[发明专利]一种基于自主学习的对等网络流量识别方法

摘要

一种基于自主学习的对等网络流量识别方法是一种高效的、准确的P2P流量识别方法，其不仅利用了DPI和DFI两种识别方法，而且利用DPI已识别的P2P流量来对基于机器学习的DFI识别结果进行验证,达到自主学习的目的。通过这种方法既可以识别加密的P2P网络流量，同时还克服了DFI无法自调整和识别率低的问题。具体的是提出了一种通过NetFilter技术对P2P流量进行提取，然后利用DPI技术进行识别，并将识别出的P2P流量的特征添加到IP地址列表中，对基于机器学习的DFI识别结果进行验证，使整个识别过程形成一个闭环系统，实现具有自主学习能力的P2P流量识别方法。

主权项

一种基于自主学习的对等网络流量识别方法，其特征在于该方法所包含的步骤为：步骤1).当流量经过装有该系统的主机时,根据Linux的Netfilter架构，利用HOOK函数对数据包进行抓取；步骤2).对抓取的数据包进行相应的统计；分析数据包的IP层，判断数据包是TCP报文还是UDP报文，若是UDP报文则根据特征库进行UDP报文的DPI检测,若是P2P报文转到步骤4），否则丢弃；步骤3).对识别出的TCP报文进行端口检测，若其端口号在0‑1023之间，说明其不是P2P报文，直接结束；对于TCP数据包，根据特征库进行TCP报文的DPI检测，若不是P2P报文直接丢弃；步骤4).将已识别出的P2P报文中的相应的五元组即：源IP地址，源端口，目的IP地址，目的端口，和传输层协议号装入到IP信息列表中；步骤5).首先通过非P2P和P2P的样本对基于机器学习的DFI模块进行训练，建立关于会话流的数据包长度规律、连接速率、传输字节量、数据包间的时间间隔等信息的流量模型；步骤6). 将DPI检测未识别出的数据包报文发送给DFI检测模块，进行检测，与流量模型对比，判断是否是P2P流量，若检测结果是P2P协议的数据包，则进行步骤7），否则直接结束检测；步骤7).将DFI识别出的P2P协议报文中的IP与DPI识别出的IP列表进行对照验证；步骤8).若IP列表中含有此IP信息，则验证成功，说明DFI成功检测到进行加密的P2P报文，否则结束检测；步骤9).对于成功检测的加密的P2P流量，提取报文中的流量特征信息：源IP地址，源端口，目的IP地址，目的端口，和传输层协议号，利用该流量特征信息对DFI检测模块再进行一次训练，提高流量模型的精确性。