基于协议内容识别和行为识别的P2P协议识别方法

摘要

本发明提供一种基于协议内容识别和行为识别的P2P协议识别方法，包括以下步骤：S1、建立协议特征库：提取采用P2P协议的应用的协议内容特征和行为识别特征，进行加载及编译，形成协议特征库；S2、监控主机流量，将待识别应用与所述协议特征库进行匹配，确定所述待识别应用采用的协议类型；本发明利用协议内容识别特征的准确性和协议行为识别方式识别机制的高效性，通过延迟关联技术来识别P2P应用协议，提高了P2P协议的识别率，细化了P2P协议识别的粒度，进而实现对应用网络流量的精确控制。

说明书

技术领域

本发明涉及计算机网络安全领域，特别涉及一种基于协议内容识 别和行为识别的P2P协议识别方法。

背景技术

协议识别，是指对网络链路上传输的流量所使用的协议类型进行 识别。传统的协议识别主要有两种方法：一种是基于扫描报文内容进 行识别的技术，该方法主要采用扫描报文内容并与预先提取的协议特 征库对比的手段进行识别，比如BT协议报文会包含“BitTorrent  protocol”关键字，根据这些关键字进行识别，该识别方法准确率高， 但是对于加密链接和无关键字特征的应用，则不起作用。

另一种识别方法是基于统计报文信息的数据模型进行的识别，其 统计对象包括IP地址、端口、报文负载以及报文速率等，该方法识别 效率高，且可以识别加密链接，但是其识别率差，误识别率较高。

基于此，现有技术仍有待于改善。

发明内容

针对现有技术的不足，本发明提供一种基于协议内容识别和行为 识别的P2P协议识别方法，其能够提高P2P协议的识别率，细化P2P协议 识别的粒度，进而实现对应用网络流量的精确控制。

为实现以上目的，本发明通过以下技术方案予以实现：

本发明提供一种基于协议内容识别和行为识别的P2P协议识别方 法，其特征在于，包括以下步骤：

S1、建立协议特征库：提取采用P2P协议的应用的协议内容特征和 行为识别特征，进行加载及编译，形成协议特征库；

S2、监控主机流量，将待识别应用与所述协议特征库进行匹配， 确定所述待识别应用采用的协议类型。

优选的，所述步骤S2进一步包括：

监控主机流量，将待识别应用与所述协议特征库进行匹配，若所 述待识别应用与所述协议特征库中的协议内容特征匹配，则将所述待 识别应用标识为采用P2P协议的应用，并记录该待识别应用的出现事 件，将所述该识别应用加入到历史P2P应用识别事件表中，且放弃对所 述待识别应用的流量监控。

优选的，所述步骤S2进一步包括：对所述加入到历史P2P应用识别 事件表中的应用设置超时时间。

优选的，所述步骤S2进一步包括：

监控主机流量，将待识别应用与所述协议特征库进行匹配，若所 述待识别应用与所述协议特征库中的行为识别特征匹配，则将该待识 别应用标识为采用类P2P协议的应用。

优选的，所述步骤S2进一步包括：将所述采用类P2P协议的应用与 所述历史P2P应用识别事件表中的应用进行匹配，若匹配成功，则将所 述采用类P2P协议的应用标识为采用P2P协议的应用，且放弃对其的流 量监控；若匹配不成功，则对所述采用类P2P协议的应用继续进行流量 监控。

优选的，所述步骤S2进一步包括：在将所述采用类P2P协议的应用 与所述历史P2P应用识别事件表中的应用进行匹配时，先判断所述历史 P2P应用识别事件表中的应用是否超过了预设的超时时间，若是，则跳 过该应用，若不是，再将所述采用类P2P协议的应用与所述历史P2P应 用识别事件表中的应用进行匹配。

优选的，所述步骤S2进一步包括：预设报文数量阀值，判断处于 流量监控状态的所述采用类P2P协议的应用报文数是否超过所述报文 数量阀值，若不是，则继续对其进行流量监控；若是，则放弃对其的 流量监控，并将该应用最终标识为采用类P2P协议的应用。

优选的，所述步骤S2进一步包括：

监控主机流量，将待识别应用与所述协议特征库进行匹配，若所 述待识别应用与所述协议特征库中的协议内容特征及行为识别特征均 不匹配，则将所述待识别应用标识为未知应用。

本发明通过提供一种基于协议内容识别和行为识别的P2P协议识 别方法，利用协议内容识别特征的准确性和协议行为识别方式识别机 制的高效性，通过延迟关联技术来识别P2P应用协议，提高了P2P协议 的识别率，细化了P2P协议识别的粒度，进而实现对应用网络流量的精 确控制。

附图说明

图1为本发明一实施例的流程图。

具体实施方式

下面对于本发明所提出的一种基于协议内容识别和行为识别的 P2P协议识别方法，结合附图和实施例详细说明。

如图1所示，本发明提供一种基于协议内容识别和行为识别的P2P 协议识别方法，其特征在于，包括以下步骤：

S1、建立协议特征库：提取采用P2P协议的应用的协议内容特征和 行为识别特征，进行加载及编译，形成协议特征库；

S2、监控主机流量，将待识别应用与所述协议特征库进行匹配， 确定所述待识别应用采用的协议类型。

优选的，所述步骤S2进一步包括：

监控主机流量，将待识别应用与所述协议特征库进行匹配，若所 述待识别应用与所述协议特征库中的协议内容特征匹配，则将所述待 识别应用标识为采用P2P协议的应用，并记录该待识别应用的出现事 件，将所述该识别应用加入到历史P2P应用识别事件表中，且放弃对所 述待识别应用的流量监控。

优选的，所述步骤S2进一步包括：对所述加入到历史P2P应用识别 事件表中的应用设置超时时间。

优选的，所述步骤S2进一步包括：

监控主机流量，将待识别应用与所述协议特征库进行匹配，若所 述待识别应用与所述协议特征库中的行为识别特征匹配，则将该待识 别应用标识为采用类P2P协议的应用。

优选的，所述步骤S2进一步包括：将所述采用类P2P协议的应用与 所述历史P2P应用识别事件表中的应用进行匹配，若匹配成功，则将所 述采用类P2P协议的应用标识为采用P2P协议的应用，且放弃对其的流 量监控；若匹配不成功，则对所述采用类P2P协议的应用继续进行流量 监控。

优选的，所述步骤S2进一步包括：在将所述采用类P2P协议的应用 与所述历史P2P应用识别事件表中的应用进行匹配时，先判断所述历史 P2P应用识别事件表中的应用是否超过了预设的超时时间，若是，则跳 过该应用，若不是，再将所述采用类P2P协议的应用与所述历史P2P应 用识别事件表中的应用进行匹配。

优选的，所述步骤S2进一步包括：预设报文数量阀值，判断处于 流量监控状态的所述采用类P2P协议的应用报文数是否超过所述报文 数量阀值，若不是，则继续对其进行流量监控；若是，则放弃对其的 流量监控，并将该应用最终标识为采用类P2P协议的应用。

优选的，所述步骤S2进一步包括：

监控主机流量，将待识别应用与所述协议特征库进行匹配，若所 述待识别应用与所述协议特征库中的协议内容特征及行为识别特征均 不匹配，则将所述待识别应用标识为未知应用。

本发明通过提供一种基于协议内容识别和行为识别的P2P协议识 别方法，利用协议内容识别特征的准确性和协议行为识别方式识别机 制的高效性，通过延迟关联技术来识别P2P应用协议，提高了P2P协议 的识别率，细化了P2P协议识别的粒度，进而实现对应用网络流量的精 确控制。

以上实施方式仅用于说明本发明，而并非对本发明的限制，有关 技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下， 还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明 的范畴，本发明的专利保护范围应由权利要求限定。