利用数据流头部特征的TCP流量在线识别方法及装置

摘要

本发明涉及一种利用数据流头部特征的TCP流量在线识别方法和装置，其中方法包括：提取数据流中头部若干包的包长、修正的包间隔时间等参数，构建基于联合概率分布的协议特征库，通过未知数据流头部数据包属性与协议特征库进行比对获得该数据流的协议类型；其中装置包括：数据流分离模块，属性提取模块，分类仲裁模块和协议特征库模块。本发明实施例减弱了往返时延对协议特征显著性的影响，能准确识别各种基于TCP的应用层业务，支持在线的流量识别，并且识别过程简单高效，适于硬件装置实现，可用于高速骨干网中需要在线流量识别的设备和系统。

主权项

一种利用数据流头部特征的TCP流量在线识别方法，其特征在于包括以下步骤：步骤1，前期真实流量数据的获取：采集多个网络真实流量数据集，这些数据集在不同时间采自于待部署网络；步骤2，前期真实流量的数据流梳理：通过查找数据流的起始数据包，以及{源地址、目的地址、源端口、目的端口、传输层协议类型}五元组将步骤1所得流量数据集分离为不同的TCP流，使得流量数据集就转换为TCP流的集合；步骤3，对前期真实TCP流集合进行人工分类：使用净荷检查等方法，对步骤2得到的TCP流集合进行手工的流量识别分类，使步骤2的每一条流都与一种协议类型相对应；步骤4，提取TCP流集合的包特征：得到每一条流中关于数据包的特征，并按照数据包在该流的先后顺序构建一个特征序列；步骤5，建立协议特征库：根据步骤3所得的数据流协议类型和步骤4所得的数据流特征，建立若干组矩阵，每一个矩阵存储同一种协议数据流的同一序号数据包特征的联合概率密度，使得每一种协议有一组联合概率密度矩阵与之对应，其中概率密度矩阵存储该类协议数据流头部若干数据包的特征的联合概率密度；步骤6，提取待分析数据流的数据包特征：按照数据包在该数据流的先后顺序，依次提取这些数据包的特征，组成一个特征序列；步骤7，比对协议特征库：将步骤6所得到的特征序列与步骤5所得到的协议特征库进行比对，获得该数据流属于某种协议的概率值；步骤8，协议类型分类仲裁：根据步骤7所得到的概率值，最大概率值所对应的协议类型即判为该数据流所属的协议类型。