【资料名称】：基于NetFlow 记录的高速应用流量分类方法

【资料作者】：陈亮

【资料日期】：201201

【资料语言】：中文

【资料格式】：PDF

【资料目录和简介】：

1 引言
实时准确地识别Internet 流量所使用的应用层
协议是网络QoS、网络流量和用户行为等监控的前
提和基础，在网络性能管理、计费管理、流量工程
和入侵检测等研究领域有着重要作用。然而由于包括各种P2P 协议在内的越来越多的应用不遵守默认
端口约定或使用动态端口通信等原因，早期以
IANA 中注册的常用端口号区分应用协议流量的方
法准确率已低于50%[1,2]，严重影响分析结果的可信
性。依据报文负载内容识别应用协议的方法在主干
网络带宽增长到10Gbit/s 以上后是一个巨大的技术
挑战，且该种方法无法处理流量加密的情况。
因此，自2004 年开始基于行为特征识别应用
流量的方法逐渐成为国际上研究的热点。这类方法
首先归纳出各应用交互过程中在流/主机上表现出
的不同行为特征，并以此为依据判别待分类流量所
使用的应用协议。由于尚处于起步阶段，目前基于
行为识别应用协议的方法不能精确识别单一的应
用协议，而只能将流量分至大致的应用类别中。所
谓应用类别，是对具有类似功能或行为的应用层协
议的抽象概括，如BitTorrent、eDonkey 等应用协议
都属于P2P 应用类别。
基于行为识别应用协议的方法可分为事先无
训练集和有训练集2 类，分别对应数理统计中的聚
类分析和判别分析。使用聚类算法方面， A.
McGregor[3]和Jeffrey Erman[4,5]等人分别使用EM和
AutoClass 等方法考虑流之间的相似性将流量分组，
而后利用端口号或负载检查的方法分析其准确性。
但聚类方法不能解释为什么流量会进行这样的分
类，因此只能使用在对分类没有先验知识、没有训
练集时，对类别进行初步探索上。判别算法方面，
Thomas Karagiannis[6]等人分析应用类别在空间维
上的行为特征(端口分布、链接数等)，构造主机交
互关系图，并以此识别贡献流量的主机正在使用的
应用协议类别。但该方法须对流量进行一定的累
积，不仅有滞后性，而且在高速主干网络下，如何
有效地存储流量，快速构造及匹配图本身就是一个
仍待解决的问题。M. Roughan[7] 和Sebastian
Zander[8,9]等人基于k-NN 和C4.5 等机器学习方法，
利用应用流在时间维上的传输特征(流长、持续时间
等)将流量分至4~8 个应用类别，然而这些早期方法
的精度都不够高。
目前，最全面准确的方法是Andrew W. Moore
等人于2005 年提出的[11]。该方法使用TCP 流的248
个测度值[12]，通过对称不确定性推导测度间相关关
系并进行筛选，而后利用基于核密度估计的Na瘀攀
Bayes 分类法将TCP 流分至10 个应用类别中。虽
然该方法较之前研究更多地考虑了测度的选择和