基于DPI和DFI的业务识别系统中的样本获取方法

摘要

本发明公布了一种基于DPI和DFI的业务识别系统中的样本获取方法，本发明方法如下：主框架模块(MainFrame)模块获取DFI样本需要的报文相关信息，包括三层、四层信息，然后按既定逻辑调用各个子模块；协议分析模块(ProtocolAly)按照既定的规则进行应用协议的解析；认证模块(Auth)模块处理用户认证相关，同时也处理portal认证；上报(StaUpload)模块统计DFI样本需要的分类向量信息，将统计信息和(或)报文上报；控制(Nmfilter)模块实现FORWARD点上的报文控制；消息处理(ProcessMsg)模块负责用户信息的配置，和应用层数据的最终交互。

主权项

一种基于DPI和DFI的业务识别系统中的样本获取方法，其特征在于所述方法基于内核模式下的SampleAcq模块，SampleAcq模块包括MainFrame模块、ProcessMsg模块、StaUpload模块、ProtocolAly模块、Nmfilter模块和Auth模块，其中MainFrame模块分别与ProcessMsg模块、StaUpload模块、ProtocolAly模块、Nmfilter模块和Auth模块通信，ProcessMsg模块分别与UsrPro模块和DFISample模块双向通信，ProcessMsg模块与StaUpload模块双向通信；所述样本获取方法如下：MainFrame模块即主框架模块：对报文进行预处理，丢弃异常报文，正常报文进入Nmfilter模块进行处理；Nmfilter模块：报文进入Netfilter模块的FORWARD点后，进入SampleAcq系统处理，实现FORWARD点上的报文控制：如果报文是基于常用端口的，则进入Auth模块后，直接进入StaUpload模块收集DFI需要的分类向量；Auth模块：处理用户认证相关事宜，并决定该报文的认证状态；Auth模块向主框架模块注册用户认证、消息处理的回调函数，回调函数的形式由主框架模块提供；ProtocolAly模块：根据预先定义好的规则，进行应用层协议的识别；StaUpload模块：根据DFI分类器训练集需要的向量，从流中提取相应的向量；统计DFI样本需要的分类向量信息，将统计信息或报文上报；ProcessMsg模块：负责用户信息的配置和应用层数据的最终交互，将StaUpload模块上报的统计信息提取并填入到DFI样本所定义的结构体中，推送到DFISample模块；