KR100710047B1 - Apparatus for traffic identification on internet protocol network environment - Google Patents
Apparatus for traffic identification on internet protocol network environment Download PDFInfo
- Publication number
- KR100710047B1 KR100710047B1 KR1020040098597A KR20040098597A KR100710047B1 KR 100710047 B1 KR100710047 B1 KR 100710047B1 KR 1020040098597 A KR1020040098597 A KR 1020040098597A KR 20040098597 A KR20040098597 A KR 20040098597A KR 100710047 B1 KR100710047 B1 KR 100710047B1
- Authority
- KR
- South Korea
- Prior art keywords
- flow
- application
- tcp
- information
- port
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/02—Capturing of monitoring data
- H04L43/028—Capturing of monitoring data by filtering
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/04—Processing captured monitoring data, e.g. for logfile generation
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/06—Generation of reports
- H04L43/062—Generation of reports related to network traffic
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Data Mining & Analysis (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
본 발명은 TCP/IP 기반의 인터넷 네트워크 모니터링 지점을 지나는 패킷을 수집하여 플로우 단위로 압축하고, 압축된 플로우 정보의 근원지 포트번호와 목적지 포트번호 중에서 응용 프로그램의 결정에 중요한 영향을 미치는 중요 포트번호를 결정하고, 인터넷 응용 프로그램들의 트래픽 발생형태를 규정하는 트래픽 분류표를 만들며, 실재 응용 프로그램들을 조사하여 응용별 트래픽 타입 정보를 만들며, 이 플로우 정보를 바탕으로 이들 사이의 특성적 상관관계와 위치적 상관관계를 분석하여 응용별 트래픽 타입 정보를 바탕으로 플로우의 응용프로그램을 결정하여 IP 트래픽을 분석하기 위한 것으로, 이를 위한 구성은 네트워크 모니터링 지점을 지나는 패킷들을 수집하고, 수집된 패킷에 해당하는 플로우 정보를 생성하는 플로우 정보 생성부와, 수집된 패킷들로부터 서버 포트 정보를 생성하고, 생성된 서버 포트 정보를 바탕으로, 플로우 정보 중에서 TCP 플로우에 대한 서버 포트를 결정하는 플로우 중요 포트 결정부와, IP 트래픽을 발생시키는 응용들을 분석하며, 분석된 각 응용들의 트래픽 타입 정보를 트래픽 타입 정보 테이블에 저장하는 응용별 트래픽 타입 관리부와, 플로우 정보와 응용별 트래픽 타입 정보를 이용하여 플로우들 사이의 특성적 상관관계와 위치적 상관관계를 바탕으로 플로우들의 응용 프로그램을 결정하여 응용별 플로우 정보 테이블에 저장하는 응용별 트래픽 분류 결정부를 포함한다. 따라서, 기존에 국지적으로 사용되었던 포트번호를 기반으로 하는 전통적인 과정과 페이로드 분석 기반 및 시그니쳐 분석 기반의 응용 수준 트래픽 분 석의 한계를 극복할 수 있어 네트워크 트래픽 상태를 보다 명확히 파악할 수 있는 효과가 있다. The present invention collects packets passing through a TCP / IP-based Internet network monitoring point, compresses them in units of flows, and selects an important port number that has an important influence on the determination of an application program from a source port number and a destination port number of the compressed flow information. Make a traffic classification table that defines the traffic generation patterns of Internet applications, investigate the actual applications to create traffic type information for each application, and based on this flow information, characteristic and positional correlation between them It analyzes the relationship and analyzes the IP traffic by determining the application of the flow based on the traffic type information for each application. The configuration for this is to collect packets passing through the network monitoring point, and to obtain flow information corresponding to the collected packets. A flow information generation unit to generate and collect Generates server port information from the generated packets, analyzes the flow critical port determining unit that determines the server port for the TCP flow among the flow information, and the applications generating the IP traffic based on the generated server port information A traffic type management unit for storing the traffic type information of each of the applied applications in the traffic type information table, and the flow based on the characteristic correlation and the positional correlation between the flows using the flow information and the traffic type information for each application. It includes a traffic classification determination unit for each application to determine the application of the application to store in the flow information table for each application. Therefore, it is possible to overcome the limitations of the traditional process based on the port number and the application level traffic analysis based on the payload analysis and the signature analysis based on the previously used port number.
Description
도 1은 본 발명에 따른 IP 네트워크 환경에서의 트래픽 분석장치에 대한 블록 구성도이고,1 is a block diagram of an apparatus for analyzing traffic in an IP network environment according to the present invention;
도 2는 도 1에 도시된 플로우 정보 생성부를 상세하게 도시한 도면이며,2 is a view showing in detail the flow information generation unit shown in FIG.
도 3은 도 1에 도시된 플로우 중요 포트 결정부를 상세하게 도시한 도면이며,3 is a view showing in detail the flow critical port determination unit shown in FIG.
도 4는 도 1에 도시된 응용별 트래픽 타입 관리부를 상세하게 도시한 도면이며,4 is a view showing in detail the traffic type management unit for each application shown in FIG.
도 5는 도 4에 도시된 트래픽 타입 분류표를 상세하게 도시한 도면이며,5 is a view showing in detail the traffic type classification table shown in FIG.
도 6은 본 발명에 따른 인터넷 응용 프로그램들의 트래픽 타입 정보를 나타낸 도면이며,6 illustrates traffic type information of Internet applications according to the present invention.
도 7은 도 1에 도시된 응용별 트래픽 분류 결정부를 상세하게 도시한 도면이며,FIG. 7 is a diagram illustrating details of a traffic classification determining unit for each application illustrated in FIG. 1;
도 8은 본 발명에 따른 플로우 특성 기반 그룹화 블록에서 플로우들을 그룹화 하기 위해 스택을 반복적으로 이용하는 프로그램 예시를 도시한 도면이며,8 is a diagram illustrating a program example of repeatedly using a stack to group flows in a flow characteristic based grouping block according to the present invention;
도 9는 본 발명에 따른 변동 포트 응용 결정부에 의해 확률적 가정 정보를 구현하기 위한 도면이다. 9 is a diagram for implementing probabilistic hypothesis information by the variable port application determining unit according to the present invention.
<도면의 주요부분에 대한 부호의 설명><Description of the symbols for the main parts of the drawings>
100 : 플로우 정보 생성부 101 : 패킷 수집부100: flow information generation unit 101: packet collection unit
102 : 플로우 생성부 103 : 플로우 정보 테이블102: flow generation unit 103: flow information table
200 : 플로우 중요 포트 결정부 201 : SYN 패킷 수집부200: flow critical port determination unit 201: SYN packet collection unit
202 : 서버 포트 정보 테이블 203 : TCP 플로우 서버 포트 결정부202: server port information table 203: TCP flow server port determination unit
300 : 응용별 트래픽 타입 관리부 301 : 트래픽 타입 분류표300: traffic type management unit for each application 301: traffic type classification table
302 : 응용별 트래픽 타입 조사부 303 : 트래픽 타입 정보 테이블302: traffic type investigation unit by application 303: traffic type information table
400 : 응용별 트래픽 분류 결정부 401 : 플로우 특성 기반 그룹화 블록400: traffic classification determination unit for each application 401: flow characteristic based grouping block
402 : 플로우 위치 기반 그룹화 블록 402: Flow location based grouping block
403 : 응용별 플로우 정보 테이블403: Application Specific Flow Information Table
본 발명은 인터넷 프로토콜(Internet Protocol, IP) 네트워크 환경에서의 트래픽 분석장치에 관한 것으로, 보다 상세하게 설명하면, TCP/IP 기반의 인터넷 트래픽을 수집하고, 수집된 트래픽을 발생시킨 응용들의 응용 수준 프로토콜을 기준으로 IP 트래픽을 분석할 수 있는 장치에 관한 것이다. The present invention relates to a traffic analysis apparatus in an Internet Protocol (IP) network environment, and more specifically, to an application level protocol of applications that collect TCP / IP-based Internet traffic and generate collected traffic. It relates to a device that can analyze IP traffic based on the.
주지된 바와 같이, 인터넷이 발달하고 사용자가 급속도로 증가하면서 현재의 네트워크는 복잡하고 다양한 종류의 트래픽들로 포화상태에 이르고 있다. 이는 WWW, FTP, Mail 등의 전통적인 인터넷 응용 프로그램들뿐만 아니라, 음성망의 통합, 새로운 스트리밍, P2P 파일 공유, 게임 등 많은 서비스와 응용 프로그램들이 인터넷 기반으로 운용되고 있기 때문이다. As is well known, with the development of the Internet and the rapid increase in the number of users, the current network is getting saturated with complex and various kinds of traffic. This is because not only traditional Internet applications such as WWW, FTP, and Mail, but also many services and applications such as voice network integration, new streaming, P2P file sharing, and games are operated on the Internet.
이러한 인터넷은 TELNET, FTP, HTTP, SMTP 등의 통신 프로토콜들과 더불어 최근 인터넷 트래픽의 상당량을 차지하는 P2P 응용, 멀티미디어 서비스 응용, 게임 응용 등의 다양한 응용들이 복잡하게 사용되고 있다. In addition to the communication protocols such as TELNET, FTP, HTTP, SMTP, and the like, various applications such as P2P applications, multimedia service applications, and game applications, which take up a considerable amount of Internet traffic, are being used in a complex manner.
즉, 통상적인 인터넷 기반 응용들은, 첫째, 상당히 많은 인터넷 응용들이 사용되고, 이 사용하는 응용 수준 프로토콜 역시 그 수가 다양하다. 둘째, 표준화되어 있지 않은 응용 수준 프로토콜이 많고, 상당수의 응용들은 IANA(Internet Assigned Numbers Authority)에 등록되어 있지 않으면서 포트 번호만을 사용하고 있어 포트 번호만으로 응용을 구분하기 힘들다. 셋째, 최근에 나타난 P2P, 스트리밍, 게임 등의 응용들은 하나의 응용이 TCP와 UDP를 동시에 사용하고 동적으로 생성된 포트 번호를 사용하여 응용별 트래픽 분석을 더욱더 어렵게 한다. That is, conventional Internet-based applications, firstly, a large number of Internet applications are used, and the number of application level protocols used also varies. Second, there are many application level protocols that are not standardized, and many applications use only port numbers without being registered with the Internet Assigned Numbers Authority (IANA). Third, the recent P2P, streaming, and game applications make it more difficult to analyze traffic per application by using one application simultaneously using TCP and UDP and using dynamically generated port numbers.
상술한 종래 응용 수준 트래픽 분석 과정은 다음과 같다.The above-described conventional application level traffic analysis process is as follows.
먼저, 외부 인터넷 망으로부터 송/수신되는 트래픽의 응용 프로그램을 판별하기 위해 수신 패킷에서 트랜스포트 계층의 포트 번호만을 검사하여 트래픽 정체를 파악하는 전통적인 방법이 있다. 그 예로, 인터넷 홈페이지에 접속할 때는 포트 번호가 80번, FTP를 이용해서 파일을 받아올 때는 20, 21번, 영화 패킷 데이터 수신할 때는 포트번호 554번, 1755번 등으로, 대부분의 패킷들은 미리 설정된 포트를 통해서 패킷 송/수신이 이루어지고 있어 트랜스포트 계층의 포트번호를 파악하여 패킷의 응용을 분석한다. 그러나 이 방법은 동적으로 생성되는 포트 번호를 사용하는 응용의 경우에는 부적합하다. First, in order to determine an application program of traffic transmitted / received from an external Internet network, there is a conventional method of checking traffic congestion by checking only a port number of a transport layer in a received packet. For example, the port number is 80 when accessing the Internet homepage, 20 and 21 when receiving files using FTP, and
다음으로, 수집된 패킷의 페이로드를 분석하여 동적 생성 포트를 알아내는 페이로드 분석 기반의 응용 수준 트래픽 분석 방법이 있다. 이 방법에서는 멀티미디어 서비스의 데이터 전송 포트를 알아내기 위해 컨트롤 세션 패킷의 페이로드를 분석하는 방법으로, 이를 위해서는 컨트롤 세션에 사용되는 응용 수준 프로토콜을 알고 있어야 하는 단점이 있다. 또한 공개되지 않은 응용 수준 프로토콜이나 암호화된 프로토콜에서는 사용할 수 없는 단점이 있다.Next, there is an application level traffic analysis method based on payload analysis, which analyzes the payload of collected packets and finds a dynamic generation port. In this method, the payload of the control session packet is analyzed to find out the data transmission port of the multimedia service, which requires a knowledge of the application level protocol used for the control session. It also has a drawback that it cannot be used in unpublished application level protocols or encrypted protocols.
마지막으로, 각 응용들이 사용하는 패킷들의 다른 응용 패킷들과 구분되는 독특한 부분을 조사하여 그 응용의 시그니쳐로 정의하고, 각각의 패킷과 시그니쳐의 비교를 통해 응용을 구분하는 시그니쳐 기반의 응용 수준 트래픽 분석 방법이 있다. 이 방법은 분석하기 위한 모든 응용들 각각의 시그니쳐를 찾아 내야하는 부담이 있고, 응용 수준 프로토콜이 계속 발전하는 경우에 적용하기에 힘들다는 문제점을 갖는다. Finally, signature-based application-level traffic analysis is performed by examining the unique parts of the packets used by each application from the other application packets, defining them as the signature of the application, and comparing the applications with each packet. There is a way. This method has the burden of finding the signature of each application for analysis and has a problem that it is difficult to apply when the application level protocol is continuously developed.
이에, 본 발명은 상기와 같은 문제점을 해결하기 위해 안출한 것으로서, 그 목적은 다양한 응용 수준 프로토콜과 동적 포트번호가 사용되는 인터넷 환경에서 발생되는 TCP/IP 기반의 인터넷 트래픽을 수집하여 트래픽을 발생시킨 응용 프로그램을 결정하는 것으로서, 즉, TCP/IP 기반의 인터넷 네트워크 모니터링 지점을 지나는 패킷을 수집하여 플로우 단위로 압축하고, 압축된 플로우 정보의 근원지 포트 번호와 목적지 포트번호 중에서 응용 프로그램의 결정에 중요한 영향을 미치는 중요 포트번호를 결정하고, 인터넷 응용 프로그램들의 트래픽 발생형태를 규정하는 트래픽 분류표를 만들며, 실재 응용 프로그램들을 조사하여 응용별 트래픽 타입 정보를 만들며, 이 플로우 정보를 바탕으로 이들 사이의 특성적 상관관계와 위치적 상관관계를 분석하여 응용별 트래픽 타입 정보를 바탕으로 플로우의 응용프로그램을 결정하여 IP 트래픽을 분석할 수 있는 IP 네트워크 환경에서의 트래픽 분석장치를 제공함에 있다. Accordingly, the present invention has been made to solve the above problems, its purpose is to generate traffic by collecting TCP / IP-based Internet traffic generated in the Internet environment using a variety of application-level protocols and dynamic port number Determining the application, that is, collecting packets that pass through TCP / IP-based Internet network monitoring points and compressing them in flow units, and having a significant impact on the application's decision among the source port number and destination port number of the compressed flow information. Determine the critical port number, create a traffic classification table that defines the traffic generation patterns of the Internet applications, investigate the actual applications to create the traffic type information for each application, and based on this flow information, Correlation and positional correlation Yongbyeol to a decision based on the application of the traffic flow type information, the traffic analyzing apparatus in the IP network environment that can be analyzed to provide the IP traffic.
이러한 목적을 달성하기 위한 본 발명에서 IP 네트워크 환경에서의 트래픽 분석장치는 네트워크 모니터링 지점을 지나는 패킷들을 수집하고, 수집된 패킷에 해당하는 플로우 정보를 생성하는 플로우 정보 생성부와, 수집된 패킷들로부터 서버 포트 정보를 생성하고, 생성된 서버 포트 정보를 바탕으로, 플로우 정보 중에서 TCP 플로우에 대한 서버 포트를 결정하는 플로우 중요 포트 결정부와, IP 트래픽을 발생시키는 응용들을 분석하며, 분석된 각 응용들의 트래픽 타입 정보를 트래픽 타입 정보 테이블에 저장하는 응용별 트래픽 타입 관리부와, 플로우 정보와 응용별 트래픽 타입 정보를 이용하여 플로우들 사이의 특성적 상관관계와 위치적 상관관계를 바탕으로 플로우들의 응용 프로그램을 결정하여 응용별 플로우 정보 테이블에 저장하는 응용별 트래픽 분류 결정부를 포함하는 것을 특징으로 한다.In the present invention for achieving this purpose, the traffic analysis apparatus in the IP network environment is a flow information generation unit for collecting the packets passing through the network monitoring point, and generates flow information corresponding to the collected packet, and from the collected packets Generates the server port information, and based on the generated server port information, the flow critical port determination unit for determining the server port for the TCP flow among the flow information, and analyzes the applications generating the IP traffic, A traffic type management unit for storing the traffic type information in the traffic type information table and an application program for the flows based on the characteristic correlation and the positional correlation between the flows using the flow information and the application-specific traffic type information. Application specific decisions that are determined and stored in the application specific flow information table It characterized in that it comprises a pick-classification decision.
이하, 본 발명의 실시 예는 다수개가 존재할 수 있으며, 이하에서 첨부한 도면을 참조하여 바람직한 실시 예에 대하여 상세히 설명하기로 한다. 이 기술 분야 의 숙련자라면 이 실시 예를 통해 본 발명의 목적, 특징 및 이점들을 잘 이해하게 될 것이다. Hereinafter, a plurality of embodiments of the present invention may exist, and a preferred embodiment will be described in detail with reference to the accompanying drawings. Those skilled in the art will appreciate the objects, features and advantages of the present invention through this embodiment.
도 1은 본 발명에 따른 IP 네트워크 환경에서의 트래픽 분석장치에 대한 블록 구성도로서, 네트워크 모니터링 지점(S1)을 지나는 패킷들을 수집하여 플로우 정보를 생성하는 플로우 정보 생성부(100)와, 네트워크 모니터링 지점(S1)을 지나는 패킷들을 수집하여 서버 포트 정보를 생성하고, 생성된 서버 포트 정보를 바탕으로 생성된 플로우 정보 중에서 TCP 플로우에 대하여 서버 포트를 결정하는 플로우 중요 포트 결정부(200)와, 실제 IP 트래픽을 발생시키는 응용들을 정의된 트래픽 타입 분류표를 기준으로 분석하여 각 응용들의 응용별 트래픽 특성 정보를 트래픽 타입 정보 테이블에 저장하는 응용별 트래픽 타입 관리부(300)와, 상술한 바와 같이, 생성된 플로우 정보와 응용별 트래픽 특성 정보를 바탕으로 플로우들 사이의 특성적 상관관계와 위치적 상관관계를 바탕으로 IP 트래픽 플로우들의 응용 프로그램을 판별하여 저장하는 응용별 트래픽 분류 결정부(400)를 포함한다.1 is a block diagram of an apparatus for analyzing traffic in an IP network environment according to the present invention, a flow
플로우 정보 생성부(100)는 도 2에 도시된 바와 같이, 패킷 수집부(101)와, 플로우 생성부(102)와, 플로우 정보 테이블(103)을 구비한다.As shown in FIG. 2, the flow
패킷 수집부(101)는 네트워크 모니터링 지점(S1)을 지나는 패킷을 캡쳐하여 수집하는 수집 필터부(111)와, 수집 필터부(111)에 의해 갭쳐된 패킷이 일반 패킷(예로, 단편화되지 않은 패킷)일 경우, 이 일반 패킷의 헤더를 분석해 트래픽 분석에 필요한 패킷 헤더 정보(S2)를 추출하여 플로우 생성부(102)에 인가하는 헤더 정보 추출부(112)와, 수집 필터부(111)에 의해 갭쳐된 패킷이 단편화된 패킷 (fragmented packet)일 경우, 이 패킷을 재조립하여 헤더 정보 추출부(112)에 인가하는 패킷 재조립부(113)를 구비한다. The
플로우 생성부(102)는 패킷 수집부(101)로부터 제공되는 패킷 헤더 정보(S2)내의 플로우의 특성을 결정짓는 근원지 IP 주소, 목적지 IP 주소, 근원지 포트 번호, 목적지 포트 번호, 프로토콜 번호 등의 5개 항목을 검사하여 입력되는 패킷이 기존에 존재하는 플로우의 패킷인지를 판단한다. 판단결과, 입력되는 패킷이 기존에 존재하던 플로우의 패킷이면, 플로우 정보 테이블(103)에 저장된 해당 플로우에 추가되는 패킷 수와 플로우 길이를 갱신시킨다. 반면에, 판단결과, 입력되는 패킷이 기존에 존재하지 않던 플로우의 패킷이면, 플로우 정보 테이블(103)에 2 패킷이 포함된 새로운 플로우를 생성시켜 플로우 정보 테이블(103)에 저장시킨다. 즉, 플로우 생성부(102)는 일정시간이 경과할 때마다 도 2에 도시된 바와 같이 모여진 플로우 정보(S3)들, 즉 근원지 IP 주소, 목적지 IP 주소, 근원지 포트 번호, 목적지 포트 번호, 프로토콜 번호, 패킷 갯수, 플로우 길이 등을 갱신하여 플로우 정보 테이블(103)에 데이터베이스나 파일 형태로 저장시키거나, 새로운 플로우 정보를 만드는 과정을 수행한다. The
플로우 중요 포트 결정부(200)는 도 3에 도시된 바와 같이, SYN 패킷 수집부(201)와, 서버 포트 정보 테이블(202)과, TCP 플로우 서버 포트 결정부(203)를 포함한다.As illustrated in FIG. 3, the flow critical
SYN 패킷 수집부(201)는 네트워크 모니터링 지점(S1)을 지나는 패킷을 캡쳐한 후, 캡쳐된 패킷이 TCP SYN 패킷, 혹은 TCP SYN-ACK 패킷일 경우에 2 패킷을 서 버 포트 정보 추출부(212)에 인가하는 SYN 수집 필터부(211)와, SYN 수집 필터부(211)로부터 인가되는 TCP SYN 패킷, 혹은 TCP SYN-ACK 패킷에서 서버 포트 정보(S4)인 서버 IP 주소, 서버 포트 번호, 패킷 탐지 시간을 추출하여 서버 포트 정보 테이블(202)에 제공하는 서버 포트 정보 추출부(212)와, 서버 포트 정보 테이블(202)에서 일정 시간 동안 해당 서버로 트래픽이 발생하지 않는 서버 포트 정보(S4)를 삭제하여 항상 유효한 서버 포트 정보(S4)만을 유지하도록 측정하는 타이머(213)와, 서버 포트 정보 테이블(202)의 서버 포트 정보(S4)를 검사하여 정해진 갱신 시간을 초과하면, 서버 포트 정보(S4)를 삭제하고, 갱신 시간 이내에 있으면 갱신 처리를 마치고 다음 서버 포트 정보를 검사하는 서버 포트 정보 갱신부(214)를 구비한다. 여기서, TCP SYN 패킷에서 추출된 서버 IP 주소는 목적지 IP 주소가 되고, 서버 포트 번호는 목적지 포트 번호가 되며, 또한 TCP SYN-ACK 패킷에서 추출된 서버 IP 주소는 근원지 IP 주소가 되며, 서버 포트 번호는 근원지 포트 번호가 된다. The SYN
서버 포트 정보 테이블(202)은 자체 테이블내의 서버 포트 정보의 존재 여부를 검색 판단하며, 판단결과, 기존 서버 포트 정보가 존재하면, 서버 포트 정보(S4)중에 패킷 탐지 시간을 갱신하며, 판단결과, 기존 서버 포트 정보가 존재하지 않으면, 새로운 서버 포트정보(S4)를 생성한다. The server port information table 202 searches and determines whether the server port information exists in its own table. If the existing server port information exists, the server port information table 202 updates the packet detection time in the server port information S4. If the existing server port information does not exist, a new server port information (S4) is generated.
TCP 플로우 서버 포트 결정부(203)는 서버 포트 정보 테이블(202)내 서버 포트 정보(S4)에서 TCP 플로우들을 추출하는 TCP 플로우 추출부(221)와, TCP 플로우 추출부(221)에 의해 추출된 TCP 플로우(fa,fb,rfa)의 포트를 하술한 중요 포트의 가정(SS1)을 기준으로 판단하여 중요 포트를 결정하여 적용한 다음에, 중요하지 않은 포트를 "0"의 값으로 적용하는 가정 적용부(222)와, 가정 적용부(222)에 의해 처리된 TCP 플로우들을 검사하여 플로우들 사이에 플로우 내용이 중복된 정보가 있을 경우, 중복된 정보를 하나의 정보로 통합하여 플로우 정보 생성부(100)내 플로우 정보 테이블(103)에 제공하는 중복성 검사 및 저장부(223)를 구비한다. The TCP flow server
여기서, 가정 적용부(222)에 의해 결정되는 중요 포트의 가정(SS1)은 다음과 같다. Here, the assumption SS1 of the critical port determined by the
즉, 1. TCP 플로우(fa)의 근원지 IP 주소와 근원지 포트 번호가 서버 포트 정보 테이블에 존재하면 TCP 플로우(fa)의 근원지 포트 번호가 중요 포트 번호이다.That is, a TCP flow 1 (f a) If the source IP address and source port number exists in the server port information table TCP flows (f a) the source port number of important port numbers.
2. TCP 플로우(fa)의 목적지 IP 주소와 목적지 포트 번호가 서버 포트 정보 테이블에 존재하면 TCP 플로우(fa)의 목적지 포트 번호가 중요 포트 번호이다.2. The TCP flow (f a) If the destination IP address and destination port numbers that exist on the server port information table TCP flows (f a) a destination port number of important port numbers.
3. TCP 플로우(fa)의 중요포트가 결정되어 있으면, TCP 플로우(rfa)의 역방향 TCP 플로우의 중요포트도 결정된다. 3. If the important port of the TCP flow f a is determined, the important port of the reverse TCP flow of the TCP flow r f a is also determined.
4. TCP 플로우(fa)의 중요 포트가 근원지 포트이고, TCP 플로우(fb)의 근원지 IP 주소와 근원지 포트 번호가 TCP 플로우(fa)의 근원지 IP 주소와 근원지 포트번호와 같다면 TCP 플로우의 중요포트는 근원지 포트이다.4. If the critical port of the TCP flow (f a ) is the source port, and the source IP address and source port number of the TCP flow (f b ) are the same as the source IP address and source port number of the TCP flow (f a ), then the TCP flow An important port of is the source port.
5. TCP 플로우(fa)의 중요 포트가 목적지 포트이고, TCP 플로우(fb)의 목적지 IP 주소와 목적지 포트 번호가 TCP 플로우(fa)의 목적지 IP 주소와 목적지 포트번호와 같다면 TCP 플로우의 중요포트는 목적지 포트이다.5. If the critical port of the TCP flow (f a ) is the destination port, and the destination IP address and destination port number of the TCP flow (f b ) are the same as the destination IP address and the destination port number of the TCP flow (f a ), then the TCP flow Important port of is destination port.
6. TCP 플로우(fa)의 근원지 IP 주소와 근원지 포트번호가 TCP 플로우(fb)의 근원지 IP 주소와 근원지 포트 번호와 같으면, TCP 플로우(fa)와 TCP 플로우(fb)의 중요포트는 근원지 포트이다. 6. TCP flows (f a) is a source IP address and source port number the same as the source IP address and source port number of a TCP flow (f b) of, TCP flows (f a) and the TCP port of the critical flow (f b) Is the source port.
7. TCP 플로우(fa)의 목적지 IP 주소와 목적지 포트번호가 TCP 플로우(fb)의 목적지 IP 주소와 목적지 포트번호와 같다면, TCP 플로우(fa)와 TCP 플로우(fb)의 중요포트는 목적지 포트이다. 7. TCP flow if the destination IP address and destination port number of the (f a) equal to the destination IP address and destination port number of the TCP flow (f b), TCP flows (f a) and the importance of the TCP flow (f b) The port is the destination port.
한편, 응용별 트래픽 타입 관리부(300)는 도 4에 도시된 바와 같이, 트래픽 타입 분류표(301)와, 응용별 트래픽 타입 조사부(302)와, 트래픽 타입 정보 테이블(303)을 포함한다.Meanwhile, as illustrated in FIG. 4, the traffic
트래픽 타입 분류표(301)는 도 4 및 도 5에 도시된 바와 같이, 현재 인터넷 응용 프로그램들의 트래픽 발생 형태를 5가지 타입, 즉 Type S-F-2, Type M-F-2, Type M-D-2, Type M-F-3, Type M-D-3으로 분류하고 있다. As shown in FIGS. 4 and 5, the traffic type classification table 301 shows five types of traffic generation patterns of current Internet applications, namely Type SF-2, Type MF-2, Type MD-2, and Type MF. -3, Type MD-3.
이러한 5가지 트래픽 타입 분류표는 일반 사용자 설치 프로그램의 입장에서 분류한 것으로, 분류에 필요한 항목으로는 "얼마나 많은 세션을 여는가", 그리고, "포트 번호의 사용은 고정/변동인가", 더불어 "얼마나 많은 호스트와 통신을 하는 가" 의 기준으로 분류하고 있다. These five traffic type classification tables are classified from the point of view of the general user installation program. The items required for classification are "how many sessions are opened", and "how is the use of port numbers fixed / variable", and "how many Are communicating with many hosts. "
즉, 도 5를 참조하면, Type S-F-2는 고정된 포트 번호를 사용하여 하나의 상대 호스트와 하나의 세션을 열어서 서비스를 제공하는 응용 프로그램으로서, 세션 수는 싱글(Single)이고, 고정 포트를 사용하며, 서비스를 위한 통신 호스트 수는 두 호스트 사이이며, 적용 예로는 Web, telnet, ssh, smtp, snmp, nntp 등의 통신 프로토콜을 이용하는 전통적인 인터넷 기반 응용 프로그램들이 여기에 속한다. That is, referring to FIG. 5, Type SF-2 is an application program that provides a service by opening a session with one partner host using a fixed port number. The number of sessions is single and a fixed port is used. The number of communication hosts for the service is between two hosts. Examples of applications include traditional Internet-based applications using communication protocols such as Web, telnet, ssh, smtp, snmp, and nntp.
다음으로, Type M-F-2는 고정된 포트번호를 하나의 상태 호스트와 2개 이상의 세션을 열어서 서비스를 제공하는 응용 프로그램으로서, 세션 수는 멀티(Multiple)이고, 고정 포트를 사용하며, 서비스를 위한 통신 호스트 수는 두 호스트 사이이며, 적용 예로는 active-mode FTP 서비스이다. 여기서, active-mode FTP 서비스는 컨트롤 세션으로 21번 포트를 사용하고, 20번 포트를 데이터 전송 세션으로 사용한다. Next, Type MF-2 is an application that provides a service by opening two or more sessions with a single host and a fixed port number. The number of sessions is multiple, uses a fixed port, The number of communication hosts is between two hosts. An example application is the active-mode FTP service. Here, the active-mode FTP service uses
다음으로, Type M-D-2는 하나의 상대 호스트와 연결하여 두개 이상의 세션을 열고, 동적으로 생성된 포트 번호를 사용하여 서비스를 제공하는 응용 프로그램으로서, 세션 수는 멀티(Multiple)이고, 변동 포트를 사용하며, 서비스를 위한 통신 호스트 수는 두 호스트 사이이며, 적용 예로는 Passive mode FTP 서비스와, Streaming Applications(Quicktime), 마이크로 소프트의 Windows Media Streaming 서비스를 들 수 있다. 이중 Windows Media Streaming 서비스는 TCP 포트 1755번을 컨트롤 세션으로 사용하여 멀티미디어 전송을 위한 데이터 세션의 포트 번호를 동적으로 결정하고, 결정된 데이터 세션을 통하여 멀티미디어 데이터를 전송하는 방 식으로 서비스를 제공한다. Next, Type MD-2 is an application program that connects with one partner host to open two or more sessions and provides services using dynamically generated port numbers. The number of sessions is multiple, The number of communication hosts for the service is between two hosts. Examples include passive mode FTP service, Streaming Applications (Quicktime), and Microsoft's Windows Media Streaming service. The Windows Media Streaming service uses
다음으로, Type M-F-3은 둘 이상의 상대 호스트와 통신을 하고, 고정된 포트 번호를 사용하며, 둘 이상의 세션을 형성하는 응용 프로그램으로서, 세션 수는 멀티(Multiple)이고, 고정 포트를 사용하며, 서비스를 위한 통신 호스트 수는 세 호스트 이상이며, 적용 예로는 Instant messaging P2P application(Soribada), File sharing P2P(Gnutella Direct Connect), Game application(starcraft, Diablo)등과 같이 P2P 응용 프로그램, 인터넷 게임들이 이러한 형태를 취하고 있다. Next, Type MF-3 is an application that communicates with two or more counterpart hosts, uses a fixed port number, and establishes two or more sessions. The number of sessions is multiple, uses a fixed port, The number of communication hosts for the service is more than three hosts. Examples of applications include P2P applications and Internet games such as Instant messaging P2P application (Soribada), File sharing P2P (Gnutella Direct Connect), and Game application (starcraft, Diablo). Is taking.
마지막으로, Type M-D-3은 보다 발전된 P2P 응용 프로그램으로서, 세션 수는 멀티(Multiple)이고, 변동 포트를 사용하며, 서비스를 위한 통신 호스트 수는 세 호스트 이상이며, 적용 예로는 Instant messaging P2P(MSN messenger), File sharing P2P(Kazaa, Kazaa Lite), Game application(Counter-Strike), Internet Disk(popdisk, webhard) 등의 형태를 취하고 있다. Finally, Type MD-3 is a more advanced P2P application, where the number of sessions is multiple, uses variable ports, the number of communication hosts for the service is three or more hosts, and the application example is Instant messaging P2P (MSN). messenger), File sharing P2P (Kazaa, Kazaa Lite), Game application (Counter-Strike), Internet Disk (popdisk, webhard) and the like.
상술한 바와 같이, 규정된 트래픽 타입 분류표(301)를 바탕으로 응용별 트래픽 타입 조사부(302)는 현재 사용되는 다양한 인터넷 기반 응용 프로그램들의 동작 및 트래픽 발생 형태를 패킷 캡쳐 및 분석 도구를 이용하여 응용별 트래픽 타입의 조사를 실시하여 트래픽 타입 정보 테이블(303)에 제공한다. As described above, based on the defined traffic type classification table 301, the application-specific traffic
트래픽 타입 정보 테이블(303)은 응용별 트래픽 타입 조사부(302)에 의해 조사된 각 응용 프로그램 별로 조사된 트래픽 타입 정보(S5), 즉 응용 프로그램 이름, 대표 포트 번호, TCP 고정 포트 번호, UDP 고정 포트 번호, 트래픽 타입 등을 기록한다. 여기서, TCP 고정 포트 번호는 응용 프로그램이 고정적으로 사용하는 TCP 포트 번호이고, UDP 고정 포트 번호는 응용 프로그램이 고정적으로 사용하는 UDP 포트번호이며, 대표 포트번호는 각 응용 프로그램을 대표할 수 있는 포트 번호로 임의로 정하되, 다른 응용 프로그램의 대표 포트번호와 중복되지 않게 정한다. The traffic type information table 303 includes traffic type information S5 investigated for each application surveyed by the application-specific traffic
도 6을 참조하면, 앞서 설명한 대표적인 인터넷 응용 프로그램들의 트래픽 타입 정보(S5)를 나타낸 것이다. 즉 응용 프로그램 이름이 WWW, Telnet, FTP, MSN Messenger, Yahoo Messenger, Windows Media, Real Media, KaZaA, Soribada, eDonkey, Guruguru, V-share, Shareshare 등과 같이 많지만, 이중 WWW의 경우만 설명하면, 대표 포트 번호는 80이고, TCP 고정 포트 번호는 80, 8080, 443을 고정으로 사용하며, 트래픽 타입은 Type S-F-2이다. Referring to FIG. 6, traffic type information S5 of representative Internet applications described above is shown. In other words, there are many application names such as WWW, Telnet, FTP, MSN Messenger, Yahoo Messenger, Windows Media, Real Media, KaZaA, Soribada, eDonkey, Guruguru, V-share, Shareshare, etc. The number is 80, the TCP fixed port number is 80, 8080, 443, and the traffic type is Type SF-2.
응용별 트래픽 분류 결정부(400)는 도 7에 도시된 바와 같이, 플로우 특성 기반 그룹화 블록(401)과, 플로우 위치 기반 그룹화 블록(402), 응용별 플로우 정보 테이블(403)을 포함한다.As illustrated in FIG. 7, the
플로우 특성 기반 그룹화 블록(401)은 플로우 정보 생성부(100)내 플로우 정보 테이블(103)에 저장된 중요 포트로 결정된 플로우 정보(S3)와, 응용별 트래픽 타입 관리부(300)내 트래픽 타입 정보 테이블(303)에 저장된 트래픽 타입 정보(S5) 간의 플로우들의 특성적, 위치적 상관관계와 3가지 가정(SS2)을 기반으로 그룹화를 실시한다. 여기서, 3가지 가정(SS2)은, 첫째, 플로우(fa)가 어떤 응용 프로그램(Aa)에 속한다면, 그 플로우(fa)의 역방향 플로우(rfa) 역시 같은 응용 프로그램(A
a)에 속하는 가정이고, 둘째, 플로우(fa)와 플로우(fb)가 서로 근원지 IP 주소, 근원지 포트번호, 트랜스포트 프로토콜이 같다면, 두 플로우(fa)(fb)는 같은 응용 프로그램에 속하는 가정이며, 셋째, 플로우(fa)와 플로우(fb)가 서로 목적지 IP 주소, 목적지 포트번호, 트랜스포트 프로토콜이 같다면, 두 플로우(fa)(fb)는 같은 응용 프로그램에 속하는 가정이다. The flow characteristic based
즉, 플로우 특성 기반 그룹화 블록(401)은 상술한 바와 같은 가정에 따라 플로우들을 그룹화 하는데, 그 과정은, 도 8의 프로그램 예시와 같이 스택을 이용하여 반복적 방식으로 구현한다. 여기서, 반복적 방식은 재귀적 방식에 비해 많은 수의 플로우 정보들을 그룹화 하는데 시간적 절약을 할 수 있다. That is, the flow characteristic based
한편, 상술한 3가지 가정(SS2)은 UDP 플로우들에게는 그대로 적용이 되나 TCP 플로우들은 중요포트를 제외한 나머지 포트를 "0"으로 설정되었기 때문에 그대로 적용할 수 없다. 또한 UDP 통신의 특징이 하나의 응용 프로그램이 UDP 포트를 열고 이를 통하여 여러 호스트와 패킷의 수신 및 발신을 동시에 할 수 있기 때문에 적용할 수 있지만, TCP 통신의 경우 서버 포트는 동시에 다수의 호스트와 통신을 할 수 있지만 클라이언트 포트는 하나의 호스트와만 통신 할 수 있기 때문에 3가지 가정(SS2)을 그대로 적용할 수 없다.Meanwhile, the above three assumptions (SS2) are applied to UDP flows as they are, but TCP flows cannot be applied as they are set to "0" except for the important ports. Also, the characteristics of UDP communication can be applied because a single application can open a UDP port and receive and send packets with multiple hosts at the same time. However, in the case of TCP communication, the server port can communicate with multiple hosts at the same time. Although the client port can communicate with only one host, the three assumptions (SS2) cannot be applied as it is.
이에, 플로우 특성 기반 그룹화 블록(401)은 TCP 플로우의 경우에서 변화된 5가지 가정(SS3)을 바탕으로 TCP 플로우들 사이의 그룹화를 실시한다. 여기서, 5가지 가정(SS3)은, 첫째, TCP 플로우(fa)가 어떤 응용 프로그램(Aa)에 속한다면, 그 TCP 플로우(fa)의 역방향 TCP 플로우(rfa) 역시 같은 응용 프로그램(Aa
)에 속한다는 가정이고, 둘째, TCP 플로우(fa)의 근원지 포트번호가 "0"이고, TCP 플로우(fa
)와 TCP 플로우(fb)가 근원지 IP 주소, 근원지 포트번호, 목적지 포트번호가 같다면, 두 TCP 플로우(fa)(fb)는 같은 응용 프로그램에 속한다는 가정이며, 셋째, TCP 플로우(fa)의 근원지 포트번호가 "0"이고, TCP 플로우(fa)와 TCP 플로우(fb
)가 목적지 IP 주소, 근원지 포트번호, 목적지 포트번호가 같다면, 두 TCP 플로우(fa)(fb)는 같은 응용 프로그램에 속한다는 가정이며, 넷째, TCP 플로우(fa)의 목적지 포트번호가 "0"이고, TCP 플로우(fa)와 TCP 플로우(fb)가 근원지 IP 주소, 근원지 포트번호, 목적지 포트번호가 같다면, 두 TCP 플로우(fa)(fb)는 같은 응용 프로그램에 속한다는 가정이며, 다섯째, TCP 플로우(fa)의 목적지 포트번호가 "0"이고, TCP 플로우(fa
)와 TCP 플로우(fb)가 목적지 IP 주소, 근원지 포트번호, 목적지 포트번호가 같다면, 두 TCP 플로우(fa)(fb)는 같은 응용 프로그램에 속한다는 가정이다. Accordingly, the flow characteristic based
플로우 위치 기반 그룹화 블록(402)은 플로우 특성 기반 그룹화 블록(401)에 의해 생성된 각각의 그룹들에 속하는 플로우들은 같은 응용 프로그램에 의해 생성된 플로우들이지만, 이러한 그룹들이 독립된 응용 프로그램에 의해 생성된 것으로 볼 수 없다. 즉, 하나의 응용프로그램이 TCP와 UDP 프로토콜을 동시에 사용하는 경 우도 있고, 다수의 포트 번호를 사용하는 경우도 많기 때문에, 응용 프로그램에 의해 생성된 플로우들이지만 서로 다른 그룹으로 만들어진 것들을 통합하기 위하여 필요한 그룹화 블록이다. Flow position based
플로우 위치기반 그룹화 블록(402)은 플로우 특성 기반 그룹화 블록(401)에 의해 그룹화된 플로우 그룹들을 전달받고, 응용 트래픽 타입 관리부(300)의 트래픽 타입 정보 테이블(303)로부터 트래픽 타입 정보(S5)를 전달받아 고정 포트 응용 결정부(251)와 변동 포트 응용 결정부(252)를 순차적으로 수행하여 같은 응용 프로그램에 의해 생성된 그룹들을 구분하여 그룹화한다. The flow location based grouping
고정 포트 응용 결정부(251)는 트래픽 타입 정보(S5)중 Type S-F-2, Type M-F-2, Type M-F-3에 속하는 응용 프로그램 트래픽을 구분하여 응용 프로그램의 이름을 결정한다. 즉 3가지 타입들은 고정 포트번호를 사용하기 때문에 트래픽 타입 정보의 TCP 고정 포트번호와 UDP 고정 포트 번호를 이용하여 결정하므로, 이렇게 응용 프로그램이 결정된 플로우들은 그 응용 프로그램의 이름을 기록한 응용 플로우 정보(S6)로 갱신하여 응용 플로우 정보 테이블(403)에 제공한다. The fixed port
변동 포트 응용 결정부(252)는 변동 포트번호를 사용하는 응용 프로그램들의 플로우를 결정하는 블록으로서, 2가지 확률적 가정 정보(SS4)를 바탕으로 결정한다. 즉, 고정 포트 응용 결정부(251)에 의해 응용 프로그램이 결정되지 않은 플로우 그룹들과 2가지 확률적 가정 정보(SS4)와 트래픽 타입 정보(S5)내 Type M-D-2 및 Type M-D-3의 내용을 바탕으로 응용 프로그램들의 플로우를 결정하여 응용별 플로우 정보 테이블(403)에 제공한다. 여기서, 2가지 확률적 가정 정보(SS4)는, 첫 째, 같은 시간에 서로 다른 두 호스트에서 생성된 두 플로우는 같은 응용 프로그램에 의해 생성될 확률이 제일 높은 것으로 가정하며, 둘째, 같은 시간에 하나의 호스트에서 생성된 두 플로우는 같은 응용 프로그램에 의해 생성될 확률이 제일 높은 것으로 가정한다. The variable
또한, 변동 포트 응용 결정부(252)는 확률적 가정 정보(SS4)를 구현하기 위하여 도 9에 도시된 바와 같이 각 플로우 그룹들 사이의 그룹 가중치(351)(W(Ga, Gb))를 계산하는데, 이 그룹 가중치(351)는 두 그룹에 속한 플로우들 사이의 플로우 가중치(352)(w(fa, fb))를 기반으로 계산한다. 여기서, 플로우 가중치(352)는 수학식 1에 의해 계산되며, 그룹 가중치(351)는 수학식 2에 의해 계산된다. In addition, the variable port
여기서, 임계치를 정하는 것은 네트워크 상황에 따라 약간의 차이를 두고 달라질 수 있지만, 기본 값으로 "50"을 사용하며, 플로우 그룹들을 그룹 가중치를 기반으로 통합한 다음 트래픽 타입 정보를 바탕으로 그룹들의 응용 프로그램을 결정한다. Here, setting the threshold may vary with a slight difference depending on the network situation, but using "50" as a default value, integrating flow groups based on group weight, and then applying the group's application based on traffic type information. Determine.
응용별 플로우 정보 테이블(403)은 플로우 위치 기반 그룹화 블록(402)으로부터 제공되는 응용 프로그램이 결정된 플로우 그룹의 플로우들은 플로우 시작 시간, 플로우 끝 시간, 근원지 IP 주소, 목적지 IP 주소, 근원지 포트 번호, 목적지 포트 번호, 프로토콜 번호, 패킷 개수, 플로우 길이, 대표 포트 번호등으로 이루어진 응용 플로우 정보(S6)로 내용을 갱신하여 저장한다. 이와 같은 과정을 통하여 변통 포트를 사용하는 응용 프로그램들의 트래픽을 정확하게 결정할 수 있다. 즉, 응용별 플로우 정보 테이블(403)에 저장된 플로우 정보들은 응용 프로그램의 대표 포트 정보를 가지고 있기 때문에 향후 플로우 정보의 응용 수준 상세 분석을 위한 기초 자료로 활용될 수 있다. The application-specific flow information table 403 indicates that flows in the flow group for which the application provided from the flow location based grouping
또한, 본 발명의 사상 및 특허청구범위 내에서 권리로서 개시하고 있으므로, 본원 발명은 일반적인 원리들을 이용한 임의의 변형, 이용 및/또는 개작을 포함할 수도 있으며, 본 명세서의 설명으로부터 벗어나는 사항으로서 본 발명이 속하는 업계에서 공지 또는 관습적 실시의 범위에 해당하고 또한 첨부된 특허청구범위의 제한 범위 내에 포함되는 모든 사항을 포함한다. In addition, since the present invention is disclosed as a right within the spirit and claims of the present invention, the present invention may include any modification, use and / or adaptation using general principles, and the present invention as a matter deviating from the description herein It includes everything that falls within the scope of known or customary practice in the art to which it belongs and falls within the scope of the appended claims.
이상, 상기에서 설명한 바와 같이, 본 발명은 TCP/IP 기반의 인터넷 네트워크 모니터링 지점을 지나는 패킷을 수집하여 플로우 단위로 압축하고, 압축된 플로우 정보의 근원지 포트번호와 목적지 포트번호 중에서 응용 프로그램의 결정에 중요한 영향을 미치는 중요 포트번호를 결정하고, 인터넷 응용 프로그램들의 트래픽 발생형태를 규정하는 트래픽 분류표를 만들며, 실재 응용 프로그램들을 조사하여 응용별 트래픽 타입 정보를 만들며, 이 플로우 정보를 바탕으로 이들 사이의 특성적 상관관계와 위치적 상관관계를 분석하여 응용별 트래픽 타입 정보를 바탕으로 플로우의 응용프로그램을 결정하여 IP 트래픽을 분석함으로써, 기존에 국지적으로 사용되었던 포트번호를 기반으로 하는 전통적인 과정과 페이로드 분석 기반 및 시그니쳐 분석 기반의 응용 수준 트래픽 분석의 한계를 극복할 수 있어 네트워크 트래픽 상태를 보다 명확히 파악할 수 있는 효과가 있다. As described above, the present invention collects packets passing through a TCP / IP-based Internet network monitoring point and compresses them in flow units, and determines the application program from the source port number and the destination port number of the compressed flow information. Determining important port numbers that have a significant impact, creating a traffic classification table defining the traffic generation patterns of Internet applications, surveying actual applications to create application-specific traffic type information, and based on this flow information Traditional process and payload based on the port number previously used locally by analyzing the characteristic correlation and positional correlation and analyzing the IP traffic by determining the application of the flow based on the traffic type information for each application. Analysis based and signature analysis based response Overcoming the limitations of content-level traffic analysis can provide a clearer picture of network traffic conditions.
Claims (22)
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
KR1020040098597A KR100710047B1 (en) | 2004-11-29 | 2004-11-29 | Apparatus for traffic identification on internet protocol network environment |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
KR1020040098597A KR100710047B1 (en) | 2004-11-29 | 2004-11-29 | Apparatus for traffic identification on internet protocol network environment |
Publications (2)
Publication Number | Publication Date |
---|---|
KR20060059493A KR20060059493A (en) | 2006-06-02 |
KR100710047B1 true KR100710047B1 (en) | 2007-04-20 |
Family
ID=37156678
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
KR1020040098597A KR100710047B1 (en) | 2004-11-29 | 2004-11-29 | Apparatus for traffic identification on internet protocol network environment |
Country Status (1)
Country | Link |
---|---|
KR (1) | KR100710047B1 (en) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR101005755B1 (en) | 2008-09-18 | 2011-01-06 | 고려대학교 산학협력단 | Apparatus and method for managing application for traffic analysis |
Families Citing this family (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR101005856B1 (en) * | 2008-11-17 | 2011-01-05 | 한국과학기술원 | Method and apparatus for classifying traffic at transport layer |
KR100965452B1 (en) * | 2009-10-16 | 2010-06-24 | 서울대학교산학협력단 | An internet application traffic classification and benchmarks framework |
KR101230001B1 (en) * | 2010-06-28 | 2013-02-05 | 주식회사 케이티 | Apparatus for detecting the servers of file sharing solution provider based on flow information analysis and method thereof |
KR101673549B1 (en) * | 2015-04-17 | 2016-11-07 | (주) 시스메이트 | Apparatus and Method for Automatically Extracting Network Traffic Signature |
KR102365658B1 (en) * | 2019-12-05 | 2022-02-18 | 포항공과대학교 산학협력단 | Method for classifying traffic and apparatus thereof |
KR102654126B1 (en) * | 2020-11-18 | 2024-04-04 | 한국전자통신연구원 | Intelligent server health check device based on machine learning of network packets |
Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR20030034534A (en) * | 2001-10-26 | 2003-05-09 | 주식회사 케이티 | A port number selection method for network traffic data analysis on Internet Protocol network |
KR20040052015A (en) * | 2002-12-13 | 2004-06-19 | 한국전자통신연구원 | Traffic measurement system and traffic analysis method thereof |
-
2004
- 2004-11-29 KR KR1020040098597A patent/KR100710047B1/en not_active IP Right Cessation
Patent Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR20030034534A (en) * | 2001-10-26 | 2003-05-09 | 주식회사 케이티 | A port number selection method for network traffic data analysis on Internet Protocol network |
KR20040052015A (en) * | 2002-12-13 | 2004-06-19 | 한국전자통신연구원 | Traffic measurement system and traffic analysis method thereof |
Non-Patent Citations (2)
Title |
---|
1020030034534 |
1020040052015 |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR101005755B1 (en) | 2008-09-18 | 2011-01-06 | 고려대학교 산학협력단 | Apparatus and method for managing application for traffic analysis |
Also Published As
Publication number | Publication date |
---|---|
KR20060059493A (en) | 2006-06-02 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
USRE49126E1 (en) | Real-time adaptive processing of network data packets for analysis | |
EP1742416B1 (en) | Method, computer readable medium and system for analyzing and management of application traffic on networks | |
CN102307123B (en) | NAT (Network Address Translation) flow identification method based on transmission layer flow characteristic | |
US8806189B2 (en) | Apparatus for analyzing traffic | |
CN102045363B (en) | Establishment, identification control method and device for network flow characteristic identification rule | |
KR101122210B1 (en) | Systems and processes of identifying p2p applications based on behavioral signatures | |
KR101295708B1 (en) | Apparatus for capturing traffic and apparatus, system and method for analyzing traffic | |
Mellia et al. | Measuring IP and TCP behavior on edge nodes with Tstat | |
US7010592B2 (en) | Method for collecting statistical traffic data | |
Tammaro et al. | Exploiting packet‐sampling measurements for traffic characterization and classification | |
US20050249125A1 (en) | Traffic measurement system and traffic analysis method thereof | |
CN112039904A (en) | Network traffic analysis and file extraction system and method | |
US9686173B1 (en) | Unsupervised methodology to unveil content delivery network structures | |
US7907543B2 (en) | Apparatus and method for classifying network packet data | |
CN106330584A (en) | Identification method and identification device of business flow | |
JP2008219127A (en) | Network quality measuring instrument, network quality measuring method, and network quality measuring program | |
KR100710047B1 (en) | Apparatus for traffic identification on internet protocol network environment | |
Mellia et al. | Tstat: TCP statistic and analysis tool | |
KR100501080B1 (en) | A method and system for distinguishing higher layer protocols of the internet traffic | |
KR100548923B1 (en) | A system for monitoring multi-media service traffic and method thereof | |
KR101469285B1 (en) | System and method for analyzing alternative internet traffic using routing based on policy | |
Trammell et al. | Identifying Skype traffic in a large-scale flow data repository | |
JP3596478B2 (en) | Traffic classification device and traffic classification method | |
KR100869887B1 (en) | Traffic identification system and method with analysis on signature of packets | |
CN108076070A (en) | A kind of FASP agreements blocking-up method, device and analysis system |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A201 | Request for examination | ||
E902 | Notification of reason for refusal | ||
E701 | Decision to grant or registration of patent right | ||
GRNT | Written decision to grant | ||
LAPS | Lapse due to unpaid annual fee |