一种基于P2P僵尸节点感知的自适应网络流量采样方法

摘要

本发明公开了一种基于P2P僵尸节点感知的自适应网络流量采样方法，属于网络数据处理领域。本发明首先根据P2P僵尸网络的本质特性，从高速网络中以较小的开销提取出潜在P2P僵尸节点的IP地址；然后根据即时采样率分配算法对目标采样率进行分配，计算各个IP地址的即时采样率；最后用计算所得的即时采样率对报文进行采样，将采得的网络流量输入P2P僵尸网络检测系统，以便进行进一步细粒度的检测。本发明自适应调节速度快，感知P2P僵尸节点能力强，能在目标采样率不变的情况下，极大的提高P2P僵尸节点流量的采样率，可与已有的基于网络流量的P2P僵尸网络检测系统无缝集成。

主权项

一种基于P2P僵尸节点感知的自适应网络流量采样方法，其特征在于，该方法包括以下步骤：1)在高速网络的出口处，以时间窗口T为单位，对网络流量进行分片处理；建立并维护一个报文统计表，采集并统计单个时间窗口内出现的报文的关键属性，当时间窗口结束时，结束报文统计，并进入2)；2)分析当前时间窗口所得的报文统计表，从中提取出网络行为可疑的内部IP，视为潜在的P2P僵尸节点；随后将报文统计表内容清零，并进入下一个时间窗口的报文统计过程；3)建立并维护一个流量采样表，根据当前时间窗口所得的可疑的内部IP的信息更新所述流量采样表：若可疑的内部IP已存在于流量采样表中，则更新对应表项的相关信息，若可疑的内部IP未存在于流量采样表中，则新增该可疑的内部IP的表项，并填写相关信息；4)根据目标采样率和流量采样表的信息，计算高速网络各个内部IP对应的即时采样率，然后将所得的即时采样率更新到流量采样表中的对应表项；5)对到达的每一个报文，查询经4)更新后的流量采样表，得到更新后的流量采样表对应的即时采样率，然后以所述即时采样率对当前报文进行采样。