[发明专利]基于主机行为的多维度协议识别方法

权利要求书

1.一种基于主机行为的多维度协议识别方法，其特征在于，所述方法包括：

步骤A：预先设定用于协议识别的主机行为维度和各个主机行为维度的取值范围；

步骤B：检测所有连接中是否含有端到端P2P下载工具的私有协议，如果有，则确定主机；否则，判定所有连接中不含有任何P2P下载工具的伪装协议；

步骤C：在预定时间段内监控并记录该主机中所述P2P下载工具在各个主机行为维度的取值范围，如果该主机中所述P2P下载工具在各个主机行为维度的取值范围分别与预定的各个主机行为维度的取值范围相匹配，则判定该主机的连接中含有所述P2P下载工具的伪装协议；否则，判定该主机的连接中不含有所述P2P下载工具的伪装协议。

2.根据权利要求1所述的权利要求，其特征在于，步骤A中所述主机行为维度包括：时间差、端口差和载荷差。

3.根据权利要求2所述的权利要求，其特征在于，步骤A中所述主机行为维度的取值范围包括：时间差取值范围、端口差取值范围和载荷差取值范围。

4.根据权利要求3所述的权利要求，其特征在于，步骤C中该主机中所述P2P下载工具在各个主机行为维度的取值范围分别与预定的各个主机行为维度的取值范围相匹配包括：所述P2P下载工具的伪装协议与所述P2P下载工具的私有协议创建连接的时间差取值范围与预定的时间差取值范围相匹配，所述P2P下载工具的伪装协议连接与所述P2P下载工具的私有协议连接的端口差取值范围与预定的端口差取值范围相匹配，以及所述P2P下载工具的伪装协议连接与所述P2P下载工具的私有协议连接的载荷差取值范围与预定的载荷差取值范围相匹配。

5.根据权利要求1-4中任一项所述的权利要求，其特征在于，步骤B中所述P2P下载工具包括迅雷和电驴。

6.根据权利要求1-4中任一项所述的权利要求，其特征在于，所述P2P下载工具的伪装协议包括：超文本传输协议http、文件传输协议ftp或加密协议。