陈 晖，唐 勇

CHEN Hui1, TANG Yong2

（1. 四川大学 电气信息学院，成都 610065；2. 中科院 成都计算机应用技术研究所，成都 610041）

0 引言

随着网络应用的发展，给网络的安全管理带来了许多新的问题。一些新的更复杂的安全风险隐藏在各个应用中，与应用密不可分。譬如，基于Web服务的安全漏洞及利用这些漏洞的攻击越来越多。一些未受控的应用，占用正常应用带宽，如在企业网中，基于P2P的下载、娱乐占用大量的带宽。如何针对这些问题进行应用管理的基础在于应用识别及分类。

应用识别及分类的关键技术是协议识别，协议识别方法主要有基于IP/端口识别技术、基于行为模式识别技术、基于统计信息识别技术和基于DPI（深度包检测）识别技术。

基于IP/端口识别技术利用的是某些软件使用固定端口及服务器IP可穷举的特点，人工统计IP/端口信息，一旦发现有连接匹配信息就能够识别出相应的应用。由于该基于IP/端口识别模式使用的IP/端口特征码本身就是用于描述连接信息，因此IP/端口识别技术不具备连接内进一步分析的能力，进而不适用于连接重用情况。

基于行为模式识别技术和基于统计信息识别技术利用的是某些网络软件和用户行为的特定规律进行识别，不具有通用性且识别精度也很难满足商业化需求。且基于行为模式识别技术和基于统计信息识别技术的控制策略都是基于网络节点或连接，因此即使这两种识别技术能够识别单连接上的多种用户行为也无法通过制定策略进行区别控制。……