CN102209032A - 一种用户自定义的应用识别方法及其设备 - Google Patents

Abstract

本发明公开了一种用户自定义的应用识别方法及其设备，所述方法包括以下步骤：步骤A，对待分析应用进行抓包；步骤B，提取数据包中的应用签名特征；步骤C，对所述应用签名特征进行编译；步骤D，加载所述编译后的签名特征。所述设备包括抓包模块、签名提取模块、签名编译模块、签名加载模块和应用识别测试模块。其中抓包模块用于获取数据包，签名提取模块用于提取数据包负载里的签名，签名编译模块用于对签名特征进行编译，签名加载模块用于加载编译后的签名，应用识别测试模块，用于测试应用能否被识别。本发明识别范围广泛、准确率高、可扩展性好，可作为网络设备功能实现。

Description

一种用户自定义的应用识别方法及其设备

技术领域

本发明涉及一种应用识别技术，尤其涉及一种用户自定义的应用识别方法及其设备。

背景技术

数据签名(Digital Signature)技术是不对称加密算法的典型应用，数字签名的过程是数据源发送方使用自己的私钥对数据校验和或其他与数据内容有关的变量进行加密处理，完成对数据的合法“签名”，数据接收方则利用对方的公钥来解读收到的“数字签名”，并将解读结果用于对数据完整性的检验，以确认签名的合法性。

数字签名被用来鉴别应用和协议特征的唯一性的手段，当一个新的应用及协议被发明，同样会有相应的签名，这个签名会被识别和添加到签名数据库中。同样签名也是会不断变化的，比如一个应用每升级一新的版本，可能就会有新的签名，如果应用在升级，而应用层的网络流控设备签名特征库不被更新的话，应用及协议就不能被应用层网络流控设备准确识别。

随着互联网技术的快速发展，承载在互联网上的新增应用也随之层出不穷，针对互联网上的新增应用的应用协议类型识别缺乏一种快速的反馈机制，将导致新增应用不能得到快速有效的支持。然而，实际操作中应用层网络流控设备签名特征库需要专业人员对其进行周期性的更新，操作繁琐、处理效率低。

发明内容

本发明的目的是提供一种快捷有效、识别范围广泛、处理效率高、操作灵活的用户自定义的应用识别方法及其设备。

本发明一方面提供了一种用户自定义的应用识别方法，该方法包括以下步骤：步骤A，对待分析应用进行抓包；步骤B，提取数据包中的应用签名特征；步骤C，对所述应用签名特征进行编译；步骤D，加载所述编译后的签名特征。

本发明第二方面提供了一种用户自定义的应用识别设备。该设备包括抓包模块、签名提取模块、签名编译模块、签名加载模块和应用识别测试模块。其中签名抓包模块用于获取数据包；签名提取模块用于提取数据包负载里的签名；签名编译模块用于对签名特征进行编译；签名加载模块用于加载编译后的签名；应用识别测试模块用于测试应用能否被识别。

本发明通过应用签名自动提取直接应用于用户的环境，由用户来操作，实现签名自动提取，生效以达到及时处理未识别应用，本发明识别范围广泛、处理效率高、可实现性强，可作为网络流控设备功能实现，可用于策略中的网络应用控制、带宽管理，并可进行网络应用时监控。

附图说明

本发明的示例性实施例将从下文中给出的详细说明和本发明不同实施例的附图中被更完全地理解，然而这不应该被视为将本发明限制于具体的实施例，而应该只是为了解释和理解。

图1为本发明的原理示意图；

图2为本发明一实施例的用户自定义的识别方法流程图；

图3为本发明一实施例的用户自定义的识别网络流控设备结构图。

具体实施方式

本领域的普通技术人员将意识到，所述示例性实施例的下述详细说明仅仅是说明性的，并且不是意在以任何方式加以限制。

图1为本发明的原理示意图。

在图1中，主机1中运行的应用程序通过网络流控设备2与应用服务器2进行交互。网络流控设备2对主机1中运行的应用进行识别和监控。当包括应用程序信息的数据包流径网络流控设备2时，网络流控设备2将获取数据包中的应用签名特征与设备中的签名特征库进行配比，通过配比结果来判断应用是否被网络流控设备2所识别。

图2为本发明一实施例的用户自定义的识别方法流程图。

在步骤S201，流程开始。

在步骤S202，对待分析应用进行抓包，针对网络流控设备对来自主机端的无法识别的应用进行抓包，优选地，可以通过主机端进行抓包操作，然后将获取的数据包加载到网络流控设备所提供的接口中。

在一个例子中，当网络流控设备中的签名库特征记录的是MSN13.0版本的签名，如果用户将MSN13.0版本升级到了MSN14.0版本后，相应的签名也随之更新，而流控设备中的签名特征库记录的MSN签名特征未及时更新，当用户通过MSN14.0版本进行登入操作时，由于的签名没有记载在网络流控设备中的签名特征库中，导致MSN14.0版本未被流控设备准确识别。在MSN14.0版本不能被流控设备识别时，用户需要对该应用进行抓包，以提取该应用的签名，以达到及时处理未识别应用的目的。

在步骤S203，提取步骤S202所获取的数据包中的应用签名，对于数据包签名的提取可以采用GSM rule(通用签名匹配规则)、PDC content(内容解码器)、tuple(五元组信息)和PATTERN(应用包长模式匹配)的方法来实现。

在上一个例子中，在对应用进行多次抓包后，记录数据包的共性特征来获取该应用的签名，由于在数据传输过程中必定会出现且具有稳定的形态，优先选择会重复出现的特征字长串，例如针对MSN14.0版本进行抓包后所获取的数据包固定包长。

在另一个例子中，通过数据包TRACE方法提取PPLIVE应用层签名特征为例说明。当对PPLIVE应用进行多次抓包时，通过跟踪分析它的TCP建立连接后第一个报文只有4BYTE的数据，内容为**、0X00、0X00和0X00.其中**表示非0.而通过跟踪分析它的UDP连接的每个报文，其大量报文首部字节为0XE9、0X03、**、**、0X98和0XAB，其中**表示任意字节。因此提取PPLIVE的签名特征如下：

1、TCP数据传输的签名特征。TCP建立连接后第一个报文只有4BYTE的数据，内容为**、0X00、0X00和0X00.其中**表示非0.

2、UDP数据传输的签名特征。报文前6字节为0XE9、0X03、**、**、0X98和0XAB，其中**表示任意字节。

在步骤S204，对在步骤S203中提取的应用签名进行编译，配制签名相应的信息，如签名的的标识、描述等信息。

在步骤S205，将编译后的签名加载到网络流控设备签名特征库中。

在步骤S206，对待分析应用进行识别测试，如果待分析应用的签名特征的标识及描述等信息与编译后的签名标识、描述信息比对一致，则测试成功，进入步骤S207分析结束，否则返回到步骤S201中。

在步骤S207，流程结束。

图3为本发明一实施例的用户自定义的识别网络流控设备结构图。301表示抓包模块，302表示签名提取模块，303表示签名编译模块、304表示签名加载模块，305表示应用测试模块，以及306表示签名特征库。

抓包模块301用于在应用无法被网络流控设备所识别的情况下对其执行抓包操作。

签名提取模块302用于提取抓包模块301所获取的数据包中的应用签名。

签名编译模块303用于对签名提取模块302所获取的签名进行编译，编辑签名相应的基本信息，如签名的的标识、描述等信息。

签名加载模块304用于加载由签名编译模块303编译后的签名，将经过编译的签名加载到流控设备签名特征库306中。

应用识别测试模块305用于测试应用能否被识别，对待分析应用进行识别测试，如果待分析应用的签名特征的标识及描述等信息与编译后的签名标识、描述信息比对一致，则测试成功，否则返回到抓包模块301。

需要说明的是，该网络流控设备可以是一个独立的网络设备，也可以是以一个模块形式存储在于网关、上网行为管理等网络设备中。

尽管已经示出并描述了本发明的特殊实施例，然而在不背离本发明的示例性实施例及其更宽广方面的前提下，本领域技术人员显然可以基于此处的教学做出变化和修改。因此，所附的权利要求意在将所有这类不背离本发明的示例性实施例的真实精神和范围的变化和更改包含在其范围之内。

Claims (8)

1.一种用户自定义的应用识别方法，其特征在于，包括以下步骤：

步骤A，对来自主机端的待分析应用进行抓包；

步骤B，提取数据包中的应用签名特征；

步骤C，对所述应用签名特征进行编译；

步骤D，加载所述编译后的签名特征。

2.根据权利要求1所述的方法，其特征在于：所述对待分析应用进行抓包的步骤A包括在主机端对待分析应用进行抓包操作。

3.根据权利要求1所述的方法，其特征在于：所述步骤D加载所述编译后的签名特征还需要通过测试步骤判断是否被成功识别。

4.根据权利要求1所述的方法，其特征在于：所述步骤B提取数据包中的应用签名特征包括通过应用包长模式匹配方式提取签名特征。

5.根据权利要求1所述的方法，其特征在于：所述步骤B提取数据包中的应用签名特征包括记录数据包中的共性特征来提取签名。

6.根据权利要求1所述的方法，其特征在于：所述步骤C对所述应用签名特征进行编译包括对所述应用签名特征的标识和描述进行配制。

7.根据权利要求1所述的方法，其特征在于：所述步骤D加载所述编译后的签名特征包括对所述编译后的签名特征添加到签名特征库中。

8.一种用户自定义的应用识别设备，其特征在于：包括：

抓包模块，用于获取数据包；

签名提取模块，用于提取数据包负载里的签名；

签名编译模块，用于对签名特征进行编译；

签名加载模块，用于加载编译后的签名；

应用识别测试模块，用于测试应用能否被识别。

Images