楊 峰，馬 銘

(北華大學大數(shù)據(jù)與智慧校園管理中心，吉林吉林132013)

1 引言

計算機網(wǎng)絡技術的迅速發(fā)展，使人們進入了信息時代[1]。由于網(wǎng)絡用戶數(shù)量逐年增長，網(wǎng)絡的使用頻率不斷增加，導致互聯(lián)網(wǎng)的數(shù)據(jù)流量呈爆發(fā)式上升，造成所使用的網(wǎng)絡通信協(xié)議混亂、復雜[2]。這些問題給網(wǎng)絡管理者帶來了巨大壓力和挑戰(zhàn)，但對網(wǎng)絡資源進行管理，優(yōu)化升級現(xiàn)有網(wǎng)絡，需要清楚了解網(wǎng)絡中的各類業(yè)務應用。因此，網(wǎng)絡流量識別越來越受到人們的關注。

目前相關領域大量學者對網(wǎng)絡流量識別進行研究，并取得了一定的研究成果，文獻[3]通過提取并分析數(shù)據(jù)流特征，采用集成學習方法構(gòu)建識別模型，完成網(wǎng)絡流量識別。該方法的移動流量識別準確率較高，但識別效率較低。文獻[4]利用相對熵特征向量，辨別高低熵值數(shù)據(jù)流，運用蒙特卡洛仿真方法，評估π值誤差，區(qū)分局部和整體隨機流量，采用支持向量機，輸入特征子空間，實現(xiàn)流量識別。該方法能夠有效識別加密流量，但識別準確率較低。

針對上述問題，提出了基于負載隨機性的互聯(lián)網(wǎng)絡鏈路流量識別方法，其主要使用數(shù)據(jù)包負載隨機性檢測，結(jié)合機器學習方法，識別互聯(lián)網(wǎng)絡中的鏈路流量，所提方法的識別精度和識別效率較高。

2 網(wǎng)絡鏈路流量識別方法

2.1 數(shù)據(jù)包負載隨機性檢測方法

采用卡方檢驗方法檢測數(shù)據(jù)流的隨機性。通過比較兩種或兩種以上的樣本率，對兩種以上的分類法變量之間的相關性進行卡方檢驗[5]。比較理論頻率與實際頻率之間的吻合程度或擬合優(yōu)度問題，是本方法的基本思路。

由于卡方檢驗方法屬于非參數(shù)檢驗的范疇，分析計數(shù)數(shù)據(jù)時，對總體的分布不作任何假設。通過理論證明，假如n類數(shù)據(jù)，近似服從卡方分布的統(tǒng)計量可根據(jù)實際觀察次數(shù)A和理論次數(shù)T之差的平方與理論次數(shù)的商得到，式(1)是該過程的具體表達式

(1)

式(1)為卡方檢驗的原始理論公式，式內(nèi)，若想近似效果越顯著，那么T的值應越大(T≥5)。實際觀察模型和任意現(xiàn)有模型的吻合程度可以采用該公式進行表示，是由于該公式中，卡方值在實際觀察次數(shù)與理論次數(shù)相差越大的條件下越大[6]?？ǚ街翟趯嶋H觀察次數(shù)與理論次數(shù)相差越小的條件下越小。

設置total為對象的輸出次數(shù)，total足夠大，且每個觀察對象的可能輸出結(jié)果共有n個，out[0]…out[i]…out[n-1]是其分布表示，其內(nèi)i=1，2，…，n-2。設置P[i]為對象的每個輸出結(jié)果out[i]產(chǎn)生的概率，則E[i]=total*P[i]表示其理論觀察次數(shù)。設置實驗中out[i]的實際產(chǎn)生次數(shù)為O[i]，那么實際觀察值和理論推斷值間的偏離程度的度量可采用式(2)得出的卡方值表示。若想計算后的x2值的分布和自由度為n的卡方分布近似，那么該對象的觀測值應和理論值相同。

(2)

(3)

為增強可信度，推導確定塊的卡方值及混合塊在某種條件下的卡方值。

1)確定塊分析：

=total(2b-1)

(4)

2)混合塊分析：

(5)

2.2 基于機器學習的流量識別方法

2.2.1 ID3算法基本思想

采用ID3算法，在數(shù)據(jù)流數(shù)據(jù)包負載信息節(jié)點中，選擇數(shù)據(jù)流特征屬性，利用信息增益來度量數(shù)據(jù)流特征屬性，從而獲取最大信息熵增益，以降低數(shù)據(jù)包負載信息復雜程度，提高識別效率。

假如向量空間中的正例集大小為p，反例集的大小為n，以下兩種假設是ID3算法的依據(jù)。

1)有窮向量空間E上的一棵準確的決策樹，對于隨機例子分類幾率和E中的正反例幾率相同[11-12]。

2)式(6)描述了一棵決策樹能準確判斷一例子的類別時所需要的信息量表達式

(6)

設置屬性A為決策樹的根，A包含v個值，{V1，V2，…Vn}將E劃分為v個子集{E1，E2，…Ev}，假如有Pi個正例和Ni個反例包含于Ei中，則I(pi，ni)表示子集Ei所需的期望信息，以A為根的期望熵如式(7)所示

(7)

式(8)描述了以A為根的信息增益的計算過程

gain(A)=I(P，N)-E(A)

(8)

假如樣本集S共有C類樣本，Pi(i=1，2，…C)為每類樣本數(shù)。設置屬性A為決策樹的根，A包含v個值，{V1，V2，…Vn}將E劃分為v個子集{E1，E2，…Ev}。假如pij(j=1，2，…C)為Ei中包含的j類樣本數(shù)，則子集Ei的信息量E(Ei)如式(9)所示

(9)

式(10)描述了以A為根的信息熵的計算過程

(10)

選取屬性A使E(A)最小，獲得最大信息增益。

2.2.2 基于機器學習的網(wǎng)絡流量識別方法流程

基于機器學習的網(wǎng)絡流量識別流程如圖1所示。

圖1 基于機器學習的流量識別流程

將獲取的網(wǎng)絡數(shù)據(jù)流中數(shù)據(jù)塊負載隨機性類別作為已標注的數(shù)據(jù)集，并提取這些數(shù)據(jù)流的特征屬性構(gòu)成樣本集合，利用ID3算法，訓練樣本集合，構(gòu)建分類模型并進行預測和估計，完成網(wǎng)絡流量識別。

3 實驗分析

為了測試所提方法的互聯(lián)網(wǎng)絡鏈路流量識別效果，在MATLAB實驗環(huán)境下，采用Wireshark軟件的實驗室真實網(wǎng)絡流量作為實驗對象，設置實驗數(shù)據(jù)基本信息如表1所示。

表1 實驗數(shù)據(jù)集

3.1 識別準確率測試

為分析不同數(shù)據(jù)包個數(shù)下的互聯(lián)網(wǎng)絡鏈路流量識別準確率，設計對比實驗，選取140個數(shù)據(jù)包，分別采用文獻[3]方法、文獻[4]方法和所提方法進行對比，三種方法的流量識別準確率對比結(jié)果如圖2所示。

圖2 流量識別準確率對比

分析圖2可知，當數(shù)據(jù)包個數(shù)達到140個時，文獻[3]方法的平均識別準確率為82%，文獻[4]方法的平均識別準確率為75%，所提方法的平均識別準確率高達95%，由此可知，所提方法具有較高的互聯(lián)網(wǎng)絡鏈路流量識別準確性，可將統(tǒng)計數(shù)據(jù)包個數(shù)的窗口值(公式中的total值)設定成60進行流量識別，可進一步提升互聯(lián)網(wǎng)絡鏈路流量識別的效果。因為所提方法采用卡方檢驗方法檢測數(shù)據(jù)流的隨機性，通過對比不同樣本率，分析分類變量關聯(lián)性，優(yōu)化理論頻數(shù)和實際頻數(shù)的吻合度，從而有效提高流量識別準確率。

3.2 識別效率測試

針對不同數(shù)據(jù)包個數(shù)下，三種方法的互聯(lián)網(wǎng)絡鏈路流量識別時間對比結(jié)果如圖3所示。

圖3 流量識別時間對比

分析圖3可知，隨著數(shù)據(jù)包個數(shù)的增加，三種方法的流量識別時間都呈上升趨勢。當數(shù)據(jù)包個數(shù)為140個時，文獻[3]方法的流量識別時間為3.5s，文獻[4]方法的流量識別時間為3.2s，而所提方法的流量識別時間僅為1.7s，相對于其它兩種方法，所提方法的流量識別時間較短，識別效率較高。因為所提方法獲取基于負載隨機性的網(wǎng)絡數(shù)據(jù)流中數(shù)據(jù)塊負載隨機性類別，提取數(shù)據(jù)流的特征屬性構(gòu)成，采用ID3算法樣本集合，構(gòu)建分類模型，能夠評估未知數(shù)據(jù)流量，從而有效縮短流量識別時間，提高識別效率。

3.3 識別漏報率和誤報率分析

為了進一步驗證所提方法的有效性，分別采用實驗分析三種方法，針對表1所示實驗數(shù)據(jù)集對比三種方法的識別漏報率和誤報率，結(jié)果分別如圖4和圖5所示。

圖4 流量識別漏報率對比

圖5 流量識別誤報率對比

分析圖4和圖5可知，三種方法進行流量識別產(chǎn)生漏報的概率遠大于產(chǎn)生誤報的概率，文獻[4]方法的漏報率最高可達10%左右，而誤報率最高僅有0.25%左右。所提方法與其它兩種方法相比，識別漏報率和識別誤報率較低，且相對穩(wěn)定。對比這些數(shù)據(jù)可以看出，所提方法的互聯(lián)網(wǎng)絡鏈路流量識別的可靠性較強。

4 結(jié)論

為提高網(wǎng)絡服務質(zhì)量和保障網(wǎng)絡空間穩(wěn)定性，提出基于負載隨機性的互聯(lián)網(wǎng)絡鏈路流量識別方法，基于負載隨機性，獲取網(wǎng)絡數(shù)據(jù)流中數(shù)據(jù)塊負載隨機性類別，結(jié)合機器學習和ID3算法，實現(xiàn)互聯(lián)網(wǎng)絡鏈路流量識別。該方法的流量識別誤報率和漏報率較低，能夠有效提升識別的準確性和效率，確保網(wǎng)絡流量穩(wěn)定性。