[发明专利]互联网数据流的分类方法及装置

说明书

技术领域

本发明涉及通信技术，尤其涉及一种互联网数据流的分类方法及装置。

背景技术

现有的互联网数据流的分类技术可以分为几类：简单包解析（Simple Packet Inspection，简称为：SPI）、深度包解析（Deep Packet Inspection，简称为：DPI）特征匹配、DPI行为识别以及深度流解析（Deep Flow Inspection，简称为：DFI）。其中，SPI主要通过对报文的五元组（源地址、目的地址、源端口、目的端口以及协议类型）进行分析来确定当前数据流的基本信息。DPI特征匹配主要是通过识别报文中的特定字符串或者比特序列等指纹信息来确定业务所承载的应用。DPI行为识别主要是对终端的行为进行研究并建立行为识别模型，基于行为识别模型来判断终端正在进行的动作或者即将实施的动作。例如：从电子邮件的内容看，垃圾邮件和普通邮件的业务流两者间根本没有区别，只有进一步分析，具体根据发送邮件的大小、频率、目的邮件和原邮件地址、变化的频率和被拒绝的频率等综合分析，建立综合识别模型，才能判断是否为垃圾邮件。DFI主要是基于数据流行为的应用识别技术，即不同的应用类型体现在会话连接或数据流上的状态各有不同，例如，会话连接流的包长、连接速率、传输字节量、包与包之间的间隔等信息来与数据流模型对比，从而实现鉴别应用类型。

上述几种互联网数据流的分类技术均基于协议的特征库才能完成数据流的分类。这就使得现有的互联网数据流的分类技术存在以下缺点：协议特征库需要不断更新，以防止新协议及协议变种无法及时识别；数据流的分类技术需要足够的软硬件资源与不断扩大的协议集合相匹配，这就导致了软硬件的频繁升级，成本不断的提高。

发明内容

本发明提供一种与协议无关的互联网数据流的分类方法及装置，以实现协议无关的网络数据流粗分类，从而使网络数据流分类能适应网络协议的高速变化频率，保持稳定的软硬件资源使用量。其中，方法包括：

根据分类需求提取待分类数据流的特征数据；

计算所述特征数据与各个簇中心的相异性指标，所述簇中心是对特征训练集中的训练数据进行聚类后形成的，所述相异性指标用于表征所述特征数据与簇中心之间的特征差异程度；

如果所述特征数据与所述各个簇中心中的一个簇中心之间的相异性指标小于预设阈值，则确定所述待分类数据流属于该簇中心所代表的分类。

本发明实施例还提供了一种互联网数据流的分类装置，包括：

提取模块，用于根据分类需求提取待分类数据流的特征数据；

计算模块，用于从提取模块获得所述特征数据，并计算所述特征数据与各个簇中心的相异性指标，所述簇中心是对特征训练集中的训练数据进行聚类后形成的，所述相异性指标用于表征所述特征数据与簇中心之间的特征差异程度，将得到的相异性指标发送给分类模块；

分类模块，用于接收计算模块发送的相异性指标，当所述特征数据与所述各个簇中心中的一个簇中心之间的相异性指标小于预设阈值时，将所述待分类数据流确定为属于该簇中心所代表的分类。

本发明实施例通过以上技术方案，根据分类需求提取数据流的特征数据，并根据特征数据与根据特征训练集中的训练数据形成的各个簇中心的相异性指标来确定该待分类数据流所属的分类，使得互联网数据流的分类仅与特征相关，而与协议无关，可以对新协议和协议变种及时进行分类和处理，不需要储存协议数据库，从而使网络数据流的分类能适应网络协议的高速变化频率，并且不需要进行软硬件资源的频繁升级。

附图说明

图1为本发明实施例一提供的互联网数据流的分类方法流程图；

图2为本发明实施例二提供的互联网数据流的分类方法流程图；

图3为本发明实施例三提供的互联网数据流的分类方法流程图；

图4为本发明实施例四提供的互联网数据流的分类方法流程图；

图5为本发明实施例五提供的互联网数据流的分类装置结构示意图；

图6为本发明实施例六提供的互联网数据流的分类装置结构示意图；

图7为本发明实施例七提供的互联网数据流的分类装置结构示意图。

具体实施方式

图1为本发明实施例一提供的互联网数据流的分类方法流程图，如图1所示，该方法可以包括：

步骤101、根据分类需求提取待分类数据流的特征数据。