隨著網(wǎng)絡(luò)應(yīng)用的發(fā)展普及,網(wǎng)絡(luò)流量及網(wǎng)絡(luò)規(guī)模迅速增大,產(chǎn)生的海量數(shù)據(jù)使得對網(wǎng)絡(luò)應(yīng)用流量的安全管理工作愈發(fā)艱難。傳統(tǒng)的基于端口和載荷的應(yīng)用流識別方法已經(jīng)不能滿足識別的精度要求。本文針對網(wǎng)絡(luò)大量應(yīng)用流識別問題,通過對現(xiàn)有少量標(biāo)識數(shù)據(jù)的研究,采用半監(jiān)督學(xué)習(xí)的方法提出并實現(xiàn)了無監(jiān)督數(shù)據(jù)標(biāo)識聚類,還采用有標(biāo)識的方法進(jìn)行輔助識別,可以為后續(xù)的監(jiān)督學(xué)習(xí)提供大量的訓(xùn)練數(shù)據(jù)。 

【文章來源】：智能計算機(jī)與應(yīng)用. 2020,10(02)

【文章頁數(shù)】：6 頁

【部分圖文】：

pcap數(shù)據(jù)流拼接

首先將每種應(yīng)用報文按照一字節(jié)8位為一維特征，將每種應(yīng)用的應(yīng)用流拼接成圖像，通過對不同類型的數(shù)據(jù)流圖像進(jìn)行對比，如圖2所示，發(fā)現(xiàn)相同的應(yīng)用類型，如圖2(a）與（b）均為QQ消息數(shù)據(jù)流，具有相似的圖像；而不同的應(yīng)用類型的數(shù)據(jù)流原報文圖像則如2(c）所示，與前2個QQ圖像存在較大的差異，所以使用原報文方法是可行的。而后，根據(jù)文獻(xiàn)[1-4]識別研究過程的原理解析，研究分別選擇包長、數(shù)據(jù)包應(yīng)用層協(xié)議類型、數(shù)據(jù)包數(shù)據(jù)段長度等顯性特征來繪制出圖像；并對TCP頭設(shè)置push位包數(shù)、從客戶端到服務(wù)器方向，以初始端口發(fā)送tcp負(fù)載大小和從服務(wù)器到客戶端平均負(fù)載大小等基于數(shù)據(jù)流的特征進(jìn)行統(tǒng)計分析。圖3隨即展示了QQ聊天與其他udp應(yīng)用前50數(shù)據(jù)包長度統(tǒng)計對比。其中，藍(lán)色和綠色的線條代表QQ聊天，橙色代表其它的udp應(yīng)用。顯而易見，在前50數(shù)據(jù)包長度對比上，相似的應(yīng)用同樣具有相似的性質(zhì)。與此同時，研究還針對其它特征都進(jìn)行了比對，效果大致相似。圖3 QQ聊天與其它udp應(yīng)用前50數(shù)據(jù)包長度統(tǒng)計

圖2 QQ聊天與其它udp應(yīng)用的特征圖片對比為此，可推得如下研究結(jié)論：每個流前50～100報文由于其包含應(yīng)用流建立連接和控制報文的交換信息，而且也會帶有少量的其它通信信息，故而選擇前50個數(shù)據(jù)包能夠有效地代表數(shù)據(jù)流。而在每個數(shù)據(jù)包中，使用相同的傳輸層協(xié)議往往具有相似的傳輸層結(jié)構(gòu)，不能很好地代表報文特征。研究中為區(qū)分應(yīng)用流，則選擇使用了應(yīng)用層報文。通過統(tǒng)計分析，選擇前50字節(jié)作為每個數(shù)據(jù)包的代表特征值。這樣一來，每個數(shù)據(jù)流就可以使用50*50=2 500維數(shù)據(jù)作為輸入向量訓(xùn)練模型。

【參考文獻(xiàn)】：
博士論文
[1]基于機(jī)器學(xué)習(xí)的流量分類算法研究[D]. 魯剛.哈爾濱工業(yè)大學(xué) 2013

碩士論文
[1]高性能網(wǎng)絡(luò)應(yīng)用協(xié)議識別技術(shù)的研究與應(yīng)用[D]. 史可.北京郵電大學(xué) 2015
[2]基于數(shù)據(jù)流特征向量識別的P2P僵尸網(wǎng)絡(luò)檢測方法研究[D]. 湯偉.中國海洋大學(xué) 2014
[3]基于流量分析的應(yīng)用識別系統(tǒng)研究與實現(xiàn)[D]. 歐良.湖南大學(xué) 2013



本文編號：3066532