[发明专利]一种基于5G移动网络流量分析的应用识别方法和系统

权利要求书

1.一种基于5G移动网络流量分析的应用识别方法，其步骤包括：

1)数据采集模块采集5G移动网络流量并将其发送给DPI识别模块；

2)DPI识别模块对数据链路层和网络层进行拆包，获取目的IP、源IP、目的端口、源端口、协议构成的五元组以及时间戳信息，然后根据五元组以及时间戳信息对数据包进行分类合并成流；然后根据每一流中数据包的明文特征判断该流对应的应用层协议；

3)DFI识别模块从网络流量数据包中提取流量的多粒度级别特征，包括流特征、数据包特征、主机行为特征、TCP头部特征、IP头部特征；然后对得到的多粒度级别特征进行过滤，过滤掉冗余特征或与流量识别不相关的特征；

4)DFI识别模块根据过滤后的流的特征利用基于结构数据依赖的DBSCAN方法识别该流所属应用；其中，基于结构数据依赖的DBSCAN方法是指利用基于结构数据依赖的密度函数替换DBSCAN算法中基于距离的密度函数；基于结构数据依赖的DBSCAN方法中，对于样本空间中的每个未访问样本x，计算样本x与其他样本点的相异性度量；将与样本x相异性度量小于设定阈值δ的样本点的数量作为样本点x的密度M_δ(x)，当M_δ(x)超过一定阈值时将样本点x及其邻域内的所有点聚为一类，即属于同一应用；然后将点x标记为已访问；

利用基于结构数据依赖的DBSCAN方法识别流所属应用的方法为：将网络流中每一流作为样本空间D中的一个点，从一个没有被访问过的点x开始统计该点x的邻域Eps范围内的点的个数，如果点的个数超过阈值MinPts，则将该点x及其邻域点划分到同一簇中，并且将该点x标记为已访问；其中，确定该点x的邻域Eps范围内的点的个数的方法为：首先计算点x和点y之间基于数据依赖的相异性度量m_e(x,y)，然后采用转换函数对m_e(x,y)进行转换得到点x和点y基于结构数据依赖的相异性度量然后通过计算点x的密度M_δ(x)作为该点x的邻域Eps范围内的点的个数；其中γ≥1为缩放因子，x和y是样本空间D中的样本点，S＝(s₁,s₂...s_k)是对于样本分布的预估结构，s_i表示S中的第i个预估结构，s_j表示S中的第j个预估结构。

2.如权利要求1所述的方法，其特征在于，流量采集模块通过N6接口采集流量，从N6接口的网络设备上调用Libpcap函数捕获经过指定网卡接口的所有流量数据包。

3.一种基于5G移动网络流量分析的应用识别系统，其特征在于，包括数据采集模块、DPI识别模块和DFI识别模块；其中，

数据采集模块，用于采集5G移动网络流量并将其发送给DPI识别模块；

DPI识别模块，用于对数据链路层和网络层进行拆包，获取目的IP、源IP、目的端口、源端口、协议构成的五元组以及时间戳信息，然后根据五元组以及时间戳信息对数据包进行分类合并成流；然后根据每一流中数据包的明文特征判断该流对应的应用层协议；

DFI识别模块，用于从网络流量数据包中提取流量的多粒度级别特征，包括流特征、数据包特征、主机行为特征、TCP头部特征、IP头部特征；然后对得到的多粒度级别特征进行过滤，过滤掉冗余特征或与流量识别不相关的特征；然后根据过滤后的流的特征利用基于结构数据依赖的DBSCAN方法识别该流所属应用；

所述基于结构数据依赖的DBSCAN方法是指利用基于结构数据依赖的密度函数替换DBSCAN算法中基于距离的密度函数；其中，基于结构数据依赖的DBSCAN方法中，对于样本空间中的每个未访问样本x，计算样本x与其他样本点的相异性度量；将与样本x相异性度量小于设定阈值δ的样本点的数量作为样本点x的密度M_δ(x)，当M_δ(x)超过一定阈值时将样本点x及其邻域内的所有点聚为一类，即属于同一应用；然后将点x标记为已访问；

利用基于结构数据依赖的DBSCAN方法识别流所属应用的方法为：将网络流中每一流作为样本空间D中的一个点，从一个没有被访问过的点x开始统计该点x的邻域Eps范围内的点的个数，如果点的个数超过阈值MinPts，则将该点x及其邻域点划分到同一簇中，并且将该点x标记为已访问；其中，确定该点x的邻域Eps范围内的点的个数的方法为：首先计算点x和点y之间基于数据依赖的相异性度量m_e(x,y)，然后采用转换函数对m_e(x,y)进行转换得到点x和点y基于结构数据依赖的相异性度量然后通过计算点x的密度M_δ(x)作为该点x的邻域Eps范围内的点的个数；其中γ≥1为缩放因子，x和y是样本空间D中的样本点，S＝(s₁,s₂...s_k)是对于样本分布的预估结构，s_i表示S中的第i个预估结构，s_j表示S中的第j个预估结构。