基于会话模式的网络流量分类方法研究与实现

摘要

互联网中P2P应用的流行,网络蠕虫和僵尸网络的泛滥,严重威胁互联网的正常运转。使用流量分类方法标识出互联网中各种应用的具体分布,可以帮助运营商按需配置优化网络,限制P2P和恶意软件流量,保证网络的正常运行。目前常见的流量分类方法仍有些不足,如基于深度包检测技术的识别方法不能识别加密流量,而基于流统计特征的识别算法则难以保证识别准确率。本文在基于主机交互特征的流量分类算法的基础上,结合并发连接数和简单的流统计信息,提出一种基于会话模式的网络流量分类算法,该算法可以在不使用具体载荷信息的情况下达到较好的识别准确度。主要工作如下:
　　 (1)为了获取研究所需要的分类流量数据,本文在L7-filter的基础上开发了一个改进的深度包识别系统。该系统添加了离线文件处理模块,用于读取离线报文和输出识别后的报文,并且添加了基于端口和地址关联的流量分类模块,提高L7-filter的识别完整率和准确率。
　　 (2)提出了用于流量分类的并发连接数测度及其测量方法,并且在L7-filter改进识别系统标记的分类流量数据上,分析了应用最大并发连接数和平均并发连接数的统计分布。
　　 (3)分析了服务器间交互行为的会话模式,并且结合并发连接数、流统计特征等信息,提出了一种基于会话模式和并发连接数的流量分类算法,可以在不使用预定义端口信息以及载荷具体内容的情况下识别应用,并在实验中发现此算法能以很高的识别正确率识别网络中大部分流量。