[发明专利]一种基于P2P僵尸节点感知的自适应网络流量采样方法

权利要求书

1.一种基于P2P僵尸节点感知的自适应网络流量采样方法，其特征在于，该方法包括以下步骤：

1)在高速网络的出口处，以时间窗口T为单位，对网络流量进行分片处理；建立并维护一个报文统计表，采集并统计单个时间窗口内出现的报文的关键属性，当时间窗口结束时，结束报文统计，并进入2)；

2)分析当前时间窗口所得的报文统计表，从中提取出网络行为可疑的内部IP，视为潜在的P2P僵尸节点；随后将报文统计表内容清零，并进入下一个时间窗口的报文统计过程；

3)建立并维护一个流量采样表，根据当前时间窗口所得的可疑的内部IP的信息更新所述流量采样表：若可疑的内部IP已存在于流量采样表中，则更新对应表项的相关信息，若可疑的内部IP未存在于流量采样表中，则新增该可疑的内部IP的表项，并填写相关信息；

4)根据目标采样率和流量采样表的信息，计算高速网络各个内部IP对应的即时采样率，然后将所得的即时采样率更新到流量采样表中的对应表项；

5)对到达的每一个报文，查询经4)更新后的流量采样表，得到更新后的流量采样表对应的即时采样率，然后以所述即时采样率对当前报文进行采样。

2.根据权利要求1所述的基于P2P僵尸节点感知的自适应网络流量采样方法，其特征在于，所述报文统计表的每一个表项由一个五元组确定：{Pro,IP_in,IP_ex,Port_in,Port_ex}，即，将传输层协议类型Pro、内部IP地址IP_in、外部IP地址IP_ex、内部端口号Port_in和外部端口号Port_ex相同的报文统计到同一个表项。

3.根据权利要求2所述的基于P2P僵尸节点感知的自适应网络流量采样方法，其特征在于，所述报文统计表还包含以下三项关键属性：报文数量Pkt、报文大小之和Byte、SYN标志位为1的TCP报文数量SYN。

4.根据权利要求3所述的基于P2P僵尸节点感知的自适应网络流量采样方法，其特征在于，所述报文统计表统计由内部IP地址IP_in发出的TCP和UDP报文。

5.根据权利要求1所述的基于P2P僵尸节点感知的自适应网络流量采样方法，其特征在于，时间窗口大小为5分钟。

6.根据权利要求3～5之一所述的基于P2P僵尸节点感知的自适应网络流量采样方法，其特征在于，提取网络行为可疑的内部IP的过程包括：

1)删除报文统计表中SYN>1的表项；然后，逐个分析报文统计表中的每一个内部IP地址IP_in，将所有与IP_in相关的表项聚类到不同的集合，每个集合中的表项拥有相等的Pkt值和Byte值；

2)分别计算各集合中各外部IP地址IP_ex重复出现的次数之和，得到各集合的外部IP回访数RCN，取所有RCN中的最大值，得到IP_in的外部IP回访率RCR；

3)利用BGP前缀公告，计算拥有最大RCN的集合中所有IP_ex的不同BGP前缀数，得到该集合中所有IP_ex的BGP数，即B值；

4)所有RCR值大于阈值M且B值大于阈值N的IP_in为可疑的内部IP。

7.根据权利要求6所述的基于P2P僵尸节点感知的自适应网络流量采样方法，其特征在于，M＝10；N＝100。

8.根据权利要求6所述的基于P2P僵尸节点感知的自适应网络流量采样方法，其特征在于，所述流量采样表的每一个表项包含一个可疑的内部IP，即IP_sus的相关信息；所述相关信息包括：该IP_sus的外部IP回访率RCR、BGP前缀数B、上一时间窗口内统计到的报文总数CNT_pre、当前时间窗口内统计到的报文总数CNT_cur和对应的即时采样率SR_ins。

9.根据权利要求8所述的基于P2P僵尸节点感知的自适应网络流量采样方法，其特征在于，更新到流量采样表包括删除已连续两个时间窗口未获更新的IP_sus表项。