eMule流量识别方案的分析与设计.doc

  eMule 流量识别方案的分析与设计 黄亭，罗群 （北京邮电大学信息安全中心，北京 100876） 5 10 15 20 25 30 35 40 摘要：eMule 是一款流行的 P2P 软件，对其流量进行有效的监控具有重要的意义。本文对 eMule 监测的相关研究简单地综述，全面分析了 eMule 的网络拓扑结构和通信机制，在分析 数据通信的协议格式的基础上，采用和结合了 DPI 与 DFI 技术，针对其加密和非加密两种 数据通信流，分析和设计了一种 eMule 流量识别方案，并验证和分析了该方案可以有效识别 eMule 的数据通信流量。 关键词：信息安全；流量识别；深度包检测；深度流检测 中图分类号：TP393.0 Analysis And Design of A eMule Traffic Identification Scheme Huang Ting, Luo Qun (Information Security Center, Beijing University of Posts and Telecommunications, Beijing 100876) Abstract: EMule is a popular P2P software,the control of its stream is of great significance. This paper summarizes some research of eMule inspection briefly，and then analyses the network topology structure and the Communication Mechanisms of eMule comprehensively. On the basis of the analysis of protocol of eMule, to its encrypted or unencrypted two data stream, the paper analyses and designs a eMule traffic identification scheme based on DPI, DFI and combination of the two. Finally it verifies and analyses validity of the scheme. Keywords: Information Security; Traffic Identification; Deep Packet Inspection; Deep Flow Inspection 0 引言 在 2001 年评出的美国网络科技和电子商务发展的十大趋势中，P2P 技术排在第一位， P2P 技术已经成为网络中最重要和最热门的技术之一。近几年来 P2P 技术快速发展，得到了 广泛的应用，涉及文件共享，流媒体，VOIP 等热门领域，已经是 Internet 中最重要的应用 之一，有关 P2P 技术的网络流量已经超过传统应用的 HTTP 的网络流量，成为占据 Internet 流量占比最大的应用。 然而，P2P 在给人们带来巨大便利的同时，也带来了诸多问题，首先，消耗了大量带宽， 使网络性能下降，对其他非 P2P 业务产生了巨大的影响，影响了人们对日常必不可少的网 络服务的访问速度，甚至会造成网络拥挤，导致服务质量下降。其次，版权问题严重通过 P2P 技术，文件共享非常容易，而且具有匿名性，特别是基于 DHT 网络的 P2P 技术，路由 基于建立在网络应用层上逻辑网络，使得盗版的追踪变得困难，P2P 网络存在着普遍的知识 产权保护问题。最后，网络安全问题[1]，P2P 的理念是自由的、公平的资源共享。相应地， 每个节点都是独立的，系统对节点的约束就变得很小，无法确定共享的文件是否安全，这就 为病毒和不良消息的传播提供了条件。 于是，对 P2P 流量的监测和控制迫在眉睫，监测和控制的基础是识别，因此,实现 P2P 作者简介：黄亭，（1988-），男，研究生，密码学与网络安全。E-mail: huangting1385920@126.com 通信联系人：罗群，(1960-)，女，副教授，主要研究方向:现代密码理论与应用、复杂网络与混沌应用。E-mail: luoqun@ -1-   流量的有效识别已经成为急需解决的问题。eMule[2]是目前用户使用最多的 P2P 文件共享软 件之一，资源可靠，在全球拥有上千万的用户，是一种非常流行的典型的 P2P 软件。并且 eMule 的技术具有代表性，采用了两种网络拓扑结构[3]，一种是半集中式的 Ed2k 网络，另 45 50 55 60