基于深度數(shù)據(jù)包檢測與深度數(shù)據(jù)流檢測相結(jié)合的業(yè)務(wù)識別技術(shù)研究.pdf

1、隨著互聯(lián)網(wǎng)的高速發(fā)展和各種應(yīng)用協(xié)議的復(fù)雜化，傳統(tǒng)的基于端口的識別方法已經(jīng)不夠準(zhǔn)確。一方面：深度數(shù)據(jù)包檢測作為目前主流的網(wǎng)絡(luò)業(yè)務(wù)識別技術(shù)，有識別準(zhǔn)確率高，識別的業(yè)務(wù)類別分類細(xì)等特點，但同時存在著識別效率低，維護(hù)成本高，對加密的網(wǎng)絡(luò)流量無法識別的缺點。另一方面：深度數(shù)據(jù)流檢測技術(shù)由于其高效，并且可以對加密的網(wǎng)絡(luò)業(yè)務(wù)進(jìn)行大類的識別等特點，在網(wǎng)絡(luò)業(yè)務(wù)識別領(lǐng)域受到越來越多的關(guān)注，但是深度流檢測技術(shù)也存在著識別準(zhǔn)確率低，需要事先得到數(shù)據(jù)流的統(tǒng)計特征

2、等缺點。本文圍繞深度數(shù)據(jù)包檢測和深度數(shù)據(jù)流檢測各自存在的優(yōu)缺點，提出一種基于深度數(shù)據(jù)包檢測和深度流檢測相結(jié)合的業(yè)務(wù)識別技術(shù)，將兩種技術(shù)的優(yōu)點相結(jié)合來進(jìn)行網(wǎng)絡(luò)業(yè)務(wù)的識別工作。具體研究內(nèi)容如下：
　　 研究了深度數(shù)據(jù)包檢測技術(shù)。首先，介紹了采用深度數(shù)據(jù)包檢測技術(shù)進(jìn)行業(yè)務(wù)識別工作涉及的相關(guān)技術(shù)，主要包括網(wǎng)絡(luò)數(shù)據(jù)包封裝原理、應(yīng)用層特征字的表示方式、應(yīng)用層特征字的位置規(guī)律。其次，分析了常用的模式串匹配算法，并對不同算法的時間和空間復(fù)雜度進(jìn)

3、行了分析。最后，提出了采用確定性有限自動機(jī)作為特征字匹配的引擎以及采用單報文匹配方式對網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行匹配。
　　 研究了基于支撐向量基的深度數(shù)據(jù)流檢測技術(shù)。首先，從深度數(shù)據(jù)包檢測技術(shù)無法對加密業(yè)務(wù)進(jìn)行識別，以及識別效率低等缺點入手，闡述了深度流檢測產(chǎn)生的原因。其次，從線性可分情形、線性不可分情形、核函數(shù)類型三個方面分析了SVM的原理。最后，對基于SVM的業(yè)務(wù)識別的三個工作工作階段，分別是樣本獲取階段、分類器構(gòu)建階段、分類器評測階段

4、進(jìn)行了分析。其中樣本獲取階段包含網(wǎng)絡(luò)數(shù)據(jù)采集、網(wǎng)絡(luò)流形成、流特征計算、流應(yīng)用類型標(biāo)注四個模塊，通過查閱外刊文獻(xiàn)最后采用了“一對一”的方法進(jìn)行分類器的構(gòu)建。
　　 實現(xiàn)了將深度數(shù)據(jù)包檢測和深度數(shù)據(jù)流檢測相結(jié)合的業(yè)務(wù)識別技術(shù)。首先，給出了將深度數(shù)據(jù)包檢測和深度數(shù)據(jù)流檢測相結(jié)合的業(yè)務(wù)識別技術(shù)的軟件框圖。主要包括流表檢測、業(yè)務(wù)識別、樣本獲取、訓(xùn)練、分類預(yù)測五個模塊和一個應(yīng)用層特征字庫。其次，介紹了如何在Linux系統(tǒng)的Netfilter

5、框架下使用iptables工具在NF IP FORWARD鉤子函數(shù)中實現(xiàn)流表檢測模塊。之后，詳細(xì)介紹了業(yè)務(wù)識別模塊的兩種實現(xiàn)方式，并列出了用到的主要接口函數(shù)。最后對采用支持向量機(jī)的深度流檢測的三個階段的實現(xiàn)進(jìn)行了詳細(xì)介紹。
　　 搭建了基于深度數(shù)據(jù)包檢測和深度數(shù)據(jù)流檢測相結(jié)合的業(yè)務(wù)識別系統(tǒng)的試驗平臺并對該系統(tǒng)進(jìn)行了測試。首先，講述了平臺的搭建過程，包括用到的硬件設(shè)備、開發(fā)環(huán)境、以及交叉編譯工具。其次，對深度包檢測的效果進(jìn)行了驗證