高长喜，吴亚飚，王枞

(1.北京邮电大学 博士后流动站，北京 100876；2. 北京天融信公司 企业博士后工作站，北京 100085)

1 引言

网络流量应用协议识别是内容过滤、QoS、流量分析、安全通信及互联网监管和运维的基础。在网络安全领域，网络流量主要可分为明文流量、加密流量、匿名通信流量、入侵/攻击/渗透流量、病毒/木马/蠕虫/僵尸网络异常流量等。下一代网络中流量组成的复杂性及流量行为的多样性，特别是流量加密、伪装、隧道透传和分片等流量特征隐藏技术使网络流量应用协议识别面临着严峻的挑战。

根据所采用的协议特征的不同，应用协议识别方法可分为：基于端口、深度分组检测（DPI,deep packet inspection）和动态流检测（DFI, dynamic flow inspection）[1]等。基于端口的应用协议识别方法将知名端口作为协议特征，例如 P2P应用的固定服务端口、DNS的 53号端口等，然而动态端口、端口复用等机制使该方法已不能对应用流量进行精确分类。DPI将数据分组载荷内部位置固定或变动的静态字节序列作为协议特征，或者通过深入可识别的信令通道提取协商数据通道的 IP地址和端口而间接识别无特征数据流的应用协议类型（例如SIP），支持数据流中的单个数据分组或多个数据分组协议特征，并可实现细粒度应用协议区分；然而随着网络应用（如BitTorrent、eMule、Skype、Thunder 和 Tor 等）采用消息流加密或协议混淆来实现保密通信，除了极少数应用可通过逆向算法实时解密获取明文关键字特征之外，DPI已无法有效识别加密类应用协议。DFI将传输层连……