[发明专利]一种基于TCP数据包的网络应用快速发现方法和系统

说明书

技术领域

本发明涉及网络技术领域，并且具体涉及一种基于TCP数据包的网 络应用快速发现方法和系统。

背景技术

当前，随着计算机网络通讯的飞速发展，网络中的硬件和服务类型也 随之发展迅速。对于网络管理员，应用设备的状态和应用内容的监管需要 一个实时高效的系统协助管理。

目前，常用的网络应用管理方法有两种：第一种方法是通过网络抓包 器抓取网络HTTP数据包，然后对网络报文进行特征值匹配。第二种方法 是把应用分析器嵌入TCP/IP协议栈流程中，然后依靠应用分析器，将 TCP/IP协议栈与网络应用的协议栈做算法匹配。

在上述方法中，主要存在以下缺陷：第一种方法会导致无法发现除 HTTP协议外的其他网络协议的网络应用，并且特征库更新不及时会导致 网络应用漏报。第二种方法会打乱原有的TCP传输协议流程，使正常的 网络通信存在一定的风险。

发明内容

针对上述现有技术中存在的问题，本发明的目的在于提供一种基于 TCP数据包的网络应用快速发现方法和系统，为网络管理员提供及时全面 的网络应用信息，以实现对现有网络环境中应用的及时发现与高效管理。

为了实现上述目的，本发明提出了一种基于TCP数据包的网络应用快 速发现方法，其包括：

步骤1：将网络抓包器连接到交换机镜像口以抓取网络数据包；

步骤2：解析步骤1中抓取的网络数据包中的TCP数据包，初步分析所 使用的协议，并获取TCP信息；

步骤3：将步骤2中获取的TCP信息存储在本地数据库中；

步骤4：通过应用分析器、根据采集的应用协议特征库，使用多线程 工作模式生成应用匹配特征串并快速分析抓取的应用类型；

步骤5：通过探测器、根据TCP信息，使用应用协议特征串探测特定 的网络设备；以及

步骤6：对于暂时无法匹配的网络协议数据，进行目标IP的溯源分析， 并将分析结果所得的特征值存储在应用协议特征库中。

进一步地，TCP信息包括源IP地址、源端口、目标IP地址、目标端 口、特征字中的一种或多种。

进一步地，步骤6中的溯源分析包括：

探测器探测目标IP地址所在的网络环境，以获取防火墙状态信息和 端口信息；

探测器生成并推送扫描脚本到目标设备，进一步获取目标设备的硬件 信息、操作系统信息和已安装应用程序信息；

探测器收集已安装应用程序的所述网络数据包，并统计应用程序所使 用的网络协议的特征信息；以及

探测器将从统计到的网络协议的特征信息中提取应用协议，并将应用 协议存储在应用协议特征库中。

进一步地，探测器扫描源IP地址，获取软件安装信息。

进一步地，步骤5中，根据源IP地址和源端口，使用应用协议特征串 探测特定的网络设备。

基于上述方法，本发明还提出了一种基于TCP数据包的网络应用快 速发现系统，其包括网络抓包器、应用分析器和探测器，其中：

网络抓包器连接到交换机镜像端口以抓取网络数据包并将网络数据 包传输到应用分析器；

应用分析器连接在网络抓包器和探测器之间，用于获取网络抓包器抓 取的数据包、使用多线程工作模式根据采集的应用协议特征库生成应用匹 配特征串，并快速分析抓取的网络应用类型。

探测器连接在应用分析器输出端口，用于网络设备探测和溯源分析， 并将暂时无法匹配的网络协议数据进行目标IP地址的溯源分析，将溯源 分析结果存储在应用协议特征库中。

进一步地，溯源分析是对采用未知协议发送的网络数据包的源头进行 采样分析，通过使用网络探测器统计探测信息并得到特征值，具体包括：

探测器探测目标IP地址所在的网络环境，以获取防火墙状态信息和 端口信息；

探测器生成并推送扫描脚本到目标设备，进一步获取目标设备的硬件 信息、操作系统信息、已安装应用程序信息；

探测器收集安装应用程序的网络数据包，并统计应用程序所使用的网 络协议的特征信息；以及

探测器将从统计到的网络协议的特征信息中提取应用协议，并将应用 协议存储在应用协议特征库中。