基于深度數(shù)據(jù)包檢測與深度數(shù)據(jù)流檢測相結合的業(yè)務識別技術研究.pdf

1、隨著互聯(lián)網(wǎng)的高速發(fā)展和各種應用協(xié)議的復雜化，傳統(tǒng)的基于端口的識別方法已經(jīng)不夠準確。一方面：深度數(shù)據(jù)包檢測作為目前主流的網(wǎng)絡業(yè)務識別技術，有識別準確率高，識別的業(yè)務類別分類細等特點，但同時存在著識別效率低，維護成本高，對加密的網(wǎng)絡流量無法識別的缺點。另一方面：深度數(shù)據(jù)流檢測技術由于其高效，并且可以對加密的網(wǎng)絡業(yè)務進行大類的識別等特點，在網(wǎng)絡業(yè)務識別領域受到越來越多的關注，但是深度流檢測技術也存在著識別準確率低，需要事先得到數(shù)據(jù)流的統(tǒng)計特征

2、等缺點。本文圍繞深度數(shù)據(jù)包檢測和深度數(shù)據(jù)流檢測各自存在的優(yōu)缺點，提出一種基于深度數(shù)據(jù)包檢測和深度流檢測相結合的業(yè)務識別技術，將兩種技術的優(yōu)點相結合來進行網(wǎng)絡業(yè)務的識別工作。具體研究內容如下：
　　 研究了深度數(shù)據(jù)包檢測技術。首先，介紹了采用深度數(shù)據(jù)包檢測技術進行業(yè)務識別工作涉及的相關技術，主要包括網(wǎng)絡數(shù)據(jù)包封裝原理、應用層特征字的表示方式、應用層特征字的位置規(guī)律。其次，分析了常用的模式串匹配算法，并對不同算法的時間和空間復雜度進

3、行了分析。最后，提出了采用確定性有限自動機作為特征字匹配的引擎以及采用單報文匹配方式對網(wǎng)絡數(shù)據(jù)進行匹配。
　　 研究了基于支撐向量基的深度數(shù)據(jù)流檢測技術。首先，從深度數(shù)據(jù)包檢測技術無法對加密業(yè)務進行識別，以及識別效率低等缺點入手，闡述了深度流檢測產(chǎn)生的原因。其次，從線性可分情形、線性不可分情形、核函數(shù)類型三個方面分析了SVM的原理。最后，對基于SVM的業(yè)務識別的三個工作工作階段，分別是樣本獲取階段、分類器構建階段、分類器評測階段

4、進行了分析。其中樣本獲取階段包含網(wǎng)絡數(shù)據(jù)采集、網(wǎng)絡流形成、流特征計算、流應用類型標注四個模塊，通過查閱外刊文獻最后采用了“一對一”的方法進行分類器的構建。
　　 實現(xiàn)了將深度數(shù)據(jù)包檢測和深度數(shù)據(jù)流檢測相結合的業(yè)務識別技術。首先，給出了將深度數(shù)據(jù)包檢測和深度數(shù)據(jù)流檢測相結合的業(yè)務識別技術的軟件框圖。主要包括流表檢測、業(yè)務識別、樣本獲取、訓練、分類預測五個模塊和一個應用層特征字庫。其次，介紹了如何在Linux系統(tǒng)的Netfilter

5、框架下使用iptables工具在NF IP FORWARD鉤子函數(shù)中實現(xiàn)流表檢測模塊。之后，詳細介紹了業(yè)務識別模塊的兩種實現(xiàn)方式，并列出了用到的主要接口函數(shù)。最后對采用支持向量機的深度流檢測的三個階段的實現(xiàn)進行了詳細介紹。
　　 搭建了基于深度數(shù)據(jù)包檢測和深度數(shù)據(jù)流檢測相結合的業(yè)務識別系統(tǒng)的試驗平臺并對該系統(tǒng)進行了測試。首先，講述了平臺的搭建過程，包括用到的硬件設備、開發(fā)環(huán)境、以及交叉編譯工具。其次，對深度包檢測的效果進行了驗證