网络流量实时监控分析系统设计与实现.docVIP

网络流量实时监控分析系统设计与实现 　　摘要：网络流量监控分析是网络管理与网络安全的重要组成部分。文章介绍了一种基于深度报文检测技术的网络流量实时采集分析系统RT-TMA，同时给出了其设计框架和关键技术实现方法。测试结果表明，该系统运行稳定、准确，可以达到预期效果。 　　关键词：深度报文检测；流量监控；流量分析 　　中图分类号：TP393 文献标识码：A 文章编号：2095-1302（2013）02-0071-03 　　0 引 言 　　随着计算机网络的快速发展和普及，各类网络应用层出不穷。当前，计算机网络的规模越来越大，业务也越来越复杂，系统对网络的可靠性、可用性及网络服务质量的要求也越来越高。网络流量监控分析[1]可以在很少甚至完全不影响现有网络的情况下，对计算机网络的运行状况进行全面的监控分析，是实现网络管理和网络安全防护的重要组成部分。高效合理地运行网络流量实时监控分析系??，可以在最短时间内发现安全威胁，并在第一时间进行分析，确定攻击源。结合基于流量的网络管理系统[2]和入侵检测系统[3]等，可以及时地发出威胁预警，以便快速采取措施，及时化解网络攻击，确保网络的运行效率和安全。 　　网络流量监控分析的基础是协议识别技术，目前的主要方法有常用端口识别、深度报文检测（Deep Packet Inspection，DPI）、深度流检测（Deep Flow Inspection，DFI）[4-7]以及这几种方法的混合。常用端口识别技术是根据协议通信五元组中的端口号来识别应用的，如常用的HTTP协议一般采用80端口，以协议所用的端口号为80来识别HTTP协议。当前，由于采用自定义端口、随机端口甚至加密隧道等应用日益增多，采用常用端口识别已经很难满足需要。深度报文检测是根据各类应用的连接数、单个IP地址的连接模式、上下行流量的比例关系、数据包发生频率等数据流的行为特征，来对流量的应用类型进行区分的技术[4]，可以较好地识别出应用的类型（如是否P2P应用等），但无法对具体的应用进行详细的分析，只能实现应用类型的初步归类。DPI技术是一种基于特征字的识别技术，可根据不同协议的特征（包括协议所使用的端口、协议报文负荷（payload）中的特定字符串或特定的二进制数据等）来检测和识别出具体的应用协议。DPI具有检测准确率高、原理相对简单、实现速度快等多个优点，因而具有较为广泛的应用。本文介绍的网络流量实时监控分析系统（以下简称RT-TMA，Real-Time network Traffic Monitor and Analysis system）就是采用DPI技术来实现协议识别的。 　　基于DPI的网络流量实时监控分析系统在网络管理与网络安全防护中起着非常重要的作用，而目前的网络流量实时监控分析大都针对运行商的核心骨干网络，价格昂贵。此外，作为高校使用的网络流量监控分析系统，还需具备足够的可扩展接口，以便在完成网络管理与安全防护的同时，提供学生认知实习、开放性实验以及科研支撑。为此，本文提出了一种基于DPI的网络流量实时监控分析系统RT-TMA。该系统具有高可扩展性、实现简单、接口丰富等特性，可较好地满足高等院校，特别是高校实验教学中心对网络流量实时监控分析系统的需要。 　　1 RT-TMA的系统模型 　　RT-TMA是一种被设计用于高等院校校园网、实验室网络及中小型企业的网络流量实时监控分析系统。与其他网络流量监控系统不同的是，RT-TMA还提供有丰富的二次开发接口，为网络流量监控分析相关开发人员及科研人员提供理论验证和算法研究的实验平台。 　　规则库主要包括具体协议的DPI特征字及其检测算法的实现，同时包括传统规范网络应用的端口表，以用于配合DPI引擎完成对具体协议的识别。 　　DPI引擎是RT-TMA的核心，可在DPI规则库、数据库（配置信息等）、可选的扩展库以及用户操作等基础上，完成对网络流量的协议识别、统计、分析等功能。 　　RT-TMA用户界面作为人机交互界面，主要提供用户操作和管理DPI引擎、显示各类信息等。 　　2 RT-TMA的关键实现 　　RT-TMA主要针对高等院校、实验教学中心和中小企业的网络进行流量监控分析，此外，RT-TMA还可作为科研平台和实验平台来使用，因此，在RT-TMA的实现中，采用先实现全部功能再进行性能优化、先实现基本功能再进行二次扩展的思路。 　　2.1 基于winpcap的报文收发实现 　　3 运行测试 　　4 结 语 　　本文介绍了一个名为RT-TMA的网络流量实时监控分析系统的设计方案和关键技术实现方法，并给出了系统的运行测试结果。该方法对于网络流量监控分析系统的开发、DPI算法研究等，都具有较高的参考价值。本文介绍的RT-TMA目前可识别的协议还有限，