一种以DPI为核心的网络流量识别方案-论文.pdf

《一种以DPI为核心的网络流量识别方案-论文.pdf》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、第13卷第1期软件导刊Vo1．13N0．12014年1月SoftwareGuideJan．2O14一种以DPI为核心的网络流量识别方案吴军，杜泽华(江西理工大学信息工程学院，江西赣州341000)摘要：网络流量的识别是流量控制、计费和内容安全等需求实现的前提条件，是适应当前网络急速增长和解决当前网络威胁的有效途径。提出了一种以深度数据包检测(DeepPacketInspection，DPI)为主要识别技术，结合端口、统计等多种识别技术的识别方案。以谷歌的GoogleTalk为例，对各种场景的应用和采用不同协议的情况，进行了细

2、致的分析。测试结果表明，该方案能精确地识别各种类型的协议。关键词：流量识别；深度数据包检测；特征匹配中图分类号：TP302文献标识码：A文章编号：1672—7800(2014)001—0023～03spection，DFI)相结合的识别方法，解决DPI和DFI单独0引言识别时存在的局限性。端口识别速度快但通用性不高；DPI识别准确度高、伴随着大量新型网络应用的研发，很多应用和冗余信速度较快，然而无法识别加密流量；统计识别能识别加密息充斥着网络，导致带宽滥用，多种网络攻击横行，对网络协议，但易误报；DPI和DFI结合的方式对设

3、备性能要求互连的企业或个人造成了很大的威胁。要想解决这些问较高，以上各种识别方法优缺点都相当明显。本文介绍了题，就必须对流量进行识别并分类处理。流量识别作为基一种有机结合各种识别技术的方法，利用这种方法，能对础，是分类处理的先决条件。本文综合了多种识别技术，现网流量达到很高的识别效果，并以谷歌公司的即时聊天能有效地识别现网流量。软件-GoogleTalk为例进行了分析。对网络监控的迫切需求和反监控技术的不断演变是流量识别技术持续更新的动力。SalmanA．Baset和1流量识别网络拓扑与识别方案设计HenningG．Schu

4、lzrinneI】采用了早期的端口识别，利用端口80和443对Skype部分场景进行识别阻断。这种传统流量识别中，流作为最基本的单位，实现原IP到目的的端口识别对端口固定的应用有很好的识别效果，但是由IP之间的通信，每条流都包含了唯一的五元组信息，即于动态端口、规避端口和非常规端口的采用使纯粹的端口[原IP，原端口(Port)，目的IP，目的端口(Port)，传输协议识别显得苍白无力。在这种情况下，提出了深度包检测识(TCP／UDP)]，凭借这个特性，流能够被唯一标识出来，在别方法，例如，南京邮电大学的李鸿斌设计了DPI系统

5、此基础上对其包头和负载进行检测，提取有效特征。本章对流量进行有效识别；AnatBremler—Barr等通过DPI识介绍流量识别的网络拓扑，如图1所示，接着，详细地讲解别算法的改进，使特征匹配速度上升了60。DPI识别技各种流量识别技术的原理，最后通过分析对比，得出最优术具有识别速度快、准确度高、原理简单的优点，但是存在解决方案。两个缺陷，一是对加密协议的识别，二是无法自动识别新1．1流量识别网络拓扑推出应用，需重新分析并提取特征。针对DPI识别的第防火墙是一种高级访问控制设备，是流量识别的硬件一点缺陷，统计识别应运而生，统

6、计识别提取业务流的发载体，如图i所示，通过直连接入网络，设置在网络不同安包间隔、包长、包数和连接等特性作为特征信息，巧妙地突全区域之间。它既是内网流量的人口，也是通向外网的必破了加密协议无法识别的困境。例如，美国麻省理工学院经之路。通过企业下发的安全策略，防火墙实现控制出入的FivosConstantinou[4统计了P2P协议的基本特性，进的网络流量。而识别P2P流量；李兵等提出了一种将统计识别与主1．2识别技术分析和识别方案机行为相结合的VOIP识别方法；随后，北京邮电大学的流量识别技术经过这么多年的发展、演变，研究者提

7、米淑云提到了一种DPI与深度流检测(DeepFlowIn—出了很多具有针对性的流量识别方法。作者简介：吴军(1964一)，男，硕士，江西理工大学信息5-程学院副教授，研究方向为嵌入式系统及SOPC技术研究及应用；杜泽华(1989～)，男，江西理工大学信息工程学院硕士研究生，研究方向为流量识别。·24·软件导刊端口识别：以流量的五元组中端口号作为识别特征。2所示，三元组信息可以分为4类。如表1所示，很多应用层协议都会在IASA上注册端口，表2关联三元组信息从而依靠这些端口对协议进行识别，但是由于应用层协议原IP，原Port，传

8、输协议常使用公用端口、动态分配端口、非常用端I=1ET]等，使得纯三元组原IP，目的Port，传输协议目的IP，目的Port，传输协议Et的IP，原Port，传输协议粹的端口识别已经不能达到预期效果。对不同定端口的协}义，端⋯u性N丈,N薹识作用单个包作为独立整体，单包识别准术j囊量个图1