CN101789969B - 一种识别对等网络中业务数据的方法和装置 - Google Patents

Abstract

本发明实施例公开了一种识别对等网络中业务数据的方法和装置。其中，方法包括：接收特征文件，所述特征文件包含有基于业务数据长度特征建立的长度特征规则；从所述特征文件中提取出长度特征规则；当获取到会话连接中的业务数据时，根据提取出的长度特征规则对所述会话中的业务数据进行识别。根据本发明实施例，实现了长度特征识别的规则化，当对长度特征的识别方法进行扩展时，可以提高开发人员的工作效率。

Description

一种识别对等网络中业务数据的方法和装置

技术领域

本申请涉及通信和计算机技术领域，特别是涉及一种识别对等网络中业务数据的方法和装置。

背景技术

P2P(Peer to Peer，对等网络)自出现以来就很快得到了普及和发展。P2P的网络结构区别于C/S(Client/Server，客户端/服务器)结构和B/S(Browser/Server，浏览器/服务器)结构，P2P最显著的特点是：整个网络不存在中心节点或中心服务器，网络中的每一个节点同时具有信息消费者、信息提供者和信息通讯三方面的功能，因此，在P2P中实现文件的共享和下载给用户带来了很大的便利。然而，随着P2P的流行，P2P中的业务数据占用了带宽接入的大量资源，致使用户对Web、Email以及视频点播等其它业务的正常使用相应地受到了影响，为了使用户对其他业务的正常使用不受到P2P的负面影响，就需要对P2P中的业务数据进行流量控制。因此，如何识别P2P网络中的业务数据成为了一个迫切需要解决的问题。

P2P技术在经过了不断的更新和升级后，很多P2P中的业务数据都采用了加密的方式进行传输，因此，传统的识别方法很难准确地识别出P2P中的业务数据。目前，应用识别引擎采用一种基于业务数据长度特征的识别方法实现对加密的业务数据进行识别。

但是，发明人在研究中发现，在现有的应用识别引擎中，如果对基于业务数据长度特征的识别方法进行特征修改或者升级，即，对基于长度特征的识别方法进行扩展时，每进行一次扩展，就需要开发人员相应地修改一次识别方法的代码，从而导致开发人员耗时耗力，工作效率低下。

发明内容

为了解决上述技术问题，本申请实施例提供了一种识别对等网络中业务数据的方法和装置，当对长度特征的识别方法进行扩展时，以提高开发人员的工作效率。

本申请实施例公开公开了如下技术方案：

一种识别对等网络中业务数据的方法，包括：接收特征文件，所述特征文件包含有基于业务数据长度特征建立的长度特征规则；从所述特征文件中提取出长度特征规则；当获取到会话连接中的业务数据时，根据提取出的长度特征规则对所述会话中的业务数据进行识别。

优选的，所述从特征文件中提取出长度特征规则包括：解析所述特征文件，得到与至少一个会话类型相对应的长度特征规则；将所述长度特征规则存储在链表形式的内存结构中。

优选的，所述长度特征规则包括：被识别报文的个数、被识别报文的长度特征和所述长度特征的顺序。

优选的，所述被识别报文的长度特征包括：一个预置的固定值、一个预置的区间值和预置的离散值中的任意一种或者任意多种组合。

优选的，所述当获取到会话连接中的业务数据时，根据提取出的长度特征规则对所述会话中的业务数据进行识别包括：为提取出的长度特征规则建立状态机，并将所述长度特征规则设置为状态机中的跳转条件；根据所述状态机中的跳转条件，在所述状态机中进行跳转，以便实现对所述会话中的业务数据的识别。

一种识别对等网络中业务数据的装置，包括：接收单元，用于接收特征文件，所述特征文件包含有基于业务数据长度特征建立的长度特征规则；提取单元，用于从所述特征文件中提取出长度特征规则；识别单元，用于当获取到会话连接中的业务数据时，根据提取出的长度特征规则对所述会话中的业务数据进行识别。

优选的，所述提取单元包括：解析子单元，用于解析所述特征文件，得到与至少一个会话类型相对应的长度特征规则；存储子单元，用于将所述长度特征规则存储在链表形式的内存结构中。

优选的，所述长度特征规则包括：被识别报文的个数、被识别报文的长度特征和所述长度特征的顺序。

优选的，所述被识别报文的长度特征包括：一个预置的固定值、一个预置的区间值和预置的离散值中的任意一种或者任意多种组合。

优选的，所述识别单元包括：建立子单元，用于为提取出的长度特征规则建立状态机，并将所述长度特征规则设置为状态机中的跳转条件；状态机跳转子单元，用于根据所述状态机中的跳转条件，在所述状态机中进行跳转，以便实现对所述会话中的业务数据的识别。

由上述实施例可以看出，当接收到特征文件后，基于特征文件中的长度特征规则对会话连接中的业务数据进行识别。当需要对基于长度特征的识别方法进行修改或者升级等扩展时，只需要对特征文件中的长度特征规则进行扩展，即可根据扩展后的特征文件进行识别。从而实现长度特征识别的规则化，提高了开发人员的工作效率。并且，即时扩展，即时生效。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本申请一种识别对等网络中业务数据的方法的一个实施例的流程图；

图2为本申请一种识别对等网络中业务数据的方法的另一个实施例的流程图；

图3为本申请一种对等网络的结构示意图；

图4为本申请一种状态机的结构示意图；

图5为本申请一种识别对等网络中业务数据的装置的一个实施例的结构图。

具体实施方式

为使本申请的上述目的、特征和优点能够更加明显易懂，下面结合附图对本申请实施例进行详细描述。

实施例一

请参阅图1，其为本申请一种识别对等网络中业务数据的方法，该方法包括以下步骤：

步骤101：接收特征文件，所述特征文件包含有基于业务数据长度特征建立的长度特征规则；

其中，所述长度特征包括：被识别报文的个数、被识别报文的长度特征和所述长度特征的顺序。

所述被识别的长度特征包括：一个预置的固定值、一个预置的区间值和预置的离散值中的任意一种或者任意多种组合。

例如，目前P2P技术中的会话类型包括有：BT、电驴和Vagaa等。当基于业务数据长度特征，对会话类型为BT的业务数据进行识别时，相应的长度规则为：在一个会话连接中的任意三个连续报文中，如果第一个报文的长度为56字节，第二个报文的长度为14字节，第三个报文的长度为68字节，则判定在P2P中，该会话类型为BT。因此，根据上述长度规则可以建立一个用于对会话类型为BT的业务数据进行识别的特征文件，并在特征文件中的长度规则中具体指示出：被识别报文的个数，被识别报文的长度特征和所述长度特征的顺序。对于BT的会话类型而言，被识别报文的个数为3个，被识别报文的长度特征为：56、14和68，并且，3个被识别报文的长度特征的顺序为：第一个长度特征为56，第二个长度特征为14，第三个长度特征为68。

当基于业务数据长度特征，对会话类型为电驴的业务数据进行识别时，相应的长度规则为：在一个会话连接中的任意四个连续报文中，如果第一个报文的长度为56字节，第二个报文的长度为数值区间【34-39】中的任意一个值，第三个报文的长度为数值区间【45-88】中的任意一个值，第四个报文的长度为数值区间【55-66】中的任意一个值，则判定在P2P中，该会话类型为电驴。因此，根据上述长度规则可以建立一个用于对会话类型为电驴的业务数据进行识别的特征文件，并在特征文件中的长度规则中具体指示出：被识别报文的个数，被识别报文的长度特征和所述长度特征的顺序。对于电驴的会话类型而言，被识别报文的个数为4个，被识别报文的长度特征为：56、【34-39】、【45-88】和【55-66】，并且，4个被识别报文的长度特征的顺序为：第一个长度特征为56，第二个长度特征为【34-39】，第三个长度特征为【45-88】，第四个长度特征为【55-66】。

当基于业务书长度特征，对会话类型为Vagaa的业务数据进行识别时，相应的长度规则为：在一个会话连接中的任意5个连续报文中，如果第一个报文的长度为26字节、第二个报文的长度为26、66和188这三个离散值中的任意一个，第三个报文的长度为26和10这两个离散值中的任意一个，第四个报文的长度为55和45这两个离散值中的任意一个，第五个报文的长度为14和26这两个离散值中的任意一个。

需要说明的是，上述在对会话类型为BT、电驴和Vagaa的业务数据进行识别时，所采用的被识别报文的个数、被识别报文的长度特征和所述长度特征的顺序并不进行限定，除了上述的长度规则外，也可以采用其他的长度规则。

还需要说明的是，一个特征文件中可以包含与一个会话类型相对应的长度特征规则，也可以包含与多个会话类型相对应的长度特征规则。

步骤102：从所述特征文件中提取出长度特征规则；

其中，所述从特征文件中提取出长度特征规则包括：解析所述特征文件，得到与至少一个会话类型相对应的长度特征规则；将所述长度特征规则存储在链表形式的内存结构中。

例如，当接收到一个特征文件后，对接收到的特征文件进行解析，通过解析，得到程度特征规则。其中，当接收到的特征文件中只包含有与一个会话类型相对应的长度特征规则时，将唯一的长度特征规则存储在链表形式的内存结构中；当接收到的特征文件中包含有与多个会话类型相对应的长度特征规则时，将多个长度特征规则存储在链表形式的内存结构中。

步骤103：当获取到会话连接中的业务数据时，根据提取出的长度特征规则对所述会话中的业务数据进行识别。

其中，所述当获取到会话连接中的业务数据时，根据提取出的长度特征对所述会话中的业务数据进行识别包括：为提取出的长度特征规则建立状态机，并将所述长度特征规则设置为状态机中的跳转条件；根据所述状态机中的跳转条件，在所述状态机中进行跳转，以便实现对所述会话中的业务数据的识别。

例如，当接收到的特征文件中包含一个与BT会话类型相对应的长度特征规则，并从特征文件中提取出该长度特征规则后，为提取出的长度特征规则建立状态机，在该状态机中，由起始状态跳转到状态1的跳转条件为报文A的报文长度为56字节，由状态1跳转到状态2的跳转条件为报文A的下一个报文(即报文B)的报文长度为14字节，由状态2跳转到终止状态的跳转条件为报文B的下一个报文的报文长度为68字节。每当获取到一个会话连接中的业务数据时，就将获取到的业务数据根据状态机中的跳转条件，在所述状态机中进行跳转，当状态机跳转到终态时，则识别出该会话类型为BT，即，该会话连接中的业务数据是P2P中的业务数据；当状态机跳转不到状态时，则识别出该会话类型不是BT，此时，可以认定该会话连接中的业务数据不是P2P中的业务数据。当然，当接收到的特征文件中包含多个与BT会话类型相对应的长度特征规则时，可以按照上述方法，根据所有长度特征规则逐一识别会话连接中的业务数据，进而判定出会话连接中的业务数据是否为P2P中的业务数据。

由上述实施例可以看出，当接收到特征文件后，基于特征文件中的长度特征规则对会话连接中的业务数据进行识别。当需要对基于长度特征的识别方法进行修改或者升级等扩展时，只需要对特征文件中的长度特征规则进行扩展，即可根据扩展后的特征文件进行识别。从而实现长度特征识别的规则化，提高了开发人员的工作效率。并且，即时扩展，即时生效。

实施例二

下面以一种对等网络的结构为应用场景详细说明识别该对等网络中业务数据的方法。请参阅图2，其为本申请一种识别对等网络中业务数据的方法的另一个实施例的流程图，识别方法具体包括以下步骤：

步骤201：接入层网关接收特征文件；

其中，请参阅图3，其为本申请一种对等网络的结构示意图，如图3所示，P2P的网络结构不同于传统的C/S结构和B/S结构，整个网络不存在中心节点或中心服务器，网络中的每一个节点同时具有信息消费者、信息提供者和信息通讯三方面的功能。为了能够实现对P2P中业务数据的识别，则需要在网络接入层架设一个网关设备，该网关设备具有识别功能的应用识别引擎，能够对所接收到的会话连接中的业务数据进行识别，进而识别出是否为P2P中的业务数据。

特征文件包含有基于业务数据长度特征建立的长度特征规则。在特征文件中，可以通过定义特征关键字建立长度特征规则。如，定义特征关键字stream_dsize：<num>[，<num>][，<num>]......[，<num>]。

其中，<num>表示一个会话连接中被识别报文的个数，<num>的最大值为10，即，最多可以支持对会话连接中的连续10个被识别报文进行识别；[，<num>][，<num>]......[，<num>]表示每个被识别报文的长度特征，同时，也指示出了各个长度特征的顺序。每个被识别报文的长度特征可以有以下几种格式：

1.<num>

表示被识别报文的长度为一个预置的固定值；

2.<num1>|<num2>|<num3>|......

表示被识别报文的长度为预置的离散值，最多支持8个值，即被识别报文的长度最多可以是8个离散值中的任意一个；

3.<num1><><num2>

表示被识别报文的长度为一个预置的区间值，<num1>及<num2>分别为区间的下限值和上限值；

如果被识别报文的长度特征只有下限值，则可表示为：><num1>；

如果被识别报文的长度特征只有上限值，则可表示为：<<num2>；

该部分中关于范围的表示都包含上限值和/或下限的值。

其中，特征文件中的长度特征规则可以包括上述三种格式中的任意一种或任意多种组合。

如，接收的特征文件中包含BT、电驴和Vagaa三种会话类型的长度特征规则，根据特征关键字将BT、电驴和Vagaa三种会话类型的长度特征规则分别设置为：

protocol tcp(msg：”BT”；stream_dsize：56，14，68；)；

protocol tcp(msg：”emule”；stream_dsize：56，34<>39，45<>88，55<>66；)；

protocol tcp(msg：”Vagaa”；stream_dsize：26，26|66|188，26|10，55|45，14|26；)；

即，对于BT的会话类型而言，被识别报文的个数为3个，被识别报文的长度特征为：56、14和68，并且，3个被识别报文的长度特征的顺序为：第一个长度特征为56，第二个长度特征为14，第三个长度特征为68。对于电驴的会话类型而言，被识别报文的个数为4个，被识别报文的长度特征为：56、【34-39】、【45-88】和【55-66】，并且，4个被识别报文的长度特征的顺序为：第一个长度特征为56，第二个长度特征为【34-39】，第三个长度特征为【45-88】，第四个长度特征为【55-66】。对于Vagaa的会话类型而言，被识别报文的个数为5个，被识别报文的长度特征为：26、26|66|188、26|10、55|45和14|26，并且，5个被识别报文的长度特征的顺序为：第一个长度特征为26，第二个长度特征为26、66和188中的任意一个，第三个长度特征为26和10中的任意一个，第四个长度特征为55和45中的任意一个，第五个长度特征为14和26中的任意一个。

步骤202：解析特征文件，得到与三个会话类型相对应的长度特征规则；

步骤203：将长度特征规则存储在链表形式的内存结构中；

其中，内存结构设计为链表形式，可以随时添加、删除和修改。当增加或修改长度特征规则时，可以实时将增加或修改后的长度特征规则存储到内存结构中。

步骤204：为每一个长度特征规则建立一个状态机；

其中，在每一个状态机中，将长度特征规则设置为跳转条件。

步骤205：每当接收到一个会话连接中的业务数据时，根据状态机中的跳转条件，在状态机中进行跳转，识别会话中的业务数据。

例如，请参阅图4，其为本申请一种状态机的结构示意图。根据BT的会话类型建立图4的状态机。如图4所示，当接收到一个会话连接的业务数据后，从起始状态开始，判断是否有报文长度为56字节，如果是56字节，进入状态1；在状态1下判断长度为56字节的报文的下一个报文长度是否为14字节，如果是14字节，进入状态2，如果不是14字节，返回起始状态；在状态2下判断长度为14字节的报文的下一个报文长度是否为68字节，如果是68字节，进入终止状态，并判定该会话连接中的业务数据为P2P中的业务数据，如果不是68字节，再启动与电驴会话类型相对应的状态机，按照与电驴会话类型相对应的状态机中的跳转方式进一步识别该会话连接中的业务数据是否为P2P中的业务数据，如果不符合电驴会话类型中的长度特征规则，则再启动与Vagaa类型相对应的状态机，按照与Vagaa会话类型相对应的状态机中的跳转方式进一步识别该会话连接中的业务数据是否为P2P中的业务数据，如果也不符合Vagaa会话类型中的长度特征规则，则判定该会话连接中的业务数据不是P2P中的业务数据。

由上述实施例可以看出，当接收到特征文件后，基于特征文件中的长度特征规则对会话连接中的业务数据进行识别。当需要对基于长度特征的识别方法进行修改或者升级等扩展时，只需要对特征文件中的长度特征规则进行扩展，即可根据扩展后的特征文件进行识别。从而实现长度特征识别的规则化，提高了开发人员的工作效率。并且，即时扩展，即时生效。

实施例三

与上述一种识别对等网络中业务数据的方法相对应，本申请实施例还提供了一种识别对等网络中的业务数据的装置。请参阅图5，其为本申请一种识别对等网络中业务数据的装置的一个实施例的结构图，该装置包括接收单元501、提取单元502和识别单元503。下面结合该装置的工作原理进一步介绍其内部结构以及连接关系。

接收单元501，用于接收特征文件，所述特征文件包含有基于业务数据长度特征建立的长度特征规则；

提取单元502，用于从所述特征文件中提取出长度特征规则；

识别单元503，用于当获取到会话连接中的业务数据时，根据提取出的长度特征规则对所述会话中的业务数据进行识别。

上述提取单元502包括：解析子单元5021和存储子单元5022，

解析子单元5021，用于解析所述特征文件，得到与至少一个会话类型相对应的长度特征规则；

存储子单元5022，用于将所述长度特征规则存储在链表形式的内存结构中。

所述长度特征规则包括：被识别报文的个数、被识别报文的长度特征和所述长度特征的顺序。

所述被识别报文的长度特征包括：一个预置的固定值、一个预置的区间值和预置的离散值中的任意一种或者任意多种组合。

上述识别单元503包括：建立子单元5031和状态机跳转子单元5032，

建立子单元5031，用于为提取出的长度特征规则建立状态机，并将所述长度特征规则设置为状态机中的跳转条件；

状态机跳转子单元5032，用于根据所述状态机中的跳转条件，在所述状态机中进行跳转，以便实现对所述会话中的业务数据的识别。

由上述实施例可以看出，当接收到特征文件后，基于特征文件中的长度特征规则对会话连接中的业务数据进行识别。当需要对基于长度特征的识别方法进行修改或者升级等扩展时，只需要对特征文件中的长度特征规则进行扩展，即可根据扩展后的特征文件进行识别。从而实现长度特征识别的规则化，提高了开发人员的工作效率。并且，即时扩展，即时生效。

需要说明的是，本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。

以上对本申请所提供的一种识别对等网络中业务数据的方法和装置进行了详细介绍，本文中应用了具体实施例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种识别对等网络中业务数据的方法，其特征在于，由接入层网关执行，所述方法包括：

接收特征文件，所述特征文件包含有与至少一个对等网络会话类型相对应的长度特征规则；

从所述特征文件中提取出长度特征规则；

当获取到会话连接中的业务数据时，根据提取出的长度特征规则对所述会话中的业务数据进行识别，以识别出所述会话中的业务数据是否为对等网络中的业务数据。

2.根据权利要求1所述的方法，其特征在于，所述从特征文件中提取出长度特征规则包括：

解析所述特征文件，得到所述长度特征规则；

将所述长度特征规则存储在链表形式的内存结构中。

3.根据权利要求1所述的方法，其特征在于，所述长度特征规则包括：被识别报文的个数、被识别报文的长度特征和所述长度特征的顺序。

4.根据权利要求3所述的方法，其特征在于，所述被识别报文的长度特征包括：一个预置的固定值、一个预置的区间值和预置的离散值中的任意一种或者任意多种组合。

5.根据权利要求1所述的方法，其特征在于，所述当获取到会话连接中的业务数据时，根据提取出的长度特征规则对所述会话中的业务数据进行识别包括：

为提取出的长度特征规则建立状态机，并将所述长度特征规则设置为状态机中的跳转条件；

根据所述状态机中的跳转条件，在所述状态机中进行跳转，以便实现对所述会话中的业务数据的识别。

6.一种识别对等网络中业务数据的装置，其特征在于，包括：

接收单元，用于接收特征文件，所述特征文件包含有与至少一个对等网络会话类型相对应的长度特征规则；

提取单元，用于从所述特征文件中提取出长度特征规则；

识别单元，用于当获取到会话连接中的业务数据时，根据提取出的长度特征规则对所述会话中的业务数据进行识别，以识别出所述会话中的业务数据是否为对等网络中的业务数据。

7.根据权利要求6所述的装置，其特征在于，所述提取单元包括：

解析子单元，用于解析所述特征文件，得到所述长度特征规则；

存储子单元，用于将所述长度特征规则存储在链表形式的内存结构中。

8.根据权利要求6所述的装置，其特征在于，所述长度特征规则包括：被识别报文的个数、被识别报文的长度特征和所述长度特征的顺序。

9.根据权利要求8所述的装置，其特征在于，所述被识别报文的长度特征包括：一个预置的固定值、一个预置的区间值和预置的离散值中的任意一种或者任意多种组合。

10.根据权利要求6所述的装置，其特征在于，所述识别单元包括：

建立子单元，用于为提取出的长度特征规则建立状态机，并将所述长度特征规则设置为状态机中的跳转条件；

状态机跳转子单元，用于根据所述状态机中的跳转条件，在所述状态机中进行跳转，以便实现对所述会话中的业务数据的识别。

Images