[发明专利]一种应用识别的包长检测方法

权利要求书

1.一种应用识别的包长检测方法，其特征在于，包括如下步骤：

（S10）从终端建立的网络连接上获取一段由多个数据包构成的会话序列，并对每个数据包进行匹配；

（S11）获取当前数据包传输的方向；

（S12）将该数据包的负载长度作为对象通过包长检测模块进行匹配，筛选出命中的应用识别号，若未命中，则标记该方向检测结束，反之则记录命中的应用识别号形成命中记录表，并进入步骤（S13）；

（S13）将当前命中记录表与本方向上此前的命中记录表取交集，获得命中交集表；

（S14）判断所述命中交集表是否为空，若是，则标记该方向检测结束，否则进入步骤（S15）；

（S15）判断该数据包是否为叶子节点，若是，则将该命中交集表作为本方向记录表并进入步骤（S16），否则跳转到步骤（S11）对下一个数据包进行匹配；

（S16）再按步骤（S11）～（S15）的方法获取该会话序列中其方向与所述本方向记录表相对的反方向记录表，若获得，则进入步骤（S17），反之则未命中包长应用识别库，反馈无法识别的检测结果；

（S17）对所述本方向记录表和反方向记录表取交集，若为空，则未命中包长应用识别库，反馈无法识别的检测结果，反之则命中包长应用识别库，记录相应的应用识别号，检测结束。

2.根据权利要求1所述的一种应用识别的包长检测方法，其特征在于，所述包长检测模块设置于承载所述网络连接的网络设备中，其通过将数据包负载长度对比包长应用识别库判断是否命中来进行匹配。

3.根据权利要求2所述的一种应用识别的包长检测方法，其特征在于，所述包长应用识别库存储于所述网络设备中，并由云服务器定期更新。

4.根据权利要求1所述的一种应用识别的包长检测方法，其特征在于，所述步骤（S13）中，若当前命中记录表为本方向第一次记录，则将该命中记录表作为命中交集表；若存在本方向的上一次命中交集表，则所述当前命中记录表与本方向上一次的命中交集表取交集。

5.根据权利要求1~4任一项所述的一种应用识别的包长检测方法，其特征在于，所述步骤（S12）中，当命中有应用识别号时还通过DPI检测模块对该数据包负载进行深度报文检测，若DPI未命中，则标记该方向检测结束，反之则记录命中的应用识别号形成命中记录表；其中，所述DPI检测模块设置于承载所述网络连接的网络设备中。

6.根据权利要求1~4任一项所述的一种应用识别的包长检测方法，其特征在于，所述步骤（S12）或（S14）中，当标记该方向检测结束时，跳转到步骤：（S18）判断包长检测模块是否设置有单方向识别模块，若是，则进入步骤（S19），否则得到无法识别的检测结果；

（S19）获取反方向的数据包，并按步骤（S11）～（S15）的方法对所述反方向的数据包进行匹配，若获得对应的反方向记录表，则记录相应的应用识别号，检测结束，反之则得到无法识别的检测结果。

7.根据权利要求1~4任一项所述的一种应用识别的包长检测方法，其特征在于，所述步骤（S15）中，在确定本方向记录表之后，在进入步骤（S16）之前，插入对本方向数据包进行单方向识别的判断：跳转到步骤（S18’）判断是否需要通过单方向识别模块进行识别，若是，则通过单方向识别模块确定应用识别号，记录相应的应用识别号，检测结束，否则进入步骤（S16）。

8.根据权利要求1~4任一项所述的一种应用识别的包长检测方法，其特征在于，所述步骤（S11）中，将获取到的该会话序列中的第一个数据包的方向设定为正方向，当所述正方向的非叶子节点的下一个数据包为反方向数据包时，缓存正方向的检测过程信息。

9.根据权利要求1~4任一项所述的一种应用识别的包长检测方法，其特征在于，在所述步骤（S11）中确定了当前数据包传输的方向时，设置两条分别对应两个方向的进程，每个进程独立对一个方向的数据包进行步骤（S12）～（S15）方法的检测，并在其均获得对应方向记录表后，按步骤（S17）方法进行判定。

10.根据权利要求9所述的一种应用识别的包长检测方法，其特征在于，当有一个所述进程未获得其对应方向记录表时，对另一个已获得其对应方向记录表的进程进行单方向识别。