[发明专利]一种基于状态图的高速网络流量识别方法及系统

说明书

本发明涉及一种基于状态图的高速网络流量识别方法及系统。该方法包括根据流量数据提取协议有效的识别域中的协议应用特征；根据所述协议应用特征确定特征描述方式；根据所述特征描述方式以及所述协议应用特征确定状态图；获取待识别流量；根据所述待识别流量确定报文五元组信息及报文四层载荷位置；根据所述报文五元组信息及报文四层载荷位置进行上层协议识别；根据所述报文五元组信息及报文四层载荷位置进行协议域与所述状态图的匹配，完成报文流的识别。本发明提高了应用识别处理性能以及提高匹配效率。

技术领域

本发明涉及计算机网络安全技术领域，特别是涉及一种基于状态图的高速网络流量识别方法及系统。

背景技术

随着下一代互联网兴起，网络流量已变得错综复杂，高速网络流量实时识别技术是网络侦控与安全的基础，尤其是对网络流量精细化识别与还原、用户行为分析等业务有较强应用的领域，目前已有的网络流量分类识别系统及技术大部分实现特征硬编码或描述复杂、且支持的特征集容量不大，识别的主要实现方法包括基于端口、基于净载荷匹配、和流行为特征等。但随着互联网技术发展、CDN技术兴起、网络从40G-100G发展，上述系统也面临一些问题和挑战，如基于端口识别已有很大误差；基于载荷匹配虽能准确识别，但需要对整个载荷流进行全包匹配分析结果，导致系统性能不高；流行为特征只适用于少数特定流量分析，且实现复杂，当前热门的基于机器学习方法流量识别技术还处于研究当中，无法有效对大量应用进行识别且当前无有效的应用。因此研究发明一种成熟有效的高速网络应用识别技术及方法、有效较大提高应用识别性能、准确率、灵活性以满足当前网络环境，对网络流量实时分析非常有意义的，对保障网络安全起到至关重要的作用。

发明内容

本发明的目的是提供一种基于状态图的高速网络流量识别方法及系统，提高了应用识别处理性能以及提高匹配效率。

为实现上述目的，本发明提供了如下方案：

一种基于状态图的高速网络流量识别方法，包括：

根据流量数据提取协议有效的识别域中的协议应用特征；

根据所述协议应用特征确定特征描述方式；所述特征描述方式包括：每个属性域支持方向描述以及协议属性逻辑关系；

根据所述特征描述方式以及所述协议应用特征确定状态图；所述状态图包括多种不同功能的状态节点；每种功能的节点承载一类动作；所述状态图从根节点到终止节点链接起来，以协议属性索引为根节点，由节点动作链接到状态图中下一个节点直到终止节点；所述状态图最上层为根节点索引表，中间层为正则表达式匹配节点层；不同功能的状态节点包括特征匹配节点、与条件匹配节点、识别终止节点、失败终止节点、字符查找节点、载荷前向匹配节点以及端口表匹配节点；

获取待识别流量；

根据所述待识别流量确定报文五元组信息及报文四层载荷位置；

根据所述报文五元组信息及报文四层载荷位置进行上层协议识别；

根据所述报文五元组信息及报文四层载荷位置进行协议域与所述状态图的匹配，完成报文流的识别。

可选的，所述根据所述特征描述方式以及所述协议应用特征确定状态图，具体包括：

根据所述特征描述方式以及所述协议应用特征生成不同功能的状态节点；

根据所述协议属性逻辑关系连接所述状态节点，确定所述状态图。

可选的，所述根据所述待识别流量确定报文五元组信息及报文四层载荷位置，具体包括：

对所述待识别流量进行预处理，确定报文五元组信息及报文四层载荷位置；所述预处理包括：为报文的L2-L4层解析、IP分片重组流以五元组分类、流表管理、TCP保序。