基于流量通信模式的服务角色识别方法

摘要

本发明公开一种基于流量通信模式的服务角色识别方法，其特征是：在一个时间尺度5分钟范围内，在哈希链表中为测量到的流量维护{源IP地址和源端口}结点，并为每个相同{源IP地址和源端口}的结点记录其对应的前两个不同的宿IP地址，如果一个{源IP地址和源端口}结点中记录了两个不同的宿IP地址，说明该源IP地址从该源端口向至少2台其他不同主机发送流量，则认为该源IP地址是服务方，其服务端口为该源端口，该方法可以对网络流量中的服务角色进行高效识别，可以识别多种不同类型网络流量数据的服务角色。

主权项

一种基于流量通信模式的服务角色识别方法，其特征是：在一个时间尺度5分钟范围内，在哈希链表中为测量到的流量维护{源IP地址和源端口}结点，并为每个相同{源IP地址和源端口}的结点记录其对应的前两个不同的宿IP地址，如果一个{源IP地址和源端口}结点中记录了两个不同的宿IP地址，说明该源IP地址从该源端口向至少2台其他不同主机发送流量，则认为该源IP地址是服务方，其服务端口为该源端口，具体步骤如下：第一步：参数设置设置一个指针数组A[n]，n为指针数组A的大小，设置n＝2m，其中m是大于0的正整数，数组A的每个元素赋值为空指针，设置一个48位长度的比特串S，设置一个哈希函数F，哈希函数F的输入是48位长度的比特串S，哈希函数F输出的哈希值是一个取值范围为0到2m-1之间的正整数，哈希函数F采用MD5哈希函数，哈希函数F选取MD5哈希函数哈希值的前m个比特作为其输出哈希值，设置一个结构B，该结构B包括四个整数变量和一个指针变量，结构B的四个整数变量分别记录主机IP地址、源端口号、第一个宿IP地址、第二个宿IP地址，结构B的指针变量指向下一个结点，测量开始，如果一个新流量记录到达，进入第二步；第二步：处理到达流量记录读取该流量记录的源IP地址、源端口和宿IP地址，将源IP地址赋值到48位比特串S的前32个比特，将源端口赋值到48位比特串S的后16个比特，将48位比特串S作为哈希函数F的输入，计算哈希值i，读取指针数组A的第i个指针，如果该指针为空指针，根据结构B生成一个新的结点，将指针数组A的第i个指针指向这个新生成的结点，进入第三步，如果该指针不为空，则进入第四步；第三步：初始化新结点设置这个新结点的源IP地址为该流量记录的源IP地址，这个新结点的源端口为该流量记录的源端口，这个新结点的第一个宿IP地址为该流量记录的宿IP地址，这个新结点的第二个宿IP地址设置为0，设置该新结点的指针为空指针，进入第六步；第四步：查找指针链表查找指针数组A的第i个指针指向的结点链表，如果在这个链表中找到一个结点，该结点的源IP地址等于该流量记录的源IP地址，该结点的源端口等于该流量记录的源端口，进入第五步，否则根据结构B生成一个新的结点，将指针数组A的第i个指针指向结点链表的最后一个指针指向这个新生成的结点，回到第三步；第五步：更新结点查找该结点的第一个宿IP地址，如果该流量记录的宿IP等于该结点的第一个宿IP地址，则进入第六步，否则查找该结点的第二个宿IP地址，如果该结点的第二个宿IP地址为0，则将该结点的第二个宿IP地址赋值为该流量记录的宿IP地址，进入第六步，如果该结点的第二个宿IP地址不为0，则直接进入第六步；第六步：测量结束如果测量结束，进入第七步，如果测量没有结束，等待一个新流量记录到达，如果一个新流量记录到达，回到第二步；第七步：测量结果输出查找指针数组A中的所有的结点，如果一个结点的第二个宿IP地址不为0，则说明该结点所对应的源IP地址和源端口号在测量时间范围内，向至少两个不同宿IP地址发送流量，该结点的源IP地址和源端口为服务方，输出该结点的源IP地址和源端口。