[發明專利]一種基于協議數據深層檢測的流量識別方法

有效

• 申請號: 202011094560.X
• 申請日: 2020-10-14
• 公開（公告）號: CN112235160B
• 公開（公告）日: 2022-02-01
• 發明（設計）人: 黃建福;劉家祥;石小川;肖清林;張晶;陳瑜靚;趙昆楊;黃靚;陳鷺菲;王榕騰;杜鑫;楊國林;劉健養
• 申請（專利權）人: 福建奇點時空數字科技有限公司
• 主分類號: H04L69/329
• 分類號: H04L69/329;H04L69/22;H04L43/04;H04L43/0876
• 代理公司: 北京化育知識產權代理有限公司 11833
• 代理人: 尹均利

1.一種基于協議數據深層檢測的流量識別方法，其特征在于，包括以下具體步驟：

S1、獲取網絡流量，并得到網絡流量數據包；

S2、將網絡流量數據包信息格式和內容與協議數據庫中協議數據的格式特征、內容特征進行比對分析，找到信息格式和內容特征一致的協議特征，并通過協議特征確定數據庫訪問協議，同時利用數據庫訪問協議對獲取到網絡流量數據中的應用層數據包進行解析，生成相應的連接跟蹤表以依次獲取網絡流量數據包中第一包的載荷特征、第二包的載荷特征......第n包的載荷特征，其中，n≥1；

S3、將網絡層數據解析后的網絡流量數據包復制到協議數據分析模塊中；

S4、協議數據分析模塊對用戶終端內各個應用程序產生的網絡流量對應的特征值以及預先定義在各個應用程序內產生的網絡流量一一對應的進行識別標識：

對網絡流量數據包中的第一包的載荷特征進行識別，若第一包的載荷特征識別成功，則將網絡流量數據包對應的識別標識記錄在網絡流量數據包對應的第一包的載荷特征內,隨后退出；

若第一包的載荷特征識別不成功，則對網絡流量數據包中的第二包的載荷特征進行識別，則將網絡流量數據包對應的識別標識記錄在網絡流量數據包對應的第二包的載荷特征內,隨后退出；

以此類推，若第n-1包的載荷特征識別不成功，則對網絡流量數據包中的第n包的載荷特征進行識別，則將網絡流量數據包對應的識別標識記錄在網絡流量數據包對應的第n包的載荷特征內,隨后退出。

2.根據權利要求1所述的一種基于協議數據深層檢測的流量識別方法，其特征在于，S4中若第n包的載荷特征識別不成功，則將網絡流量數據包記錄在異常流量數據隊列中。

3.根據權利要求1所述的一種基于協議數據深層檢測的流量識別方法，其特征在于，S1中在獲取網絡流量后，還對網絡流量進行異常檢查和報文重組。

4.根據權利要求3所述的一種基于協議數據深層檢測的流量識別方法，其特征在于，對網絡流量進行異常檢查和報文重組方法為：檢測采集的網絡流量中數據包分片的片偏移和數據單元大小信息，判斷接收到的該數據包是否存在異常，如存在異常則將網絡流量記錄在異常流量數據隊列中。

5.根據權利要求1所述的一種基于協議數據深層檢測的流量識別方法，其特征在于，S4中協議數據分析模塊對各個應用程序產生的網絡流量對應的識別標識進行識別的方法包括以下步驟：

S41、協議數據分析模塊提取網絡流量數據包的特征值和連接跟蹤表；

S42、協議數據分析模塊調用識別引擎根據特征值于預先設置的識別特征匹配庫中進行檢索。

6.根據權利要求5所述的一種基于協議數據深層檢測的流量識別方法，其特征在于，識別特征匹配庫進行更新的過程，具體包括：

S61、實時檢測軟件定義網絡中的各個應用程序的更新信息，并將檢測到的更新信息下發至協議數據分析模塊；

S62、協議數據分析模塊根據更新信息對識別特征匹配庫進行更新。

7.根據權利要求5所述的一種基于協議數據深層檢測的流量識別方法，其特征在于，識別特征匹配庫采用粗匹配的匹配方式或高精度的匹配方式。

8.根據權利要求1所述的一種基于協議數據深層檢測的流量識別方法，其特征在于，基于協議數據深層檢測的流量識別系統包括

獲取模塊，用于獲取網絡流量，并得到網絡流量數據包；

對比分析模塊，用于將網絡流量數據包信息格式和內容與協議數據庫中協議數據的格式特征、內容特征進行比對分析，找到信息格式和內容特征一致的協議特征，并通過協議特征確定數據庫訪問協議，同時利用數據庫訪問協議對獲取到網絡流量數據中的應用層數據包進行解析；

協議數據分析模塊，用于依次對網絡流量數據包中各包的載荷特征進行識別。