[发明专利]基于主机行为的多维度协议识别方法

说明书

技术领域

本发明涉及互联网应用技术领域，特别涉及一种基于主机行为的多维度协议识别方法。

背景技术

随着以TCP/IP技术为基础的互联网的快速发展，网络结构逐渐从传统的客户端/服务器(C/S)模式转向端到端(P2P)模式，网络应用逐渐从网页浏览、电子邮件、文字聊天转变为文件下载、高清晰音频视频，带宽资源日渐紧张。而且，以迅雷和电驴为代表的P2P下载占用了大量网络带宽，导致网络拥塞，大大降低了网络性能，妨碍了正常的网络业务开展和关健应用，严重影响了用户正常的Web，E-mail等应用。同时，这些P2P下载可以穿透现有防火墙和安全代理，通过并不安全的网络环境获得应用于电影、音乐、游戏等各种应用程序，使得病毒得以躲过安全审查入侵内部网络，造成严重的内部网络安全隐患。

这些P2P下载工具使用第四代P2P协议，即私有协议和伪装协议相结合的混合下载方式，且采用伪装技术企图逃避ISP(InternetService Provider，互联网服务提供商)的监管，比如使用http和ftp这些传统协议进行下载，这种伪装的下载方式对协议识别工作提出了非常严峻的挑战。

目前，对于迅雷等下载工具伪装http的连接，一般仅能从http头部字段中提取客户端及浏览器信息作为特征进行识别，但是这种识别方法的误识别概率高，且更新周期短，很难长期有效。不能高效率地完成对迅雷等P2P下载的识别，进而无法实现对网络流量的控制。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是，针对上述缺陷，如何提供一种基于主机行为的多维度协议识别方法，能够高效率地完成对迅雷等P2P下载工具的伪装协议的识别，进而实现对网络流量的控制。

(二)技术方案

为解决上述技术问题，本发明提供了一种基于主机行为的多维度协议识别方法，所述方法包括：

步骤A：预先设定用于协议识别的主机行为维度和各个主机行为维度的取值范围；

步骤B：检测所有连接中是否含有端到端P2P下载工具的私有协议，如果有，则确定主机；否则，判定所有连接中不含有任何P2P下载工具的伪装协议；

步骤C：在预定时间段内监控并记录该主机中所述P2P下载工具在各个主机行为维度的取值范围，如果该主机中所述P2P下载工具在各个主机行为维度的取值范围分别与预定的各个主机行为维度的取值范围相匹配，则判定该主机的连接中含有所述P2P下载工具的伪装协议；否则，判定该主机的连接中不含有所述P2P下载工具的伪装协议。

优选地，步骤A中所述主机行为维度包括：时间差、端口差和载荷差。

优选地，步骤A中所述主机行为维度的取值范围包括：时间差取值范围、端口差取值范围和载荷差取值范围。

优选地，步骤C中该主机中所述P2P下载工具在各个主机行为维度的取值范围分别与预定的各个主机行为维度的取值范围相匹配包括：所述P2P下载工具的伪装协议与所述P2P下载工具的私有协议创建连接的时间差取值范围与预定的时间差取值范围相匹配，所述P2P下载工具的伪装协议连接与所述P2P下载工具的私有协议连接的端口差取值范围与预定的端口差取值范围相匹配，以及所述P2P下载工具的伪装协议连接与所述P2P下载工具的私有协议连接的载荷差取值范围与预定的载荷差取值范围相匹配。

优选地，步骤B中所述P2P下载工具包括迅雷和电驴。

优选地，所述P2P下载工具的伪装协议包括：超文本传输协议http、文件传输协议ftp或加密协议。

(三)有益效果

本发明提出了一种基于主机行为的多维度协议识别方法，与传统协议识别方法不同，其更多地从统计学角度提取特征，通过预先设定用于协议识别的主机行为维度和各个主机行为维度的取值范围；检测所有连接中含有P2P下载工具的私有协议后确定主机；在预定时间段内监控并记录该主机中所述P2P下载工具的伪装协议在各个主机行为维度的取值范围，如果该主机中所述P2P下载工具的伪装协议在各个主机行为维度的取值范围分别与预定的各个主机行为维度的取值范围相匹配，则判定该主机的连接中含有所述P2P下载工具的伪装协议，在分析混合协议、加密协议方面，体现了较高的优越性，能够高效率地完成对迅雷等P2P下载工具的伪装协议的识别，进而实现对网络流量的控制。

附图说明

图1本发明实施例的基于主机行为的多维度协议识别方法的流程图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。