◆宋龍高 朱從喜

（華信咨詢設(shè)計研究院有限公司 浙江 310014）

網(wǎng)絡(luò)業(yè)務(wù)流識別研究綜述

◆宋龍高 朱從喜

（華信咨詢設(shè)計研究院有限公司 浙江 310014）

互聯(lián)網(wǎng)的蓬勃發(fā)展出現(xiàn)了多種多樣的網(wǎng)絡(luò)運用功能，但與此同時也爆發(fā)嚴(yán)重的安全危機。分類和識別互聯(lián)網(wǎng)流量能夠營造安全可信的互聯(lián)網(wǎng)環(huán)境，保證各項網(wǎng)絡(luò)服務(wù)功能可以正常發(fā)揮作用。

網(wǎng)絡(luò)業(yè)務(wù)流；文獻研究；網(wǎng)絡(luò)技術(shù)

1 網(wǎng)絡(luò)流量分類和識別的意義

1.1 便于網(wǎng)絡(luò)管理

網(wǎng)絡(luò)管理員能夠通過網(wǎng)絡(luò)流量的分類和識別，了解到當(dāng)前網(wǎng)絡(luò)的運行狀況，及時進行設(shè)備的搶修和擁塞鏈路的疏通。同時可以幫助管理員明確當(dāng)前的網(wǎng)絡(luò)結(jié)構(gòu)，根據(jù)網(wǎng)絡(luò)流量的分析結(jié)果進行網(wǎng)絡(luò)結(jié)構(gòu)的科學(xué)優(yōu)化和補足設(shè)計[2][3]，防止出現(xiàn)掃描式的修補和投資。

1.2 便于安全檢測

網(wǎng)絡(luò)流量能夠察覺到各種病毒信息，受到不同病毒信息影響時網(wǎng)絡(luò)流量會呈現(xiàn)出不同的變化趨勢，因此分類和識別網(wǎng)絡(luò)流量能夠分析不同的病毒信息，如木馬、僵尸[5]、分布式拒接服務(wù)攻擊[1]等等。而且網(wǎng)絡(luò)流量的識別和分類，能夠讓網(wǎng)絡(luò)提供商加強網(wǎng)絡(luò)安全的監(jiān)管力度，保證用戶的個人隱私。

1.3 合理配置流量工程

雖然當(dāng)前的網(wǎng)絡(luò)應(yīng)用較多，但是在眾多網(wǎng)絡(luò)應(yīng)用中，少部分應(yīng)用占據(jù)大多數(shù)流量，甚至?xí)绊憙?nèi)存導(dǎo)致其他網(wǎng)絡(luò)應(yīng)用無法正常發(fā)揮功能。ISP為了實現(xiàn)網(wǎng)絡(luò)流量的合理分配，根據(jù)不同用戶的需求提供針對性的網(wǎng)絡(luò)服務(wù)。通過網(wǎng)絡(luò)流量的識別和分類可以了解不同應(yīng)用的實際運用情況，了解網(wǎng)絡(luò)應(yīng)用的未來發(fā)展?fàn)顩r的發(fā)展?jié)摿Γ捎妙A(yù)期性的路由政策，保證網(wǎng)絡(luò)流量資源的合理配置。

2 網(wǎng)絡(luò)流量分類和識別發(fā)展現(xiàn)狀

網(wǎng)絡(luò)流量的分配和識別，能夠了解當(dāng)前網(wǎng)絡(luò)業(yè)務(wù)的開展?fàn)顩r，進行網(wǎng)絡(luò)結(jié)構(gòu)的科學(xué)優(yōu)化和補足設(shè)計，及時進行設(shè)備搶修和擁塞鏈路的疏通，提高服務(wù)質(zhì)量等。如今越來越多的學(xué)者專家開始進行網(wǎng)絡(luò)業(yè)務(wù)流精確識別和分類研究，這是當(dāng)前的熱門研究方向，目前在眾多學(xué)者專家的努力下取得了驕人的成績。當(dāng)前業(yè)界內(nèi)權(quán)威的方法有四種，分別為：主機行為法、端口分析法、深度包檢測（DPI）流識別法以及流統(tǒng)計特征的識別方法。

早期互聯(lián)網(wǎng)地址指派機構(gòu)（Internet Assigned Numbers Authority，IANA[7]）頒布了端口映射表，成為指導(dǎo)人們識別和分類網(wǎng)絡(luò)業(yè)務(wù)流的準(zhǔn)則，可以進行網(wǎng)絡(luò)業(yè)務(wù)流的分類。操作基礎(chǔ)是SYN包或TCP，根據(jù)端口號確定網(wǎng)絡(luò)業(yè)務(wù)流，這是較為基礎(chǔ)和簡單的操作方法[2]，也是當(dāng)時業(yè)界內(nèi)使用較多的方法。但是隨著新技術(shù)的發(fā)展，這種原理簡單、操作簡便的識別方法，已經(jīng)不能滿足當(dāng)前的社會需求，而且弊端也逐漸顯露，P2P的應(yīng)用也讓它逐漸被時代淘汰[10][11]。臨時端口無法得知動態(tài)端口號信息和IANA信息。很多P2P應(yīng)用是基于動態(tài)端口或隱藏端口，因此防火墻難以實現(xiàn)有效的阻隔，當(dāng)前的互聯(lián)網(wǎng)環(huán)境下這種分類方法已經(jīng)逐漸喪失競爭優(yōu)勢。

3 網(wǎng)絡(luò)流量分類和識別的國內(nèi)外研究綜述

二十一世紀(jì)初Moore[3]等人通過IANA列表信息確定端口的分類標(biāo)準(zhǔn)，實踐后發(fā)現(xiàn)獲取的分類結(jié)果擁有低于七成的準(zhǔn)確率。Williamson[4]等人通過實證測試了解端口號流量的識別情況，發(fā)現(xiàn)近6成的流量無法進行有效識別。

在當(dāng)前的互聯(lián)網(wǎng)環(huán)境下，端口號網(wǎng)絡(luò)流識別方法已經(jīng)逐漸喪失競爭優(yōu)勢，為了滿足當(dāng)前的流量識別需求，眾多學(xué)者專家和網(wǎng)絡(luò)工作者希望能夠研發(fā)出更加精準(zhǔn)的識別方法，能夠提高網(wǎng)絡(luò)流量分類的準(zhǔn)確率，由此誕生了基于深度包檢測（Deep Packet Inspection，DPI）的網(wǎng)絡(luò)流識別分類方法。Sen[13]等人發(fā)現(xiàn)該方法的確能夠改善以往網(wǎng)絡(luò)流量分類準(zhǔn)確率不足的情況。Papagiannaki等在該技術(shù)的基礎(chǔ)上結(jié)合端口號后，能夠識別69%的網(wǎng)絡(luò)業(yè)務(wù)測試流，能夠?qū)崿F(xiàn)近百分之百的分類流量識別率，雖然基于深度包測試的方法能夠彌補以往測試方法的不足，但是本身并不是完美無缺的：如果網(wǎng)絡(luò)流數(shù)據(jù)包超出負(fù)荷，處理器雖然能夠維持運轉(zhuǎn)但是內(nèi)存消耗量巨大，容易造成硬件設(shè)備的損壞；而且移動寬帶的拓寬，需要處理和解析的數(shù)據(jù)流量越來越多，很多重要數(shù)據(jù)資料無法保存，會影響顧客的使用體驗；加密處理雖然能夠保障通信數(shù)據(jù)信息的隱秘性，但是也會降低網(wǎng)絡(luò)業(yè)務(wù)流分類的效率和準(zhǔn)確度。

不管是基于端口號還是DPI，這些分類識別方法都會泄露隱私信息和違反國家法律規(guī)定，而且難以對動態(tài)加密信息進行識別分類。而基于主機行為的方法，既不需要端口號，也不需要獲取數(shù)據(jù)包的字符信息，但是也可以進行網(wǎng)絡(luò)流的分類和識別。Karagiannis等人在研究P2P流量的識別時，發(fā)現(xiàn)基于P2P流量額連接模式明顯優(yōu)于深度包檢測方法，能夠?qū)崿F(xiàn)近99%的P2P流量識別。之后Karagiannis[17]等人在以往研究成果的基礎(chǔ)上，指出基于主機行為的識別分類方法具有明顯的優(yōu)勢，不僅能夠識別較多的實驗數(shù)據(jù)流量，而且準(zhǔn)確率高。可是該種方法的識別分類能力較差，如果首層加密后就會切斷與其他域的關(guān)聯(lián)，該種方法也無法正常發(fā)揮功能。

上述介紹的方法主要有各自的優(yōu)缺點，學(xué)者專家在總結(jié)三種方法的優(yōu)缺點后創(chuàng)造出更為科學(xué)有效的方法——基于機器學(xué)習(xí)的流統(tǒng)計方法，它不僅將以上方法的優(yōu)點結(jié)合，而且能夠改善上述方法的不足之處，受到越來越多學(xué)者專家的重視和推崇，應(yīng)用范圍越來越廣。目前分類方法分為無監(jiān)督學(xué)習(xí)和有監(jiān)督學(xué)習(xí)兩種。Mcgregor等人將數(shù)據(jù)包內(nèi)存、網(wǎng)絡(luò)流量時間等作為分類標(biāo)準(zhǔn)。Zander等人結(jié)合SFS和貝葉斯分類方法，選出有效的特征集后可以自發(fā)分類數(shù)據(jù)流。Erman等人在研究網(wǎng)絡(luò)流的分類時，將平均包內(nèi)存、時間和間隔作為WeB、FTP的分類標(biāo)準(zhǔn)。Murthy是決策樹概念的首創(chuàng)人，Corinna Cortes等人是向量機(support vector machine，SVM)分類方法的首批擁護者。Zhu Li等人選取9個特征作為流量分類指標(biāo)，在SVM方法的幫助下發(fā)現(xiàn)該種分類方法的準(zhǔn)確率較高。Auld等人在研究網(wǎng)絡(luò)流時，結(jié)合神經(jīng)網(wǎng)絡(luò)分類標(biāo)準(zhǔn)獲得246個特征數(shù)據(jù)，網(wǎng)絡(luò)數(shù)據(jù)流分類識別結(jié)果的準(zhǔn)確率較高。Williams等人在對比不同的分類方法后，指明每種監(jiān)督學(xué)習(xí)分類方法的優(yōu)勢，其中比較典型的就是 C4.5決策樹，它不僅能在較短時間內(nèi)獲得分類結(jié)果，而且準(zhǔn)確率較高，可是無法和其他算法拉開差距，與其他算法也沒有本質(zhì)差別。王宇等人確定了 C4.5決策樹算法的適用范圍，認(rèn)為一般復(fù)雜情況的網(wǎng)絡(luò)流可以應(yīng)用該方法，而且能夠保持較高的準(zhǔn)確率。徐鵬等人在研究 C4.5隨機決策樹算法時，通過實踐結(jié)果證明它的高效性和準(zhǔn)確性。

4 小結(jié)

無論是基于深度包檢測、基于端口還是基于主機行為，這些網(wǎng)絡(luò)業(yè)務(wù)流識別和分類方法都有各自的缺點。二十一世紀(jì)以來互聯(lián)網(wǎng)技術(shù)的發(fā)展，互聯(lián)網(wǎng)環(huán)境復(fù)雜多變，因此這些方法都無法滿足當(dāng)前網(wǎng)絡(luò)業(yè)務(wù)流的分類需求。相較于上述三種方法而言，基于流統(tǒng)計特征的網(wǎng)絡(luò)流量分類方法能夠較好的滿足數(shù)據(jù)流的分類需求，不僅速度快而且準(zhǔn)確率高，可是該種方法也不是完美無缺的，需要解決測試樣本敏感的問題，這也需要眾多的學(xué)者專家和研究者們不斷努力，不斷進行方法的改進和完善，從而滿足當(dāng)前互聯(lián)網(wǎng)環(huán)境下網(wǎng)絡(luò)流分類識別的新要求。

[1]劉穎，朱斯燕，孫晨華，李國彥．面向時延約束的多跳自組網(wǎng)絡(luò)性能建模分析[J/OL]．北京郵電大學(xué)學(xué)報，2017．

[2]曹靜，武君勝，楊文超，王碩晨．認(rèn)知無線Ad Hoc 網(wǎng)的多尺度跨層路由協(xié)議[J/OL]．西安電子科技大學(xué)學(xué)報，2017．

[3]張元寶，唐倫，陳前斌．基于業(yè)務(wù)感知的增強型小區(qū)間干擾協(xié)調(diào)算法[J/OL]．計算機應(yīng)用研究，2017．

[4]高會生，方子希．PTN時分復(fù)用業(yè)務(wù)的時延抖動分析模型[J/OL]．西安電子科技大學(xué)學(xué)報，2017．