[发明专利]流量检测方法和设备

权利要求书

1.一种流量检测方法，其特征在于，包括：

对所有的应用特征信息对应的应用协议进行流量检测；

当满足应用协议检测切换条件时，对预先生成的排名应用特征库中的应 用特征信息所对应的应用协议进行流量检测；

所述预先生成的排名应用特征库中的应用特征信息为在有效采集时长 内，识别流数满足预设条件的应用协议所对应的应用特征信息。

2.根据权利要求1所述的流量检测方法，其特征在于，所述识别流数 满足预设条件的应用协议所对应的应用特征信息，包括：

在设置的采集时间段内，当持续采集时间大于或等于设置的所述有效采 集时长时，对采集到的各种应用协议的识别流数按照从大到小的顺序进行排 名；满足排名在设置的选择名次之前、且识别流数大于设置的有效识别流数 的应用协议所对应的应用特征信息。

3.根据权利要求1所述的流量检测方法，其特征在于，所述当满足应 用协议检测切换条件时，对预先生成的排名应用特征库中的应用特征信息所 对应的应用协议进行流量检测，包括：

当检测到的应用协议的总流量大于设置的流量切换阈值，且持续的时间 大于设定的保持时间时，切换到预先生成的排名应用特征库，对预先生成的 排名应用特征库中的应用特征信息所对应的应用协议进行流量检测；或

当检测到的应用协议的包速率大于设置的包速率切换阈值，且持续的时 间大于设定的保持时间时，切换到预先生成的排名应用特征库，对预先生成 的排名应用特征库中的应用特征信息所对应的应用协议进行流量检测。

4.根据权利要求1-3任一所述的流量检测方法，其特征在于，还包括： 采集时间段开始时，重新采集并生成所述排名应用特征库。

5.一种流量检测设备，其特征在于，包括：

检测模块，用于对所有的应用特征信息对应的应用协议进行流量检测；

切换模块，用于当满足应用协议检测切换条件时，对预先生成的排名应 用特征库中的应用特征信息所对应的应用协议进行流量检测；所述预先生成 的排名应用特征库中的应用特征信息为在有效采集时长内，识别流数满足预 设条件的应用协议所对应的应用特征信息。

6.根据权利要求5所述的流量检测设备，其特征在于，所述切换模块 包括：

第一监测子模块，用于监测应用协议的总流量是否大于设置的流量切换 阈值，且持续的时间是否大于设定的保持时间；

第一切换子模块，用于当监测到的应用协议的总流量大于设置的流量切 换阈值，且持续的时间大于设定的保持时间时，切换到预先生成的排名应用 特征库，对预先生成的排名应用特征库中的应用特征信息所对应的应用协议 进行流量检测；

或者包括：

第二监测子模块，用于监测应用协议的包速率是否大于设置的包速率切 换阈值，且持续的时间是否大于设定的保持时间；

第二切换子模块，用于当监测到的应用协议的包速率大于设置的包速率 切换阈值，且持续的时间大于设定的保持时间时，切换到预先生成的排名应 用特征库，对预先生成的排名应用特征库中的应用特征信息所对应的应用协 议进行流量检测。

7.根据权利要求5或6所述的流量检测设备，其特征在于，还包括：

生成模块，用于预先生成的排名应用特征库，所述排名应用特征库中的 应用特征信息为在有效采集时长内，识别流数满足预设条件的应用协议所对 应的应用特征信息。

8.根据权利要求7所述的流量检测设备，其特征在于，所述生成模块 包括：

采集子模块，用于在设置的采集时间段内，对所有应用协议的识别流数 进行采集；

排名子模块，用于当持续采集时间大于或等于设置的所述有效采集时长 时，对采集到的各种应用协议的识别流数按照从大到小的顺序进行排名；

生成子模块，用于根据满足排名在设置的选择名次之前、且识别流数大 于设置的有效识别流数的应用协议所对应的应用特征信息，生成排名应用特 征库。

9.根据权利要求7所述的流量检测设备，其特征在于，所述生成模块 还包括：

更新子模块，用于采集时间段开始时，重新采集并生成所述排名应用特 征库。