CN114520775A - 应用控制方法、装置、电子设备和存储介质 - Google Patents

Abstract

本发明提供一种应用控制方法、装置、电子设备和存储介质，其中方法包括：获取访问请求对应的流量报文；对流量报文进行深度包检测，得到深度包检测结果；若深度包检测结果中未包含应用类型，则将流量报文输入至应用类型识别模型，得到应用类型识别模型输出的应用类型；基于深度包检测结果，以及应用类型，对访问请求对应的终端设备进行应用控制；应用类型识别模型基于样本流量报文，以及样本流量报文的应用类型标签训练得到的，结合深度包检测结果和应用类型进行应用控制，能够使应用控制过程更加灵活以及更加精准，克服了传统方案中识别准确率低下，以及维护过程十分繁复的缺陷，实现了运维过程的精简化，以及应用控制精确度和准确率的双重提升。

Description

应用控制方法、装置、电子设备和存储介质

技术领域

本发明涉及大数据技术领域，尤其涉及一种应用控制方法、装置、电子设备和存储介质。

背景技术

随着卫星网络的迅猛发展，其面临的网络应用日益增多，例如，卫星应用、办公应用、工业应用、物联网应用以及基础设施等，卫星网络环境也日益复杂，此种情况下，对卫星网络中的应用进行有效管控已然成为了亟待解决的问题。

目前，对于应用的管控手段大多是基于规则的nDPI引擎识别，其中，nDPI是OpenDPI库的ntop维护超集，即是从OpenDPI发展而来的DPI（Deep Packet Inspection，深度包检测）库，并且由ntop组织负责维护，在此基础上，可进一步采用机器学习方式对流量进行分类；但是，采用上述方案对应用进行管控时，其对于应用的识别准确率较低，并且，维护过程十分繁复。

发明内容

本发明提供一种应用控制方法、装置、电子设备和存储介质，用以解决现有技术中识别准确率低下，以及维护过程十分繁复的缺陷。

本发明提供一种应用控制方法，包括：

获取访问请求对应的流量报文；

对所述流量报文进行深度包检测，得到深度包检测结果；

若所述深度包检测结果中未包含应用类型，则将所述流量报文输入至应用类型识别模型，得到所述应用类型识别模型输出的应用类型；

基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制；

所述应用类型识别模型基于样本流量报文，以及所述样本流量报文的应用类型标签训练得到的。

根据本发明提供的一种应用控制方法，所述基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制，包括：

基于所述深度包检测结果，对所述访问请求对应的终端设备进行静态控制；

基于所述应用类型对应的目标应用的访问频度，对所述访问请求对应的终端设备进行动态控制；

所述静态控制和所述动态控制包括限速和/或拦截。

根据本发明提供的一种应用控制方法，所述应用类型对应的目标应用的访问频度基于如下步骤确定：

基于所述应用类型，以及第一关系基线，确定所述应用类型对应的目标应用的访问频度；

所述第一关系基线基于历史应用访问数据确定，所述第一关系基线为所述历史应用访问数据中的历史应用访问时间与历史应用访问流量之间的关系基线。

根据本发明提供的一种应用控制方法，所述基于所述访问频度，对所述访问请求对应的终端设备进行动态控制，包括：

若所述访问频度大于所述第一关系基线的基线热阈值，或小于所述第一关系基线的基线冷阈值，则对所述访问请求对应的终端设备进行限速，所述基线热阈值表征所述第一关系基线中的历史最大访问频率，所述基线冷阈值表征所述第一关系基线中的历史最小访问频率；

和/或，若所述访问频度大于预设热阈值，或小于预设冷阈值，则对所述访问请求对应的终端设备进行拦截。

根据本发明提供的一种应用控制方法，所述第一关系基线基于如下步骤确定：

获取所述历史应用访问数据；

将所述历史应用访问数据输入至应用访问模型，得到所述应用访问模型输出的第一关系基线；

所述应用访问模型基于样本应用访问数据，以及所述样本应用访问数据的样本关系基线训练得到。

根据本发明提供的一种应用控制方法，所述基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制，之前还包括：

基于所述访问请求指示的访问地址，对所述访问请求对应的终端设备进行白名单过滤，得到白名单过滤结果；

若所述白名单过滤结果指示所述访问请求指示的访问地址不存在于白名单中，则基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制。

根据本发明提供的一种应用控制方法，所述对所述流量报文进行深度包检测，得到深度包检测结果，包括：

对所述流量报文中的地址信息，端口信息，协议信息以及包过滤信息进行初步DPI识别，得到初步DPI识别结果；

基于所述初步DPI识别结果，以及所述流量报文进行深度DPI识别，得到深度DPI识别结果；

基于所述初步DPI识别结果，以及所述深度DPI识别结果，确定所述深度包检测结果。

本发明还提供一种应用控制装置，包括：

流量报文获取单元，用于获取访问请求对应的流量报文；

深度包检测单元，用于对所述流量报文进行深度包检测，得到深度包检测结果；

应用类型确定单元，用于若所述深度包检测结果中未包含应用类型，则将所述流量报文输入至应用类型识别模型，得到所述应用类型识别模型输出的应用类型，所述应用类型识别模型基于样本流量报文，以及所述样本流量报文的应用类型标签训练得到的；

应用控制单元，用于基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制。

本发明还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述任一种所述的应用控制方法。

本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述任一种所述的应用控制方法。

本发明提供的应用控制方法、装置、电子设备和存储介质，对访问请求对应的流量报文进行深度包检测，得到深度包检测结果，并在深度包检测结果中未包含应用类型的情况下，将流量报文输入至应用类型识别模型，得到应用类型识别模型输出的应用类型；根据深度包检测结果，以及应用类型，对访问请求对应的终端设备进行应用控制，其中，应用类型识别模型基于样本流量报文，以及样本流量报文的应用类型标签训练得到的，结合深度包检测结果和应用类型进行应用控制，能够使得应用控制过程更加灵活以及更加精准，克服了传统方案中识别准确率低下，以及维护过程十分繁复的缺陷，实现了运维过程的精简化，以及应用控制精确度和准确率的双重提升。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明提供的应用控制方法的流程示意图；

图2是本发明提供的应用控制方法的总体框架图；

图3是本发明提供的应用控制装置的结构示意图；

图4是本发明提供的电子设备的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明中的附图，对本发明中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明提供一种应用控制方法，旨在深度包检测结果的基础上，结合应用类型识别所得的应用类型，对应用进行自动分类和动静控制，实现控制精度和准确率的双重提升，图1是本发明提供的应用控制方法的流程示意图，如图1所示，该方法的执行主体为应用控制系统，该方法包括：

步骤110，获取访问请求对应的流量报文；

具体地，在进行应用控制之前，首先需要接收到终端设备发送的访问请求，即终端设备首先发送访问请求，随后，应用控制系统接收到终端设备发送的访问请求，并可获取访问请求对应的流量报文，此后，即可据此流量报文，对终端设备进行应用控制。

需要说明的是，此处的访问请求对应的流量报文可以通过DPDK（Data PlaneDevelopment Kit，数据平面开发套件）技术获取得到，即可以通过DPDK技术接收和发送流量报文，DPDK能够提供一个访问控制库，并且可以通过一系列的分类规则对接收到的流量报文进行分类；而除这之外，访问请求对应的流量报文也可以通过其他技术手段获取得到，本发明实施例对此不做具体限定。

步骤120，对流量报文进行深度包检测，得到深度包检测结果；

具体地，经过步骤110得到访问请求对应的流量报文后，即可执行步骤120，对访问请求对应的流量报文进行深度包检测，从而得到深度包检测结果，具体过程包括如下步骤：

首先，可以对访问请求对应的流量报文进行DPI （Deep Packet Inspection，深度包检测）识别，从而得到DPI识别结果，需要说明的是此处的DPI识别为初步DPI识别，即仅对流量报文中的地址信息、端口信息、协议信息以及包过滤信息等进行分析，亦可以理解为轻量级的DPI识别，经过此DPI识别后，即可得到源地址、访问地址、源端口、访问端口以及协议类型等信息，此类信息即为初步DPI识别结果；

随即，考虑到初步DPI识别所得的初步DPI识别结果的精度较低，因而，为提升DPI识别结果的精度，本发明实施例中，可对访问请求对应的流量报文进行深度DPI识别，即在初步DPI识别结果的基础上，结合访问请求对应的流量报文进行深度DPI识别，从而得到深度DPI识别结果，较之初步DPI识别，深度DPI识别除了对流量报文中的地址信息、端口信息、协议信息以及包过滤信息进行分析外，还新增了针对应用层的分析，即能够识别各种应用及其内容，从而能够在一定程度上提升深度包检测的识别精度；

此后，即可结合针对流量报文的初步DPI识别所得的初步DPI识别结果，以及针对流量报文和初步DPI识别结果的深度DPI识别所得的深度DPI识别结果，共同确定深度包检测结果，即可以对初步DPI识别结果和深度DPI识别结果进行融合，以确定深度包检测结果。

针对上述两者进行融合的情况，深度DPI识别结果可以弥补初步DPI识别过程中遗漏的信息，从而保证由此得到的深度包检测结果能够更加完整地反映访问请求中包含的信息，此两者的融合方式可以是覆盖、叠加、加权融合等，本发明实施例对此不作具体限定。

步骤130，若深度包检测结果中未包含应用类型，则将流量报文输入至应用类型识别模型，得到应用类型识别模型输出的应用类型；应用类型识别模型基于样本流量报文，以及样本流量报文的应用类型标签训练得到的；

具体地，在步骤120中得到深度包检测结果后，即可执行步骤130，判断深度包检测结果中是否包含访问请求指示的目标应用的应用类型，并在未包含应用类型的情况下，针对访问请求对应的流量报文进行应用类型识别，从而得到目标应用的应用类型，这一过程具体包括如下步骤：

首先，判断深度包检测结果中是否包含应用类型，亦可以理解为，判断步骤120中针对访问请求对应的流量报文的深度包检测过程，是否识别出访问请求指示的目标应用的应用类型；

进一步地，若深度包检测结果中未包含应用类型，即步骤120中的深度包检测过程未能识别出目标应用的应用类型，此时可以对流量报文进行应用类型识别，以确定目标应用的应用类型，这一过程可以借助应用类型识别模型完成，具体可以是，将访问请求对应的流量报文输入至应用类型识别模型，应用类型识别模型对输入的流量报文进行应用类型识别，最终得到应用类型识别模型输出的应用类型。

而在将访问请求对应的流量报文输入至应用类型识别模型之前，还可以应用样本流量报文，以及样本流量报文的应用类型标签，预先训练得到应用类型识别模型，具体过程包括如下步骤：首先，收集大量的样本流量报文，并对样本流量报文对应的应用类型进行标注，形成样本流量报文的应用类型标签；随即，基于样本流量报文，以及样本流量报文的应用类型标签，对初始应用类型识别模型进行训练，从而得到训练完成的应用类型识别模型。

需要说明的是，上述应用类型识别模型除通过有监督的方式训练得到外，还可以是应用机器学习的方式进行半监督训练，或有监督和半监督训练得到的，本发明实施例对此不做具体限定。

相应地，若步骤120中的深度包检测结果中包含应用类型，即针对流量报文的深度包检测过程已识别出访问请求指示的目标应用的应用类型，此时，无需进行步骤130中的应用类型识别，可直接根据深度包检测结果，对访问请求对应的终端设备进行应用控制。

步骤140，基于深度包检测结果，以及应用类型，对访问请求对应的终端设备进行应用控制。

具体地，经过上述步骤得到深度包检测结果，以及应用类型后，即可据此两者进行应用控制，即执行步骤140，在深度包检测结果的基础上，结合应用类型，对发送访问请求的终端设备进行应用控制。

而对于终端设备的应用控制过程，可以分为两个部分，分别为静态控制和动态控制；其中，静态控制是以深度包检测所得的深度包检测结果为基准进行的，而动态控制则是基于应用类型识别所得的应用类型进行的。

并且，静态控制和动态控制可以是限速和拦截中的任意一种，当然，也可以同时包含上述两者，本发明实施例对此不做具体限定，即可以以深度包检测结果为基准，对访问请求对应的终端设备进行限速和/或拦截，可以在目标应用的应用类型的基础上，对访问请求对应的终端设备进行限速和/或拦截。

需要说明的是，本发明实施例提供的应用控制方法，除了应用于卫星网络之外，还可以应用于工业网络、计算机网络等。

本发明提供的应用控制方法，对访问请求对应的流量报文进行深度包检测，得到深度包检测结果，并在深度包检测结果中未包含应用类型的情况下，将流量报文输入至应用类型识别模型，得到应用类型识别模型输出的应用类型；根据深度包检测结果，以及应用类型，对访问请求对应的终端设备进行应用控制，其中，应用类型识别模型基于样本流量报文，以及样本流量报文的应用类型标签训练得到的，结合深度包检测结果和应用类型进行应用控制，能够使得应用控制过程更加灵活以及更加精准，克服了传统方案中识别准确率低下，以及维护过程十分繁复的缺陷，实现了运维过程的精简化，以及应用控制精确度和准确率的双重提升。

基于上述实施例，步骤140包括：

基于深度包检测结果，对访问请求对应的终端设备进行静态控制；

基于应用类型对应的目标应用的访问频度，对访问请求对应的终端设备进行动态控制；

静态控制和动态控制包括限速和/或拦截。

具体地，步骤140中，根据深度包检测结果，以及应用类型，对访问请求对应的终端设备进行应用控制的过程，具体可以包括如下步骤：

首先，可以以深度包检测所得的深度包检测结果为基准，对访问请求对应的终端设备进行静态控制，此处的静态控制可以是限速和/或拦截，即在深度包检测结果表明终端设备的访问异常时，可以对其进行限速和/或拦截；

与此同时，还可在应用类型的基础上，结合历史应用访问数据，确定应用类型对应的目标应用的访问频度，此访问频度用于表明历史应用访问数据对应的时间范围内，目标应用被访问的频率；随后，可依据目标应用的访问频度，对访问请求对应的终端设备进行动态控制，具体可以是，在目标应用的访问频度超过某一设定值时，对其进行限速，进一步地，若目标应用的访问频度超过预先设定的访问频度上限时，对其进行拦截。

相应地，在目标应用的访问频度低于另一设定值时，同样可以对其进行限速，进一步地，若目标应用的访问频度低于预先设定的访问频度下限时，对其进行拦截。

基于上述实施例，步骤140中，应用类型对应的目标应用的访问频度基于如下步骤确定：

基于应用类型，以及第一关系基线，确定应用类型对应的目标应用的访问频度；

第一关系基线基于历史应用访问数据确定，第一关系基线为历史应用访问数据中的历史应用访问时间与历史应用访问流量之间的关系基线。

具体地，上述依据目标应用的访问频度，对访问请求对应的终端设备进行动态控制的过程中，目标应用的访问频度可以根据历史应用访问数据，以及应用类型确定，具体过程包括如下步骤：

首先，获取历史应用访问数据，此处的历史应用访问数据可以是历史应用访问时间、历史应用访问流量、历史应用访问设备等；

随即，可根据历史应用访问数据，构建第一关系基线，此处的第一关系基线为历史应用访问数据中，历史应用访问时间与历史应用访问流量之间的关系基线，上述过程可以理解为，应用历史应用访问数据中的历史应用访问时间和历史应用访问流量，构建第一关系基线；

此后，即可根据第一关系基线，以及应用类型识别所得的应用类型，确定目标应用的访问频度，即可以以第一关系基线为基准，计算应用类型对应的目标应用的访问频度。

基于上述实施例，步骤140中，基于访问频度，对访问请求对应的终端设备进行动态控制，包括：

若访问频度大于第一关系基线的基线热阈值，或小于第一关系基线的基线冷阈值，则对访问请求对应的终端设备进行限速，基线热阈值表征第一关系基线中的历史最大访问频率，基线冷阈值表征第一关系基线中的历史最小访问频率；

和/或，若访问频度大于预设热阈值，或小于预设冷阈值，则对访问请求对应的终端设备进行拦截。

由于第一关系基线能够表征应用的历史访问频率，因而，可以从第一关系基线中确定历史访问频率的正常范围，即历史最大访问频率和历史最小访问频率之间的区间，又由于历史最大访问频率可以通过第一关系基线的基线热阈值表征，历史最小访问频率可以通过第一关系基线的基线冷阈值表征，因而，在以目标应用的访问频度为基准的动态控制过程中，首先，可以从第一关系基线中，确定基线热阈值和基线冷阈值；然后，判断目标应用的访问频度与第一关系基线的基线热阈值和基线冷阈值之间的大小关系，即判断目标应用的访问频度是否处于第一关系基线的基线热阈值和基线冷阈值之间的区间；

进一步地，若目标应用的访问频度超出第一关系基线的基线热阈值和基线冷阈值之间的区间，即目标应用的访问频度大于第一关系基线的基线热阈值，或小于第一关系基线的基线冷阈值，表明目标应用的访问频度超出正常范围（较高或较低），则需对访问请求对应的终端设备进行限速。

相应地，若目标应用的访问频度处于第一关系基线的基线热阈值和基线冷阈值之间的区间，即目标应用的访问频度小于第一关系基线的基线热阈值，且大于第一关系基线的基线冷阈值，此时，目标应用的访问频度处于正常范围内，则无需对其进行限速，可以正常访问。

除此之外，还可判断目标应用的访问频度是否超过预设热阈值，或者是否小于预设冷阈值，此处的预设热阈值即预先设定的访问频度上限，预设冷阈值即预先设定的访问频度下限；

进一步地，在目标应用的访问频度大于预设热阈值，或小于预设冷阈值的情况下，即目标应用的访问频度超出正常范围的尺度较大（访问频度过高或过低），此时，需对访问请求对应的终端设备进行拦截。

相应地，在目标应用的访问频度小于预设热阈值，且大于预设冷阈值的情况下，无需对访问请求对应的终端设备进行拦截。

基于上述实施例，第一关系基线基于如下步骤确定：

获取历史应用访问数据；

将历史应用访问数据输入至应用访问模型，得到应用访问模型输出的第一关系基线；

应用访问模型基于样本应用访问数据，以及样本应用访问数据的样本关系基线训练得到。

具体地，上述过程中，以历史应用访问数据为基准，构建第一关系基线的过程，具体包括如下步骤：

首先，获取历史应用访问数据，此处的历史应用访问数据可以是历史应用访问时间、历史应用访问流量、历史应用访问设备等；

随即，可根据历史应用访问数据，构建第一关系基线，这一过程可以借助应用访问模型完成，具体过程可以是，首先，将历史应用访问数据输入至应用访问模型，然后，应用访问模型根据输入的历史应用访问数据中的历史应用访问时间以及历史应用访问流量之间的对应关系进行基线构建，最终得到应用访问模型输出的第一关系基线。

而在将历史应用访问数据输入至应用访问模型之前，还可以根据样本应用访问数据，以及样本应用访问数据的样本关系基线，预先训练得到应用访问模型，这一过程具体可以是，首先，收集大量的样本应用访问数据，并确定样本应用访问数据的样本关系基线；随即，基于样本应用访问数据，以及样本应用访问数据的样本关系基线，对初始应用访问模型进行训练，从而得到训练完成的应用访问模型。

基于上述实施例，步骤140中，基于深度包检测结果，以及应用类型，对访问请求对应的终端设备进行应用控制，之前还包括：

基于访问请求指示的访问地址，对访问请求对应的终端设备进行白名单过滤，得到白名单过滤结果；

若白名单过滤结果指示访问请求指示的访问地址不存在于白名单中，则基于深度包检测结果，以及应用类型，对访问请求对应的终端设备进行应用控制。

具体地，在进行深度包检测以及应用类型识别，分别得到深度包检测结果和应用类型后，根据深度包检测结果，以及应用类型，对访问请求对应的终端设备进行应用控制之前，还可对访问请求对应的终端设备进行白名单过滤，从而得到报名单过滤结果，并可根据白名单过滤结果进行应用控制，具体过程包括如下步骤：

首先，确定访问请求指示的访问地址，该访问地址可以从访问请求对应的流量报文的深度包检测结果中获取得到；

随即，以访问请求指示的访问地址为基准，对访问请求对应的终端设备进行白名单过滤，即滤除白名单中未包含的访问地址对应的终端设备，保留白名单中包含的访问地址对应的终端设备，从而得到白名单过滤结果；

随后，可判断白名单过滤结果中是否包含访问请求对应的终端设备，亦可以理解为，访问请求指示的访问地址是否存在于白名单中；进一步地，在白名单过滤结果表明访问请求指示的访问地址存在于白名单中的情况下，即白名单过滤结果中包含访问请求对应的终端设备的情况下，无需对访问请求对应的终端设备进行静态控制和动态控制，即终端设备可直接访问访问请求指示的目标应用。

相应地，若白名单过滤结果表明访问请求指示的访问地址不存在于白名单中，即白名单过滤结果中未包含访问请求对应的终端设备，亦可以理解为，访问请求对应的终端设备已在白名单过滤过程中被滤除，此时，需对访问请求对应的终端设备进行应用控制，即需根据深度包检测结果，以及应用类型，对访问请求对应的终端设备进行应用控制。

基于上述实施例，步骤120包括：

对流量报文中的地址信息，端口信息，协议信息以及包过滤信息进行初步DPI识别，得到初步DPI识别结果；

基于初步DPI识别结果，以及流量报文进行深度DPI识别，得到深度DPI识别结果；

基于初步DPI识别结果，以及深度DPI识别结果，确定深度包检测结果。

具体地，步骤120中，对访问请求对应的流量报文进行深度包检测，从而得到深度包检测结果的过程，具体包括如下步骤：

首先，可以对访问请求对应的流量报文进行初步DPI识别，从而得到初步DPI识别结果，此处的初步DPI识别即仅对流量报文中的地址信息、端口信息、协议信息以及包过滤信息等进行分析，亦可以理解为轻量级的DPI识别，经过此DPI识别后，即可得到源地址、目的地址、源端口、目的端口以及协议类型等信息，此类信息即为初步DPI识别结果；

随即，考虑到针对流量报文进行初步DPI识别所得初步DPI识别结果的精度较低，即初步DPI识别结果中的信息与真实情况之间存在一定的误差，因而，为提升DPI识别结果的精度，以及精进后续针对终端设备的应用控制过程，本发明实施例中，可对访问请求对应的流量报文进行深度DPI识别，较之初步DPI识别，此处的深度DPI识别除了对流量报文中的地址信息、端口信息、协议信息以及包过滤信息进行分析外，还新增了针对应用层的分析，即能够识别各种应用及其内容，从而在一定程度上提升了识别精度。

此处的深度DPI识别中，针对应用层的分析，能够实现应用分析（网络流量构成分析、性能分析、流向分析等），用户分析（用户群区分、行为分析、终端分析、趋势分析等），网元分析（根据区域属性（市、区、街道等）、基站负载情况进行分析等），流量管控（peer topeer lending限速、保证Quality of Service、带宽保障、网络资源优化等），安全保障（Distributed denial of service attack攻击、数据广播风暴、防范恶意病毒攻击等）等。

此处，针对流量报文的深度DPI识别为全连接识别，即连接跨报文识别，具体是依据访问请求对应的流量报文，以及上一步得到的初步DPI识别结果进行深度DPI识别，从而得到深度DPI识别结果。需要说明的是，此处进行深度DPI识别的过程可以通过深度DPI识别模型完成，即将访问请求对应的流量报文以及初步DPI识别结果输入至深度DPI识别模型，深度DPI识别模型在对输入的流量报文进行深度DPI识别的基础上，结合初步DPI识别结果，确定深度DPI识别结果，即最终得到深度DPI识别模型输出的深度DPI识别结果。

而在将访问请求对应的流量报文以及初步DPI识别结果输入至深度DPI识别模型之前，还可以应用样本流量报文，以及样本流量报文的样本深度DPI识别结果，预先训练得到深度DPI识别模型，具体过程可以是，首先，收集大量的样本流量报文，并确定样本流量报文的样本深度DPI识别结果；随即，基于样本流量报文，以及样本深度DPI识别结果，对初始深度DPI识别模型进行训练，从而得到训练完成的深度DPI识别模型。

另外，需要说明的是，上述深度DPI识别模型除通过有监督的方式训练得到外，还可以是应用机器学习的方式进行半监督训练，或有监督和半监督训练得到的，本发明实施例对此不做具体限定。

此后，即可结合针对流量报文的初步DPI识别所得的初步DPI识别结果，以及针对流量报文和初步DPI识别结果的深度DPI识别所得的深度DPI识别结果，共同确定深度包检测结果，即可以对初步DPI识别结果和深度DPI识别结果进行融合，以确定深度包检测结果。

针对上述两者进行融合的情况，深度DPI识别结果可以弥补初步DPI识别过程中遗漏的信息，从而保证由此得到的深度包检测结果能够更加完整地反映访问请求中包含的信息，此两者的融合方式可以是覆盖、叠加、加权融合等，本发明实施例对此不作具体限定。

图2是本发明提供的应用控制方法的总体框架图，如图2所示，该方法包括如下步骤：

首先，获取访问请求对应的流量报文；

随即，对流量报文进行深度包检测，得到深度包检测结果，具体过程可以是，对流量报文中的地址信息，端口信息，协议信息以及包过滤信息进行初步DPI识别，得到初步DPI识别结果；基于初步DPI识别结果，以及流量报文进行深度DPI识别，得到深度DPI识别结果；基于初步DPI识别结果，以及深度DPI识别结果，确定深度包检测结果；

随后，若深度包检测结果中未包含应用类型，则将流量报文输入至应用类型识别模型，得到应用类型识别模型输出的应用类型；应用类型识别模型基于样本流量报文，以及样本流量报文的应用类型标签训练得到的；

此后，基于深度包检测结果，以及应用类型，对访问请求对应的终端设备进行应用控制，具体过程可以是，基于深度包检测结果，对访问请求对应的终端设备进行静态控制；基于应用类型，以及第一关系基线，确定应用类型对应的目标应用的访问频度，并基于访问频度，对访问请求对应的终端设备进行动态控制；静态控制和动态控制包括限速和/或拦截；

其中，第一关系基线基于为历史应用访问数据中的历史应用访问时间与历史应用访问流量之间的关系基线，第一关系基线的确定过程包括如下步骤确定：首先，获取历史应用访问数据；然后，将历史应用访问数据输入至应用访问模型，得到应用访问模型输出的第一关系基线；其中，应用访问模型基于样本应用访问数据，以及样本应用访问数据的样本关系基线训练得到。

进一步地，基于访问频度，对访问请求对应的终端设备进行动态控制的过程，具体过程可以是，若访问频度大于第一关系基线的基线热阈值（a1），或小于第一关系基线的基线冷阈值（a2），则对访问请求对应的终端设备进行限速，基线热阈值（a1）表征第一关系基线中的历史最大访问频率，基线冷阈值（a2）表征第一关系基线中的历史最小访问频率；和/或，若访问频度大于预设热阈值（b1），或小于预设冷阈值（b2），则对访问请求对应的终端设备进行拦截。

而在基于深度包检测结果，以及应用类型，对访问请求对应的终端设备进行应用控制之前，还可以基于访问请求指示的访问地址，对访问请求对应的终端设备进行白名单过滤，得到白名单过滤结果；若白名单过滤结果指示访问请求指示的访问地址不存在于白名单中，则基于深度包检测结果，以及应用类型，对访问请求对应的终端设备进行应用控制。

本发明实施例提供的方法，对访问请求对应的流量报文进行深度包检测，得到深度包检测结果，并在深度包检测结果中未包含应用类型的情况下，将流量报文输入至应用类型识别模型，得到应用类型识别模型输出的应用类型；根据深度包检测结果，以及应用类型，对访问请求对应的终端设备进行应用控制，其中，应用类型识别模型基于样本流量报文，以及样本流量报文的应用类型标签训练得到的，结合深度包检测结果和应用类型进行应用控制，能够使得应用控制过程更加灵活以及更加精准，克服了传统方案中识别准确率低下，以及维护过程十分繁复的缺陷，实现了运维过程的精简化，以及应用控制精确度和准确率的双重提升。

下面对本发明提供的应用控制装置进行描述，下文描述的应用控制装置与上文描述的应用控制方法可相互对应参照。

图3是本发明提供的应用控制装置的结构示意图，如图3所示，该装置包括：

流量报文获取单元310，用于获取访问请求对应的流量报文；

深度包检测单元320，用于对所述流量报文进行深度包检测，得到深度包检测结果；

应用类型确定单元330，用于若所述深度包检测结果中未包含应用类型，则将所述流量报文输入至应用类型识别模型，得到所述应用类型识别模型输出的应用类型，所述应用类型识别模型基于样本流量报文，以及所述样本流量报文的应用类型标签训练得到的；

应用控制单元340，用于基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制。

本发明提供的应用控制装置，对访问请求对应的流量报文进行深度包检测，得到深度包检测结果，并在深度包检测结果中未包含应用类型的情况下，将流量报文输入至应用类型识别模型，得到应用类型识别模型输出的应用类型；根据深度包检测结果，以及应用类型，对访问请求对应的终端设备进行应用控制，其中，应用类型识别模型基于样本流量报文，以及样本流量报文的应用类型标签训练得到的，结合深度包检测结果和应用类型进行应用控制，能够使得应用控制过程更加灵活以及更加精准，克服了传统方案中识别准确率低下，以及维护过程十分繁复的缺陷，实现了运维过程的精简化，以及应用控制精确度和准确率的双重提升。

基于上述实施例，应用控制单元340用于：

基于所述深度包检测结果，对所述访问请求对应的终端设备进行静态控制；

基于所述应用类型对应的目标应用的访问频度，对所述访问请求对应的终端设备进行动态控制；

所述静态控制和所述动态控制包括限速和/或拦截。

基于上述实施例，所述装置还包括访问频度确定单元，用于：

基于所述应用类型，以及第一关系基线，确定所述应用类型对应的目标应用的访问频度；

所述第一关系基线基于历史应用访问数据确定，所述第一关系基线为所述历史应用访问数据中的历史应用访问时间与历史应用访问流量之间的关系基线。

基于上述实施例，应用控制单元340用于：

若所述访问频度大于所述第一关系基线的基线热阈值，或小于所述第一关系基线的基线冷阈值，则对所述访问请求对应的终端设备进行限速，所述基线热阈值表征所述第一关系基线中的历史最大访问频率，所述基线冷阈值表征所述第一关系基线中的历史最小访问频率；

和/或，若所述访问频度大于预设热阈值，或小于预设冷阈值，则对所述访问请求对应的终端设备进行拦截。

基于上述实施例，所述装置还包括关系基线确定单元，用于：

获取所述历史应用访问数据；

将所述历史应用访问数据输入至应用访问模型，得到所述应用访问模型输出的第一关系基线；

所述应用访问模型基于样本应用访问数据，以及所述样本应用访问数据的样本关系基线训练得到。

基于上述实施例，所述装置还包括白名单过滤单元，用于：

基于所述访问请求指示的访问地址，对所述访问请求对应的终端设备进行白名单过滤，得到白名单过滤结果；

若所述白名单过滤结果指示所述访问请求指示的访问地址不存在于白名单中，则基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制。

基于上述实施例，深度包检测单元320用于：

对所述流量报文中的地址信息，端口信息，协议信息以及包过滤信息进行初步DPI识别，得到初步DPI识别结果；

基于所述初步DPI识别结果，以及所述流量报文进行深度DPI识别，得到深度DPI识别结果；

基于所述初步DPI识别结果，以及所述深度DPI识别结果，确定所述深度包检测结果。

图4示例了一种电子设备的实体结构示意图，如图4所示，该电子设备可以包括：处理器（processor）410、通信接口（Communications Interface）420、存储器（memory）430和通信总线440，其中，处理器410，通信接口420，存储器430通过通信总线440完成相互间的通信。处理器410可以调用存储器430中的逻辑指令，以执行应用控制方法，该方法包括：获取访问请求对应的流量报文；对所述流量报文进行深度包检测，得到深度包检测结果；若所述深度包检测结果中未包含应用类型，则将所述流量报文输入至应用类型识别模型，得到所述应用类型识别模型输出的应用类型；基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制；所述应用类型识别模型基于样本流量报文，以及所述样本流量报文的应用类型标签训练得到的。

此外，上述的存储器430中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器（ROM，Read-Only Memory）、随机存取存储器（RAM，Random Access Memory）、磁碟或者光盘等各种可以存储程序代码的介质。

另一方面，本发明还提供一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，计算机能够执行上述各方法所提供的应用控制方法，该方法包括：获取访问请求对应的流量报文；对所述流量报文进行深度包检测，得到深度包检测结果；若所述深度包检测结果中未包含应用类型，则将所述流量报文输入至应用类型识别模型，得到所述应用类型识别模型输出的应用类型；基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制；所述应用类型识别模型基于样本流量报文，以及所述样本流量报文的应用类型标签训练得到的。

又一方面，本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现以执行上述各方法所提供的应用控制方法，该方法包括：获取访问请求对应的流量报文；对所述流量报文进行深度包检测，得到深度包检测结果；若所述深度包检测结果中未包含应用类型，则将所述流量报文输入至应用类型识别模型，得到所述应用类型识别模型输出的应用类型；基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制；所述应用类型识别模型基于样本流量报文，以及所述样本流量报文的应用类型标签训练得到的。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种应用控制方法，其特征在于，包括：

获取访问请求对应的流量报文；

对所述流量报文进行深度包检测，得到深度包检测结果；

若所述深度包检测结果中未包含应用类型，则将所述流量报文输入至应用类型识别模型，得到所述应用类型识别模型输出的应用类型；

基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制；

所述应用类型识别模型基于样本流量报文，以及所述样本流量报文的应用类型标签训练得到的。

2.根据权利要求1所述的应用控制方法，其特征在于，所述基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制，包括：

基于所述深度包检测结果，对所述访问请求对应的终端设备进行静态控制；

基于所述应用类型对应的目标应用的访问频度，对所述访问请求对应的终端设备进行动态控制；

所述静态控制和所述动态控制包括限速和/或拦截。

3.根据权利要求2所述的应用控制方法，其特征在于，所述应用类型对应的目标应用的访问频度基于如下步骤确定：

基于所述应用类型，以及第一关系基线，确定所述应用类型对应的目标应用的访问频度；

所述第一关系基线基于历史应用访问数据确定，所述第一关系基线为所述历史应用访问数据中的历史应用访问时间与历史应用访问流量之间的关系基线。

4.根据权利要求3所述的应用控制方法，其特征在于，所述基于所述访问频度，对所述访问请求对应的终端设备进行动态控制，包括：

若所述访问频度大于所述第一关系基线的基线热阈值，或小于所述第一关系基线的基线冷阈值，则对所述访问请求对应的终端设备进行限速，所述基线热阈值表征所述第一关系基线中的历史最大访问频率，所述基线冷阈值表征所述第一关系基线中的历史最小访问频率；

和/或，若所述访问频度大于预设热阈值，或小于预设冷阈值，则对所述访问请求对应的终端设备进行拦截。

5.根据权利要求3所述的应用控制方法，其特征在于，所述第一关系基线基于如下步骤确定：

获取所述历史应用访问数据；

将所述历史应用访问数据输入至应用访问模型，得到所述应用访问模型输出的第一关系基线；

所述应用访问模型基于样本应用访问数据，以及所述样本应用访问数据的样本关系基线训练得到。

6.根据权利要求1至5中任一项所述的应用控制方法，其特征在于，所述基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制，之前还包括：

基于所述访问请求指示的访问地址，对所述访问请求对应的终端设备进行白名单过滤，得到白名单过滤结果；

若所述白名单过滤结果指示所述访问请求指示的访问地址不存在于白名单中，则基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制。

7.根据权利要求1至5中任一项所述的应用控制方法，其特征在于，所述对所述流量报文进行深度包检测，得到深度包检测结果，包括：

对所述流量报文中的地址信息，端口信息，协议信息以及包过滤信息进行初步DPI识别，得到初步DPI识别结果；

基于所述初步DPI识别结果，以及所述流量报文进行深度DPI识别，得到深度DPI识别结果；

基于所述初步DPI识别结果，以及所述深度DPI识别结果，确定所述深度包检测结果。

8.一种应用控制装置，其特征在于，包括：

流量报文获取单元，用于获取访问请求对应的流量报文；

深度包检测单元，用于对所述流量报文进行深度包检测，得到深度包检测结果；

应用类型确定单元，用于若所述深度包检测结果中未包含应用类型，则将所述流量报文输入至应用类型识别模型，得到所述应用类型识别模型输出的应用类型，所述应用类型识别模型基于样本流量报文，以及所述样本流量报文的应用类型标签训练得到的；

应用控制单元，用于基于所述深度包检测结果，以及所述应用类型，对所述访问请求对应的终端设备进行应用控制。

9.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至7任一项所述的应用控制方法。

10.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的应用控制方法。

Images