[发明专利]一种网络流量的识别方法及装置

说明书

技术领域

本申请涉及网络流量识别技术领域，尤其是一种可以准确并全面地识别网络流量使用的协议及应用的识别方法及装置。

背景技术

OSI(Open System Interconnection)网络协议包括七层，依次为物理层、数据链路层、网络层、传输层、会话层、表示层及应用层。其中，数据链路层、网络层、传输层及应用层各自包含多种网络协议，是网络流量分析时的重要研究对象。具体地，网络流量分析即识别网络数据包使用到的网络协议。

目前，网络流量的识别方法是在数据包中的某些特定字段中提取字段值，利用国际规定的网络协议标准对字段值进行识别，该种识别方式识别准确率低且识别结果不全面。

发明内容

有鉴于此，本发明提供了一种网络流量的识别方法及装置，用以解决现有的识别方法准确率低且识别结果不全面的技术问题。为实现所述目的，本发明提供的技术方案如下：

一种网络流量的识别方法，包括：

获取待识别数据包；

对所述待识别数据包的头部进行识别，以确定所述待识别数据包的传输层及其以下各层分别使用的网络协议；

在所述待识别数据包的头部中提取IP地址及端口；

在预设流表中查找所述IP地址及端口；

当查找到时，将查找到的所述IP地址及端口对应的网络协议及应用确定为所述待识别数据包的应用层使用的网络协议及应用；

当未查找到时，将所述待识别数据包中的负载数据与预设特征库中的特征关键词进行匹配；

当匹配成功时，将匹配成功的特征关键词对应的网络协议及应用确定为所述待识别数据包的应用层使用的网络协议及应用。

优选地，当匹配成功时，还包括：

将所述IP地址及端口添加至所述预设流表中。

优选地，所述对所述待识别数据包的头部进行识别，以确定所述待识别数据包的传输层及其以下各层分别使用的网络协议包括：

利用预设协议树对所述待识别数据包的头部进行识别，以确定所述待识别数据包的传输层及其以下各层分别使用的网络协议。

优选地，所述在所述待识别数据包的头部中提取IP地址及端口包括：

在所述待识别数据包的头部中提取同一端的IP地址及端口；其中，所述同一端为发送端或接收端；或，

在所述待识别数据包的头部中提取两端的IP地址及任意一端的端口；或，

在所述待识别数据包的头部中提取两端的IP地址及两端的端口。

本申请还提供了一种网络流量的识别装置，包括：

数据包获取单元，用于获取待识别数据包；

网络协议确定单元，用于对所述待识别数据包的头部进行识别，以确定所述待识别数据包的传输层及其以下各层分别使用的网络协议；

IP地址端口获取单元，用于在所述待识别数据包的头部中提取IP地址及端口；

IP地址端口查找单元，用于在预设流表中查找所述IP地址及端口；

第一协议及应用确定单元，用于当查找到时，将查找到的所述IP地址及端口对应的网络协议及应用确定为所述待识别数据包的应用层使用的网络协议及应用；

负载数据匹配单元，用于当未查找到时，将所述待识别数据包中的负载数据与预设特征库中的特征关键词进行匹配；

第二协议及应用确定单元，用于当匹配成功时，将匹配成功的特征关键词对应的网络协议及应用确定为所述待识别数据包的应用层使用的网络协议及应用。

优选地，还包括：

流表添加单元，用于当匹配成功时，将所述IP地址及端口添加至所述预设流表中。

优选地，所述网络协议确定单元包括：

网络协议确定子单元，利用预设协议树对所述待识别数据包的头部进行识别，以确定所述待识别数据包的传输层及其以下各层分别使用的网络协议。

优选地，所述IP地址端口获取单元包括：

第一IP地址端口获取子单元，用于在所述待识别数据包的头部中提取同一端的IP地址及端口；其中，所述同一端为发送端或接收端；

第二IP地址端口获取子单元，用于在所述待识别数据包的头部中提取两端的IP地址及任意一端的端口；

第三IP地址端口获取子单元，用于在所述待识别数据包的头部中提取两端的IP地址及两端的端口。