CN102333012A - P2p流量检测方法及装置 - Google Patents

Abstract

本发明提供了一种P2P流量检测方法及装置，其中，所述方法包括：S1、使用嗅探工具抓取互联网上的P2P应用的检测点数据流通信过程指定时间的会话数据包；S2、对抓取到的所有会话数据包的流量特征数据做统计分析，按TCP与UDP归纳；S3、在检测点观察P2P对等点的连接关系；S4、根据所述连接关系以及对应的TCP和/或UDP的统计等式计算P2P应用的流量。本发明可提高对特殊P2P流量检测的准确度，避免了引擎设备所出现严重的误判、漏判问题，是主要针对一些主流复杂应用的流量特征而定制的优化途径。

Description

P2P流量检测方法及装置

技术领域

本发明涉及网络技术领域，尤其涉及一种P2P流量检测方法及装置。

背景技术

互联网上大量的个人用户没有公有IP地址，多个客户端往往通过NAT技术共同享有一个IP，联网方式一般都是通过局域网接入因特网。

由于NAT的存在，P2P软件可使用各种穿越NAT的技术来实现直接通信，一般来说连接的发起者是处于NAT后的个人用户而不能是互联网上的用户。

传统通信模型与P2P通用通信模型的区别：传统通信模型是NAT后的节点和互联网上少数几个IP发生连接，该节点与这些IP发生的连接数较多，这是因为传统流量模型中用户要访问的资源集中在服务器上，所以需要建立更多的连接从而获得更高的通信带宽；而传统P2P通信模型是NAT后的对等点与互联网上多个不同的IP地址存在连接，该对等点和每个IP的连接数并不多，这是因为对等点总是倾向于把通信压力分布到各个节点上，而不是聚集到一个特定的节点。

由于大部分P2P应用为了逃避端口检测，往往采用随机选取端口的方式来指定监听端口，而NAT后的对等点总是主动连接互联网上的对等点，故随机选取端口的方式表现在流量特征上就是互联网上这些对等点的监听端口是随机的。源端口的选择遵循如下规律：TCP源端口随机选择，UDP源端口尽量使用相同的端口号。

目前互联网上一些主流P2P应用往往是多种传输方式、多种资源整合技术相结合的软件，这些P2P应用所表现出的流量特征远远比一般的P2P应用流量特征要复杂的很多，而DPI设备在检测目前互联网上这些优秀的主流P2P应用或检测到未知P2P应用流量或P2P加密流量时，容易出现严重的误判、漏判。

发明内容

为了解决上述问题，本发明提供了一种P2P流量检测方法及装置，该P2P流量检测方法及装置可针对DPI设备检测互联网上P2P应用流量或P2P加密流量。

具体技术方案如下：

本发明实施例提供的一种P2P流量检测方法，包括：

S1、使用嗅探工具抓取互联网上的P2P应用的检测点数据流通信过程指定时间的会话数据包； 

S2、对抓取到的所有会话数据包的流量特征数据做统计分析，按TCP与UDP归纳； 

S3、在检测点观察P2P对等点的连接关系； 

S4、根据所述连接关系以及对应的TCP和/或UDP的统计等式计算P2P应用的流量。

作为本发明的进一步改进，所述S2步骤前还包括：重复多次所述S1步骤。

作为本发明的进一步改进，TCP与UDP被统计的流量特征包括：不同源端口数、不同目标端口数、不同目标地址数。

作为本发明的进一步改进，所述S4步骤具体包括：

根据所述连接关系以及对应的TCP和/或UDP的统计等式进行测试，调整相关阈值；

根据所述阈值判断P2P应用的流量。

本发明实施例提供的一种P2P流量检测装置，包括：

抓取单元，用于使用嗅探工具抓取互联网上的P2P应用的检测点数据流通信过程指定时间的会话数据包； 

统计单元，用于对抓取到的所有会话数据包的流量特征数据做统计分析，按TCP与UDP归纳； 

观察单元，用于在检测点观察P2P对等点的连接关系； 

计算单元，用于根据所述连接关系以及对应的TCP和/或UDP的统计等式计算P2P应用的流量。

作为本发明的进一步改进，所述执行所述统计单元前重复执行多次所述抓取单元。

作为本发明的进一步改进，TCP与UDP被统计的流量特征包括：不同源端口数、不同目标端口数、不同目标地址数。

作为本发明的进一步改进，所述计算单元还用于：

根据所述连接关系以及对应的TCP和/或UDP的统计等式进行测试，调整相关阈值；

根据所述阈值判断P2P应用的流量。

由以上技术方案可以看出，本发明可提高对特殊P2P流量检测的准确度，避免了引擎设备所出现严重的误判、漏判问题，是主要针对一些主流复杂应用的流量特征而定制的优化途径。

【附图说明】

图1是本发明一实施方式P2P流量检测方法的流程图；

图2是本发明一实施方式P2P流量检测装置的模块示意图。

【具体实施方式】

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。

如图1所示，在本发明一实施方式中，所述P2P流量检测方法包括：

S1、使用嗅探工具抓取互联网上的P2P应用（譬如：迅雷，皮皮影视客户端等等）的检测点数据流通信过程指定时间的会话数据包；优选地，为了提高数据的准确度，可以重复此步骤多次；

S2、对抓取到的所有会话数据包的流量特征数据做统计分析，按TCP与UDP归纳；优选地，所有TCP与UDP会话被统计的主要流量特征包括：不同源端口数、不同目标端口数、不同目标地址数。其中，TCP与UDP方式归纳为本领域普通技术人员的公知常识，在此不再赘述；

S3、在检测点观察P2P对等点的连接关系；优选地，在任一时刻在检测点观察P2P对等点A，它有可能处于公网上或处于常用的NAT、对称NAT后。

S4、根据所述连接关系以及对应的TCP和/或UDP的统计等式计算P2P应用的流量。优选地，只要满足对应的TCP和/或UDP统计等式，则认为该流量为P2P流量。

其中，在不同连接关系中，TCP和UDP的统计等式可为：

TCP流量特征：

①假如A和互联网上n个节点存在连接，A和任意一个节点之间存在n2（n2>1）条TCP连接，该连接由A发起，发起这样的多条连接为P2P的多线程连接，这里要引入一个变量，即要统计使用多线程连接的不同目的地址数TCP_Tdiff_dest（设备里设为可调）；值满足如下等式：2≤TCP_Tdiff_dest；2≤n2≤10。

②假如A和互联网上n个节点存在连接，A和任意一个节点之间至多存在一条TCP连接，如果计算这些连接的不同目的地址数TCP_Pdiff_dest，这些连接的目的端口将不纳入判断条件,不同源端口数TCP_Pdiff_sport；这些值满足如下等式（n3为阀值，可调）：TCP_Pdiff_dest=n  n≥n3；TCP_Pdiff_sport= TCP_Pdiff_dest。

③假如A和互联网上n个节点存在连接，A和任意一个节点之间至多存在一条TCP连接，如果计算这些连接的不同目的地址数TCP_Ddiff_dest（设备里设为可调），且这些连接的目的端口都相同,不同源端口数TCP_Ddiff_sport；这些值满足如下等式（n4为阀值，可调）：TCP_Ddiff_dest=n，n≥n4；TCP_Ddiff_sport= TCP_Ddiff_dest。

④假如A和任意一个节点之间先后存在多条TCP连接，且这些连接的源端口不同，目的地址与目的端口都相同，将与此目的地址通信的所有TCP连接看作一个连接，划入②中进行统计，查询，判断；最后将与此目的地址通信的所有连接都归为P2P流量。

值得一提的是：为了提高准确性，可在针对单个应用可以作相应的的动态调节。

UDP流量特征：

①假如检测点A处于公网上或处于常用的NAT后，使用与P2P通用流量特征UDP流量特征相同的描述，满足如下等式（n5为阀值，可调）：UDP_Pdiff_sport<<n；UDP_Pdiff_dest=UDP_Pdiff_dport，n≥n5；UDP_Pdiff_dest=n

②假如A和互联网上n个节点存在连接，A和任意一个节点之间至多存在一条UDP连接，如果计算这些连接的不同目的地址数UDP_Ddiff_dest（设备里设为可调），且这些连接的目的端口都相同,不同源端口数UDP_Ddiff_sport；这些值满足如下等式（n6为阀值，可调）：UDP_Ddiff_dest=n  n≥n6；UDP_Ddiff_sport= UDP_Ddiff_dest；或者UDP_Ddiff_dest=n  n≥n6；UDP_Ddiff_sport= 1。

③假如检测点A和互联网上n个节点存在连接，A和任意一个节点之间至多存在一条UDP连接，如果计算这些连接的不同目的地址数UDP_Sdiff_dest，这些连接的源端口将不纳入判断条件,不同目的端口数UDP_Sdiff_dport；这些值满足如下等式（n7为阀值，可调）：UDP_Sdiff_dest=n  n≥n7（n7测试时设为20）；UDP_Sdiff_dport= UDP_Sdiff_dest。

④假如A和互联网上n个节点存在连接，A和任意一个节点之间存在多条UDP连接，这样的多条UDP连接的目的端口不相同，且这些连接的源端口都相同，可以将与此目的地址通信的所有UDP连接看作一个连接，划入①中进行统计，查询，判断；最后将与此目的地址通信的所有连接都归为P2P流量；计算这些连接的不同目的地址数UDP_PHdiff_dest，这个值满足如下等式（n8为阀值，可调）：UDP_PHdiff_dest=n，n≥n8。

大量的这样的检测点A和任意一个节点之间存在2条UDP连接，其中一条连接仅是【A→B】的单方向数据传送，而没有【B→A】的应答包，一般可能是检测NAT设备类型的通信特征。

一般情况下，只要发现上列的等式成立，就可以认为是P2P流量，考虑到准确性，才将其划入①中再判断。

⑤假如A和任意一个节点之间先后存在多条UDP连接，且这些连接的源端口不同，目的地址与目的端口都相同，将与此目的地址通信的所有UDP连接看作一个连接，划入③中进行统计，查询，判断；最后将与此目的地址通信的所有连接都归为P2P流量；计算这些连接的不同目的地址数UDP_SHdiff_dest，这个值满足如下等式（n9为阀值，可调）：UDP_SHdiff_dest=n  n≥n9。

一般情况下，只要发现上列的等式成立，就可以认为是P2P流量，考虑到准确性（以及PPFILM的特殊情况），才将其划入③中再判断。

由于整个互联P2P网络的时间上和空间上都在不停地动态变化着，各种应用或协议也是在升级与更新，各个P2P应用网络拓扑的复杂度和网络节点的活跃度也在不停改变，这样需要不停地测试，调整阈值，将阀值n2、n3、n4、n5、n6、n7、n8、n9设置为一个合理的值完全能够使P2P和非P2P有效区分。

如图2所示，在本发明一实施方式中，所述P2P流量检测装置包括：

抓取单元，用于使用嗅探工具抓取互联网上的P2P应用（譬如：迅雷，皮皮影视客户端等等）的检测点数据流通信过程指定时间的会话数据包的；优选地，为了提高数据的准确度，可以重复进行多次抓取；

统计单元，用于对抓取到的所有会话数据包的流量特征数据做统计分析，按TCP与UDP归纳；优选地，所有TCP与UDP会话被统计的主要流量特征包括：不同源端口数、不同目标端口数、不同目标地址数。其中，TCP与UDP方式归纳为本领域普通技术人员的公知常识，在此不再赘述；

观察单元，用于在检测点观察P2P对等点的连接关系；优选地，在任一时刻在检测点观察P2P对等点A，它有可能处于公网上或处于常用的NAT、对称NAT后。

计算单元，用于根据所述连接关系以及对应的TCP和/或UDP的统计等式计算P2P应用的流量。优选地，只要满足对应的TCP和/或UDP统计等式，则认为该流量为P2P流量。

其中，在不同连接关系中，TCP和UDP的统计等式可为：

TCP流量特征：

①假如A和互联网上n个节点存在连接，A和任意一个节点之间存在n2（n2>1）条TCP连接，该连接由A发起，发起这样的多条连接为P2P的多线程连接，这里要引入一个变量，即要统计使用多线程连接的不同目的地址数TCP_Tdiff_dest（设备里设为可调）；值满足如下等式：2≤TCP_Tdiff_dest；2≤n2≤10。

②假如A和互联网上n个节点存在连接，A和任意一个节点之间至多存在一条TCP连接，如果计算这些连接的不同目的地址数TCP_Pdiff_dest，这些连接的目的端口将不纳入判断条件,不同源端口数TCP_Pdiff_sport；这些值满足如下等式（n3为阀值，可调）：TCP_Pdiff_dest=n  n≥n3；TCP_Pdiff_sport= TCP_Pdiff_dest。

③假如A和互联网上n个节点存在连接，A和任意一个节点之间至多存在一条TCP连接，如果计算这些连接的不同目的地址数TCP_Ddiff_dest（设备里设为可调），且这些连接的目的端口都相同,不同源端口数TCP_Ddiff_sport；这些值满足如下等式（n4为阀值，可调）：TCP_Ddiff_dest=n，n≥n4；TCP_Ddiff_sport= TCP_Ddiff_dest。

④假如A和任意一个节点之间先后存在多条TCP连接，且这些连接的源端口不同，目的地址与目的端口都相同，将与此目的地址通信的所有TCP连接看作一个连接，划入②中进行统计，查询，判断；最后将与此目的地址通信的所有连接都归为P2P流量。

值得一提的是：为了提高准确性，可在针对单个应用可以作相应的的动态调节。

UDP流量特征：

①假如检测点A处于公网上或处于常用的NAT后，使用与P2P通用流量特征UDP流量特征相同的描述，满足如下等式（n5为阀值，可调）：UDP_Pdiff_sport<<n；UDP_Pdiff_dest=UDP_Pdiff_dport，n≥n5；UDP_Pdiff_dest=n

②假如A和互联网上n个节点存在连接，A和任意一个节点之间至多存在一条UDP连接，如果计算这些连接的不同目的地址数UDP_Ddiff_dest（设备里设为可调），且这些连接的目的端口都相同,不同源端口数UDP_Ddiff_sport；这些值满足如下等式（n6为阀值，可调）：UDP_Ddiff_dest=n  n≥n6；UDP_Ddiff_sport= UDP_Ddiff_dest；或者UDP_Ddiff_dest=n  n≥n6；UDP_Ddiff_sport= 1。

③假如检测点A和互联网上n个节点存在连接，A和任意一个节点之间至多存在一条UDP连接，如果计算这些连接的不同目的地址数UDP_Sdiff_dest，这些连接的源端口将不纳入判断条件,不同目的端口数UDP_Sdiff_dport；这些值满足如下等式（n7为阀值，可调）：UDP_Sdiff_dest=n  n≥n7（n7测试时设为20）；UDP_Sdiff_dport= UDP_Sdiff_dest。

④假如A和互联网上n个节点存在连接，A和任意一个节点之间存在多条UDP连接，这样的多条UDP连接的目的端口不相同，且这些连接的源端口都相同，可以将与此目的地址通信的所有UDP连接看作一个连接，划入①中进行统计，查询，判断；最后将与此目的地址通信的所有连接都归为P2P流量；计算这些连接的不同目的地址数UDP_PHdiff_dest，这个值满足如下等式（n8为阀值，可调）：UDP_PHdiff_dest=n，n≥n8。

大量的这样的检测点A和任意一个节点之间存在2条UDP连接，其中一条连接仅是【A→B】的单方向数据传送，而没有【B→A】的应答包，一般可能是检测NAT设备类型的通信特征。

一般情况下，只要发现上列的等式成立，就可以认为是P2P流量，考虑到准确性，才将其划入①中再判断。

⑤假如A和任意一个节点之间先后存在多条UDP连接，且这些连接的源端口不同，目的地址与目的端口都相同，将与此目的地址通信的所有UDP连接看作一个连接，划入③中进行统计，查询，判断；最后将与此目的地址通信的所有连接都归为P2P流量；计算这些连接的不同目的地址数UDP_SHdiff_dest，这个值满足如下等式（n9为阀值，可调）：UDP_SHdiff_dest=n  n≥n9。

一般情况下，只要发现上列的等式成立，就可以认为是P2P流量，考虑到准确性（以及PPFILM的特殊情况），才将其划入③中再判断。

由于整个互联P2P网络的时间上和空间上都在不停地动态变化着，各种应用或协议也是在升级与更新，各个P2P应用网络拓扑的复杂度和网络节点的活跃度也在不停改变，这样需要不停地测试，调整阈值，将阀值n2、n3、n4、n5、n6、n7、n8、n9设置为一个合理的值完全能够使P2P和非P2P有效区分。

由上述说明可知，本发明应用了P2P通用流量检测和P2P特殊流量检测，使DPI引擎设备在检测互联网上P2P应用流量或P2P加密流量时，避免了DPI引擎设备出现严重的误判、漏判问题，特别是针对一些主流复杂应用（如迅雷、eMule等等）流量识别的准确度有了极大地提高。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本申请各个实施方式或者实施方式的某些部分所述的方法。

以上所描述的装置实施方式仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施方式方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

本申请可用于众多通用或专用的计算系统环境或配置中。例如：个人计算机、服务器计算机、手持设备或便携式设备、平板型设备、多处理器系统、基于微处理器的系统、置顶盒、可编程的消费电子设备、网络PC、小型计算机、大型计算机、包括以上任何系统或设备的分布式计算环境等等。

本申请可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本申请，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

应当理解，虽然本说明书按照实施方式加以描述，但并非每个实施方式仅包含一个独立的技术方案，说明书的这种叙述方式仅仅是为清楚起见，本领域技术人员应当将说明书作为一个整体，各实施方式中的技术方案也可以经适当组合，形成本领域技术人员可以理解的其他实施方式。

上文所列出的一系列的详细说明仅仅是针对本发明的可行性实施方式的具体说明，它们并非用以限制本发明的保护范围，凡未脱离本发明技艺精神所作的等效实施方式或变更均应包含在本发明的保护范围之内。

Claims (8)

1.一种P2P流量检测方法，其特征在于，所述P2P流量检测方法包括以下步骤：

S1、使用嗅探工具抓取互联网上的P2P应用的检测点数据流通信过程指定时间的会话数据包； 

S2、对抓取到的所有会话数据包的流量特征数据做统计分析，按TCP与UDP归纳； 

S3、在检测点观察P2P对等点的连接关系； 

S4、根据所述连接关系以及对应的TCP和/或UDP的统计等式计算P2P应用的流量。

2.根据权利要求1所述的方法，其特征在于，所述S2步骤前还包括：重复多次所述S1步骤。

3.根据权利要求1所述的方法，其特征在于，TCP与UDP被统计的流量特征包括：不同源端口数、不同目标端口数、不同目标地址数。

4.根据权利要求1所述的方法，其特征在于，所述S4步骤具体包括：

根据所述连接关系以及对应的TCP和/或UDP的统计等式进行测试，调整相关阈值；

根据所述阈值判断P2P应用的流量。

5.一种P2P流量检测装置，其特征在于，所述P2P流量检测装置包括：

抓取单元，用于使用嗅探工具抓取互联网上的P2P应用的检测点数据流通信过程指定时间的会话数据包； 

统计单元，用于对抓取到的所有会话数据包的流量特征数据做统计分析，按TCP与UDP归纳； 

观察单元，用于在检测点观察P2P对等点的连接关系； 

计算单元，用于根据所述连接关系以及对应的TCP和/或UDP的统计等式计算P2P应用的流量。

6.根据权利要求5所述的装置，其特征在于，所述执行所述统计单元前重复执行多次所述抓取单元。

7.根据权利要求5所述的装置，其特征在于，TCP与UDP被统计的流量特征包括：不同源端口数、不同目标端口数、不同目标地址数。

8.根据权利要求5所述的装置，其特征在于，所述计算单元还用于：

根据所述连接关系以及对应的TCP和/或UDP的统计等式进行测试，调整相关阈值；

根据所述阈值判断P2P应用的流量。

Images