郑 涛

（宜通世纪科技股份有限公司，广州 510000）

随着计算机网络的发展，互联网逐渐普及起来，网络安全事故的日益增多，传统的网络欺诈流量识别与监控技术分为纯软件欺诈和纯硬件欺诈识别两种，软件识别在识别流量的过程中耗时长，欺诈检测速度缓慢，无法满足当前高速上传和下载形式的网络数据，而硬件识别则比较难进行复杂的网络协议处理。因此考虑基于软件来识别复杂的网络协议，普通的网络协议则通过硬件来识别，软硬结合实现高效的流量欺诈识别。

1 系统总体结构

目前在网络中较为常用的大部分网络流量协议都是以超文本传输安全协议为主，只需要借助特殊的字段，就能够实现身份欺诈，主要以硬件为基础，在欺诈流量识别速度方面具有优势。在识别了这部分的欺诈行为后，系统记录了无法通过硬件识别的流程通过软件方法流转到人工引擎进行识别。不能通过欺诈流量识别的主要是网络中不常见的流量，或者有必要通过其他方法来识别欺诈流量，它的数据流需要通过信令流进行关联，然后进行分析和计数，通过模式字符串知识库使用不同的关键字来判读使用硬件识别和软件识别过程，系统支持三个线程模式，包括数据库生成线程、知识库编译线程和数据线程，数据库生成线程用于解析和加载模式字符串，知识库编译线程用于匹配字符串[2]。

2 知识库语法设计

软件识别欺诈流量的语法设计相对复杂，因为它支持复杂的欺诈识别技术，如深度包解析、特殊功能和关联欺诈识别，它消耗了大量的cpu 资源。……