[发明专利]一种基于多协议双向单连接的P2P软件识别方法

摘要

本发明公开了一种基于多协议双向单连接的P2P软件识别方法，包括以下步骤：捕获网络数据包、获得与网络数据包的特征信息、按协议类型分类、识别双向单连接和判别是否是P2P软件。该方法克服了现有技术所中存在的缺陷，该方法能够识别未知P2P软件，而且准确率高，误报率和漏报率都很低。

主权项

一种基于多协议双向单连接的P2P软件识别方法，其特征在于，包括以下步骤：步骤1、捕获网络数据包：捕获进出计算机的网络数据包，监视计算机的网络行为；步骤2、获得与网络数据包的特征信息：将步骤1所捕获的网络数据包进行分析，提取特征信息，然后把该网络数据包和特征信息记录在数据结构中；步骤3、按协议类型分类：将捕获到的网络数据包根据标准协议进行分类；步骤4、识别双向单连接：设置入向表、出向表和双向表：入向表存储的是远端计算机发送数据到被监控计算机的信息，出向表则存储的是被监控计算机发送数据到远端计算机的信息，双向表则是存储的双向连接信息，识别过程如下：①判断网络数据包的传输方向，如果是进入被监控主机进入步骤②，若是发往远端主机则进入步骤⑤；②将所获得的特征信息拿到双向表中进行搜索，是否存在与之匹配的双向连接，如果存在则进入步骤⑧，否则进入步骤③；③将特征信息拿到出向表中进行搜索，是否存在与之匹配的出向连接，如果不存在进入步骤④，如果存在则将出向表中与之对应的表项取出，加入双向表中，进入步骤⑧；④将特征信息拿到入向表中进行搜索，是否存在与之匹配的入向连接，如果存在进入步骤⑧，否则将特征信息加入入向表中，转入步骤⑧；⑤将特征信息拿到双向表中进行搜索，是否存在与之匹配的双向连接，如果存在则进入步骤⑧，否则进入步骤⑥；⑥将特征信息拿到入向表中进行搜索，是否存在与之匹配的入向连接，如果不存在进入步骤⑦，如果存在则将入向表中与之对应的表项取出，加入双向表中，进入步骤⑧；⑦将特征信息拿到出向表中进行搜索，是否存在与之匹配的出向连接，如果存在进入步骤⑧，否则将特征信息加入出向表中；⑧该数据包分析完毕，返回步骤①；步骤5、判别是否是P2P软件：①考察双向表，删除其中进程信息，协议类型和目标IP地址信息重复出现的项；②将出向表中的每一项和双向表中的每一项比较，如果出现出向表中某项的进程信息，协议类型和目标IP地址和双向表中某项的进程信息，协议类型和目标IP地址相同，并且这两项的源端口号不同，那么删除双相连接表中对应项；③将入向表中的每一项和双向表中的每一项比较，如果出现出向表中某项的进程信息，协议类型和目标IP地址和双向表中某项的进程信息，协议类型和目标IP地址相同，并且这两项的目的端口号不同，那么删除双相连接表中对应项；④统计双向表中的连接信息，如果某个进程的TCP和UDP双向单连接数都超过了各自设定的阈值，则判断与此进程对应的软件是P2P软件；步骤6、清空入向表，出向表，双向表。