詹成,张伟

摘  要： 信息战都追求高速反应机动，对网络协议识别提出了高效快速的要求。基于深度包检测DPI的协议识别方法识别准确率高，但是由于要对所有数据包进行检测，计算量很大。基于端口号的协议识别方法速度快，但识别准确率低。提出一种新的基于数据流前端检测的协议识别方法并进行了系统实现，结合了基于端口方法的快速简单和基于DPI的准确性的优点。实验表明，这种综合快速协议识别方法识别准确率高，与基于DPI的方法相比，识别时间减少将近80%。

关键词： 协议识别； 正则表达式； 数据流前端检测； DPI

中图分类号： TN911.7?34； TP393           文献标识码： A                        文章编号： 1004?373X（2014）23?0058?04

Abstract： With the demand of quick response capability in the information war， the network protocol identification needs to be efficient and quick. The protocol identification method based on deep packet inspection （DPI） can achieve high accuracy， however it brings about mass calculation because of inspection of all packets. The protocol identification method based on port inspection is fast， but its accuracy is low. A new protocol identification method based on data?flow front?end detection is proposed and the system implementation way is given in this paper. The simple fast advantage of port?based method and the accuracy advantage of DPI method are combined in this method. The experimental results show that the new protocol identification method can achieve high accuracy， and decrease the identification time by nearly 80% in comparison with the DPI methods.

Keywords： protocol identification； regular expression； data?flow front?end detection； DPI

0  引  言

现在信息战都追求高速反应，高速机动，要求对协议进行高效快速识别，以尽快达到对协议识别的高准确性。传统的协议识别技术是端口识别[1]，这种识别具有较高的效率。但是随着网络协议的发展，原有的基于端口映射的协议识别技术局限性越来越明显。特别是在信息化军事战场上，这种识别方式的应用性几乎为零。一种基于深度报文检测（Deep Payload Inspection，DPI）的方法[2]，可以通过分析报文中的内容，根据预先定义的大量模式（域值、关键字或者正则表达式），对报文中的内容进行匹配，寻找匹配项，并确定报文所属的应用层协议，从而判定整个数据流所属的协议类型。虽然DPI方法可以达到很高的识别准确性，但是也存在以下问题：计算量大，需要对数据流的所有数据包内容进行检测，从而使得采用DPI方法困难且价格昂贵；……