[发明专利]一种基于动态深度包检测的互联网应用识别方法

说明书

技术领域

本发明涉及一种互联网应用识别方法，尤其涉及一种基于动态深度包检测的 互联网应用识别方法，应用于高速网络中。

背景技术

随着互联网技术的快速发展，承载在互联网上的新的应用业务层出不穷； 而新的应用在便捷用户的同时，也引入了一些新问题：一方面不同的应用类别其 占用网络带宽与其给网络运营商创造的价值比有着明显差异，如P2P业务应用类 型是其中一个典型带宽占有高、收益低的类别；另一方面，有些新的应用业务存 在社会危害性，如非法代理软件应用类型通过隐藏端口等其它技术将非法信息混 入互联网中进行传播。面对这些新问题，识别互联网应用，对特定业务类别差异 服务的需求日益增强。

目前对于互联网应用识别方法主要分为两大类：

1、基于访问控制列表(Access Control List，ACL)方式进行识别

通过分析IP包的4层以下内容，以业务流的五元组进行标识，如业务流地 址属于服务器网段地址，或端口为固定端口等业务。

2、基于深度包检测(Deep Packet Inspection，DPI)方式进行识别

DPI技术除了分析IP包的4层以下内容，还增加了应用层分析，通过特征 字的查找或者业务行用统计，得到业务流的类型。

对于第1种识别方法，仅对传统业务有效，对于新的应用业务使用常用端口 隐藏式传输无能为力；

对于第2种识别方式，需要在已知特征字或业务行为特征的前提下实施，对 于新兴应用无法自动进行识别。

发明内容

本发明的目的就在于克服现有技术存在的缺点和不足，提供一种基于动态深 度包检测的互联网应用识别方法。

本发明的目的是这样实现的：

本发明在采用深度包检测技术有效识别现有互联网应用的同时，能对新兴应 用自动学习其特征字或业务行为特征，动态获取深度包检测策略(Deep Packet Inspection Policy DPIP)，通过动态深度包检测(Dynamic Deep Packet Inspection，DDPI)达到对互联网应用的最大深度智能识别。本发明既能应用于 报文处理又能应用于流数据分析于控制，既可以实现在网络设备中也可以实现在 网络分析系统中。

为了阐述方便，本发明将互联网应用分为四大类：

1)ACL应用类别：基于五元组应用，如FTP，TELNET，POP3，SMTP等应用 协议类别，通过TCP/IP L4解析进行识别，采取ACL方式实施；

2)DPI应用类别：基于特征字应用，如P2P等应用协议类别，通过TCP/IP L7 解析进行识别，采取DPI方式实施；

3)DDPI应用类别：基于动态特征字应用，如非法代理软件等应用协议类别， 通过TCP/IP L7解析进行特征字统计，获取动态深度包检测策略，采取DPI方式 实施。

4)其它应用类别：该类别没有规则特征字，无法进行DPI处理，不在本发 明处理范围内。

具体措施：

1)ACL处理：处理ACL应用类别。通过对入口数据进行TCP/IP L4解析， 采取ACL方式获取应用类别。

2)DPI处理：处理包括DPI应用类别和DDPI应用类别数据。通过对入口数 据进行TCP/IP L7解析，DPI处理根据DPI处理匹配条件进行匹配处理，匹配命 中即获取应用类型结束识别；对于匹配失败的数据进入下一个处理入口。其中 DPIP可以通过配置文件进行配置也可通过外部模块动态配置。对于DPI应用类 别的DPIP，当DPI处理初次启动时，读取DPIP配置文件，添加到DPI处理匹配 条件。对于DDPI应用类别的DPIP，当DPI处理运行后，接收来自外部的DPIP， 添加到DPI处理匹配条件的同时，自动更新DPIP配置文件。

3)DDPI策略生成：处理DDPI应用类别数据。DDPI策略生成使用五元组唯 一标识一个独立连接，对每个独立连接进行统计处理。DDPI策略生成通过定时 对统计处理结果进行阀值判定获取DDPI应用特征字，动态由特征字生成DPIP， 实时将DPIP下发给DPI处理进行后续处理。

其中统计处理分为五个子处理过程：包括预统计处理；预统计阀值判定；特 征字统计处理；特征字阀值判定以及深度包检测策略处理。