[发明专利]一种终端应用数据流识别方法及系统

说明书

本发明公开了一种终端应用数据流识别方法及系统，包括以下步骤：S1、对实时采集的待识别终端应用数据流进行预处理，得到按照五元组信息进行分类后的多个类别的数据包集合；S2、对所得各类别的数据包集合，提取其第一数据特征，分别与多个预设应用业务的特征进行匹配，若能够与任意一种预设应用行为的特征匹配成功，则该类别的数据包集合中的所有数据包的所属应用业务均为该预设应用业务，操作结束；否则，转至步骤S3；S3、对所得各类别的数据包集合，提取其第二数据特征，并输入到预训练好的数据流识别模型中，对数据流进行识别；通过分层次的进行数据流识别，能够在保证识别效率的同时，大大提高数据流识别的准确率。

技术领域

本发明属于移动通信技术领域，更具体地，涉及一种终端应用数据流识别方法及系统。

背景技术

随着互联网及智能手机的爆发，网络对人们的生活方式产生了深刻的影响，人们的生活越来越离不开网络。网络给人们带来极大便利的同时，也对网络监管和网络负载产生了较大的压力，各种各样的流量在网络中传输，其中可能带有各式各样的恶意流量，对网络产生较大影响。通过识别出不同的网络流量类型，能够实现对流量的针对性管理，如对恶意流量进行拦截，对优先级别高的流量尽快传输等。因此，对流量的类型进行识别和检测是一项十分有意义的技术。

数据流识别是根据底层数据识别其数据类型或者其所属业务或者应用的技术。数据流识别在网络安全、网络传输优化等领域有着重要的意义。网络安全的研究者可以通过识别数据流防治病毒、恶意插件等网络攻击；网络传输优化的研究者可以通过识别数据流来对不同类型的数据流进行传输的优化。因此数据流识别是一个十分重要的技术。

数据流识别方法经历了十分长久的研究历程。在最初的研究中，数据流识别方法主要通过端口来确定数据的类型。因为在最初，各种应用的数据使用的端口较固定，可以通过端口来识别数据的类型。但随着动态端口技术的应用，这种方法的准确率越来越低，直到现在，单靠这种方法已经不能作为数据流识别的主要技术。后来，一门新技术应运而生：深度包检测技术(Deep Packet Insection，DPI)。深度包检测技术主要是对各种类型的数据流统计出其独有的特征(串)，然后通过检测各种流带有的特征进行比较，从而确定出流的类型。但随着加密技术的诞生，这种技术变得越来越不稳定，各种应用的特征越来越不明显，且容易变化，准确率较低。

发明内容

针对现有技术的以上缺陷或改进需求，本发明提供了一种终端应用数据流识别方法及系统，其目的在于解决现有技术进行数据流识别时准确率较低的技术问题。

为实现上述目的，第一方面，本发明提供了一种终端应用数据流识别方法，包括以下步骤：

S1、对实时采集的待识别终端应用数据流进行预处理，得到按照五元组信息进行分类后的多个类别的数据包集合；

S2、对所得各类别的数据包集合，提取其第一数据特征，分别与多个预设应用业务的特征进行匹配，若能够与任意一种预设应用行为的特征匹配成功，则该类别的数据包集合中的所有数据包的所属应用业务均为该预设应用业务，操作结束；否则，转至步骤S3；

S3、对所得各类别的数据包集合，提取其第二数据特征，并输入到预训练好的数据流识别模型中，对数据流进行识别；

其中，上述数据流识别模型为机器学习模型，用于识别数据流中各数据包的所属应用业务。

进一步优选地，上述数据流识别模型为决策树模型。

进一步优选地，上述数据流识别模型的训练方法，包括以下步骤：

S01、采集若干终端应用数据流，并标注各数据流中的各数据包的所属应用业务；

S02、分别对各数据流进行预处理，得到按照五元组信息进行分类后的多个类别的数据包集合，提取各数据包集合的第二数据特征，与其所属应用业务一起构成训练集；