[发明专利]基于DNS协议识别P2P协议的方法及系统

权利要求书

1.一种基于DNS协议识别P2P协议的方法，其特征在于，包括步骤：

A：提取采用P2P协议的不同应用的域名关键字，编译形成特征库；

B：扫描主机的DNS请求，判断请求解析的域名是否与所述特征库中的当前待分析的应用的域名关键字匹配，如果匹配，记录DNS解析出的IP地址，执行步骤C；否则，重复执行本步骤；

C：监控所述主机发出的所有连接，判断是否存在发往所述IP地址的UDP连接，如果存在，记录所述UDP连接的UDP源端口，执行步骤D；否则，重复执行本步骤；

D：监控所述主机通过所述UDP源端口建立的连接，并将所述主机通过所述UDP源端口建立的连接识别为采用P2P协议的当前待分析的应用对应的连接。

2.如权利要求1所述的方法，其特征在于，所述步骤B具体包括步骤：

B1：扫描主机的DNS请求和应答报文；

B2：判断所述DNS请求所请求解析的域名是否与所述特征库中的当前待分析的应用的域名关键字匹配，如果匹配，执行步骤B3；否则，执行所述步骤B1；

B3：根据所述应答报文，记录DNS解析出的IP地址，执行步骤C。

3.如权利要求1所述的方法，其特征在于，所述步骤A中，从横向和纵向两个方面提取采用P2P协议的不同应用的域名关键字；其中，在横向方面，根据每次启动相应应用时出现的域名，提取相应应用的域名关键字；在纵向方面，根据相应应用的登录服务器、点播服务器和广告服务器的域名，提取相应应用的域名关键字。

4.一种基于DNS协议识别P2P协议的系统，其特征在于，包括：特征库形成模块、IP地址获取模块、UDP源端口获取模块和协议识别模块；

所述特征库形成模块，连接所述IP地址获取模块，用于提取采用P2P协议的不同应用的域名关键字，编译形成特征库；

所述IP地址获取模块，连接所述UDP源端口获取模块，用于扫描主机的DNS请求，当请求解析的域名与所述特征库中的当前待分析的应用的域名关键字匹配时，记录DNS解析出的IP地址，并将所述IP地址发送给所述UDP源端口获取模块；

所述UDP源端口获取模块，连接所述协议识别模块，用于接收所述IP地址，并监控所述主机发出的所有连接，当所述主机向所述IP地址发出UDP连接时，记录所述UDP连接的UDP源端口，并将所述UDP源端口发送给所述协议识别模块；

所述协议识别模块，用于监控所述主机通过所述UDP源端口建立的连接，并将所述主机通过所述UDP源端口建立的连接识别为采用P2P协议的当前待分析的应用对应的连接。

5.如权利要求4所述的系统，其特征在于，所述IP地址获取模块还用于扫描对应所述DNS请求的应答报文，并根据所述应答报文记录DNS解析出的所述IP地址。

6.如权利要求4所述的系统，其特征在于，所述特征库形成模块从横向和纵向两个方面提取采用P2P协议的不同应用的域名关键字；其中，在横向方面，根据每次启动相应应用时出现的域名，提取相应应用的域名关键字；在纵向方面，根据相应应用的登录服务器、点播服务器和广告服务器的域名，提取相应应用的域名关键字。