[发明专利]一种基于端口与内容混杂检测的协议识别方法

摘要

一种基于端口与内容混杂检测的协议识别方法，该方法在以端口为基准进行协议识别的基础上，引入了内容检查机制，能够对传输数据报中的内容进行分析和匹配，从而判断该数据报的协议类型。而且，本方法还加入了一个与端口绑定的内容匹配规则，该规则与端口识别联合工作，在端口判断完成之后马上进行绑定的内容匹配。这样不但能够提高协议识别能力，还能有效的提高识别速度。本方法在内容识别方面，分别采用头部匹配、尾部匹配和任意匹配三种特征匹配规则类型，这样能够适应各种数据报的应用情况。本发明提供一种能满足动态端口的识别要求、提高识别效果的一种基于端口与内容混杂检测的协议识别方法。

主权项

1.一种基于端口与内容混杂检测的协议识别方法，其特征在于：所述的方法主要包括以下步骤：(1)、将端口表载入内存：将与各个协议对应的TCP协议端口和UDP协议端口载入进内存中；(2)、将内容匹配规则载入内存：将所有的内容匹配规则载入进内存中，并且把规则分为三类，分别是头部匹配规则、尾部匹配规则和任意匹配规则；(3)、捕获网卡数据报：从网卡驱动中不停的捕获原始的TCP协议和UDP协议数据报；(4)、提取数据报的源端口与目的端口：把从网卡中捕获到的原始数据报进行分解，将TCP协议或UDP协议头部的源端口与目的端口提取出来；(5)从端口表中查找匹配端口：以提取到的源端口和目的端口为标准，在端口表中查找与之相同的端口项；如果存在相同的端口项，则进一步进行与端口绑定的内容识别；如果没有找到相同的端口项，则进行内容识别，至(7)；(6)、进行与端口绑定的内容识别：(6.1)、检索每个与端口对应的内容匹配规则：在内存中遍历每个与端口绑定的内容匹配规则；对数据报负载中的特征数据进行比对，如果比对成功则表示该规则成功匹配；(6.2)、在数据报中匹配该规则：把数据报中的负载数据提取出来，将与该端口绑定的内容识别规则进行匹配，如果匹配成功，则识别该协议成功，回复至(3)。(7)、检索数据报头部匹配规则：将数据报负载的头部数据提取出来，与规则库中头部匹配规则一一比对，如果匹配成功，则协议识别成功，回复至(3)；(8)、检索数据报尾部匹配规则：将数据报负载的尾部数据提取出来，与规则库中尾部匹配规则一一比对，如果匹配成功，则协议识别成功，回复至(3)；(9)、检索数据报任意匹配规则：将规则库中的任意匹配规则在数据报负载的任意位置进行比对，如果存在匹配成功的规则，则协议识别成功，回复至(3)；(10)识别失败：如果无论是端口识别过程、内容识别过程，还是端口与内容混杂识别过程都不能识别该协议，则判定该协议目前还不能进行自动识别，需要进行人工分析，添加相应的识别规则；在相关日志中记录该数据报，回复至(3)。