CN105812188A - 流量识别方法及装置 - Google Patents

Abstract

本发明实施例公开了一种流量识别方法，所述方法包括：接收客户端发送的进程信息；根据预设的进程和应用类型的对照关系将所述进程信息转换为应用识别信息；接收待识别的数据流，根据所述应用识别信息和所述数据流的五元组信息，识别所述数据流的应用类型。本发明实施例还公开一种流量识别装置。

Description

流量识别方法及装置

技术领域

本发明涉及通信领域中的网络管理技术，尤其涉及一种流量识别方法及装置。

背景技术

随着互联网技术的迅速发展，网络应用日趋丰富，从而使得网络应用产生的流量呈现爆炸式增长，流量种类也越来越复杂。随之而来的是层出不穷的各种网络问题，例如一些下载类应用消耗大量带宽，造成网络拥塞，影响其他用户的网络体验。因此，能正确地识别出各类网络流量是管理网络的基础。

现有的流量识别方法有：一、依靠端口进行流量识别的方法，该方法是根据传输控制协议(TransmissionControlProtocol，TCP)数据包或用户数据报协议(UserDatagramProtocol，UDP)数据包首部的源端口号或目的端口号识别一些常见应用的流量。二、基于预置规则库进行流量识别的方法，该方法应用字符特征进行匹配识别，通过对数据包的内容进行解析，并将解析后的字符内容与预置规则库进行匹配，从而识别出是哪个应用产生的流量。

依靠端口进行流量识别的方法，端口和包长度等容易被伪造和变化，准确率低；基于预置规则库进行流量识别的方法，生成规则库需要消耗一定的时间，并且其生产成本高、开销大，因而识别效率低。

发明内容

为解决上述技术问题，本发明实施例期望提供一种流量识别方法及装置，用于高效、准确地识别流量所属的应用类型。

本发明的技术方案是这样实现的：

本发明实施例提供一种流量识别方法，所述方法包括：

接收客户端发送的进程信息；

根据预设进程和应用类型的对照关系，将所述进程信息转换为应用识别信息；

接收待识别的数据流，根据所述应用识别信息和所述数据流的五元组信息，识别所述数据流的应用类型。

上述方案中，进程属性值和与进程对应的五元组信息。

上述方案中，所述应用识别信息包括：应用类型和与所述应用类型对应的五元组信息；

所述根据预设进程和应用类型的对照关系，将所述进程信息转换为应用识别信息，包括：

将所述进程信息中的进程属性值，通过所述进程和应用类型的对照关系转换为应用类型；

根据所述应用类型，将所述进程信息中进程对应的五元组信息，转换为所述应用识别信息中应用类型对应的五元组信息。

本发明实施例提供一种流量识别方法，所述方法包括：

记录进程属性值和进程对应的五元组信息，得到进程信息；

将所述进程信息发送给服务端。

上述方案中，所述将所述进程信息发送给服务端之前，所述方法还包括：

将所述进程信息经过预设的白名单信息进行过滤，得到过滤后的进程信息；

相应的，所述将所述进程信息发送给服务端为：将过滤后的进程信息发送给服务端。

本发明实施例提供一种流量识别装置，所述装置包括：

接收模块，用于接收客户端发送的进程信息；还用于接收待识别的数据流；

转换模块，用于根据预设的进程和应用类型的对照关系将所述进程信息转换为应用识别信息；

识别模块，用于根据所述应用识别信息和所述数据流的五元组信息，识别所述数据流的应用类型。

上述方案中，所述进程信息包括：进程属性值和与进程对应的五元组信息。

上述方案中，所述应用识别信息包括：应用类型和与所述应用类型对应的五元组信息；

所述转换模块具体用于：

将所述进程信息中的进程属性值，通过所述进程和应用类型的对照关系转换为应用类型；

根据所述应用类型，将所述进程信息中进程对应的五元组信息，转换为所述应用识别信息中应用类型对应的五元组信息。

本发明实施例提供一种流量识别装置，所述装置包括：

记录模块，用于记录进程属性值和进程对应的五元组信息，得到进程信息；

发送模块，用于将所述进程信息发送给服务端(服务端可以改为服务端)。

上述方案中，所述装置还包括：

过滤模块，用于将所述进程信息经过预设的白名单信息进行过滤，得到过滤后的进程信息；

相应的，所述发送模块为：将过滤后的进程信息发送给服务端。

本发明实施例提供了一种流量识别方法及装置，服务端通过接收客户端发送的进程信息，并根据服务端中预设的进程和应用类型的对照关系将进程信息转换为应用识别信息；由此，服务端接收到待识别的数据流后，可以根据该数据流的五元组信息，通过查找应用识别信息来识别该五元组信息对应的应用类型，从而识别数据流的具体应用类型。该方法中的应用识别信息是根据客户端发送的进程信息同步更新的，因而数据流的识别和进程是同步的，因此，能准确识别得到的应用类型；且在识别过程中仅需要接收和查找相应的信息，因此，识别效率较高。

附图说明

图1为本发明提供的流量识别方法实施例一的流程示意图；

图2为本发明提供的流量识别方法实施例一的流程示意图；

图3为本发明提供的流量识别方法实施例三的流程示意图；

图4为本发明提供的客户端和服务端进行交互的流程示意图；

图5为本发明提供的流量识别装置实施例一的结构示意图；

图6为本发明提供的流量识别装置实施例二的结构示意图；

图7为本发明提供的流量识别装置实施例三的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。

本发明实施例的客户端可以是广义上的所有设备，只要这些设备有进程，并且和外界进行通信通过服务端就可以。服务端作为客户端和外界通信的媒介，可以为防火墙等硬件、固件或者软件。

图1为本发明提供的流量识别方法实施例一的流程示意图，如图1所示，本实施例的执行主体是服务端，所述方法包括：

步骤101：接收客户端发送的进程信息。

其中，进程信息包括进程属性值和进程对应的五元组信息，其中，进程的属性值可以为：进程名，进程的MD5值，数字签名，序列号或其他属性值，以防止进程被篡改和被伪造。进程信息可以采用进程信息表的形式进行存储；该五元组指的是源网络协议(InternetProtocol，IP)地址、源端口、目的IP地址、目的端口和传输层协议，这五个量组成的一个集合。服务端接收客户端发送的进程信息，该进程信息也可以为多个客户端模块的多个进程信息，服务端接收到这些进程信息后，交给服务端的数据处理模块进行处理。

步骤102：根据预设的进程和应用类型的对照关系，将进程信息转换为应用识别信息。

在本步骤中，应用识别信息包括：应用类型和与所述应用类型对应的五元组信息；所述应用识别信息可以采用应用识别信息表的形式进行存储。

服务端通过自身数据处理模块中预设的进程和应用类型的对照关系，将接收到的进程信息中的进程属性值与进程和应用类型的对照关系中的应用类型一一对应起来，并将应用类型和进程对应的五元组信息放入应用识别信息中，从而将进程信息转换为应用识别信息。其中，进程和应用类型的对照关系是预置到服务端的数据处理模块中的，是进程属性值到应用类型的映射关系；所述进程和应用类型的对照关系可以采用进程和应用类型的对照关系表的形式进行存储。

步骤103：接收待识别的数据流，根据应用识别信息和数据流的五元组信息，识别数据流的应用类型。

在本步骤中，服务端接收到待识别的数据流后，服务端的识别模块可根据待识别的数据流中的五元组信息，通过查找上述得到的应用识别信息进行识别。由于应用识别信息中包括了应用类型和对应的五元组信息，因而，根据接收到的待识别的数据流的五元组信息，在应用识别信息中找到该五元组信息对应的应用类型，从而可以识别出此数据流的具体应用类型。

本实施例的流量识别方法，通过接收客户端发送的进程信息，并将进程信息根据预设的进程和应用类型的对照关系转换为应用识别信息，从而在接收到待识别的数据流后，根据上述应用识别信息和数据流的五元组信息来识别数据流的应用类型。该方法中的应用识别信息是根据客户端发送的进程信息同步更新的，且在识别过程中仅需要接收和查找相应的信息，因此，可以准确高效的识别流量所属的应用类型；并且该方法在识别过程中只关心进程属性值和五元组信息，不关心数据包中的内容，所以对于加密流量也可以较好的识别。

进一步的，在实施例一的基础上，所述根据预设进程和应用类型的对照关系将所述进程信息转换为应用识别信息包括：

将所述进程信息中的进程属性值，通过所述进程和应用类型的对照关系转换为应用类型；

根据所述应用类型，将所述进程信息中进程对应的五元组信息，转换为所述应用识别信息中应用类型对应的五元组信息。

具体的，服务端的数据处理模块将进程信息中的进程属性值通过数据处理模块中预先设置的进程和应用类型的对照关系转换为应用类型，将应用类型和进程对应的五元组信息一一对应，并记录到一张表中得到应用识别信息表；即进程信息中包括了进程属性值和进程对应的五元组信息，进程和应用类型的对照关系中包括了进程属性值和进程属性值对应的应用类型，通过进程属性值的检索，将进程对应的五元组信息和应用类型关联起来，记录到应用识别信息表中，从而得到五元组信息到应用类型的映射关系。由此，在识别时就可以通过数据流的五元组信息，识别出数据流所属的应用类型。

其中，上述进程和应用类型的对照关系预先设置在服务端的数据处理模块中，该对照关系记录了进程属性值和进程属性值对应的应用类型，且服务端可以对该进程和应用类型的对照关系进行更新；或者，由用户定时进行更新，然后将更新后的进程和应用类型的对照关系再预置到服务端。

图2为本发明提供的流量识别方法实施例二的流程示意图，如图2所示，本实施例的执行主体是客户端，所述方法包括：

步骤201：记录进程属性值和进程对应的五元组信息，得到进程信息。

在本步骤中，客户端记录进程信息；具体的，记录进程属性值和进程属性值对应的五元组信息，从而得到进程信息。

在该过程中，客户端安装有客户端模块，每个客户端模块都会记录得到一组进程信息，可以通过一个进程信息表存储，因此，在客户端中，保存了多个客户端模块的进程信息。

进一步的，客户端还可以更新进程信息，该更新过程可以是实时或定时，具体根据系统性能和用户需求进行设置。

步骤202：将进程信息发送给服务端。

在本步骤中，客户端将记录的进程信息实时发送给服务端，以便服务端根据该进程信息进行后续的识别过程。

在该过程中，服务端的应用识别信息可根据客户端发送的进程信息来实时更新，为后续准确识别流量的应用类型奠定基础。

进一步的，客户端还可以定时向服务端发送进程信息，如果进程信息有更新，就将更新后的进程信息发送给服务端；如果没有更新，则发送上次更新后的进程信息。

本实施例的流量识别方法，客户端通过记录进程属性值和进程对应的五元组信息，得到进程信息，并实时的向服务端发送该进程信息。由于服务端的应用识别信息是根据客户端发送的进程信息转换而来的，服务端的应用识别信息的内容可以实时更新，因而数据流的识别和进程是同步的，使得服务端识别得到的应用类型准确，且在识别过程中仅需要接收和查找相应的信息，识别效率较高。

图3为本发明提供的流量识别方法实施例三的流程示意图，如图3所示，在实施例二的基础上，所述方法包括：

步骤201：记录进程属性值和进程对应的五元组信息，得到进程信息。

步骤201在实施例一中已进行详细描述，此处不再赘述。

步骤2011：将进程信息经过预设的白名单信息进行过滤，得到过滤后的进程信息。

在本步骤中，将上述进程信息分别经过预设的白名单信息进行过滤，其中，白名单信息中记录了一些特殊的进程属性值，这些名单中的进程属性值是不发送到服务端的，且这些白名单信息是客户端自定义的或者由用户设置的。由此，可以避免将一些私密信息发送给服务端进行识别，泄露用户信息；或者避免将垃圾信息发送给服务端进程识别而降低服务端的识别效率。

步骤203：将过滤后的进程信息发送给服务端。

本实施例的流量识别方法，客户端通过将记录的进程信息预先经过白名单的过滤，从而可以将进程信息中一些特殊的进程属性值去掉，进一步提高识别效率。

图4为本发明提供的客户端和服务端进行交互的流程示意图，如图4所示，包括客户端和服务端，其中，上述的进程信息、白名单信息、进程和应用类型的对照关系以及应用识别信息分别用进程信息表、白名单表、进程和应用类型对照表以及应用识别表来表示。客户端的客户端模块分别将经过白名单表过滤后的进程信息表发送给服务端的数据处理模块，服务端的数据处理模块根据预设的进程和应用类型对照表将进程信息表转换为应用识别信息表，在接收到待识别的数据流后，服务端的识别模块根据该应用识别信息表和数据流的五元组信息，识别出数据流的应用类型。

图5为本发明提供的流量识别装置实施例一的结构示意图，如图5所示，所述装置包括：

接收模块11，用于接收客户端发送的进程信息；还用于接收待识别的数据流；

转换模块12，用于根据预设的进程和应用类型的对照关系将所述进程信息转换为应用识别信息；

识别模块13，用于根据所述应用识别信息和所述数据流的五元组信息，识别所述数据流的应用类型。

本实施例的流量识别装置，服务端的接收模块通过接收客户端发送的进程信息，转换模块将进程信息根据预设的进程和应用类型的对照关系转换为应用识别信息，从而在接收到待识别的数据流后，识别模块根据上述应用识别信息和数据流的五元组信息来识别数据流的应用类型。该装置中的应用识别信息是根据客户端发送的进程信息同步更新的，所以数据流的识别和进程是同步的，且在识别过程中仅需要接收和查找相应的信息，因此，可以准确高效的识别流量所属的应用类型。

进一步的，所述进程信息包括：进程属性值和与进程对应的五元组信息。

进一步的，所述应用识别信息包括：应用类型和与所述应用类型对应的五元组信息；在实施例一的基础上，所述转换模块12具体用于：

将所述进程信息中的进程属性值，通过所述进程和应用类型的对照关系转换为应用类型；

根据所述应用类型，将所述进程信息中进程对应的五元组信息，转换为应用识别信息中应用类型对应的五元组信息。

图6为本发明提供的流量识别装置实施例二的结构示意图，如图6所示，所述装置包括：

记录模块21，用于记录进程属性值和进程对应的五元组信息，得到进行信息更发送模块22，用于将所述进程信息发送给服务端。

图7为本发明提供的流量识别装置实施例三的结构示意图，如图7所示，所述装置还包括：

过滤模块23，用于将所述进程信息经过预设的白名单进行过滤，得到过滤后的进程信息；

相应的，所述发送模块22为：将过滤后的进程信息发送给服务端。

进一步的，所述装置还包括：更新模块24，用于更新进程信息。

在实际应用中，所述接收模块11、转换模块12、识别模块13、记录模块21、发送模块22、过滤模块23和更新模块24均可由位于终端的中央处理器(CPU)、微处理器(MPU)、数字信号处理器(DSP)、或现场可编程门阵列(FPGA)等实现。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用硬件实施例、软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (10)

1.一种流量识别方法，其特征在于，所述方法包括：

接收客户端发送的进程信息；

根据预设进程和应用类型的对照关系，将所述进程信息转换为应用识别信息；

接收待识别的数据流，根据所述应用识别信息和所述数据流的五元组信息，识别所述数据流的应用类型。

2.根据权利要求1所述的方法，其特征在于，所述进程信息包括：进程属性值和与进程对应的五元组信息。

3.根据权利要求2所述的方法，其特征在于，所述应用识别信息包括：应用类型和与所述应用类型对应的五元组信息；

所述根据预设进程和应用类型的对照关系，将所述进程信息转换为应用识别信息，包括：

将所述进程信息中的进程属性值，通过所述进程和应用类型的对照关系转换为应用类型；

根据所述应用类型，将所述进程信息中进程对应的五元组信息，转换为所述应用识别信息中应用类型对应的五元组信息。

4.一种流量识别方法，其特征在于，所述方法包括：

记录进程属性值和进程对应的五元组信息，得到进程信息；

将所述进程信息发送给服务端。

5.根据权利要求4所述的方法，其特征在于，所述将所述进程信息发送给服务端之前，所述方法还包括：

将所述进程信息经过预设的白名单信息进行过滤，得到过滤后的进程信息；

相应的，所述将所述进程信息发送给服务端为：将过滤后的进程信息发送给服务端。

6.一种流量识别装置，其特征在于，所述装置包括：

接收模块，用于接收客户端发送的进程信息；还用于接收待识别的数据流；

转换模块，用于根据预设的进程和应用类型的对照关系将所述进程信息转换为应用识别信息；

识别模块，用于根据所述应用识别信息和所述数据流的五元组信息，识别所述数据流的应用类型。

7.根据权利要求6所述的装置，其特征在于，所述进程信息包括：进程属性值和与进程对应的五元组信息。

8.根据权利要求7所述的装置，其特征在于，所述应用识别信息包括：应用类型和与所述应用类型对应的五元组信息；

所述转换模块具体用于：

将所述进程信息中的进程属性值，通过所述进程和应用类型的对照关系转换为应用类型；

根据所述应用类型，将所述进程信息中进程对应的五元组信息，转换为所述应用识别信息中应用类型对应的五元组信息。

9.一种流量识别装置，其特征在于，所述装置包括：

记录模块，用于记录进程属性值和进程对应的五元组信息，得到进程信息；

发送模块，用于将所述进程信息发送给服务端(服务端可以改为服务端)。

10.根据权利要求9所述的装置，其特征在于，所述装置还包括：

过滤模块，用于将所述进程信息经过预设的白名单信息进行过滤，得到过滤后的进程信息；

相应的，所述发送模块为：将过滤后的进程信息发送给服务端。