

深度包检测(DPI)指的是通过相关技术检测数据包的有用载荷,而不是简单的检测数据包的头部。所谓"深度"是和普通报文检测的分析层次相比较而言的"普通报文检测"仅分析数据包的4 层以下的内容,如传统的"五元组"包括协议类型、源地址、目的地址、源端口和自的端口等,而深度包检测除了对前面所述的内容进行解析外,还增添了对应用层载荷的分析和识别。
目前,深度包检测技术可以用多种分析方法来识别和分类数据流量,这些方法包括端口识别法、字符串匹配法、数值属性法、行为和启发式方法等。我们主要利用字符串匹配法和行为和启发式方法实现上述功能。
字符串匹配的任务就是把当前数据包中应用层载荷的特定内容与协议标准定义的期望值进行比较,检查其是否符合协议标准的规定,从而确定应用层协议的种类,以及检测相关敏感关键字。行为识别是针对某种协议的行为和动作的分析,行为识别技术通常用于无法根据协议判断的业务的识别。启发式识别通常可以归结为对数据包业务的检查以及业务统计参数的提取。一般情况下,行为和启发式识别结合在一起使用,提供更完善的评估能力。
| 各省软考办 | ||||||||||