戶端訪問服務集，從所述第一多客戶端訪問潛在服務集中過濾所述環路端口集中的端口所在的服務，得到所述第一多客戶端訪問服務集。

5.如權利要求4所述的方法，其特征在于，所述根據所述流表確定被單客戶端訪問且IP地址和端口屬于同一端的服務，以及被多客戶端訪問且IP地址和端口屬于同一端的服務，包括：

根據所述流表確定多個目標服務，每個目標服務對應一個流表項中屬于同一端的IP地址和端口，且每個目標服務對應多條數據流；

對于所述多個目標服務中的每個目標服務，確定所述目標服務的端口是否為隨機產生的；

如果所述目標服務的端口是隨機產生的，則確定所述目標服務的IP地址對應的同側端口數量是否大于第三閾值；

如果所述目標服務的IP地址對應的同側端口數量大于所述第三閾值，則確定所述目標服務對應的對端數量是否大于第四閾值；

如果所述目標服務對應的對端數量大于所述第四閾值，則確定所述目標服務為被多客戶端訪問且IP地址和端口屬于同一端的服務；

如果所述目標服務對應的對端數量不大于所述第四閾值，則確定所述目標服務的對端IP地址是否唯一；

如果所述目標服務的對端IP地址唯一，則確定所述目標服務為被單客戶端訪問且IP地址和端口屬于同一端的服務。