[发明专利]一种NAT环境下的网络流量分类方法

说明书

本发明涉及一种NAT环境下的网络流量分类方法，从每条流中不同方向IP发出的第一个包中提取不被NAT修改且不同设备实现存在差异的协议字段，然后将这些协议字段按照一定的格式排列组合生成设备指纹，与该方向IP地址关联后能够唯一标识出NAT后的某一设备，由于设备指纹仅依赖TCP/IP协议栈，所有的流量都可生成设备指纹，从而实现完全分类NAT后具有相同IP的不同设备的流量。本发明的优点在于：不需要深入分析流的应用协议特征即可以分类NAT环境下同一IP中不同设备的所有流量，提高了流量分类的完整度，降低了流量分析的难度。

技术领域

本发明涉及网络流量分类领域，尤其涉及一种NAT环境下的网络流量分类方法。

背景技术

在网络流量分析中，经常需要单独分析某个设备的所有流量，常规的做法是基于IP地址分类流量，然后提取出与待分析设备IP地址相同的所有流量。然而，为节省IP资源，企业与组织的网络中往往部署了不少的NAT(网络地址转换)设备，不同网络资产的流量在经过NAT后具有相同的IP地址，该IP地址无法唯一表示某一个设备，基于IP地址分类网络流量无法进一步将某一个设备的流量单独区分出来，现有技术通过分析应用协议特征分类不同的设备流量，但无法分类未知协议或无协议特征的流量，往往需要人工进一步通过分析流量关系将无法分类的流量进一步分类出来，耗费大量人力，不便于流量分析。

发明内容

本发明的目的在于克服现有技术的缺点，提供了一种NAT环境下的网络流量分类方法，解决了现有通过分析应用协议特征分类不同的设备流量，无法分类位置协议或无协议特征流量的问题。

本发明的目的通过以下技术方案来实现：一种NAT环境下的网络流量分类方法，所述分类方法包括：

S1、将待分类的网络流量基于IP地址进行分类，形成所有IP与其所属流的关系映射集合；

S2、从关系映射集合中任意一个元素并遍历其所有的流，得到发送流集合和响应流集合；

S3、分别遍历发送流集合和响应流集合生成设备指纹，并归类设备指纹及其所属流形成发送设备指纹集合和响应指纹集合；

S4、从所述发送指纹集合中取出任意一个元素的设备指纹，生成该元素响应方向的设备响应指纹，以该响应指纹与所述响应指纹集合进行匹配，取出匹配成功的元素并构成设备指纹与所属流的关系映射；

S5、遍历发送指纹集合，形成设备指纹列表；

S6、遍历关系映射集合中所有元素，并依次执行步骤S2-S5，得到IP、设备指纹和所属流的映射集合。

所述将待分类的网络流量基于IP地址进行分类，形成所有IP与其所属流的关系映射集合包括：

S11、将待分类的网络流量以流为单位，基于IP地址进行分类，形成某个IP与其所属流sn的关系映射ip_m＝{IP:[s1,s2,…,sn]}；

S12、分类完成后，带分类的网络流量形成所有IP与其所属流的关系映射集合S＝{ip_m1，ip_m2，…，ip_mn}。

所述从关系映射集合中任意一个元素并遍历其所有的流，得到发送流集合和响应流集合包括：

S21、从关系映射集合S中取出任意一个元素ip_m，遍历元素ip_m中的所有流；

S22、基于元素所属IP在流中的方向，将流分为发送流集合ip_ms＝{s_s1,s_s2,…,s_sn}和响应流集合ip_mr＝{s_r1,s_r2,…,s_rn}。

所述分别遍历发送流集合和响应流集合生成设备指纹，并归类设备指纹及其所属流形成发送设备指纹集合和响应指纹集合包括：。

S31、分别遍历发送流集合ip_ms和响应流集合ip_mr，从每条流的元素所属IP发送的第一个包中提取协议栈信息生成设备指纹f；