[发明专利]P2P网络流量检测方法

说明书

技术领域

本发明涉及一种网络流量检测方法，特别是涉及一种P2P(peer-to-peer)网络流量检测方法。

背景技术

随着P2P网络技术的广泛应用，P2P网络流量在国内主干网上占的比例已经从过去的0.76％激增到70％左右。因此，对P2P流量的识别和控制对于提高网络服务质量和网络的管理与维护具有重要意义。

传统的P2P流量检测主要采用DPI(Deep Packet Inspection)方法，DPI方法具有明显的局限性。DPI方法依据报文应用层中的特征字段来检测，存在两方面的缺陷：一方面，DPI方法只能识别已知协议特征的P2P流量；另一方面，它无法识别加密协议的流量，还牵涉到侵犯用户隐私的问题。随着P2P软件和协议的不断升级，以及加密机制的广泛应用，DPI方法的检测效率将大大降低。近几年，基于连接行为和机器学习的P2P流量识别方法成为国内外的研究热点。

文献1“Karagiannis T，Papagiannaki K，Faloutsos M.BLINC：Multilevel t raffic classification in the dark.New York：Proc of ACM SIGCOMM，2005：229-240”公开了一种基于传输层行为的P2P流量识别方法BLINC(Blind Classification)，该方法基于{IP，Port}对、传输协议类型等P2P协议的连接特征来识别P2P协议。由于BLINC不依赖于知名P2P端口号和应用层特征字段，所以能识别加密网络流和未知P2P协议。因为在不同的网络环境中，网络的连接状况差异较大，BLINC方法的稳定性不好。

文献2“Moore A W，Zuev D.Internet t raffic classification using Bayesian analysis techniques.New York：Proc of the 2005 ACM SIGMETRICS Conf on Measurement and Modeling of Computer Systems，2005，50-60”公开了一种基于大量传输层特征的朴素贝叶斯模型的流量分类方法，该方法提取传输层的248个统计特征，使用实际流量数据对模型进行训练，对常用协议有很好的分类效果。由于朴素贝叶斯方法是基于各项属性条件独立的前提，而且需要对大量网络流进行标注以组成训练集，代价较高，扩展性不好。

文献3“徐鹏，刘琼，林森.基于支持向量机的Internet流量分类研究[J].计算机研究与发展，2009，46(3)：407-414”公开了一种基于SVM的流量分类方法，能有效降低冗余属性的干扰，而且不依赖与贝叶斯方法中的先验概率，有很好的分类准确率和稳定性。但缺点同样在于需要大量标注好的网络流进行训练，而且标注的准确性直接影响最后的分类准确率。有监督学习方法中一般都采用17-fileter来实现训练集的标注，17-fileter根据应用层特征字段匹配来识别协议，随着P2P协议的不断更新和升级已及加密技术的广泛应用，17-fileter的准确性无法保障。如果无法获得一定数量的标注准确的训练集，所有的有监督学习的方法的检测准确率都无法保障。

文献4“J.Erman，A.Mahanti，M.Arlitt.Semi-supervised network traffic classification.ACM International Conference on Measurement and Modeling of Computer Systems Performance Evaluation Review，35(1)，2007，369-370”公开了将半监督学习方法引入到Internet流量分类的分类方法，该方法首先使用K-means算法对标注样本和未标注样本进行聚类，然后根据聚类结果簇中标注样本的标签来标记未标注样本，可以认为是聚类方法的一种扩展，最终都需要进行手工标记。

文献5“Thorsten Joachims.Transductive Inference for Text Classification using Support Vector Machines.San Francisco：International Conference on Machine Learning(ICML)，1999，200-2009”公开了一种将TSVM方法应用于文本分类，为将TSVM方法应用于Internet流量分类提供了理论基础。

发明内容