CN109995602B - 一种协议识别的方法、系统和装置 - Google Patents

Abstract

本发明提供一种协议识别的方法、系统和装置，通过提取流经第一深度数据包检测设备的第一数据流的第一信息指纹，提取流经第二深度数据包检测设备的第二数据流的第二信息指纹；将第一信息指纹与第二信息指纹进行匹配；若第一信息指纹与第二信息指纹匹配成功，则根据第一信息指纹与第二信息指纹确定第一协议，将第一协议作为第一数据流和第二数据流的传输协议；从而在无需增加硬件分流汇聚设备的情况下实现对DPI设备无法直接识别的协议的识别，并且仅需传输数据流的信息指纹用以识别协议，传输的数据流量大幅降低，简化了网络的拓扑结构，降低了网络的运维成本。

Description

一种协议识别的方法、系统和装置

技术领域

本发明涉及通信技术领域，更具体地，涉及一种协议识别的方法、系统和装置。

背景技术

深度数据包检测(Deep Packet Inspection，简称为DPI)技术能实现对网络数据流的数据包进行深层次的检测，在一般情况下，DPI技术对协议的识别率能达到在95％，对于某些协议，如skype、bittorrent以及edonkey协议，DPI技术并不能对其识别，而必须将上下行方向的数据流关联起来才能识别；当网络中一个节点的设备(如路由器)与对端节点的设备(如路由器)存在多条链路，并且这些链路的路由具有相同的优先级(等价路由)，两端的路由设备通常会在在这多条物理连接上采用负载分担的方式进行流量均衡处理；在负载均衡环境下，并不能保证通过同一协议传输的上下行方向的数据流总是从同一个DPI设备中经过。当通过同一协议传输的上下行方向的数据流分别通过两个DPI设备时，这两个DPI设备都无法识别该协议。

目前处理上述问题的方案是使用硬件分流汇聚设备：通过添加硬件分流汇聚和转发设备等，先将同一负载域内的所有数据流接入到分流汇聚设备进行汇聚，再将汇聚后的数据流转发给一个DPI设备，由于所有数据流都会流经该DPI设备，因而该DPI设备可以识别出上述需要上下行方向的数据流关联起来才能识别的协议。

然而，硬件分流汇聚的方案需要把的所有数据流都转发到一个板卡上汇聚完成后再转发给后面的DPI设备进行处理，该方案在小流量环境下是适用的，但是在大流量或跨局址环境下会带来一系列新问题：一是会增加硬件成本：该方案需要增加硬件分流汇聚设备，这些设备投入使用后不仅会占用机房空间，还会持续耗电，而这显然会大大增加基础的硬件成本；二是使网络更加复杂，显著增加运维成本：由于在大流量环境下，需要多台分流汇聚的硬件设备进行复杂的流量互相转发和重新汇聚，最终会形成一个极其复杂的全网状拓扑，造成了难以运维和进行故障诊断；任何一个端口的故障可能引发全网的数据流同步失败，而排查工作由于复杂的数据流走向会使得管理员束手无策。

发明内容

为了克服上述问题或者至少部分地解决上述问题，本发明提供一种协议识别的方法、系统和装置。

根据本发明的一个方面，提供一种协议识别的方法，包括：提取流经第一深度数据包检测设备的第一数据流的第一信息指纹，提取流经第二深度数据包检测设备的第二数据流的第二信息指纹；将第一信息指纹与第二信息指纹进行匹配；若第一信息指纹与第二信息指纹匹配成功，则根据第一信息指纹与第二信息指纹确定第一协议，将第一协议作为第一数据流和第二数据流的传输协议。

其中，将第一信息指纹与第二信息指纹进行匹配之前，还包括：提取第一数据流的五元组信息；检测流经第一深度数据包检测设备的数据流，若存在第三数据流，第三数据流的第三信息指纹与第一数据流的第一信息指纹匹配成功，且第三数据流的五元组信息与第一数据流的五元组信息匹配成功，则根据第一信息指纹与第三信息指纹确定第二协议；将第二协议作为第一数据流和第三数据流的传输协议。

其中，将第一信息指纹与第二信息指纹进行匹配之前，还包括：提取第二数据流的五元组信息；检测流经第二深度数据包检测设备的数据流，若存在第四数据流，第四数据流的第四信息指纹与第二数据流的第二信息指纹匹配成功，且第四数据流的五元组信息与第二数据流的五元组信息匹配成功，则根据第二信息指纹与第四信息指纹确定第三协议；将第三协议作为第二数据流和第四数据流的传输协议。

其中，提取流经第一深度数据包检测设备的第一数据流的第一信息指纹，提取流经第二深度数据包检测设备的第二数据流的第二信息指纹之前，还包括：通过深度数据包检测技术对第一数据流进行检测，若检测的结果为第四协议，则将第四协议作为第一数据流的传输协议；通过深度数据包检测技术对第二数据流进行识别检测，若检测的结果为第五协议，则将第五协议作为第二数据流的传输协议。

其中，根据第一信息指纹与第二信息指纹确定第一协议，包括：对第一信息指纹和第二信息指纹进行关联分析，以确定第一协议。

其中，根据第一信息指纹与第二信息指纹确定第一协议，将第一协议作为第一数据流和第二数据流的传输协议之后，还包括：将第一协议的识别信息分别下发给第一深度数据包检测设备和第二深度数据包检测设备，以使第一深度数据包检测设备依据第一协议对第一数据流进行传输控制，以及以使第二深度数据包检测设备依据第一协议对第二数据流进行传输控制。

本发明的又一方面，提供一种协议识别的系统，包括：特征信息提取转发模块和特征信息识别模块；特征信息提取转发模块，用于提取流经第一深度数据包检测设备的第一数据流的第一信息指纹，提取流经第二深度数据包检测设备的第二数据流的第二信息指纹，并将第一信息指纹和第二信息指纹发送至特征信息识别模块；特征信息识别模块，用于将第一信息指纹与第二信息指纹进行匹配，若第一信息指纹与第二信息指纹匹配成功，则根据第一信息指纹与第二信息指纹确定第一协议。

本发明的又一方面，提供一种协议识别的装置，包括：至少一个处理器；以及与处理器通信连接的至少一个存储器，其中：存储器存储有可被处理器执行的程序指令，处理器调用程序指令以执行上述的方法。

本发明的又一方面，提供一种计算机程序产品，该计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，该计算机程序包括程序指令，当该程序指令被计算机执行时，使计算机执行上述的方法。

本发明的又一方面，提供一种非暂态计算机可读存储介质，该非暂态计算机可读存储介质存储计算机程序，该计算机程序使计算机执行上述的方法。

本发明提供的一种协议识别的方法、系统和装置，通过提取流经第一深度数据包检测设备的第一数据流的第一信息指纹，提取流经第二深度数据包检测设备的第二数据流的第二信息指纹；将第一信息指纹与第二信息指纹进行匹配；若第一信息指纹与第二信息指纹匹配成功，则根据第一信息指纹与第二信息指纹确定第一协议，将第一协议作为第一数据流和第二数据流的传输协议；从而在无需增加硬件分流汇聚设备的情况下实现对DPI设备无法直接识别的协议的识别，并且仅需传输数据流的信息指纹用以识别协议，传输的数据流量大幅降低，简化了网络的拓扑结构，降低了网络的运维成本。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为根据本发明实施例的协议识别的方法的流程图；

图2为根据本发明实施例的协议识别的系统的示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的一个实施例中，参考图1，提供一种协议识别的方法，包括：S11，提取流经第一深度数据包检测设备的第一数据流的第一信息指纹，提取流经第二深度数据包检测设备的第二数据流的第二信息指纹；S12，将第一信息指纹与第二信息指纹进行匹配；S13，若第一信息指纹与第二信息指纹匹配成功，则根据第一信息指纹与第二信息指纹确定第一协议，将第一协议作为第一数据流和第二数据流的传输协议。

具体的，DPI技术能实现对网络数据流的数据包进行深层次的检测，DPI设备应用DPI技术，对网络的关键点处的数据流进行检测分析，可以根据事先定义的策略对数据流进行过滤控制，能完成所在链路的业务精细化识别、业务流量流向分析、业务流量占比统计、业务占比整形、以及应用层拒绝服务攻击、对病毒、木马进行过滤和滥用P2P的控制等功能；对于数据流的传输协议的识别，则是DPI设备实现上述功能的基础。

任何一段信息，都可以对应一个不太长的随机数，作为区别它和其它信息的指纹；通过特定的算法，任何两段信息的指纹都很难重复，就如同人类的指纹一样；对于数据流的信息指纹，也是通过对应的特定算法，提取数据流中的特征，作为数据流的信息指纹，数据流的信息指纹仅占原始数据流数据量的千分之五。对于同一个协议的上行方向的数据流与下行方向的数据流的信息指纹进行综合分析，能实现对数据流的协议的有效识别。

对于目前现有技术中存在的问题，本实施例在每个DPI设备上设置特征信息提取转发模块，特征信息提取转发模块能提取流经每个DPI设备的数据流的信息指纹，并上传至特征信息识别模块，特征信息识别模块对接收的信息指纹两两匹配，如果匹配成功，则根据匹配成功的两个信息指纹并通过特定的算法确定对应的数据流的协议。

其中，根据第一信息指纹与第二信息指纹确定第一协议，包括：对第一信息指纹和第二信息指纹进行关联分析，以确定第一协议。

信息指纹是通过特定的算法提取的数据流中的特征，对同一协议的上行方向的数据流与下行方向的数据流的信息指纹进行关联分析，能实现对数据流的协议的识别；在关联分析中常用的关联规则包括Apriori算法、FP-Growth算法以及它们的衍生算法等等。

本实施例的协议识别的方法，在无需增加硬件分流汇聚设备的情况下实现对DPI设备无法直接识别的协议的识别，并且仅需传输数据流的信息指纹用以识别协议，传输的数据流量大幅降低，简化了网络的拓扑结构，降低了网络的运维成本。

基于以上实施例，将第一信息指纹与第二信息指纹进行匹配之前，还包括：提取第一数据流的五元组信息；检测流经第一深度数据包检测设备的数据流，若存在第三数据流，第三数据流的第三信息指纹与第一数据流的第一信息指纹匹配成功，且第三数据流的五元组信息与第一数据流的五元组信息匹配成功，则根据第一信息指纹与第三信息指纹确定第二协议；将第二协议作为第一数据流和第三数据流的传输协议。

其中，将第一信息指纹与第二信息指纹进行匹配之前，还包括：提取第二数据流的五元组信息；检测流经第二深度数据包检测设备的数据流，若存在第四数据流，第四数据流的第四信息指纹与第二数据流的第二信息指纹匹配成功，且第四数据流的五元组信息与第二数据流的五元组信息匹配成功，则根据第二信息指纹与第四信息指纹确定第三协议；将第三协议作为第二数据流和第四数据流的传输协议。

具体的，如果同一个协议的上行方向的数据流与下行方向的数据流通过一个DPI设备，则可以通过该DPI设备就能实现对协议的识别，这样就可以无需向特征信息识别模块发送数据信息，也无需接收特征信息识别模块发送的识别信息，减小数据传输量并减轻特征信息识别模块的识别运算压力。

对于每个DPI设备，提取流经该设备的数据流的信息指纹以及五元组信息，先将信息指纹两两匹配，对于匹配成功的两个信息指纹对应的两个数据流，再将这两个数据流的五元组信息进行匹配，如果这两个数据流的五元组信息也匹配成功，则表明这两个数据流是一对上下行方向的数据流，根据这两个数据流的信息指纹确定协议，该协议即为这两个数据流的传输协议。

基于以上实施例，提取流经第一深度数据包检测设备的第一数据流的第一信息指纹，提取流经第二深度数据包检测设备的第二数据流的第二信息指纹之前，还包括：通过深度数据包检测技术对第一数据流进行检测，若检测的结果为第四协议，则将第四协议作为第一数据流的传输协议；通过深度数据包检测技术对第二数据流进行识别检测，若检测的结果为第五协议，则将第五协议作为第二数据流的传输协议。

具体的，由于DPI技术对协议的识别率能达到在95％，即对于单向数据流(上行方向的数据流或者下行方向的数据流)，DPI设备通过单向数据流能识别绝大部分的协议，本实施例中，对于流经每个DPI设备的数据流，优先使用DPI技术进行协议的识别，如果识别成功，则直接确定了数据流的协议，这样就仅需对DPI设备无法直接识别的协议对应的数据流进行信息指纹的提取，可大幅减小信息指纹的提取量，有利于提高协议识别的效率。

基于以上实施例，根据第一信息指纹与第二信息指纹确定第一协议，将第一协议作为第一数据流和第二数据流的传输协议之后，还包括：将第一协议的识别信息分别下发给第一深度数据包检测设备和第二深度数据包检测设备，以使第一深度数据包检测设备依据第一协议对第一数据流进行传输控制，以及以使第二深度数据包检测设备依据第一协议对第二数据流进行传输控制。

具体的，在特征信息识别模块通过两个信息指纹确认协议后，特征信息识别模块将识别信息发送给对应的两个深度数据包检测设备，以使这两个深度数据包检测设备根据所确认的协议对各自对应的数据流进行管理控制；而对于特征信息识别模块中在预设时间内未匹配成功的信息指纹，暂时存放在特征信息识别模块的缓存中，继续与在预设时间接收到的信息指纹进行匹配，在预设时后则丢弃这些未能成功匹配的信息指纹。

作为本发明的又一个实施例，参考图2，提供一种协议识别的系统，包括：特征信息提取转发模块21和特征信息识别模块22，其中，特征信息提取转发模块21，用于提取流经第一深度数据包检测设备的第一数据流的第一信息指纹，提取流经第二深度数据包检测设备的第二数据流的第二信息指纹，并将第一信息指纹和第二信息指纹发送至特征信息识别模块22；特征信息识别模块22，用于将第一信息指纹与第二信息指纹进行匹配，若第一信息指纹与第二信息指纹匹配成功，则根据第一信息指纹与第二信息指纹确定第一协议。

具体的，在本实施例中，可在每个DPI设备上设置特征信息提取转发模块21，特征信息提取转发模块21能提取流经每个DPI设备的数据流的信息指纹，并上传至特征信息识别模块22，特征信息识别模块22对接收的信息指纹两两匹配，如果匹配成功，则根据匹配成功的两个信息指纹并通过特定的算法确定对应的数据流的协议。

本实施例的协议识别的系统，在无需增加硬件分流汇聚设备的情况下实现对DPI设备无法直接识别的协议的识别，并且仅需传输数据流的信息指纹用以识别协议，传输的数据流量大幅降低，简化了网络的拓扑结构，降低了网络的运维成本。

作为本发明的又一实施例，提供一种协议识别的装置，包括：至少一个处理器；以及与所述处理器通信连接的至少一个存储器，其中：所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令以执行上述各方法实施例所提供的方法，例如包括：提取流经第一深度数据包检测设备的第一数据流的第一信息指纹，提取流经第二深度数据包检测设备的第二数据流的第二信息指纹；将第一信息指纹与第二信息指纹进行匹配；若第一信息指纹与第二信息指纹匹配成功，则根据第一信息指纹与第二信息指纹确定第一协议，将第一协议作为第一数据流和第二数据流的传输协议。

作为本发明的又一个实施例，提供一种计算机程序产品，该计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，该计算机程序包括程序指令，当程序指令被计算机执行时，计算机能够执行上述各方法实施例所提供的方法，例如包括：提取流经第一深度数据包检测设备的第一数据流的第一信息指纹，提取流经第二深度数据包检测设备的第二数据流的第二信息指纹；将第一信息指纹与第二信息指纹进行匹配；若第一信息指纹与第二信息指纹匹配成功，则根据第一信息指纹与第二信息指纹确定第一协议，将第一协议作为第一数据流和第二数据流的传输协议。

作为本发明的又一个实施例，提供一种非暂态计算机可读存储介质，该非暂态计算机可读存储介质存储计算机程序，该计算机程序使该计算机执行上述各方法实施例所提供的方法，例如包括：提取流经第一深度数据包检测设备的第一数据流的第一信息指纹，提取流经第二深度数据包检测设备的第二数据流的第二信息指纹；将第一信息指纹与第二信息指纹进行匹配；若第一信息指纹与第二信息指纹匹配成功，则根据第一信息指纹与第二信息指纹确定第一协议，将第一协议作为第一数据流和第二数据流的传输协议。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过计算机程序指令相关的硬件来完成，前述的计算机程序可以存储于一计算机可读取存储介质中，该计算机程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (9)

1.一种协议识别的方法，其特征在于，包括：

提取流经第一深度数据包检测设备的第一数据流的第一信息指纹，提取流经第二深度数据包检测设备的第二数据流的第二信息指纹；

将所述第一信息指纹与所述第二信息指纹进行匹配；

若所述第一信息指纹与所述第二信息指纹匹配成功，则根据所述第一信息指纹与所述第二信息指纹确定第一协议，将所述第一协议作为所述第一数据流和所述第二数据流的传输协议。

2.根据权利要求1所述的方法，其特征在于，所述将所述第一信息指纹与所述第二信息指纹进行匹配之前，还包括：

提取所述第一数据流的五元组信息；

检测流经所述第一深度数据包检测设备的数据流，若存在第三数据流，所述第三数据流的第三信息指纹与所述第一数据流的第一信息指纹匹配成功，且所述第三数据流的五元组信息与所述第一数据流的五元组信息匹配成功，则根据所述第一信息指纹与所述第三信息指纹确定第二协议；

将所述第二协议作为所述第一数据流和所述第三数据流的传输协议。

3.根据权利要求1所述的方法，其特征在于，所述将所述第一信息指纹与所述第二信息指纹进行匹配之前，还包括：

提取所述第二数据流的五元组信息；

检测流经所述第二深度数据包检测设备的数据流，若存在第四数据流，所述第四数据流的第四信息指纹与所述第二数据流的第二信息指纹匹配成功，且所述第四数据流的五元组信息与所述第二数据流的五元组信息匹配成功，则根据所述第二信息指纹与所述第四信息指纹确定第三协议；

将所述第三协议作为所述第二数据流和所述第四数据流的传输协议。

4.根据权利要求1所述的方法，其特征在于，所述提取流经第一深度数据包检测设备的第一数据流的第一信息指纹，提取流经第二深度数据包检测设备的第二数据流的第二信息指纹之前，还包括：

通过深度数据包检测技术对所述第一数据流进行检测，若检测的结果为第四协议，则将所述第四协议作为所述第一数据流的传输协议；

通过所述深度数据包检测技术对所述第二数据流进行识别检测，若检测的结果为第五协议，则将所述第五协议作为所述第二数据流的传输协议。

5.根据权利要求1所述的方法，其特征在于，所述根据所述第一信息指纹与所述第二信息指纹确定第一协议，包括：

对所述第一信息指纹和所述第二信息指纹进行关联分析，以确定所述第一协议。

6.根据权利要求1所述的方法，其特征在于，所述根据所述第一信息指纹与所述第二信息指纹确定第一协议，将所述第一协议作为所述第一数据流和所述第二数据流的传输协议之后，还包括：

将所述第一协议的识别信息分别下发给所述第一深度数据包检测设备和所述第二深度数据包检测设备，以使所述第一深度数据包检测设备依据所述第一协议对所述第一数据流进行传输控制，以及以使所述第二深度数据包检测设备依据所述第一协议对所述第二数据流进行传输控制。

7.一种协议识别的系统，其特征在于，包括：特征信息提取转发模块和特征信息识别模块；

所述特征信息提取转发模块，用于提取流经第一深度数据包检测设备的第一数据流的第一信息指纹，提取流经第二深度数据包检测设备的第二数据流的第二信息指纹，并将所述第一信息指纹和所述第二信息指纹发送至所述特征信息识别模块；

所述特征信息识别模块，用于将所述第一信息指纹与所述第二信息指纹进行匹配，若所述第一信息指纹与所述第二信息指纹匹配成功，则根据所述第一信息指纹与所述第二信息指纹确定第一协议。

8.一种协议识别的装置，其特征在于，包括：

至少一个处理器；以及与所述处理器通信连接的至少一个存储器，其中：

所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令以执行如权利要求1至6任一所述的方法。

9.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至6任一项所述方法的步骤。

Images