基于应用层协议进行数据分析与还原的方法与流程

本发明涉及网络数据分析与还原领域，尤其是一种基于应用层协议进行数据分析与还原的方法及系统。

背景技术：

获取数据包的目的是为了对这些数据包进行分析与判断,从而获得网络的信息内容。网络数据包的分析与判断技术已广泛应用于入侵检测、防火墙、网络测量等领域。目前,比较常用的数据包分析技术包括无状态数据包分析技术和有状态数据包分析技术。无状态数据包分析技术是最早采用的网络数据包分析技术。例如传统的防火墙就采用无状态技术来过滤数据包。无状态技术不需要保持每个数据包的状态,它只需要系统为分析软件提供规则集。当采集设备接收到数据包时,就根据规则集的规则对该数据包进行检查,如果匹配,表示中标,否则,不中标。无状态数据包分析的优点是不需要消费过多的内存,因为这种技术不需要保存每个包的状态但缺点也是明显的,这些缺点主要包括、需要消耗大量的计算时间,因为对每个包,都需要进行比对检查,当规则集数量较大时,检索规则集的时间将非常巨大。

技术实现要素：

本发明的目的在于克服现有技术的不足，提供一种基于应用层协议进行数据分析与还原的方法及系统，能快速分析新协议及应用层数据包还原重组速度快。

本发明的目的是通过以下技术方案来实现的：基于应用层协议进行数据分析与还原的方法，其特征在于，包括以下步骤：

应用层协议标志特征提取；

区分应用层协议：对数据包进行协议区分；

判断数据包到达的超时时间；

将所有数据包进行拼接；

优选的，所述的区分应用层协议是对数据包进行协议区分，将属于网络层及传输层的数据包进行剔除。

优选的，区分应用层协议通过数据包中是否包括会话开始标志和会话结束标志，并判断应用层的会话开始与结束。

优选的，所述的会话开始标志与会话结束标志是一个特殊字符串或应用协议的标志位。

优选的，所述的数据包进行剔除后组合为一个数据包的队列即有效数据包列。

优选的，所述的有效数据包列是一个滑动窗口。

基于应用层协议进行数据分析与还原的系统，其特征在于，包括：特征提取模块、应用层协议区分模块、判断模块、数据包拼接模块和会话记录获取模块；特征提取模块与应用层协议区分模块相连，应用层协议区分模块与判断模块相连，判断模块与数据包拼接模块相连，数据包拼接模块和会话记录获取模块相连。

优选的，所述的特征提取模块对应用层协议标志特征提取；应用层协议区分模块对数据包进行协议区分；判断模块判断数据包到达的超时时间；数据包拼接模块将所有数据包进行拼接；会话记录获取模块获取会话完整记录。

优选的，所述的应用层协议区分模块，通过数据包中是否包括会话开始标志和会话结束标志，并判断应用层的会话开始与结束

本发明的有益效果是：本发明具有快速分析新协议，应用层数据包还原重组速度快的特点。

附图说明

图1为基于应用层协议进行数据分析与还原的方法流程图；

图2为基于应用层协议进行数据分析与还原的系统框架图。

具体实施方式

下面结合附图进一步详细描述本发明的技术方案，但本发明的保护范围不局限于以下所述。

如图1所示，基于应用层协议进行数据分析与还原的方法，包括以下步骤：

应用层协议标志特征提取；

区分应用层协议：对数据包进行协议区分；

判断数据包到达的超时时间；

将所有数据包进行拼接；

获取会话完整记录。

所述的区分应用层协议，是对数据包进行协议区分，将属于网络层及传输层的数据包进行剔除。

所述的区分应用层协议通过数据包中是否包括会话开始标志和会话结束标志，并判断应用层的会话开始与结束。

所述的会话开始标志与会话结束标志是一个特殊字符串或应用协议的标志位。

所述的数据包进行剔除后组合为一个数据包的队列即有效数据包列。

所述的有效数据包列是一个滑动窗口。

基于应用层协议进行数据分析与还原的系统，包括：特征提取模块、应用层协议区分模块、判断模块、数据包拼接模块和会话记录获取模块；特征提取模块与应用层协议区分模块相连，应用层协议区分模块与判断模块相连，判断模块与数据包拼接模块相连，数据包拼接模块和会话记录获取模块相连。

所述的特征提取模块对应用层协议标志特征提取；应用层协议区分模块对数据包进行协议区分；判断模块判断数据包到达的超时时间；数据包拼接模块将所有数据包进行拼接；会话记录获取模块获取会话完整记录。

所述的应用层协议区分模块，通过数据包中是否包括会话开始标志和会话结束标志，并判断应用层的会话开始与结束

以上所述仅是本发明的优选实施方式，应当理解本发明并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文所述构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围内。

技术特征：

技术总结
本发明公开了一种基于应用层协议进行数据分析与还原的方法，包括以下步骤：应用层协议标志特征提取；区分应用层协议：对数据包进行协议区分；判断数据包到达的超时时间；将所有数据包进行拼接；基于应用层协议进行数据分析与还原的系统，其特征在于：所述的特征提取模块对应用层协议标志特征提取；应用层协议区分模块对数据包进行协议区分；判断模块判断数据包到达的超时时间；数据包拼接模块将所有数据包进行拼接；会话记录获取模块获取会话完整记录。本发明具有快速分析新协议，应用层数据包还原重组速度快的特点。

技术研发人员：彭光辉;屈立笳;陶磊;苏礼刚;林伟;黄丽洪
受保护的技术使用者：成都国腾实业集团有限公司
技术研发日：2017.05.03
技术公布日：2017.08.04