[发明专利]一种网络数据包多层协议识别的系统和方法

权利要求书

1.一种网络数据包多层协议识别的系统，其特征在于，包括：

数据输入模块：从数据来源中读取数据包，剥离已知的下层协议，提取未知的负载，输出若干个数据包，每个输出的数据包包含未知的负载和下层协议的已知元信息；

分析模块：从所述数据输入模块的输出中提取连续数据块，对每个连续数据块分片执行协议检测，根据协议检测结果统计协议相邻概率；

所述分析模块执行包括：

步骤2、对于每个连续数据块执行如下操作：

步骤2.1、切分连续数据块为固定大小的数据分片，每个数据分片调用数据片段协议检测子模块执行协议检测，产生包含若干个分类的分类序列；

步骤2.2、在分类序列的头部插入一个特殊分类P0，特殊分类P0表示上层已知的分类，产生分类序列[P0，P1，P2]；

步骤3、统计和生成协议相邻关系矩阵，步骤如下：

步骤3.1、用所有不同分类建立M*M的矩阵，M为所有不同分类的数目，初始矩阵化所有值为0；

步骤3.2、根据每个数据分片执行协议检测得到的结果，对分类序列中每两个相邻的分类在矩阵对应处的值加1，若检测结果为P1，P2，则矩阵P1，P2处的值加1，若检测结果为P0，P1，P2，则矩阵P0，P1以及P1，P2处的值加1；

步骤4、将矩阵转换成图，图的节点对应协议，边的权重对应矩阵中的值，图的根节点为所述特殊分类P0。

2.根据权利要求1所述的网络数据包多层协议识别的系统，其特征在于，还包括查询模块：提供用户界面，根据用户输入的查询要求执行查询算法，输出查询结果。

3.一种网络数据包多层协议识别的方法，其特征在于，包括：

数据输入步骤：从数据来源中读取数据包，剥离已知的下层协议，提取未知的负载，输出若干个数据包，每个输出的数据包包含未知的负载和下层协议的已知元信息；

分析步骤：从数据输入步骤的输出中提取连续数据块，对每个连续数据块分片执行协议检测，根据协议检测结果统计协议相邻概率；

所述分析步骤包括：

步骤2、对于每个连续数据块执行如下操作：

步骤2.1、切分连续数据块为固定大小的数据分片，每个数据分片调用数据片段协议检测子模块执行协议检测，产生包含若干个分类的分类序列；

步骤2.2、在分类序列的头部插入一个特殊分类P0，特殊分类P0表示上层已知的分类，产生分类序列[P0，P1，P2]；

步骤3、统计和生成协议相邻关系矩阵，步骤如下：

步骤3.1、用所有不同分类建立M*M的矩阵，M为所有不同分类的数目，初始矩阵化所有值为0；

步骤3.2、根据每个数据分片执行协议检测得到的结果，对分类序列中每两个相邻的分类在矩阵对应处的值加1，若检测结果为P1，P2，则矩阵P1，P2处的值加1，若检测结果为P0，P1，P2，则矩阵P0，P1以及P1，P2处的值加1；

步骤4、将矩阵转换成图，图的节点对应协议，边的权重对应矩阵中的值，图的根节点为所述特殊分类P0。

4.根据权利要求3所述的网络数据包多层协议识别的方法，其特征在于，还包括查询步骤：提供用户界面，根据用户输入的查询要求执行查询算法，输出查询结果。