[发明专利]网络应用流量识别方法和装置及网络应用流量管理设备

权利要求书

1.一种网络应用流量识别方法，其特征在于，包括：

步骤S0：关联已知网络应用的特征序列模板和相应的特定明文特征；以及，

对于通过网络应用流量管理设备的任一网络会话执行以下步骤：

步骤S1：采用DPI识别技术对所述网络会话进行识别，识别成功则所述网络会话为所识别网络应用流量；其中，如果命中一所述特定明文特征，则以所述网络会话的源IP为键值，将所述特定明文特征关联的特征序列模板记录到专门设置的第一列表中，结束识别；

步骤S2：对于前述识别技术无法识别的网络会话，记录当前报文的特征信息；

步骤S3：识别所记录的报文数目是否达到预设的阈值，是则将所述网络会话的源IP和目的IP与所述第一列表中的键值进行适配，提取匹配键值下全部特征序列模板并执行步骤S4；否则步骤S1；

步骤S4：将上述所记录的报文特征信息与所提取的特征序列模板进行适配，如果与一已知网络应用的特征序列模板适配成功，则识别所述网络会话为所述已知网络应用流量，结束识别。

2.根据权利要求1所述的网络应用流量识别方法，其特征在于，所述当前报文的特征信息包括：负载长度特征、方向特征和/或位置特征。

3.根据权利要求1所述的网络应用流量识别方法，其特征在于，所述步骤S1中采用DPI识别技术对所述网络会话进行识别的步骤包括：

识别是否命中五层以上的协议明文特征，是则所述网络会话为所识别网络应用流量，并继续执行下述步骤，否则执行步骤S2；

识别是否命中特定明文特征，是则以所述网络会话的源IP为键值，将所述特定明文特征关联的特征序列模板记录到专门设置的第一列表中，否则结束。

4.根据权利要求1-3任一所述的网络应用流量识别方法，其特征在于，所述步骤S1中将所述特定明文特征关联的特征序列模板记录到专门设置的第一列表中的步骤具体为：遍历所述第一列表中所述键值下的特征序列模板，如果所述关联的特征序列模板已存在，则不再记录；否则，将所述关联的特征序列模板记录到所述键值下。

5.根据权利要求1-3任一所述的网络应用流量识别方法，其特征在于，还包括对所述第一列表表项执行老化处理，删除所述第一列表在预设时间内未被适配成功的特征序列模板。

6.根据权利要求1-3任一所述的网络应用流量识别方法，其特征在于，所述关联已知网络应用的特征序列模板和相应的特定明文特征的步骤包括：关联已知网络应用的特征序列模板ID和相应的特定明文特征，并将已知网络应用的特征序列模板存储在特征模板库中；后续需要记录已知网络应用的特征序列模板时，仅需记录所述特征序列模板ID，通过调用特征模板库中的相应特征序列模板实现。

7.根据权利要求1-3任一所述的网络应用流量识别方法，其特征在于，所述步骤S2之前还包括：采用基于IP/端口的识别技术对所述网络会话进行识别，识别成功则所述网络会话为所识别网络应用流量。