[发明专利]网络流量分类方法及装置

说明书

技术领域

本发明涉及计算机网络安全领域，具体涉及一种网络流量分类方法及装置。

背景技术

网络流量分类技术在网络管理中扮演着十分重要的角色，网络管理者或网络服务提供商（ISP）可以根据分类结果制定流量控制策略或为当前或下一代的服务提供支持。因此，快速并准确地对网络流量进行分类是网络管理与监控的关键。现行的网络流量分类主要面临两个问题：1）面对越来越多的新应用（例如P2P、游戏和流媒体）生成的复杂流量，如何实现高精度的识别；2）如何高速的处理剧增的网络数据量。

传统方法解决上述的问题主要采用的有基于端口的分类方法和基于载荷的分类方法：基于端口的分类方法依据传输层的端口号进行分类，由于不需要进行额外的计算，因此具有较高的识别速度；基于载荷的分类方法对网络数据包的内容进行深度检测，采用一组载荷的特征（精确特征与正则表达式）识别网络流量中的应用，它具有十分高的识别精度，因此被广泛的使用。

以上，基于端口的分类方法对于识别多数传统的应用具有较高的识别精度，在已有方法中是速度最快和最简单的方法，但是越来越多的新应用使用动态端口或使用其它协议作为隐藏的应用，导致了基于端口分类方法的失效。基于载荷的分类方法，由于其具有很高的计算复杂度，导致在高速网络中的表现越来越差，并且识别过程有可能侵犯用户的隐私。尽管有许多优化手段去改善基于载荷的分类方法的缺陷，但是它们需要特殊的硬件或高性能的处理器以及大量的存储单元，或者需要处理大量的数据包内容。也就是说，传统的分类方法不能有效的解决上述问题。

发明内容

（一）解决的技术问题

针对现有技术的不足，本发明提供一种网络流量分类方法及装置，使得对流经网关的网络流量进行快速并准确的分类。

（二）技术方案

为实现以上目的，本发明通过以下技术方案予以实现：

一种网络流量分类方法，包含离线训练阶段和在线识别阶段：

所述离线训练阶段包含步骤：

S1、基于载荷的分类方法构建训练数据集的应用类型分布图，得到端口与应用的对应关系，并计算所述对应关系成立的概率；

S2、根据所述对应关系和所述概率构建端口与应用的对应关系表；

S3、根据所述对应关系表确立决策因子，所述决策因子包括决策概率值DP和决策记录数DR；

所述在线识别阶段包含步骤：

S4、获取待识别会话的源端口和目的端口对，选择其中一个端口作为决策端口；

S5、通过所述决策端口和所述决策因子进行分类器选择；若决策端口中的一条对应关系同时满足决策概率值DP和决策记录数DR，则选择基于端口的分类模块为分类器，采用对应关系表进行分类；否则，执行步骤S6；

S6、选择基于载荷的分类模块为分类器，当分类结果不为空时，则使用此分类结果对本次待识别会话中的端口对所包含的对应关系及其概率值进行单向监督，评价所述对应关系并更新对应关系成立的概率。

2、如权利要求1所述的网络流量分类方法，其特征在于，步骤S6后进一步包含步骤S7，

S7、当定时器到达预设衰减周期T时，逐个对所述对应关系表中的所有端口进行扫描，若一端口中存在的一对应关系满足决策因子，则对此端口中满足决策因子的所述对应关系的概率值进行衰减；并对此端口中其它对应关系的概率值进行增益。

优选的，对所述对应关系的概率值进行衰减的表达式为：

p(c|pi)=rj-γ|T-γ|(0≤j<n)]]>

对其它对应关系的概率值进行增益的表达式为：