[发明专利]一种未知流量过滤方法和一种带宽管理设备

说明书

技术领域

本发明涉及网络通信技术领域，尤指一种未知流量过滤方法和一种带宽 管理设备。

背景技术

带宽管理设备使用多种模型和方法识别网络应用流量并进行管理，例 如，IP/端口识别方法、深度包检测(DPI，Deep Packet Inspection)识别方 法以及其他的模型和方法。其中，IP/端口识别法根据IP或端口特征识别网 络流量，在应用过程中需要不断添加被管理的IP或端口；DPI识别法根据 数据流的特征字符串识别网络流量，在应用中需要不断添加新的网络应用流 量对应的特征字符串。

现有的带宽管理设备大部分采用“流量识别引擎+特征库”的架构，其 中流量识别引擎是一套较为稳定的流量识别系统，特征库随着可识别流量的 增加而不断更新，特征库的更新不影响识别流量识别引擎的稳定性。

随着网络应用软件和协议的发展，因特网(Internet)上不断出现新的 网络应用流量，带宽管理设备厂商需要不断跟踪新的网络应用流量，并在带 宽管理设备中支持该新流量的识别，因此跟踪和分析的工作量非常大。如何 高效地识别未知流量，降低未知流量比例就成了带宽管理设备厂商面临的一 个现实问题。

目前，未知流量的识别主要包括以下几种方式：

1、自动化识别未知流量：带宽管理设备对于经过的未知流量自动保存 下来，并根据某种算法查找未知流量数据流中的存在的共同特征，并将其添 加到特征库中。

但是在用户网络中的带宽管理设备的流量一般很大，实时保存未知流量 对设备的性能有很高要求。且由于输入的未知流量可能由多种网络应用软件 产生，提取特征的算法复杂、效率低下。提取特征的算法适用性存在限制， 比如对于某软件产生的加密数据流，提取特征字符串的算法失效。对于自动 化提取特征字符串，由于不知道其对应的网络应用名称，大量加入特征库时 容易造成用户界面不友好。

2、人工识别未知流量：带宽管理设备一般会提供日志功能，根据日志 信息中未知流量的IP或端口排名，使用抓包工具，如Wireshark，抓取指定 IP或端口的全部流量，然后人工分析和提取特征，并升级特征库。

这种方式下，流量分析人员的工作量大，且免费的抓包工具中流量过滤 功能简单，抓取的报文中存在大量的已识别流量和会话不完整的数据流，影 响未知流量的分析和识别效率。

3、设置电子公告板(BBS，Bulletin Board System)论坛：设置BBS论 坛，由用户网络中的网络管理员反馈无法识别的流量和网络应用。

这种方式中，对用户网络中的网络管理员有较高的要求，依赖客户的反 馈，未知流量的识别工作非常被动。

综上所述，现有的未知流量识别和分析方案的效率不高。

发明内容

本发明提供了一种未知流量过滤方法，该方法能够提高未知流量的识别 和分析效率。

本发明还提供了一种带宽管理设备，该带宽管理设备能够提高未知流量 的识别和分析效率。

为达到上述目的，本发明的技术方案具体是这样实现的：

本发明公开了一种未知流量过滤方法，在带宽管理设备上指定第一镜像 端口和第二镜像端口，对于带宽管理设备接收到的报文执行以下步骤：

判断带宽管理设备接收的报文是否符合预设的第一次过滤条件，是则将 已标识流中的满足会话完整信息的报文镜像到第一镜像端口；所述第一次过 滤条件包括：所接收报文的类型是传输层报文，且所接收的报文所在的流已 经标识；

接收来自第一镜像端口的报文，并根据预设的第二次过滤条件判断该报 文所属流量是否是未知流量，是则将所述未知流量报文镜像到第二镜像端口 供流量分析使用。

本发明还公开了一种带宽管理设备，该带宽管理设备上指定了第一镜像 端口和第二镜像端口，该带宽管理设备包括：第一过滤模块和第二过滤模块， 其中：

第一过滤模块，用于判断带宽管理设备接收的报文是否符合预设的第一 次过滤条件，是则将已标识流中的满足会话完整信息的报文镜像到第一镜像 端口；所述第一次过滤条件包括：所接收报文的类型是传输层报文，且所接 收的报文所在的流已经标识；

第二过滤模块，用于接收来自第一镜像端口的报文，并根据预设的第二 次过滤条件判断该报文所属流量是否是未知流量，是则将所述未知流量报文 镜像到第二镜像端口供流量分析使用。