[发明专利]一种网络数据包多层协议识别的系统和方法

说明书

本发明提供了一种网络数据包多层协议识别的系统和方法，包括：数据输入模块：从数据来源中读取数据包，剥离已知的下层协议，提取未知的负载，输出若干个数据包，每个输出的数据包包含未知的负载和下层协议的已知元信息；分析模块：从所述数据输入模块的输出中提取连续数据块，对每个连续数据块分片执行协议检测，根据协议检测结果统计协议相邻概率。本发明解决了现有技术无法分类出完整的协议栈的缺陷。

技术领域

本发明涉及网络流量分析计数领域，具体地，涉及一种网络数据包多层协议识别的系统和方法。

背景技术

网络流量分类技术是指通过分析网络流量数据，判断网络流量所属的协议或应用类别。对网络流量进行分类是分析网络承载流量、进行业务性能分析的重要手段。

目前在流量分类领域，通常比较准确的办法是基于载荷的分类方法，基于载荷的分类方法对网络数据包的内容进行深度检测(DPI，Deep Packet Inspect ion)，包括：

1.采用一组载荷的特征(精确特征与正则表达式)识别网络流量中的应用，它具有十分高的识别精度。例如申请号为200710152390.4的发明专利“网络流量分类处理方法及网络流量分类处理装置”。

2.收集协议的样本通过机器学习技术训练分类器，来执行分类。例如申请号为201310414970.1的发明专利“网络流量分类方法及装置”，以及申请号为201510176138.1的发明专利“一种网络流量分类方法”。

然而随着技术的发展，网络流量越来越复杂，每一层下层协议可以承载多种不同的上层协议。所以一份数据的真实分类很可能是一个协议树，而不能简单的用一个分类来表达。

举一个例子，一个如图1所示的复杂的网络协议栈样例，是一个典型的网站可能包含的协议栈。HTTP上层可能承载各种不同的流量，包含HTML页面，JSON数据，MIME可能用于上传文件和提交表单。在企业应用中也有很多中间件承载各种不同的上层应用。

为了更准确的分析网络流量，特别是需要解析出其中的业务信息的时候，简单的给出一个分类已经不足够，必须分类出完整的协议栈。

包括上述的三个专利在内的现有技术都只能给出一个分类结果，无法解决分类出复杂协议栈的问题。

发明内容

针对现有技术中的缺陷，本发明的目的是提供一种网络数据包多层协议识别的系统和方法。

根据本发明提供的网络数据包多层协议识别的系统，包括：

数据输入模块：从数据来源中读取数据包，剥离已知的下层协议，提取未知的负载，输出若干个数据包，每个输出的数据包包含未知的负载和下层协议的已知元信息；

分析模块：从所述数据输入模块的输出中提取连续数据块，对每个连续数据块分片执行协议检测，根据协议检测结果统计协议相邻概率。

优选的，所述对每个连续数据块分片执行协议检测包括：

切分连续数据块为固定大小的数据分片，对每个数据分片检测协议，产生包含若干个分类的分类序列；

在产生的分类序列的头部插入一个特殊分类，其中，所述特殊分类表示上层已知的分类。

优选的，所述统计协议相邻概率包括：

用所有不同分类建立M*M的矩阵，M为所有不同分类的数目，初始化矩阵所有值为0；

根据每个数据分片执行协议检测得到的结果，对分类序列中每两个相邻的分类在矩阵对应处的值加1。

优选的，所述分析模块在统计协议相邻概率后还包括构造协议关系图：

将矩阵转换成图，图的节点对应协议，边的权重对应矩阵中的值，图的根节点为所述特殊分类。