[发明专利]一种VoIP网络数据流的通用识别方法

摘要

本发明公开了一种VoIP网络数据流的通用识别技术，属于计算机网络管理领域，特别是涉及对未知流媒体协议的VoIP数据流的识别技术。主要内容包括捕获网络流量，对其中的UDP数据包进行分析，如果UDP数据在考察范围内，就对数据流进行跟踪分析，统计出特征表现分值，即数据流的匀速性特征值和有效载荷长度固定性特征值，对其进行相应的计算，判定它是否属于VoIP数据流。本发明很好的解决了VoIP数据流识别准确度低、效率不高和流媒体私有协议识别困难等问题，极大提高对VoIP数据流识别的准确性、可靠性和有效性。

主权项

一种VoIP网络数据流通用识别方法，其特征在于，它由以下步骤实现：第一步：捕获网络流量，对其中的UDP数据包进行分析，提取在监控时间段内具有相同IP源地址、IP目的地址、源端口和目的端口的数据包，将符合这些条件的数据包列入待考察流量；第二步：对捕获到的数据包以网络流为单位进行跟踪和分析，该步骤对每个UDP数据包进行分析，获取其如下信息：源IP地址、目的IP地址、源端口和目的端口，以及IP报文总长度、IP首部长度、UDP首部长度、接收到报文的时间，将所有源IP地址、目的IP地址、源端口和目的端口都相同的UDP数据包视为同一个网络流进行处理，如果2个UDP数据包具有相同的源IP地址、目的IP地址、源端口和目的端口，则这2个数据包属于同一网络流，并定义该网络流为FLOW；将同一网络流中的数据包个数定义为N，将同一网络流中的各个数据包按照捕获的先后顺序依次定义为P1、P2、...PN，将这N个数据包的捕获时刻依次定义为TS1、TS2、...TSN，将这N个数据包的长度分别定义为L1、L2、...LN；第三步：对每个网络流的数据包进行分析，得到匀速性特征参数SPEED和有效载荷长度固定性特征参数PAYLEN的数值；特征参数SPEED和PAYLEN的分析方法和计算公式如下：(1)流的匀速性特征参数SPEED数值对于一个网络流FLOW，定义任意两个数据包Pi和Pi+1之间的时间间隔为Di＝TSi+1‑TSi，则数据包P1、P2、...PN之间的时间间隔可分别定义为D1、D2、...DN‑1，将D1、D2、...DN‑1的平均值定义为Davg，以毫秒(ms)为计量单位，定义振动区间RANGE＝{Dmin，Dmax)，其中Dmin＝Davg×0.8‑30ms，Dmax＝Davg×1.2+30ms，然后对D1、D2、...DN‑1依次进行检查，如果Dmin＜Di＜Dmax，则Di在振动区间RANGE内；将D1、D2、...DN‑1中所有在RANGE内的Di进行统计计数，可获得计数值M，即：在D1、D2、...DN‑1中存在M个成员，这M个成员均在振动区间RANGE内，则SPEED参数的计算方法为：SPEED=M(N-1)×100]]>(2)有效载荷长度固定性特征参数PAYLEN数值为每个网络流定义3个有效载荷长度基准值STD1、STD2和STD3，以字节(Byte)为单位，初始值均为0；同时设置3个相应的计数器COUNT1、COUNT2和COUNT3，分别记录与上述3个基准值长度接近的数据包数量，初始值也均为0，根据基准值计算PAYLEN参数的算法过程为：<1>从L1，L2，...LN中依次取出下一个成员Li；<2>检查基准值STD1是否为0，如果为0，则STD1＝Li，COUNT1＝1，回到第<1>步，否则进入第<3>步；<3>如果STD1＞0，则判断Li是否接近于基准值STD1，如果接近，则COUNT1＝COUNT1+1，回到第<1>步；否则进入第<4>步；<4>如果Li与基准值STD1不接近，则检查基准值STD2是否为0，如果为0，则STD2＝Li，COUNT2＝1，回到第<1>步；否则进入第<5>步；<5>如果STD2＞0，则判断Li是否接近于基准值STD2，如果接近，则COUNT2＝COUNT2+1，回到第<1>步；否则进入第<6>步；<6>如果Li与基准值STD2不接近，则检查基准值STD3是否为0，如果为0，则STD3＝Li，COUNT3＝1，回到第<1>步；否则进入第<7>步；<7>如果STD3＞0，则判断Li是否接近于基准值STD3，如果接近，则COUNT3＝COUNT3+1，回到第<1>步；否则也进入第<1>步；上述步骤中，判断数据包Pi的有效载荷长度Li是否接近于某个基准值STD1、STD2或STD3的方法为：如果STD1‑10bytes＜Li＜STD1+10bytes，则Li接近于基准值STD1，反之，Li与基准值STD1不接近；判断Li是否接近于基准值STD2或STD3的方法与上述方法一致；经过以上步骤，确定三个基准值STD1、STD2和STD3，并且对长度接近上述三个基准值的数据包数量进行统计，分别得到了COUNT1、COUNT2和COUNT3，当N个数据包的长度均被分析完成后，PAYLEN参数通过公式进行计算；第四步：进行VoIP数据流判定；针对每个网络流，均获得以上2个特征参数SPEED和PAYLEN的值，如果上述两个特征参数值均大于85，且SPEED和PAYLEN的值相加的总和大于180，则判定该网络流为VoIP数据流。