[发明专利]识别对等网络应用流量的方法及其系统

权利要求书

1.一种识别对等网络应用流量的方法，其特征在于包括如下步骤：

(1)试探设备从网络上获取全部的数据包，对数据包进行过滤，滤除无关 的以及可识别的非对等网络的数据包；所述的无关数据包包括传输层以下层次 的数据包，以及步骤(5)中发送的探测数据包和步骤(6)中的被探测目标回 复的响应数据包；其余数据包送入数据识别模块；

(2)在数据识别模块中，按已知的P2P应用的协议特征码，对数据包进行串 匹配检测，将检测到的包含P2P协议特征码的数据包添加明文标识，送入P2P处 理模块执行步骤(3)；将检测到的未能识别协议特征码的数据包，添加密文标 识，送入P2P处理模块执行步骤(4)；

(3)P2P处理模块通过明文标识将确定以明文方式传输的P2P流量存储于明 文P2P流量存储模块中，累计得到识别到的明文对等网络应用流量；

(4)数据识别模块提取该数据包的<源IP，目的IP，源端口，目的端口，应 用层载荷字节数，密文标识>六元组信息，按其中的五元组<源IP，目的IP，源 端口，目的端口，密文标识>为检索项，查找密文P2P流量存储模块；若存在该 数据包的对应存储记录，则将该数据包六元组中<应用层载荷字节数>，累加到 密文P2P流量存储模块中对应存储记录的<累计传输字节数>字段，进行密文P2P 应用流量统计；否则，执行步骤(5)；

(5)按不同的P2P应用所约定的信息，构造主动探测明文数据包，经试探设 备的网络接口向被探测目标发送主动探测明文数据包；

(6)在设定的等待时间内，试探设备将收到的与发送的主动探测明文数据 包内容相对应的被探测目标回复的响应数据包，若探测目标返回明文数据包， 执行步骤(3)，若返回密文数据包，则提取该探测数据包对应的原数据包中的 <源IP，目的IP，源端口，目的端口，应用层载荷字节数>五元组，添加密文标 识构成<源IP，目的IP，源端口，目的端口，应用层载荷字节数，密文标识>六 元组，新增该条记录存储于密文P2P流量存储模块中，若被探测目标返回未知数 据包或不返回，则将对应的原数据包执行步骤(7)；

(7)未知数据处理模块提取该未知的应用流量数据包的<源IP，目的IP，源 端口，目的端口，应用层载荷字节数>五元组信息，按其中的<源IP，目的IP， 源端口，目的端口>为检索项，查找未知流量存储模块，若未知流量存储模块中 存在该数据包的对应存储记录，则将该数据包五元组中<应用层载荷字节数>， 累加到未知流量存储模块中对应存储记录的<累计传输字节数>字段；否则，试 探装置将提取的该数据包的五元组信息，添加到未知流量存储模块中，成为一 条新的记录。

2.根据权利要求1所述的一种识别对等网络应用流量的方法，其特征在于： 步骤(1)中所述的获取全部的数据包包括所有通过该设备的原始数据包。

3.根据权利要求1所述的一种识别对等网络应用流量的方法，其特征在于： 步骤(3)中所述的P2P处理模块统计得到以明文方式传输的P2P流量的步骤包括： P2P处理模块提取包含明文特征串的数据包的<源IP，目的IP，源端口，目的端 口，应用层载荷字节数，明文标识>六元组信息，按其中的<源IP，目的IP，源 端口，目的端口，明文标识>为检索项，查找明文P2P流量存储模块；若该数据 包已存对应存储记录，则将该数据包中的<应用层载荷字节数>，累加到明文P2P 流量存储模块中对应存储记录的<累计传输字节数>字段；否则，P2P处理模块将 提取的该数据包的六元组信息<源IP，目的IP，源端口，目的端口，应用层载荷 字节数，明文标识>，添加到明文P2P流量存储模块中，成为一条新的记录，统 计得到识别到的明文对等网络应用流量。

4.一种识别对等网络应用流量的系统，其特征在于：它包括试探装置、数 据识别模块、P2P处理模块、未知数据处理模块、明文P2P流量存储模块、密文 P2P流量存储模块和未知流量存储模块；

所述的试探装置，用于从获取的原始数据包中滤除错误和无关的数据包， 将其余数据包传送至数据识别模块；

所述的数据识别模块，用于将经过试探装置处理的数据包，进行P2P明文特 征串匹配，将数据包分成明文和密文两类，分别添加对应的识别标识，交由P2P 处理模块进行处理；

所述的P2P处理模块，用于将经过数据识别模块处理过的明文或密文数据 包，以<源IP，目的IP，源端口，目的端口，明文标识>或<源IP，目的IP，源端 口，目的端口，密文标识>为检索项，查找并更新明文或密文P2P流量存储模块 中的信息，检测和统计P2P流量；针对未知数据，构造主动探测数据包；它还包 括一个网络接口，用于向被探测目标发送主动探测数据包和接收被探测目标回 复的响应数据包；在设定的等待时间内，根据被探测目标回复的响应数据包， 检测P2P流量，并将检测结果按密文方式传输的P2P流量以及未知流量，分别发 送到密文P2P流量存储模块和未知数据处理模块；

所述的未知数据处理模块，用于从P2P处理模块接收未确定类型的数据包， 通过<源IP，目的IP，源端口，目的端口，应用层载荷字节数>五元组信息查找 并更新未知流量存储模块中的信息，检测和统计未知数据流量；

所述的明文P2P流量存储模块，接收并存储明文处理模块统计出的按明文方 式传输的P2P流量信息；

所述的密文P2P流量存储模块，接收并存储待检处理模块检测出的按密文方 式传输的P2P流量信息；

所述的未知流量存储模块，接收并存储待检处理模块所有未能正确检测的数 据包的流量信息。