[发明专利]基于协议内容识别和行为识别的P2P协议识别方法

权利要求书

1.一种基于协议内容识别和行为识别的P2P协议识别方法，其特征在于，包括以下步骤：

S1、建立协议特征库：提取采用P2P协议的应用的协议内容特征和行为识别特征，进行加载及编译，形成协议特征库；

S2、监控主机流量，将待识别应用与所述协议特征库进行匹配，确定所述待识别应用采用的协议类型。

2.如权利要求1所述的方法，其特征在于，所述步骤S2进一步包括：

监控主机流量，将待识别应用与所述协议特征库进行匹配，若所述待识别应用与所述协议特征库中的协议内容特征匹配，则将所述待识别应用标识为采用P2P协议的应用，并记录该待识别应用的出现事件，将所述该识别应用加入到历史P2P应用识别事件表中，且放弃对所述待识别应用的流量监控。

3.如权利要求2所述的方法，其特征在于，所述步骤S2进一步包括：对所述加入到历史P2P应用识别事件表中的应用设置超时时间。

4.如权利要求3所述的方法，其特征在于，所述步骤S2进一步包括：

监控主机流量，将待识别应用与所述协议特征库进行匹配，若所述待识别应用与所述协议特征库中的行为识别特征匹配，则将该待识别应用标识为采用类P2P协议的应用。

5.如权利要求4所述的方法，其特征在于，所述步骤S2进一步包括：

将所述采用类P2P协议的应用与所述历史P2P应用识别事件表中的应用进行匹配，若匹配成功，则将所述采用类P2P协议的应用标识为采用P2P协议的应用，且放弃对其的流量监控；若匹配不成功，则对所述采用类P2P协议的应用继续进行流量监控。

6.如权利要求5所述的方法，其特征在于，所述步骤S2进一步包括：在将所述采用类P2P协议的应用与所述历史P2P应用识别事件表中的应用进行匹配时，先判断所述历史P2P应用识别事件表中的应用是否超过了预设的超时时间，若是，则跳过该应用，若不是，再将所述采用类P2P协议的应用与所述历史P2P应用识别事件表中的应用进行匹配。

7.如权利要求6所述的方法，其特征在于，所述步骤S2进一步包括：

预设报文数量阀值，判断处于流量监控状态的所述采用类P2P协议的应用报文数是否超过所述报文数量阀值，若不是，则继续对其进行流量监控；若是，则放弃对其的流量监控，并将该应用最终标识为采用类P2P协议的应用。

8.如权利要求1所述的方法，其特征在于，所述步骤S2进一步包括：

监控主机流量，将待识别应用与所述协议特征库进行匹配，若所述待识别应用与所述协议特征库中的协议内容特征及行为识别特征均不匹配，则将所述待识别应用标识为未知应用。