应用识别向导之AXI 应用大厦的黄金地基
2011-07-19   网康科技

XAI是下一代应用识别技术的发展方向。想要更全面地诠释XAI，首先要从应用识别技术的发展说起。

端口识别：

应用识别最初所依赖的是端口识别。例如对于网页，识别80端口作为网页的特征，相应地封堵也是依赖于端口。作为路由器或防火墙的一个附属功能，很长时间内是网络管理者对应用管理的唯一手段。

但随着IT技术的普及，应用出现了爆炸性的发展，变得越来越不依赖于端口，对网页来说，像QQ也在使用80端口，而迅雷则随机地占用大量端口。

DPI: 

这时，不依赖端口的应用识别技术便应运而生。这就是DPI，它是通过检测包中的特殊字段来判定应用，这样更加准确。以网页应用为例，数据包中如果有http和website的字段，由此就可以判定这个应用是http的网页访问。

原本做到这样就足以满足网络管理者对应用管理的需求。可是，随着以VOIP和P2P为代表的加密应用的出现，DPI已经无法在这些包中检测到明文字段。

DFI: 

由此引发了DFI技术的出现，它的工作原理是根据流特征来判断应用。如下表所示，不同的应用的流量特征有很多差异，通过对流特征的识别，可以达成对应用的识别。

它不满足于只知道应用是什么，而是更深入地知道应用具体在干什么。比如QQ，DPI只知道在用QQ；但XAI可以知道，是在用QQ聊天，还是在用QQ传文件。

XAI:

识别是一个基础，在这个基础之上才能深入地进行审计或者管控等诸多应用层管理手段。传统的识别仅仅包含应用识别和用户识别。XAI所做的事情就是把识别这个基础做大。从而使上层建筑可以做更多的事情。其中包括了应用识别、应用元信息分析识别、拓扑识别、用户识别。

应用识别和用户识别是传统识别领域已经存在的。而应用元信息分析识别和拓扑识别是对传统识别范围的扩充。

应用元信息分析识别指的是应用基础之上的信息，内容层次的描述信息。比如文件传输的文件名和后缀名、视频类型、VOIP参数、数据库操作等。

例如，应用识别相当于识别出一个人是谁；应用元信息指的就是他穿什么衣服、身高、体重、身体特征等等信息。在这个基础上，我们可以根据他穿的衣服好看，所以可以拍照做推广；他身材高，所以可以选为模特之类的深层次操作。而如果只知道是谁，这些是都做不了的。

拓扑识别是对流量之中的位置等拓扑信息进行挖掘。有了拓扑识别，我们可以进行诸如拓扑分析等高层次的分析与操作。

实际举例来说，可以通过流量信息中的拓扑识别，来识别出诸如移动网络的蜂窝、WLAN节点、NAT下终端信息等，在此基础上的拓扑分析就可以绘制出整个移动网络的蜂窝结构、WLAN的网络结构、NAT下用户结构信息等。 

就像苹果的PAD一样，PAD是一个平台，它提供了重力感应、光学感应、多点触控等，在此基础上附加了各种应用。XAI也是一个平台，甚至可以说平台有多大多好，上层建筑的潜能就有多大。

现在XAI所展现的诸如QQ上传文件、WLAN节点信息的识别犹如管中窥豹。冰山一角背后的庞然大物，如若露出水面，必然举座皆惊。