【資料名稱】：基于NetFlow 記錄的高速應(yīng)用流量分類方法

【資料作者】：陳亮

【資料日期】：201201

【資料語(yǔ)言】：中文

【資料格式】：PDF

【資料目錄和簡(jiǎn)介】：

1 引言
實(shí)時(shí)準(zhǔn)確地識(shí)別Internet 流量所使用的應(yīng)用層
協(xié)議是網(wǎng)絡(luò)QoS、網(wǎng)絡(luò)流量和用戶行為等監(jiān)控的前
提和基礎(chǔ)，在網(wǎng)絡(luò)性能管理、計(jì)費(fèi)管理、流量工程
和入侵檢測(cè)等研究領(lǐng)域有著重要作用。然而由于包括各種P2P 協(xié)議在內(nèi)的越來(lái)越多的應(yīng)用不遵守默認(rèn)
端口約定或使用動(dòng)態(tài)端口通信等原因，早期以
IANA 中注冊(cè)的常用端口號(hào)區(qū)分應(yīng)用協(xié)議流量的方
法準(zhǔn)確率已低于50%[1,2]，嚴(yán)重影響分析結(jié)果的可信
性。依據(jù)報(bào)文負(fù)載內(nèi)容識(shí)別應(yīng)用協(xié)議的方法在主干
網(wǎng)絡(luò)帶寬增長(zhǎng)到10Gbit/s 以上后是一個(gè)巨大的技術(shù)
挑戰(zhàn)，且該種方法無(wú)法處理流量加密的情況。
因此，自2004 年開(kāi)始基于行為特征識(shí)別應(yīng)用
流量的方法逐漸成為國(guó)際上研究的熱點(diǎn)。這類方法
首先歸納出各應(yīng)用交互過(guò)程中在流/主機(jī)上表現(xiàn)出
的不同行為特征，并以此為依據(jù)判別待分類流量所
使用的應(yīng)用協(xié)議。由于尚處于起步階段，目前基于
行為識(shí)別應(yīng)用協(xié)議的方法不能精確識(shí)別單一的應(yīng)
用協(xié)議，而只能將流量分至大致的應(yīng)用類別中。所
謂應(yīng)用類別，是對(duì)具有類似功能或行為的應(yīng)用層協(xié)
議的抽象概括，如BitTorrent、eDonkey 等應(yīng)用協(xié)議
都屬于P2P 應(yīng)用類別。
基于行為識(shí)別應(yīng)用協(xié)議的方法可分為事先無(wú)
訓(xùn)練集和有訓(xùn)練集2 類，分別對(duì)應(yīng)數(shù)理統(tǒng)計(jì)中的聚
類分析和判別分析。使用聚類算法方面， A.
McGregor[3]和Jeffrey Erman[4,5]等人分別使用EM和
AutoClass 等方法考慮流之間的相似性將流量分組，
而后利用端口號(hào)或負(fù)載檢查的方法分析其準(zhǔn)確性。
但聚類方法不能解釋為什么流量會(huì)進(jìn)行這樣的分
類，因此只能使用在對(duì)分類沒(méi)有先驗(yàn)知識(shí)、沒(méi)有訓(xùn)
練集時(shí)，對(duì)類別進(jìn)行初步探索上。判別算法方面，
Thomas Karagiannis[6]等人分析應(yīng)用類別在空間維
上的行為特征(端口分布、鏈接數(shù)等)，構(gòu)造主機(jī)交
互關(guān)系圖，并以此識(shí)別貢獻(xiàn)流量的主機(jī)正在使用的
應(yīng)用協(xié)議類別。但該方法須對(duì)流量進(jìn)行一定的累
積，不僅有滯后性，而且在高速主干網(wǎng)絡(luò)下，如何
有效地存儲(chǔ)流量，快速構(gòu)造及匹配圖本身就是一個(gè)
仍待解決的問(wèn)題。M. Roughan[7] 和Sebastian
Zander[8,9]等人基于k-NN 和C4.5 等機(jī)器學(xué)習(xí)方法，
利用應(yīng)用流在時(shí)間維上的傳輸特征(流長(zhǎng)、持續(xù)時(shí)間
等)將流量分至4~8 個(gè)應(yīng)用類別，然而這些早期方法
的精度都不夠高。
目前，最全面準(zhǔn)確的方法是Andrew W. Moore
等人于2005 年提出的[11]。該方法使用TCP 流的248
個(gè)測(cè)度值[12]，通過(guò)對(duì)稱不確定性推導(dǎo)測(cè)度間相關(guān)關(guān)
系并進(jìn)行篩選，而后利用基于核密度估計(jì)的Na瘀攀
Bayes 分類法將TCP 流分至10 個(gè)應(yīng)用類別中。雖
然該方法較之前研究更多地考慮了測(cè)度的選擇和