基于DDAGSVM的网络流量分类技术.pdfVIP

第43卷第8期 数学的实践与认识 Vbl．43，NO．8 PRACTICEANDTHEORY 2013年4月 MATHEMATICSIN Apr．，2013 基于DDAG—SVM的网络流量分类技术 欧阳广·，李倩倩。，满君丰。 (1．湖南化工职业技术学院信息212程系，湖南株洲412004) (2．湖南工业大学计算机与通信学院，湖南株洲412008) 摘要：互联网技术不断发展，很多新的网络通信采用动态端口、协议加密等技 术，使传统的流量分类技术不再适用．以TCP三次握手后客户端到服务器的第1 个包载荷大小、服务器到客户端的第1个包和第2个包载荷大小以及服务器端口 信息作为流量特征，提出一种基于DDAG—SVM的网络流量分类的方法，并针对传 统DDAG—SVM的误差累积效应，使分类性能变差的问题，根据类间可分离度重构 DDAG—SVM决策树，每次都选择最容易分开的两个流类别构成分类决策面，测试结 果表明该方法取得了较高的分类准确率． 关键词：包载荷；支持向量机；DDAG；类间可分离度 1引言 网络流量分类是指按照网络的应用类型，将网络通信的数据流进行分类．准确的网络流 量分类是对网络进行QoS管理、流量计费、应用趋势分析以及安全检测的基础．传统的流量 分类大多数采用基于端口和基于特征串的深层数据包检测流量分类技术[1]，曾取得较好的分 类效果．但是随着互联网技术的不断发展，很多新的网络服务(如P2P、在线游戏等)采用动 态端口、协议加密等技术，使这些分类技术的有效性逐步下降．基于机器学习【2]的网络流量 分类技术是近年研究的热点，该技术利用从传输的网络流量数据中抽取“流”的先验特征或 计算流的统计信息对流量进行检测分类． Vector 支持向量机[3】(Support 种新型机器学习方法．它适合解决小样本、非线性及高维模式识别等问题．SVM最初是针对 两类分类问题提出的，而实际应用中往往是多类分类问题，因此需要利用重构算法将其推广 Directed 应用于多类分类问题．DDAG(DecisionAcyclic 量机算法之一，它具有分类速度快、没有不可分区域等优点，但在应用中存在各节点如何选 取的问题． 本文提出根据类间可分离度重构DDAG—SVM决策树分类算法，每次都使用最容易分开 的两个类别构建分类决策面．同时采用TCP三次握手后客户端到服务器的第1个包载荷大 小、服务器到客户端的第1个包和第2个包载荷大小以及服务器端口作为流量特征，对网络 流量进行实时分类． 收稿日期：2012．10-19 资助项目：湖南省教育厅资助科研项目(10C0138)；湖南省自科基金项目(11JJ4050) 万方数据 198 数学的实践与认识 43卷 2DDAG．SVM 2．1 DDAG-SVM工作原理 法．该算法首先在每两类之间训练一个分类器，对于k个类别的分类问题，共训练k(k一1)／2 个两类分类器，然后再将这k(k一1)／2个分类器按照图1所示构建一种两向有向无循环图． 包括k(k一1)／2个内部结点以及k个叶子结点，其中每个内部结点就是一个两类分类器，叶 子结点是最终的类值． 图1DDAG支持向量机多类分类算法 当对一个网络流量进行分类时，是从决策树顶到叶结点的计算和判断过程．从决策树顶 该叶结点所代表的类． DDAG—SVM根结点的选择是随机的，下一个结点以当前结点决策面的值为依据，如果在 某个结点上发生分类错误，会把错误延续到该结点所对应的后续结点上，尤其是在根结点上 发生分类错误，由于误差的累积效应，将严重影响分类器的分类性能． 2．2改进DDAG—SVM分类算法 类间可分离度为依据，选择最容易分开的两个类别作为决策树的顶，在构建下一个分类的决 策面时，仍然根据类间可分离度选择最容易分开的两个类别作为