具有準(zhǔn)確應(yīng)用類型標(biāo)簽的網(wǎng)絡(luò)流量數(shù)據(jù)集的研究.pdf

1、隨著網(wǎng)絡(luò)技術(shù)的不斷進(jìn)步、網(wǎng)絡(luò)應(yīng)用的不斷增多，網(wǎng)絡(luò)流量迅速爆發(fā)，對(duì)于服務(wù)質(zhì)量、帶寬計(jì)費(fèi)以及入侵檢測(cè)等網(wǎng)絡(luò)管理而言，準(zhǔn)確的流量分類變得更加重要。然而，在當(dāng)前的網(wǎng)絡(luò)環(huán)境下，由于動(dòng)態(tài)端口號(hào)和加密技術(shù)的應(yīng)用，使得傳統(tǒng)分類方法的有效性越來越低。因此，基于網(wǎng)絡(luò)流量行為模式的機(jī)器學(xué)習(xí)，得到許多團(tuán)體的關(guān)注和研究。基于機(jī)器學(xué)習(xí)的流量識(shí)別技術(shù)使用的大多數(shù)流量樣本，都是在網(wǎng)絡(luò)主干節(jié)點(diǎn)上采集的。該流量樣本經(jīng)過多層偽裝、加密等操作，很難再使用動(dòng)態(tài)端口號(hào)、有效載荷、

2、聚類算法等方案，來獲得產(chǎn)生其的準(zhǔn)確應(yīng)用類型信息。因此，如何獲得具有準(zhǔn)確應(yīng)用類型標(biāo)簽的網(wǎng)絡(luò)流量數(shù)據(jù)集，成為目前流量分類研究所面臨的一個(gè)難題。
　　 為了解決獲得具有準(zhǔn)確應(yīng)用類型標(biāo)簽的網(wǎng)絡(luò)流量數(shù)據(jù)集的問題，本文提出了具有準(zhǔn)確應(yīng)用類型標(biāo)識(shí)的網(wǎng)絡(luò)流量數(shù)據(jù)集的制作方案，并將該方案在真實(shí)的網(wǎng)絡(luò)環(huán)境中進(jìn)行部署實(shí)施，從而獲得真實(shí)的具有應(yīng)用類型標(biāo)識(shí)的網(wǎng)絡(luò)流量數(shù)據(jù)。
　　 首先，開發(fā)基于套接字鉤子的鉤掛程序(Socket Hook)和基于p

3、assthru框架的網(wǎng)絡(luò)中間層擴(kuò)展驅(qū)動(dòng)程序，并將其安裝在使用Windows操作系統(tǒng)的主機(jī)上。則主機(jī)上運(yùn)行調(diào)用socket請(qǐng)求的網(wǎng)絡(luò)應(yīng)用時(shí)，在用戶層，Socket Hook會(huì)將其截獲并獲得其五元組（源IP地址、源端口號(hào)、目的IP地址、目的端口號(hào)和協(xié)議）信息及應(yīng)用進(jìn)程名稱，然后根據(jù)已創(chuàng)建的進(jìn)程名稱和進(jìn)程標(biāo)識(shí)的對(duì)應(yīng)關(guān)系，建立網(wǎng)絡(luò)應(yīng)用的五元組和進(jìn)程標(biāo)識(shí)之間的對(duì)應(yīng)關(guān)系。在內(nèi)核層，基于passthru框架的驅(qū)動(dòng)會(huì)截獲socket調(diào)用的網(wǎng)絡(luò)應(yīng)用，并獲

4、得其五元組和進(jìn)程標(biāo)識(shí)的對(duì)應(yīng)關(guān)系，然后在數(shù)據(jù)包頭部的服務(wù)類型(TOS)位置上標(biāo)記進(jìn)程標(biāo)識(shí)，在重新計(jì)算校驗(yàn)和后傳輸已被標(biāo)識(shí)的網(wǎng)絡(luò)應(yīng)用。
　　 其次，在網(wǎng)絡(luò)的中心出口處，通過路由鏡像，使用基于現(xiàn)場(chǎng)可編程門列(FPGA)的板卡采集器對(duì)路由鏡像的網(wǎng)絡(luò)流量進(jìn)行采集、過濾，并根據(jù)數(shù)據(jù)包頭部TOS位值是否為零，將網(wǎng)絡(luò)流量數(shù)據(jù)發(fā)送到數(shù)據(jù)服務(wù)器的不同位置上進(jìn)行存儲(chǔ)及處理。
　　 最后，對(duì)采集的網(wǎng)絡(luò)流量數(shù)據(jù)依據(jù)五元組和TOS位的標(biāo)志信息匯聚成