[发明专利]一种基于TCP数据包的网络应用快速发现方法和系统

权利要求书

1.一种基于TCP数据包的网络应用快速发现方法，所述方法包括：

步骤1：将网络抓包器连接到交换机镜像口以抓取网络数据包；

步骤2：解析步骤1中抓取的所述网络数据包中的TCP数据包，初步分 析所使用的协议，并获取TCP信息；

步骤3：将步骤2中获取的所述TCP信息存储在本地数据库中；

步骤4：通过应用分析器、根据采集的应用协议特征库，使用多线程 工作模式生成应用匹配特征串并快速分析抓取的应用类型；

步骤5：通过探测器、根据所述TCP信息，使用所述应用协议特征串 探测特定的网络设备；以及

步骤6：对于暂时无法匹配的网络协议数据，进行目标IP的溯源分析， 并将分析结果所得的特征值存储在所述应用协议特征库中。

2.根据权利要求1所述的方法，其特征在于：所述TCP信息包括源IP 地址、源端口、目标IP地址、目标端口、特征字中的一种或多种。

3.根据权利要求2所述的方法，其特征在于：步骤6中的所述溯源分 析包括：

所述探测器探测所述目标IP地址所在的网络环境，以获取防火墙状 态信息和端口信息；

所述探测器生成并推送扫描脚本到目标设备，进一步获取所述目标设 备的硬件信息、操作系统信息和已安装应用程序信息；

所述探测器收集所述已安装应用程序的所述网络数据包，并统计所述 应用程序所使用的网络协议的特征信息；以及

所述探测器将从统计到的所述网络协议的所述特征信息中提取应用 协议，并将所述应用协议存储在所述应用协议特征库中。

4.根据权利要求3所述的方法，其特征在于：所述探测器扫描所述源 IP地址，获取软件安装信息。

5.根据权利要求2所述的方法，其特征在于：步骤5中，根据所述源IP 地址和所述源端口，使用所述应用协议特征串探测特定的网络设备。

6.一种基于TCP数据包的网络应用快速发现系统，所述系统包括网 络抓包器、应用分析器和探测器。

7.根据权利要求6所述的系统，其特征在于：所述网络抓包器连接到 交换机镜像端口以抓取网络数据包并将所述网络数据包传输到所述应用 分析器。

8.根据权利要求6所述的系统，其特征在于：所述应用分析器连接在 所述网络抓包器和所述探测器之间，用于获取所述网络抓包器抓取的所述 网络数据包、使用多线程工作模式根据采集的应用协议特征库生成应用匹 配特征串，并快速分析抓取的网络应用类型。

9.根据权利要求6所述的系统，其特征在于：所述探测器连接在所述 应用分析器输出端口，用于网络设备探测和溯源分析，并将暂时无法匹配 的网络协议数据进行目标IP地址的所述溯源分析，将所述溯源分析结果存 储在所述应用协议特征库中。

10.根据权利要求9所述的系统，其特征在于：所述溯源分析是对采用 未知协议发送的网络数据包的源头进行采样分析，通过使用所述探测器统 计探测信息并得到特征值，具体包括：

所述探测器探测所述目标IP地址所在的网络环境，以获取防火墙状 态信息和端口信息；

所述探测器生成并推送扫描脚本到目标设备，进一步获取所述目标设 备的硬件信息、操作系统信息和已安装应用程序信息；

所述探测器收集所述已安装应用程序的所述网络数据包，并统计所述 应用程序所使用的网络协议的特征信息；以及

所述探测器将从统计到的所述网络协议的所述特征信息中提取应用 协议，并将所述应用协议存储在所述应用协议特征库中。