天清汉马USG上网行为管理子系统中协议识别技术的研究和应用

摘要

随着网络的发展，用户的上网行为也变得越来越多样化，在政府部门和企业中用户的上网行为对网络的安全和性能产生了巨大的影响。为了对用户的上网行为进行管理，越来越多的政府部门和企业选择使用上网行为管理系统来完成这一工作。上网行为管理系统可以规范员工的上网行为、提高工作效率，比如禁止员工在工作时间聊天、打游戏、查看股票行情。上网行为管理系统还可以进行流量控制、分配带宽，使网络资源得到合理利用，比如阻断迅雷、BitTorrent、eMule等占用大量带宽的P2P应用或者进行限速，总之使用上网管理系统可以很方便的控制用户的上网行为。
　　 上网行为管理系统的一切功能都是建立在系统可以精确识别应用协议的基础之上的。上网行为管理系统根据特征库中的协议特征码来识别一种应用，因此协议特征码的精确性决定了上网管理系统的优劣。本人所做的工作就是提取各种应用协议的特征码并根据规定好的协议变量写出特征表达式然后添加到特征库中。本人完成了迅雷、eMule、QQ、中信证券股票软件、ku6视频网站等应用的协议特征提取工作。实验表明，本人提取出来的协议特征对应用协议的识别率为100％（eMule，迅雷目前只能限速，还不能完全阻断），误识别率为0。相比与其他企业的产品具有较高的协议识别精度。协议特征提取的过程中主要使用两种方法：一种是使用统计学的方法利用抓包工具抓取应用协议通信时产生的报文进行分析；另外一种是通过阅读源代码的方法提取应用协议特征，此种手段主要是针对加密的应用协议。本文主要描述了本人使用上述两种方法完成协议特征提取工作的过程。