[发明专利]一种网络协议识别方法和装置

权利要求书

1.一种网络协议识别方法，其特征在于，所述方法包括：

将相同IP端口的码流数据进行比对，获得各网络协议中固定的特征信息；依照各网络协议中所述特征信息出现的次序将所述特征信息存入协议知识库；

将所述协议知识库存储的特征信息构建决策树，所述决策树中的叶子节点标识该叶子节点所在分支的网络协议；

根据所述决策树各节点和各节点分支标识的信息，对待识别数据进行协议识别；

根据识别到达的叶子节点确定所述待识别数据的网络协议；

所述方法还包括：

若识别不能到达叶子节点，则将与该待识别数据相同IP端口的数据码流进行比对，获取该IP端口数据码流中确定的特征信息，将新的所述特征信息更新至所述协议知识库并根据所述更新的协议知识库更新所述决策树；

根据所述协议知识库中存储的网络协议特征信息校验所述决策树识别出的所述待识别数据网络协议，校验通过则本次协议识别完成；

将所述通过校验的待识别数据的IP端口和与该IP端口对应的网络协议存储存储结构，当有新的待识别数据时，先在所述存储结构中匹配查找新的待识别数据的IP端口，查找匹配成功则直接确定与该IP端口相应的网络协议为所述新的待识别数据的网络协议。

2.根据权利要求1所述的方法，其特征在于，所述将相同IP端口的码流数据进行比对，获得各网络协议中确定的特征信息的方法具体为：

使用特征向量标识所述码流数据比对过程中保持不变数据，依次序记录所述保持不变的数据和该数据的起始位置，并将所述各起始位置和从所述各起始位置开始保持不变的数据标记为该IP端口网络协议固定的特征信息。

3.根据权利要求2所述的方法，其特征在于，所述依照各网络协议中所述特征信息出现的次序将所述特征信息存入协议知识库的方法具体为：

创建所述协议知识库，将所述各网络协议中出现次序相同的特征信息存入以顺序标识命名的特征字段列中，每个网络协议中的所有特征信息依次序存入相同的行中。

4.根据权利要求3所述的方法，其特征在于，所述将所述协议知识库存储的特征信息构建决策树的方法具体为：

计算各特征字段的增益，并获得各特征字段所包含的特征信息子集数量；

根据所述各特征字段增益由大到小确定决策树中父节点和子节点，根据所述各特征字段所包含的特征信息子集数量确定该节点的分支；

从所述决策树的根节点通过一条分支路径到达的叶子节点为包含这条分支路径上所有特征信息的网络协议。

5.根据权利要求4所述的方法，其特征在于，根据所述决策树各节点和各节点分支标识的信息，对待识别数据进行协议识别的方法具体为：

接收待识别数据，根据所述决策树中根节点分支所指示的特征信息与所述待识别数据中相应位置的数据进行比对；

根据所述比对结果为特征信息一致的分支获得下一个节点，并根据该节点分支所指示的特征信息继续与所述待识别数据中相应位置的数据进行比对。

6.根据权利要求5所述的方法，其特征在于，所述使用特征向量标识所述码流数据比对过程中保持不变数据，依次序记录所述保持不变的数据和该数据的起始位置的方法具体为：

分别创建码流数组和与所述码流数组对应的特征向量数组，所述特征向量数组各位置的初始值均设置为固定标识，所述码流数组初始存储当前码流数据；

根据所述特征向量的固定标识位置信息，对待比对码流数据和所述当前码流数据的相应位置进行一致性比对；

记录比对过程中保持不变数据和该数据的起始位置，并根据比对过程中不一致的位置信息将所述特征向量数组中的相应位置更新为变化标识，将所述待比对码流数据更新至所述码流数组。

7.根据权利要求6所述的方法，其特征在于，所述计算各特征字段增益的方法具体为：

计算所述协议知识库中所有特征字段的先验熵；

计算所述协议知识库中每个特征字段的后验熵；

获取所述先验熵与所述每个特征字段后验熵的差值，即为所述各特征字段的增益。