[发明专利]一种网络数据流量分类方法和装置

权利要求书

1.一种网络数据流分类方法，其特征在于，所述方法包括：

将当前数据流的至少一个特征与数据流特征库保存的类型已识别数据流的特征进行匹配；

若匹配失败，则结合数据流拓扑特征信息，采用启发式规则对所述当前数据流的类型再次识别，所述数据流拓扑特征信息根据类型已识别数据流和/或类型未识别数据流生成。

2.如权利要求1所述的方法，其特征在于，在所述将当前数据流的至少一个特征与数据流特征库保存的类型已识别数据流的特征进行匹配之后，所述方法还包括：

若匹配成功，则对所述匹配成功的当前数据流的类型进行标记；或者

若将当前数据流的至少一个特征与数据流特征库保存的类型已识别数据流的特征进行匹配失败，则所述方法进一步包括：对所述匹配失败的当前数据流维持待分类状态。

3.如权利要求2所述的方法，其特征在于，所述方法进一步包括：

根据所述匹配失败或匹配成功的当前数据流更新所述数据流拓扑特征信息。

4.如权利要求1至3任意一项所述的方法，其特征在于，所述数据流拓扑特征信息包括类型已识别数据流的目的IP地址和目的端口地址；

所述结合数据流拓扑特征信息，采用启发式规则对所述当前数据流的类型再次识别包括：将所述当前数据流的目的IP地址和目的端口地址分别与所述数据流拓扑特征信息中类型已识别数据流的目的IP地址和目的端口地址匹配，若匹配成功，则判断所述当前数据流与所述类型已识别数据流为同种类型的数据流。

5.如权利要求1至3任意一项所述的方法，其特征在于，所述数据流拓扑特征信息包括类型已识别数据流的源IP地址和目的IP地址；

所述结合数据流拓扑特征信息，采用启发式规则对所述当前数据流的类型再次识别包括：将所述当前数据流的源IP地址和目的IP地址分别与所述数据流拓扑特征信息中类型已识别数据流的源IP地址和目的IP地址匹配，若匹配成功，则判断所述当前数据流与所述类型已识别数据流为同种类型的数据流。

6.如权利要求1至3任意一项所述的方法，其特征在于，所述数据流拓扑特征信息包括类型已识别数据流的高层协议字段和主机名信息；

所述结合数据流拓扑特征信息，采用启发式规则对所述当前数据流的类型再次识别包括：将所述当前数据流的高层协议字段和主机名信息分别与所述数据流拓扑特征信息中类型已识别数据流的高层协议字段和主机名信息匹配，若匹配成功，则判断所述当前数据流与所述类型已识别数据流为同种类型的数据流。

7.如权利要求1至3任意一项所述的方法，其特征在于，所述数据流拓扑特征信息包括类型已识别数据流拓扑子图的图论特征信息；

所述结合数据流拓扑特征信息，采用启发式规则对所述当前数据流的类型再次识别包括：将所述当前数据流拓扑子图的图论特征信息与所述类型已识别数据流拓扑子图的图论特征信息匹配，若匹配成功，则判断所述当前数据流与所述类型已识别数据流为同种类型的数据流。

8.如权利要求2至7任一项所述的方法，其特征在于，所述方法进一步包括：

根据所述匹配成功的当前数据流更新所述数据流特征库。

9.一种网络数据流分类装置，其特征在于，所述装置包括：

匹配模块，用于将当前数据流的至少一个特征与数据流特征库保存的类型已识别数据流的特征进行匹配；

再识别模块，用于若所述匹配模块将当前数据流的至少一个特征与数据流特征库保存的类型已识别数据流的特征进行匹配失败，则结合数据流拓扑特征信息，采用启发式规则对所述当前数据流的类型再次识别，所述数据流拓扑特征信息根据类型已识别数据流和/或类型未识别数据流生成。

10.如权利要求9所述的装置，其特征在于，所述装置还包括标记模块和状态维持模块；

所述标记模块，用于若所述匹配模块将当前数据流的至少一个特征与数据流特征库保存的类型已识别数据流的特征进行匹配成功，则对所述匹配成功的当前数据流的类型进行标记；

所述状态维持模块，用于若所述匹配模块将当前数据流的至少一个特征与数据流特征库保存的类型已识别数据流的特征进行匹配失败，则对所述匹配失败的当前数据流维持待分类状态。