一种基于连接相似性的网络流量分类方法地研究.pdfVIP

V01．43 第43卷专辑 太原理工大 学学报 Spec．Issue TECHNOI，OGY ()ct．2012 OFTAIYUANUNIVERSITYOF 2012年10月 JOURNAL 0052-04 文章编号：1007—9432(2012)S1 一种基于连接相似性的网络流量分类方法的研究 彭雄威，周丽娟，李芝棠，柳 斌 (华中科技大学计算机科学与技术学院，下一代互联网接人系统国家工程实验室，武汉430074) 摘 要：随着互联网上的应用越来越多，对这些应用产生的流量进行分类管理对网络管理来说 尤为重要。对单纯的基于行为特征的分类方法进行了改进，通过基于较强区分度的行为特征对流 量进行初步的分类，得到少部分的分类结果，在此结果上再利用一种基于连接相似性方法对未识别 的流量进行分类，从而实现由少部分的已知类型流量推知其他未知流量类型的目的，初步解决了目 前流量识别应用中大量遗留未知流量的问题。 关键词：连接相似性；行为特征；网络流量 中图分类号：TP393．07文献标识码：A 随着互联网的发展，网络上的应用越来越多，而 用的传输层协议。 对这些应用产生的流量进行分类，对网络管理有着 连接成功表示一个IP发起连接后，有收到回应 很重要的作用，传统的利用端口号的识别技术在现 的报文(即在连接的两个方向上都有流量)，连接失 在网络环境下早已不适用，目前最常见的流量分类 败则没有回应报文(只有一个方向有流量)。 方法可以归为以下三种：基于载荷的特征码匹配方 1．2行为特征分类模型 法、基于流特征的分类方法和基于传输层行为特征 经过反复实验和验证得到了一套从连接成功 的分类方法[1]。基于载荷的特征码匹配方法现在还 率、来回包大小比例、传输层协议、P2P节点的动态 被大多数商用系统所应用，但是面对应用协议版本 加入和退出n]以及Web连接的端口“多对一”[53等 的频繁的更新，载荷加密的应用等状况，特征码匹配 的行为特征作为判断连接的基本类型的方法，而对 的方法已经变得越来越难，而且这种方法的复杂度 其他类型采用了知名端口进行识别，这样可以提高 比较高，适用范围越来越有限；基于流特征的方法都 整体的识别率¨。。 是先抽取流的特征，然后进行机器学习达到分类的 对于P2P类型的判断前人已经做了很多研究。 目的，这种方法对流的特征以及参数的选取都很复 杂；而基于传输层行为特征的分类方法口3识别度不 用了TCP协议和UDP协议，那么这对IP之间除了 高，而且极容易受网络环境的影响。 知名端口的流量，其他流量都可视为P2P流量；2) 本文根据连接相似性原理[33来改进上述第三种 方法识别度不高的问题，先根据传输层行为特征对 同IP数和不同端口数之差小于特定的门限值，则认 流量进行比较准确的初步分类，然后以此结果结合 流的相似性原理[31推断出未知的流量类型，从而提 态退出时，其他节点还会向此节点发送控制信息包， 高流量的识别度。因为根据流的相似性原理可以矫 但是得不到回应，于是连接成功率会下降，直到其更 正原有的错误分类，所以其准确率也得到了提高。 新节点信息为止。根据此特点，结合P2P数据包的 包长比较大，而控制包的包长比较小的特征陌，得出 1 传输层的行为特征 第三种P2P识别方法：当连接成功率比较高时，如 1．1相关概念