改进的双重特征协议识别方法研究

王欣+++徐智+++黄其新

【 摘 要 】 传统识别方法难以满足现实网络环境的实际需要。文章利用协议的端口和特征串双重特征进行识别，并且根据实际的网络统计所需要识别协议的真实流量，正确化简正则表达式来实现对协议识别的加速。结果证明，与L7-filter正则表达式识别方法比较，采用方法能有效降低资源消耗和匹配时间，提高识别率。

【 关键词 】 协议识别；正则表达式；特征串

1 引言

快速准确地对网络进行流量控制、网络计费及内容过滤识别是当今计算机网络发展面临的重要问题，这对政府管理部门、网络管理员、运营商等都有十分重要的意义。协议识别技术解决了这一问题，尤其在网络安全监控领域，通过协议识别技术对捕获的数据包进行分析，判断协议类型，分析其特征，从而在入侵检测或网络攻击等方面起到很大作用。本文在对传统识别方法分析的基础上，以识别正确率高、速度快、算法复杂度小为基本原则，提出了一种基于数据分类和正则表达式匹配的应用层协议识别方法。

2 传统的协议识别算法

2.1 基于端口的协议识别算法

这种识别算法使用IANA规定的固定端口号来进行相应的应用层协议识别，仅能识别固定端口的应用层协议识别率高。但是大量的应用层协议为了避免识别， 逃避防火墙的检查，使用随机端口进行通信。大量涌现的新协议都不在IANA中注册其端口号， 因此算法所能识别的协议在总协议数量中所占的比重越来越少，已不能适应于当前网络环境。……