[发明专利]一种基于P2P僵尸节点感知的自适应网络流量采样方法

摘要

本发明公开了一种基于P2P僵尸节点感知的自适应网络流量采样方法，属于网络数据处理领域。本发明首先根据P2P僵尸网络的本质特性，从高速网络中以较小的开销提取出潜在P2P僵尸节点的IP地址；然后根据即时采样率分配算法对目标采样率进行分配，计算各个IP地址的即时采样率；最后用计算所得的即时采样率对报文进行采样，将采得的网络流量输入P2P僵尸网络检测系统，以便进行进一步细粒度的检测。本发明自适应调节速度快，感知P2P僵尸节点能力强，能在目标采样率不变的情况下，极大的提高P2P僵尸节点流量的采样率，可与已有的基于网络流量的P2P僵尸网络检测系统无缝集成。

主权项

一种基于P2P僵尸节点感知的自适应网络流量采样方法，其特征在于，该方法包括以下步骤：1)在高速网络的出口处，以时间窗口T为单位，对网络流量进行分片处理；建立并维护一个报文统计表，采集并统计单个时间窗口内出现的报文的关键属性，当时间窗口结束时，结束报文统计，并进入2)；2)分析当前时间窗口所得的报文统计表，从中提取出网络行为可疑的内部IP，视为潜在的P2P僵尸节点；随后将报文统计表内容清零，并进入下一个时间窗口的报文统计过程；3)建立并维护一个流量采样表，根据当前时间窗口所得的可疑的内部IP的信息更新所述流量采样表：若可疑的内部IP已存在于流量采样表中，则更新对应表项的相关信息，若可疑的内部IP未存在于流量采样表中，则新增该可疑的内部IP的表项，并填写相关信息；4)根据目标采样率和流量采样表的信息，计算高速网络各个内部IP对应的即时采样率，然后将所得的即时采样率更新到流量采样表中的对应表项；具体实现过程为：记目标采样率为SR_tar，若无可疑的内部IP，则令所有内部IP的即时采样率为SR_tar，即：SR_ins＝SR_tar，即时采样率计算过程结束；否则，将内部IP分为两组：可疑IP组{IP_sus}和非可疑IP组{IP_{non_sus}}，首先，计算各组的总体采样率SR_sus和SR_{non_sus}；根据上一时间窗口内统计到的报文总数CNT_pre和当前时间窗口内统计到的报文总数CNT_cur，分别计算上一时间窗口和当前时间窗口内统计到的所有可疑的内部IP的报文总数占总报文数之比：f_pre和f_cur，记f＝0.2×f_pre+0.8×f_cur，则可疑IP组的总体采样率SR_sus为：SR_sus＝SR_tar/f；若SR_sus>＝1，令SR_sus＝1，且令所有可疑IP组内的IP的即时采样率SR_{ins_sus}＝1；而SR_{non_sus}为：且令所有非可疑IP组内的IP的即时采样率SR_{ins_non_sus}＝SR_{non_sus}，即时采样率计算过程结束；否则，令非可疑IP组的总体采样率SR_{non_sus}＝0，且令所有非可疑IP组内的IP的即时采样率SR_{ins_non_sus}＝0；然后将SR_sus分配到各可疑IP：IP_{sus_i}，计算各可疑IP的即时采样率SR_{ins_i}；根据CNT_pre和CNT_cur，分别计算上一时间窗口和当前时间窗口内统计到的IP_{sus_i}的报文数占可疑IP报文总数之比：f_{pre_i}和f_{cur_i}，记f_i＝0.2×f_{pre_i}+0.8×f_{cur_i}，V_i＝0.2×B_i+0.8×RCR_i，其中n为流量采样表中的可疑IP总数，B_i、RCR_i分别为IP_{sus_i}的BGP前缀数、外部IP回访率；将流量采样表中各IP_{sus_i}表项按关键值K从大到小重新排序：再从流量采样表第一个表项到最后一个表项，依次计算各可疑IP对应的即时采样率SR_{ins_i}：若SR_{ins_i}>1，则令SR_{ins_i}＝1，且记流量采样表的剩余表项数为m，令所有剩余表项的V_j+1＝V_j+K_i/m，V_j＝0.2×B_j+0.8×RCR_j，B_j、RCR_j分别为IP_{sus_j}的BGP前缀数、外部IP回访率，IP_{sus_j}为剩余表项内的可疑IP；依此类推，依次计算每一个可疑IP对应的即时采样率，并将各即时采样率更新至流量采样表；5)对到达的每一个报文，查询经4)更新后的流量采样表，得到更新后的流量采样表对应的即时采样率，然后以所述即时采样率对当前报文进行采样。