WO2011012004A1 - 一种实现网络流量清洗的方法及系统 - Google Patents

一种实现网络流量清洗的方法及系统 Download PDF

Info

Publication number
WO2011012004A1
WO2011012004A1 PCT/CN2010/072585 CN2010072585W WO2011012004A1 WO 2011012004 A1 WO2011012004 A1 WO 2011012004A1 CN 2010072585 W CN2010072585 W CN 2010072585W WO 2011012004 A1 WO2011012004 A1 WO 2011012004A1
Authority
WO
WIPO (PCT)
Prior art keywords
network traffic
traffic
template
dfi
dpi
Prior art date
Application number
PCT/CN2010/072585
Other languages
English (en)
French (fr)
Inventor
杨波
宋晓丽
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2011012004A1 publication Critical patent/WO2011012004A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Definitions

  • the present invention relates to computer network technology, and more particularly to a method and system for implementing network traffic cleaning. Background technique
  • the main object of the present invention is to provide a method and system for implementing network traffic cleaning, which effectively improves network traffic cleaning efficiency.
  • a method for implementing network traffic cleaning comprising:
  • the deep flow detection (DFI) device detects network traffic according to the traffic detection template, and sends suspicious network traffic to the deep packet inspection (DPI) device;
  • the DPI device detects suspicious network traffic according to the identification template and cleans abnormal network traffic according to the control policy.
  • the method also includes:
  • the control center sends the set traffic detection template to the DFI device, and the DFI device stores the received traffic detection template; and/or,
  • the control center sends the set identification template and control policy to the DPI device, and the DPI device stores the received identification template and control policy.
  • the traffic detection template or the identification template is: statically set, or dynamically set according to current needs.
  • the method further includes: the DFI device injects normal network traffic into the transmission link for transmission; and/or,
  • the DPI device After detecting the suspicious network traffic according to the identification template, the DPI device further includes: the DPI device injects normal network traffic into the transmission link for transmission.
  • the detecting the network traffic according to the traffic detection template includes: comparing the feature of the network traffic with the stored traffic detection template, and determining that the network traffic is suspicious when the network traffic is abnormal.
  • the detecting the suspicious network traffic according to the identification template includes: performing deep packet inspection on the suspicious network traffic according to the identification template, identifying a specific application of the network traffic, and determining whether the network traffic is abnormal.
  • a system for implementing network traffic cleaning including:
  • the DFI device is configured to detect network traffic according to the traffic detection template, and send suspicious network traffic to the DPI device;
  • the DPI device is configured to detect suspicious network traffic according to the identification template, and clean abnormal network traffic according to the control policy.
  • the system further includes: a control center, a traffic detection template for delivering settings to the DFI device; and/or,
  • the identification template and control policy used to deliver settings to the DPI device.
  • the traffic detection template or the identification template is: statically set, or dynamically set according to current needs.
  • the DFI device is further configured to inject normal network traffic into the transmission link for transmission; and/or, the DPI device is further configured to inject normal network traffic into the transmission link for transmission.
  • the DFI technology is combined with the DPI technology, so that the contradiction between the integrity of the detection and the cleaning efficiency in the network traffic cleaning is well solved, and the detection efficiency and accuracy are taken into consideration, and the massive data can be satisfied.
  • Network traffic cleaning needs to greatly improve network traffic cleaning efficiency.
  • the traffic detection template involved in the solution of the present invention can be the same as the existing traffic detection template. Therefore, the solution of the present invention does not need to frequently upgrade the traffic detection template in the related implementation of the traffic detection template, thereby greatly reducing network traffic cleaning. Maintenance costs.
  • FIG. 1 is a schematic structural diagram of a system for implementing network traffic cleaning in the present invention
  • FIG. 2 is a schematic flowchart of implementing network traffic cleaning in the present invention.
  • the DPI (Deep Packet Inspection) technology and the Deep Flow Inspection (DFI) technology are two main methods for identifying abnormal network traffic.
  • DPI technology adds analysis of the application layer based on the analysis of the packet header, which is an application layer-based traffic detection and control technology; unlike DPI technology for load matching of the application layer, DFI technology uses a kind of Application identification technology based on traffic behavior, that is, different application types have different states in session connection or data flow.
  • IP traffic in the network reflected in the flow state are very obvious: real-time transmission Protocol (RTP, Real-time Transport Protocol)
  • RTP Real-time transmission Protocol
  • the packet length of the stream is relatively fixed, generally between 130 and 220 bytes, and the connection rate is low, 20 to 84 kilobits per second (Kbit/s), while the session continues.
  • the time is relatively long.
  • the network traffic based on the P2P download application is characterized by an average packet length of more than 450 bytes, a long download time, and a high connection rate.
  • the preferred transport layer protocol is Transmission Control Protocol (TCP).
  • DFI technology establishes a traffic characteristic model, that is, a traffic detection template, and analyzes the length of the data packet of the session connection stream, the connection rate, the amount of transmission bytes, and the interval between packets. To compare with the established traffic detection template to achieve application type identification.
  • the DFI technology combines DFI technology with DPI technology, that is, the DFI device detects network traffic according to the traffic detection template, and sends suspicious network traffic to the DPI device;
  • the template detects suspicious network traffic and cleans abnormal network traffic according to the control policy. This can greatly improve network traffic cleaning efficiency, meet the network traffic cleaning needs of massive data, and solve the integrity and cleaning efficiency of network traffic cleaning. The contradiction between the two, taking into account the efficiency and accuracy of detection.
  • the system includes: a DFI device and a DPI device, wherein the DFI device is configured to detect network traffic according to a traffic detection template, and determine suspicious Network traffic, sending suspicious network traffic to the DPI device; the DPI device is used to detect suspicious network traffic according to the identification template, determine abnormal network traffic, and clean abnormal network traffic according to the control policy.
  • the DFI device is also used to inject normal network traffic into the transmission link for transmission.
  • the DPI device is also used to inject normal network traffic into the transmission link for transmission.
  • the system may further include: a control center, configured to deliver the set traffic detection template to the DFI device; and configured to deliver the set identification template and the control policy to the DPI device.
  • a control center configured to deliver the set traffic detection template to the DFI device; and configured to deliver the set identification template and the control policy to the DPI device.
  • the traffic detection template, identification template, and control policy delivered by the control center can be initially statically set. It is dynamically set according to the current needs.
  • FIG. 2 is a schematic flowchart of implementing network traffic cleaning in the present invention. As shown in FIG. 2, the specific implementation of network traffic cleaning includes the following steps:
  • Step 201 The control center sends the set traffic detection template to the DFI device, and the DFI device stores the received traffic detection template.
  • Step 202 The control center sends the set identification template and the control policy to the DPI device, and the DPI device stores the received identification template and the control policy.
  • Steps 201 and 202 have no obvious time sequence in execution, and can be executed one after the other or simultaneously.
  • Step 203 to step 204 The DFI device detects the network traffic according to the traffic detection template, and determines whether the network traffic is abnormal. If the abnormality is abnormal, the network traffic may be abnormal, and the network traffic is determined to be suspicious, and the process proceeds to step 205. If there is no abnormality, normal network traffic is injected into the transmission link for transmission.
  • the DFI device When there is data transmission in the network, the DFI device directs the network traffic that needs to be detected to itself for traffic detection.
  • DFI equipment uses DFI technology for traffic detection. It compares the characteristics of network traffic with the stored traffic detection template, and the processing speed is faster.
  • the traffic detection template involved in the solution of the present invention can be the same as the existing traffic detection template. Therefore, the solution of the present invention does not need to frequently upgrade the traffic detection template in the related implementation of the traffic detection template, thereby greatly reducing the maintenance of the network traffic cleaning. cost.
  • the specific processing of the DFI device to determine whether the network traffic is abnormal is to compare the characteristics of the network traffic with the traffic detection template, that is, whether the network traffic is abnormal according to whether the characteristics of the network traffic are abnormal, and if the network traffic characteristics are normal, the network traffic is injected.
  • the transmission link is transmitted; if it is determined that the characteristics of the network traffic are abnormal, it indicates that the network traffic may be abnormal, and the network traffic is determined to be suspicious network traffic, and then step 205 is performed to send the suspicious network traffic to the DPI device, and the DPI device Perform deep packet inspection to further identify abnormal networks Traffic.
  • Step 205 The DFI device sends suspicious network traffic to the DPI device, and the DPI device performs deep packet inspection.
  • Step 206 The DPI device detects the suspicious network traffic received according to the identification template, and determines that the network traffic is abnormal, and then cleans the abnormal network traffic according to the control policy.
  • the DPI device performs deep packet inspection on the suspected network traffic according to the identification template, accurately identifies the specific application of the network traffic, and determines whether the network traffic is abnormal. After determining the abnormal network traffic, the abnormal network traffic is identified according to the control policy. deal with.
  • the abnormal network traffic determined by the DPI device is the abnormal network traffic finally obtained according to the scheme of the present invention.
  • the DPI device determines that the source of the network traffic is an illegal user according to the identification template, so that the network traffic corresponding to the abnormal network traffic is determined, and the corresponding network traffic is directly intercepted, so that the corresponding network traffic is not transmitted in the transmission link; For example, the DPI device determines that the network traffic is a large amount of empty content according to the identification template, and therefore determines that the corresponding network traffic is abnormal network traffic, and directly intercepts the corresponding network traffic, so that the corresponding network traffic is not transmitted in the transmission link.
  • Step 207 The DPI device injects normal network traffic into the transmission link for transmission, and completes the entire abnormal traffic cleaning process.
  • the normal network traffic mentioned here is the normal network traffic obtained after the above cleaning process.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

一种实现网络流量清洗的方法及系统 技术领域
本发明涉及计算机网络技术， 特别是指一种实现网络流量清洗的方法 及系统。 背景技术
随着互联网业务种类和业务量的迅猛发展， 网络中的垃圾流量（如无 任何意义或用处的流量、 或恶意攻击的流量）也在逐渐增多， 承载网络越 来越不堪重负， 经常会出现拥塞、 带宽不足的情况， 导致这种情况出现的 一个非常重要的原因就是网络中存在很多异常的网络流量， 如恶意攻击的 网络流量、 非授权的网络流量、 非法的点对点（P2P, Peer-to-Peer ) 网络流 量等， 此时， 对异常的网络流量进行清洗就成为一项非常重要的处理操作。 目前， 逐包检测的网络流量清洗方式对通信系统和检测设备的要求都非常 高， 并且处理效率较低， 然而， 清洗所针对的网络流量是非常大的， 因此， 现有的网络流量清洗方式根本无法满足骨干网等大流量应用场合的网络流 量清洗需要。 发明内容
有鉴于此， 本发明的主要目的在于提供一种实现网络流量清洗的方法 及系统， 有效提高网络流量清洗效率。
为解决上述技术问题， 本发明的技术方案是这样实现的：
一种实现网络流量清洗的方法， 该方法包括：
深度流检测（DFI )设备根据流量检测模板对网络流量进行检测， 向深 度报文检测 （DPI )设备发送可疑的网络流量； DPI设备根据识别模板对可疑的网络流量进行检测，根据控制策略清洗 异常的网络流量。
该方法还包括：
控制中心向 DFI设备下发设置的流量检测模板， DFI设备对收到的流 量检测模板进行存储； 和 /或，
控制中心向 DPI设备下发设置的识别模板和控制策略， DPI设备对收 到的识别模板和控制策略进行存储。
所述流量检测模板或所述识别模板是： 静态设置的， 或根据当前所需 动态设置的。
所述 DFI设备根据流量检测模板对网络流量进行检测之后， 还包括： DFI设备将正常的网络流量注入传输链路进行传输； 和 /或，
所述 DPI设备根据识别模板对可疑的网络流量进行检测之后，还包括： DPI设备将正常的网络流量注入传输链路进行传输。
所述根据流量检测模板对网络流量进行检测， 包括： 将网络流量的特 征与存储的流量检测模板进行比较， 确定网络流量的特征异常时， 确定对 应网络流量为可疑的网络流量。
所述根据识别模板对可疑的网络流量进行检测， 包括： 根据识别模板 对可疑的网络流量进行深度报文检测， 识别网络流量的具体应用， 确定网 络流量是否异常。
一种实现网络流量清洗的系统， 包括：
DFI设备， 用于根据流量检测模板对网络流量进行检测， 向 DPI设备 发送可疑的网络流量；
DPI设备，用于根据识别模板对可疑的网络流量进行检测，根据控制策 略清洗异常的网络流量。
所述系统进一步包括： 控制中心， 用于向 DFI设备下发设置的流量检测模板； 和 /或，
用于向 DPI设备下发设置的识别模板和控制策略。
所述流量检测模板或所述识别模板是： 静态设置的， 或根据当前所需 动态设置的。
所述 DFI设备还用于将正常的网络流量注入传输链路进行传输；和 /或， 所述 DPI设备还用于将正常的网络流量注入传输链路进行传输。
本发明方案中， 将 DFI技术与 DPI技术相结合， 从而很好地解决了网 络流量清洗中检测的完整性与清洗效率之间的矛盾， 并且兼顾了检测效率 与准确性， 能够满足海量数据的网络流量清洗需要， 大大提高了网络流量 清洗效率。
另外， 本发明方案中所涉及的流量检测模板可以与现有的流量检测模 板相同， 因此本发明方案在有关流量检测模板的相关实现中并不需要频繁 升级流量检测模板， 大大降低了网络流量清洗的维护成本。 附图说明
图 1为本发明中实现网络流量清洗的系统结构示意图；
图 2为本发明中实现网络流量清洗的流程示意图。 具体实施方式 深度 文检测（ DPI, Deep Packet Inspection )技术与深度流检测（ DFI, Deep Flow Inspection )技术是对异常的网络流量进行识别的两种主要方式。 其中， DPI技术在分析包头的基础上， 增加了对应用层的分析， 是一种基于 应用层的流量检测和控制技术；与 DPI技术进行应用层的载荷匹配不同， DFI 技术采用的是一种基于流量行为的应用识别技术， 即不同的应用类型体现 在会话连接或数据流上的状态各有不同。
例如， 网络中的 IP流量体现在流状态上的特征就非常明显： 实时传输 协议（RTP, Real-time Transport Protocol ) 流的包长相对固定， 一般在 130 至 220字节 （ byte ) , 连接速率较低， 为 20至 84千比特每秒（ Kbit/s ) , 同 时会话持续时间相对较长； 而基于 P2P下载应用的网络流量的特点为平均 包长都在 450byte以上、 下载时间长、 连接速率高、 首选的传输层协议为传 输控制协议 ( TCP, Transmission Control Protocol )等。
DFI技术正是基于这一系列流量行为的特征，建立流量特征模型、 即流 量检测模板， 通过分析会话连接流的数据包的长度、 连接速率、 传输字节 量、 数据包之间的间隔等信息来与建立的流量检测模板进行对比， 从而实 现应用类型的鉴别。
鉴于上述 DPI技术和 DFI技术各自的特点， 本发明方案中将 DFI技术 与 DPI技术相结合， 即 DFI设备根据流量检测模板对网络流量进行检测， 向 DPI设备发送可疑的网络流量； DPI设备根据识别模板对可疑的网络流 量进行检测， 根据控制策略清洗异常的网络流量， 这样便能够大大提高网 络流量清洗效率， 满足海量数据的网络流量清洗需要， 并且解决网络流量 清洗中检测的完整性与清洗效率之间的矛盾， 兼顾检测效率与准确性。
图 1为本发明中实现网络流量清洗的系统结构示意图， 如图 1所示， 该系统包括： DFI设备和 DPI设备， 其中， DFI设备用于根据流量检测模板 对网络流量进行检测， 确定可疑的网络流量， 向 DPI设备发送可疑的网络 流量； DPI设备用于根据识别模板对可疑的网络流量进行检测，确定异常的 网络流量， 根据控制策略清洗异常的网络流量。
DFI设备还用于将正常的网络流量注入传输链路进行传输。 DPI设备还 用于将正常的网络流量注入传输链路进行传输。
该系统可以进一步包括： 控制中心， 用于向 DFI设备下发设置的流量 检测模板； 还用于向 DPI设备下发设置的识别模板和控制策略。 控制中心 下发的流量检测模板、 识别模板、 控制策略可以是初始静态设置的， 也可 以是根据当前所需动态设置的。
图 2为本发明中实现网络流量清洗的流程示意图， 如图 2所示， 网络 流量清洗的具体实现包括以下步骤：
步骤 201 : 控制中心向 DFI设备下发设置的流量检测模板， DFI设备对 收到的流量检测模板进行存储。
步骤 202: 控制中心向 DPI设备下发设置的识别模板和控制策略， DPI 设备对收到的识别模板和控制策略进行存储。
步骤 201和步骤 202在执行上没有明显的时间顺序， 可以一前一后执 行， 也可以同时执行。
步骤 203~步骤 204: DFI设备根据流量检测模板对网络流量进行检测， 判断网络流量是否异常， 如果异常， 则表明网络流量可能是异常的， 确定 网络流量为可疑的网络流量， 继续执行步骤 205; 如果没有异常， 则将正常 的网络流量注入传输链路进行传输。
网络中有数据传输时， DFI设备将需要检测的网络流量引导到自身， 以 进行流量检测。 DFI设备采用 DFI技术进行流量检测是将网络流量的特征 与存储的流量检测模板进行比较， 处理速度较快。 本发明方案中所涉及的 流量检测模板可以与现有的流量检测模板相同， 因此本发明方案在有关流 量检测模板的相关实现中并不需要频繁升级流量检测模板， 大大降低了网 络流量清洗的维护成本。
DFI设备判断网络流量是否异常的具体处理是将网络流量的特征与流 量检测模板进行比较， 即通过网络流量的特征是否异常确定网络流量是否 异常， 如果确定网络流量的特征正常， 则将网络流量注入传输链路进行传 输； 如果确定网络流量的特征异常， 则表明网络流量可能是异常的， 确定 网络流量为可疑的网络流量， 然后执行步骤 205, 将可疑的网络流量发送给 DPI设备， 由 DPI设备进行深度报文检测， 进一步具体地识别异常的网络 流量。
步骤 205: DFI设备向 DPI设备发送可疑的网络流量， 由 DPI设备进行 深度报文检测。
步骤 206: DPI设备根据识别模板对收到的可疑的网络流量进行检测， 确定网络流量异常后， 根据控制策略对异常的网络流量进行清洗处理。
DPI设备根据识别模板对可疑的网络流量进行深度报文检测，准确识别 网络流量的具体应用， 从而确定网络流量是否异常， 确定网络流量异常后， 根据控制策略对识别出的异常的网络流量进行清洗处理。 DPI设备确定出的 异常的网络流量即为根据本发明方案最终得到的异常的网络流量。 例如， DPI设备 ^据识别模板确定网络流量的来源为非法用户，因此确定对应网络 流量为异常的网络流量， 直接拦截对应网络流量， 从而使对应网络流量不 会在传输链路中进行传输； 又如， DPI设备根据识别模板确定网络流量为大 量空内容的信息， 因此确定对应网络流量为异常的网络流量， 直接拦截对 应网络流量， 从而使对应网络流量不会在传输链路中进行传输。
步骤 207: DPI设备将正常的网络流量注入传输链路进行传输， 完成整 个的异常流量清洗过程。 这里所说的正常的网络流量是进行以上清洗处理 后所得到的正常的网络流量。
以上所述， 仅为本发明的较佳实施例而已， 并非用于限定本发明的保 护范围。

Claims

权利要求书
1、 一种实现网络流量清洗的方法， 其特征在于， 该方法包括： 深度流检测（DFI )设备根据流量检测模板对网络流量进行检测， 向深 度报文检测 （DPI )设备发送可疑的网络流量；
DPI设备根据识别模板对可疑的网络流量进行检测，根据控制策略清洗 异常的网络流量。
2、 根据权利要求 1所述的方法， 其特征在于， 该方法还包括： 控制中心向 DFI设备下发设置的流量检测模板， DFI设备对收到的流 量检测模板进行存储； 和 /或，
控制中心向 DPI设备下发设置的识别模板和控制策略， DPI设备对收 到的识别模板和控制策略进行存储。
3、 根据权利要求 2所述的方法， 其特征在于， 所述流量检测模板或所 述识别模板是： 静态设置的， 或根据当前所需动态设置的。
4、 根据权利要求 1或 2所述的方法， 其特征在于，
所述 DFI设备根据流量检测模板对网络流量进行检测之后， 还包括： DFI设备将正常的网络流量注入传输链路进行传输； 和 /或，
所述 DPI设备根据识别模板对可疑的网络流量进行检测之后，还包括： DPI设备将正常的网络流量注入传输链路进行传输。
5、 根据权利要求 1或 2所述的方法， 其特征在于， 所述根据流量检测 模板对网络流量进行检测， 包括： 将网络流量的特征与存储的流量检测模 板进行比较， 确定网络流量的特征异常时， 确定对应网络流量为可疑的网 络流量。
6、 根据权利要求 1或 2所述的方法， 其特征在于， 所述根据识别模板 对可疑的网络流量进行检测， 包括： 根据识别模板对可疑的网络流量进行 深度报文检测， 识别网络流量的具体应用， 确定网络流量是否异常。
7、 一种实现网络流量清洗的系统， 其特征在于， 包括：
DFI设备， 用于根据流量检测模板对网络流量进行检测， 向 DPI设备 发送可疑的网络流量；
DPI设备，用于根据识别模板对可疑的网络流量进行检测，根据控制策 略清洗异常的网络流量。
8、 根据权利要求 7所述的系统， 其特征在于， 所述系统进一步包括： 控制中心，
用于向 DFI设备下发设置的流量检测模板； 和 /或，
用于向 DPI设备下发设置的识别模板和控制策略。
9、 根据权利要求 8所述的系统， 其特征在于， 所述流量检测模板或所 述识别模板是： 静态设置的， 或根据当前所需动态设置的。
10、 根据权利要求 7至 9任一所述的系统， 其特征在于，
所述 DFI设备还用于将正常的网络流量注入传输链路进行传输；和 /或， 所述 DPI设备还用于将正常的网络流量注入传输链路进行传输。
PCT/CN2010/072585 2009-07-29 2010-05-10 一种实现网络流量清洗的方法及系统 WO2011012004A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200910090132.7 2009-07-29
CN2009100901327A CN101986609A (zh) 2009-07-29 2009-07-29 一种实现网络流量清洗的方法及系统

Publications (1)

Publication Number Publication Date
WO2011012004A1 true WO2011012004A1 (zh) 2011-02-03

Family

ID=43528738

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/072585 WO2011012004A1 (zh) 2009-07-29 2010-05-10 一种实现网络流量清洗的方法及系统

Country Status (2)

Country Link
CN (1) CN101986609A (zh)
WO (1) WO2011012004A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104320304A (zh) * 2014-11-04 2015-01-28 武汉虹信技术服务有限责任公司 一种易扩展的多方式融合的核心网用户流量应用识别方法
CN107302472A (zh) * 2017-06-14 2017-10-27 苏州海加网络科技股份有限公司 基于流形态特征的应用行为识别方法及系统

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103166807B (zh) * 2011-12-15 2016-09-07 中国电信股份有限公司 基于应用的流量流向分析处理方法与系统
CN104243237B (zh) * 2014-09-17 2017-05-17 新华三技术有限公司 P2p流检测方法和设备
CN107819646A (zh) * 2017-10-23 2018-03-20 国网冀北电力有限公司信息通信分公司 一种分布式传输的网络流量分类系统和方法
CN111783804B (zh) * 2019-04-04 2023-11-24 中国移动通信集团上海有限公司 异常话单确定方法、装置、设备及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101299724A (zh) * 2008-07-04 2008-11-05 杭州华三通信技术有限公司 流量清洗的方法、系统和设备
CN101431449A (zh) * 2008-11-04 2009-05-13 中国科学院计算技术研究所 一种网络流量清洗系统
US20090146838A1 (en) * 2007-12-09 2009-06-11 Daniel A. Katz Communication System for Data Acquisition from Remote Devices Applicable for AMR

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20060009775A (ko) * 2004-07-26 2006-02-01 삼성전자주식회사 멀티미디어 패킷 전송 장치 및 그 방법
US20060123481A1 (en) * 2004-12-07 2006-06-08 Nortel Networks Limited Method and apparatus for network immunization
US20060268866A1 (en) * 2005-05-17 2006-11-30 Simon Lok Out-of-order superscalar IP packet analysis
CN101399749B (zh) * 2007-09-27 2012-04-04 华为技术有限公司 一种报文过滤的方法、系统和设备
CN101488946A (zh) * 2008-01-16 2009-07-22 华为技术有限公司 报文检测方法及系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090146838A1 (en) * 2007-12-09 2009-06-11 Daniel A. Katz Communication System for Data Acquisition from Remote Devices Applicable for AMR
CN101299724A (zh) * 2008-07-04 2008-11-05 杭州华三通信技术有限公司 流量清洗的方法、系统和设备
CN101431449A (zh) * 2008-11-04 2009-05-13 中国科学院计算技术研究所 一种网络流量清洗系统

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104320304A (zh) * 2014-11-04 2015-01-28 武汉虹信技术服务有限责任公司 一种易扩展的多方式融合的核心网用户流量应用识别方法
CN104320304B (zh) * 2014-11-04 2017-11-28 武汉虹信技术服务有限责任公司 一种易扩展的多方式融合的核心网用户流量应用识别方法
CN107302472A (zh) * 2017-06-14 2017-10-27 苏州海加网络科技股份有限公司 基于流形态特征的应用行为识别方法及系统

Also Published As

Publication number Publication date
CN101986609A (zh) 2011-03-16

Similar Documents

Publication Publication Date Title
EP3535932B1 (en) Application characterization using transport protocol analysis
WO2011012004A1 (zh) 一种实现网络流量清洗的方法及系统
US20140189867A1 (en) DDoS ATTACK PROCESSING APPARATUS AND METHOD IN OPENFLOW SWITCH
US20060221946A1 (en) Connection establishment on a tcp offload engine
WO2009089701A1 (fr) Procédé et système d'inspection de paquet
WO2011047600A1 (zh) 僵尸网络检测方法、装置和系统
US10355961B2 (en) Network traffic capture analysis
JP2005506736A (ja) パケットネットワークのルータ内のノードセキュリティを提供するための方法及び装置。
US9800593B2 (en) Controller for software defined networking and method of detecting attacker
US7478168B2 (en) Device, method and program for band control
CN102510385A (zh) 防ip数据报分片攻击的方法
WO2013000413A1 (zh) 一种文件传输方法及设备
CN105812318A (zh) 用于在网络中防止攻击的方法、控制器和系统
CN105703967B (zh) 一种检测标签交换路径连通性的方法及装置
KR101211147B1 (ko) 네트워크 검사 시스템 및 그 제공방법
CN108449280B (zh) 一种避免tcp报文乒乓的方法及装置
CN105991509A (zh) 会话处理方法及装置
CN105162794B (zh) 一种使用约定方式的ipsec密钥更新方法及设备
CN101771575B (zh) 一种处理ip分片报文的方法、装置及系统
CN111371782A (zh) 一种报文传输方法及装置、存储介质
JP5596626B2 (ja) ＤｏＳ攻撃検出方法及びＤｏＳ攻撃検出装置
JP4391455B2 (ja) ＤＤｏＳ攻撃に対する不正アクセス検知システム及びプログラム
KR101269552B1 (ko) Ｈｔｔｐ를 이용한 통신에서 불완전한 ｇｅｔ 요청 메시지에 의한 서비스 거부 공격을 탐지하는 방법 및 그 장치
TWI427995B (zh) 用戶端設備及其防止攻擊的方法
CN111212088A (zh) 一种加速服务器提速rtp报文转发方法以及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10803837

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 10803837

Country of ref document: EP

Kind code of ref document: A1