一种使用DBSCAN聚类网络流量分类方法.docVIP

一种使用DBSCAN聚类的网络流量分类方法 　　摘 要:提出了基于DBSCAN算法的网络流量分类方法,对流的定义、特征产生、特征选择以及分类规则和分类性能的评测等内容进行了介绍。提出了基于PCA的网络流量最优特征子集的选择方法。实验结果表明,提出的分类方法能够达到较高的总精确度和查准率,能够有效地使用于网络流量分类中。 　　关键词:网络流量分类; 主成分分析; 特征选择; DBSCAN聚类 　　中图分类号:TP18; TP393文献标志码:A 　　文章编号:1001-3695(2009)09-3461-04 　　doi:10.3969/j.issn.1001-3695.2009.09.073 　　 　　Method of network traffic classification using DBSCAN clustering 　　HE Zhen-kai??1, YANG Ai-min??1,2??, LIU Yong-ding??1, QIU Mi??1 　　(1. College of Computation Communication, Hunan Industry University, Zhuzhou Hunan 412008, China;2. School of Informatics, Guangdong University of Foreign Studies, Guangzhou 510006, China) 　　Abstract:This paper presented a network traffic classification method based on DBSCAN algorithm, and introduced the definition of flow, the feature generated, the feature selection as well as the rule of classification and the performance evaluation of classification. Furthermore, employed the principle component analysis (PCA) approach to extract the optimization attribute set from the original network traffic data. The experiment results show that the method of presented can achieve higher overall accuracy and precision, and to effective use in network traffic classification. 　　Key words:network traffic classification; principle component analysis; feature selection; DBSCAN clustering 　　 　　近年来,随着Internet网络技术的发展,很多新的网络服务(如P2P、在线游戏)采用动态端口、协议加密以及其他技术,使传统的基于端口的和基于有效载荷的网络流量分类方法已不能保证进行正确的识别和分类。国内外一些学者开始使用机器学习的方法[1]来进行网络流量分类的研究。这些研究方法大多数是在flow-level的层次上展开的,认为不同的应用具有不同的传输数据的模式,因此根据这些模式可以对流量进行分类。这些方法的特点是抽取与协议和端口无关的统计特性(如报文长度、持续时间等),形成特征向量,用特征向量表示流,以流的应用类型(如Web、FTP、DSN等)作为流的类别,然后用机器学习方法构造分类器,对网络流量进行分类。McGregor等人[2]使用传输层属性对网络流量进行了聚类分析,但哪些属性能够得到最好的聚类结果,没有进行分析。Moore等人[3] 采用监督的naive Bayes分类方法进行流量分类与应用识别,首先将网络流量数据手动分类,确定了流量的具体应用类型,并将流量数据分成训练集和测试集。利用naive Bayes方法进行分类,平均分类准确率超过了83%。Roughan等人[4]采用最近邻和线性判别分析的方法,仅使用连接持续时间和包的平均大小作为流量分类的特征,采用Bayes的方法进行分类。然而只采用两个属性的统计信息并不能区分所有的应用类别,因此获得的准确度很低。Zander等人[5]采用了Autoclass的方法,并通过特征选取技术SFS(sequential forward sear