CN102739457A - 一种基于dpi和svm技术的网络流量识别***及方法 - Google Patents

一种基于dpi和svm技术的网络流量识别***及方法 Download PDF

Info

Publication number
CN102739457A
CN102739457A CN2012102551620A CN201210255162A CN102739457A CN 102739457 A CN102739457 A CN 102739457A CN 2012102551620 A CN2012102551620 A CN 2012102551620A CN 201210255162 A CN201210255162 A CN 201210255162A CN 102739457 A CN102739457 A CN 102739457A
Authority
CN
China
Prior art keywords
module
dpi
data flow
characteristic
network
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2012102551620A
Other languages
English (en)
Other versions
CN102739457B (zh
Inventor
陈晶
杜瑞颖
裴凯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Wuhan University WHU
Original Assignee
Wuhan University WHU
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Wuhan University WHU filed Critical Wuhan University WHU
Priority to CN201210255162.0A priority Critical patent/CN102739457B/zh
Publication of CN102739457A publication Critical patent/CN102739457A/zh
Application granted granted Critical
Publication of CN102739457B publication Critical patent/CN102739457B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供一种基于DPI和SVM技术的网络流量识别***及方法，其将DPI识别技术和SVM识别技术结合在一起，首先在网络上捕获数据包，提取常见特征后，将数据流通过DPI识别，然后在DPI识别过程中加入提取特征模块，最后将该特征和之前提取的常见特征整合一起作为SVM的特征输入对数据流进行分类。本发明特别适用于用于中小型局域网，将网络中流经的数据精细的呈现出来，方便网络管理员了解网络数据流的组成，提高网络管理的质量和效率。

Description

一种基于DPI和SVM技术的网络流量识别***及方法
技术领域
本发明属于网络管理领域，特别涉及一种基于DPI和SVM技术的网络流量识别***及方法。
背景技术
网络流量识别技术是指通过获取基于IP协议承载的未知网络数据流量，采用特定的识别方法，分析出该网络流量中包含的成分，将网络上传输的数据流与具体的网络协议或者网络应用类型对应起来的技术；网络流量识别技术目前主要有基于网络端口的识别方法、基于数据包分析的识别方法以及基于数据流分析的识别方法三大类。
(1)基于端口的网络流量识别方法：基于端口的识别方法是将网络端口和相应的网络应用相对应，得到端口进而判别是哪一种应用协议。例如web应用的80端口，DNS(53)，FTP(20,21)，e-mail(25,110)等；基于端口识别的方法最大的优势在于识别的速度快，并且识别***实现起来简单，端口的知识库组建和扩展都很容易；但是基于网络端口识别方法的局限性也越来越明显，因为随着网络应用不使用默认的端口实现，越来越多的使用动态分配的端口；而且许多应用或者恶意行为为了绕过防火墙，隐藏原本的端口；所以该方法准确率越来越低。
(2)基于数据包分析的识别方法：基于数据包分析识别方法准确率最高，并且速度快；使用最多的为深度包监测技术(DPI)，是通过检查数据包有效载荷，通过匹配已知特征库确定是哪一个应用层的协议而得到结果；但是这种方法要求更多的资源(包括处理的时间和存储的空间)，尤其是对加密的数据流无能为力，而且检测数据包应用层内容牵涉到隐私问题。
(3)基于数据流分析的识别方法：因为DPI等基于数据包有效载荷进行流量识别对于加密的数据流无能为力以及查看数据包内容在法律上牵涉到隐私的问题，基于数据流分析的识别方法在此环境之下被提出；基于数据流分析的识别方法是从宏观的角度，对数据流进行数据统计，包括单位时间数据流数目、数据流的位速率、流大小以及流的生存周期(数据流的开始和结束时间之差)；基于数据流的识别方法，最常见的是将统计的特征用于机器学习进行识别；但是这种方法的准确度没有DPI技术高，对于流的统计有时候需要等待一条数据流结束，而且当发生丢包情况时，对识别的结果有一定的影响。
发明内容
本发明要解决的技术问题在于，针对基于端口识别技术的准确率低，基于DPI的技术对数据加密的业务识别困难，基于机器学习的识别技术存在丢包的缺陷，提出了将DPI和SVM相结合的网络流量识别***及方法。
本发明解决其技术问题所采用的技术方案是：首先在网络上捕获数据包，提取常见特征后，将数据流通过DPI识别，然后在DPI识别过程中再进行提取特征，最后将该特征和之前提取的常见特征整合一起作为SVM的特征输入对数据流进行分类。
本发明采用的技术方案如下：
一种基于DPI和SVM技术的网络流量识别***，包括捕获模块、分析模块、DPI识别模块、SVM分类模块、训练模块、特征库、数据库；分析模块分别与捕获模块、DPI识别模块、SVM分类模块、训练模块相连；DPI识别模块、训练模块分别与SVM分类模块相连；特征库与DPI识别模块相连；数据库分别与DPI识别模块和SVM分类模块相连。
基于上述***的网络流量识别方法，包括以下步骤，
步骤1、捕获模块从网络上获取数据包，并将数据包传送给分析模块；
  步骤2、分析模块对数据包进行会话重组和特征提取，并将得到的数据流发送至训练模块和DPI识别模块，将提取出的特征传送至SVM分类模块；
  步骤3、训练模块对获得的数据流进行训练，并将得到的特征发送给SVM分类模块；
    步骤4、DPI识别模块将接收到的数据流通过特征匹配进行识别，并且在特征匹配的过程中再次对数据流进行特征提取，将提取的特征发送给SVM分类模块，同时标识该数据流是否需要重新识别，如果是，则进入步骤5，否则将数据流发送至数据库，转步骤6；
    步骤5、DPI识别模块将需要重新识别的数据流发送给SVM分类模块，SVM分类模块根据其得到的特征对数据流进行分类，并将数据流发送至数据库，转步骤6；
步骤6、数据库将得到的数据流进行结果统计。
 
首先捕获模块是通过网卡实时捕获网络流量的数据包，将满足条件的数据包作为分析模块的输入；分析模块主要包括会话重组和特征提取两个子模块，分析模块通过数据包安装数据流的定义完成数据流的重组以及该数据流常见特征的提取，然后将数据流和该数据流所包含的常见特征的集合输出之DPI识别模块；DPI识别模块中包括特征提取模块，其对接收到的数据流再次进行特征提取；最后将两次提取的特征整合在一起作为SVM分类模块的特征输入，对数据流进行分类，并将识别和分类结果传输至数据库进行结构统计。其中，训练模块的作用是对数据流集进行训练进而得到分类模型，并将分类模型发送给SVM分类模块供其分类使用；特征库是为DPI识别模块提供所需使用的特征，进而实现特征匹配，达到识别的目的；数据库的作用是集合识别和分类的结果，进而统计结果。
与现有技术相比，本发明将DPI和SVM两种技术结合在一起，在DPI识别模块中加入了提取特征模块，并将该特征和之前提取的常见特征整合在一起作为SVM分类模块的特征输入，这种方法提高了***的整体性能，从而提高网络流量识别***的准确度；本发明特别适用于中小型局域网，其能够将网络中流经的数据精细的呈现出来，方便网络管理员了解网络数据流的组成，提高网络管理的质量和效率。
附图说明
图1为实现本发明的***结构框图；
图2为本发明的流程图。
具体实施方式
下面结合附图所示的实施例对本发明作进一步说明。
如附图所示，本发明提供一种基于DPI和SVM技术的网络流量识别***，包括捕获模块、分析模块、DPI识别模块、SVM分类模块、训练模块、特征库、数据库；分析模块分别与捕获模块、DPI识别模块、SVM分类模块、训练模块相连；DPI识别模块、训练模块分别与SVM分类模块相连；特征库与DPI识别模块相连；数据库分别与DPI识别模块和SVM分类模块相连。
基于上述***的网络流量识别方法，包括以下步骤，
步骤1、捕获模块从网络上获取数据包，并将数据包传送给分析模块；
  步骤2、分析模块对数据包进行会话重组和特征提取，并将得到的数据流发送至训练模块和DPI识别模块，将提取出的特征传送至SVM分类模块；
  步骤3、训练模块对获得的数据流进行训练，并将得到的特征发送给SVM分类模块；
    步骤4、DPI识别模块将接收到的数据流通过特征匹配进行识别，并且在特征匹配的过程中再次对数据流进行特征提取，将提取的特征发送给SVM分类模块，同时标识该数据流是否需要重新识别，如果是，则进入步骤5，否则将数据流发送至数据库，转步骤6；
    步骤5、DPI识别模块将需要重新识别的数据流发送给SVM分类模块，SVM分类模块根据其得到的特征对数据流进行分类，并将数据流发送至数据库，转步骤6；
步骤6、数据库将得到的数据流进行结果统计。
捕获模块采用旁路监听的方式，通过交换机的镜像端口将通过交换机的所有数据包复制一份交给镜像端口，镜像端口连接的监控机就可以通过分析镜像端口传输过来的数据包了解该节点的网络情况，从而做出决策，可以根据IP地址、端口号、协议等设置条件，例如当只需要研究TCP连接的时候，可以设置协议为TCP，从而丢掉所有的UDP数据包；本实施例中采用Libpcap和PF_RING结合，可以提高抓包的效率，满足在千兆带宽上不出现丢包情况，所以需要部署本发明的主机安装Libpcap和PF_RING组件。
分析模块是对接收到的数据包进行进一步的分析处理，分析模块包括会话重
组和特征提取两个模块通过TCP/IP网络体系结构的四层由下至上进行解包，得到数据流的五元组(源地址、源端口、目的地址、目的端口、协议)。
会话重组模块主要是进行协议分析，从网络层得到IP地址和上层协议、从传输层得到端口号组成一个五元组，从而得到一个数据流的基本信息，在网络数据处理的时候，从一次会话的第一个数据就可以得到这个信息，而且五元组也是作为该数据流的关键字，后续达到的数据包根据这个关键字，采用数据包分类算法对该到达的数据进行分类，得到该数据包属于的数据流，常见的成熟应用的数据包分类算法有线性查找、分层树查找、网格树查找等算法。数据包重组过程中，一个关键的问题是一条数据流的结束判断，即如何判断某条数据流已经结束了，本发明采用以下三中方法进行判断数据流的结束：
(a)结束标志FIN
在TCP连接过程中，一次会话以SYN标志开始，以FIN标志结束，所以当检测到FIN标志的时候认为该会话结束。
(b)截断处理
当同一个数据流关键字(即源IP地址+源端口+目的IP地址+目的端口+传输层协议)相同时，某一个数据包在分类的时候该如何选择具体一个数据流是一个很难明确的问题。而且FIN数据包有时候会比其他数据晚到很长时间，有可能长达1分钟，这个时候某个关键字下面的多个数据流都处于等待状态，如果一个新的数据流也是此关键字，此时若只是简单的将到达的数据分类给最后一个数据流的话并不是完全正确的。例如常见的HTTP协议1.1支持长连接(keep alive)，能够支持在一次连接中提交多次请求，如果两个请求到达，按照如上简单处理的话，所有的数据包将被分到第二个数据流，第一个数据流的有效有效载荷是0。
本实施例中采用截断处理的方法：当一次连接中有多个数据流时，以响应报文的第一个数据包作为节点，如果后续数据流的第一个响应报文到达并且根据序列号和确认号找到该报文属于的数据流，后续报文都属于该数据流，直到一个新的响应报文节点到达。在HTTP协议中，一个响应报文是有很多标志的，例如响应报文的有效有效载荷中的第一行是HTTP/1.1 200 OK。
(c)超时处理
超时处理是最常见的一种处理方式，像UDP协议是无连接，尽最大努力传输的不可靠协议，没有所谓的FIN标志，通过以上方法很难判断。还有一种常见的情况是，一次连接建立之后，或者一次会话进行一半的时候，由于网络故障或者服务器宕机导致余下的数据没有到达，在HTTP协议中的第一个响应报文没有到达，如果不作处理的话，这个数据流永远都是等待状态，得不到处理。所以本发明也采用超时处理的半分，时间定为一分钟，如果最后一个报文到达并且在接下来的一分钟之内都没有接收到任何相关联的数据包，则认为这次会话已经完成，数据流判断为已经结束。
特征提取是在会话重组模块完成了重组之后进行的，因为如果会话重组没有完成的话，部分特征的提取就不能有效完成。表1列出了本发明的特征提取模块提取的部分特征，本实施例采用的这些特征是通过工具weka计算由DPI技术过程中得到的特征和其他常见特征的相关性，实施例最终采用的特征集合如表1所示，也作为SVM分类模块的输入。其中，最后一个特征alpahnum（有限长度字母出现个数）是在DPI识别过程中提取出的属性，其他为常见特征。
为了使DPI识别模块能够提取更多有益信息，本发明对传统的DPI识别技术作了进一步的完善和改进。主要有如下两个方面：
(a)字符统计功能
DPI识别就是针对数据包内容进行一次扫描，即对字符串的扫描。通过对字符串的扫描最简单、最易实现的就是对字符的统计。为了实现起来不影响匹配效率，本发明采用空间换时间的策略，统计固定长度(例如，前100个字节)数据包内容中出现的不同字母个数，区分大小写，通过建立大小为52的字符数组对每一个字母进行统计，没出现数值为0。最后能够得到出现的不同字母，以及出现最多的字母和个数等。
(b)单词统计功能
本实施例考虑到在模式匹配过程中，使用正则表达式表示特征以及使用确定的有限状态机(DFA)作为匹配引擎，DFA中执行过程中如果没有执行到终点则匹配失败，但是可能存在其他有意义的特征字。所以统计这些特征字，也就是确定的单词需要新的功能函数。通过引用匹配算法AC算法中使用的三个函数：goto函数、fail函数和output达到这一目的，即通过加入需要统计的单词并且按照AC函数添加标记达到统计结果。
特征库是DPI识别过程中需要的特征库， DPI识别过程中需要首先将所有的特征库下载到识别***中，然后将这些特征组织起来使得特征匹配的效率提高。本实施例采用的特征使用正则表达式(regular expression)进行表示，每一条应用使用一条特征进行表示。
运用本发明对某一局域网进行检测，表1、表2、表3分别为在本实施例中得到的部分特征、数据和结果。
表1  特征列表
特征(缩写) 描述
src_port 源端口
dst_port 目的端口
protocol 传输层协议
up_pkts 上传包个数
dw_pkts 下载包个数
up_pl_pkts 上次有效载荷的包个数
dw_pl_pkts 下载有效载荷的包个数
meanpktl 平均包长度
duration 流生存周期
alpahnum 有限长度字母出现个数
表2   数据
测试用例 持续时间 协议 数据包个数 字节数(MB) 流个数
正常网页访问 120分钟 DNS，HTTP 58859 21.7 1776
收发Email 30分钟 SMTP，POP3，NETBIOS 15029 13.6 22
连接FTP服务器下载、上传文件 10分钟 FTP 21305 17.6 25
QQ登录、聊天、语音聊天 30分钟 QQ，NBNS，HTTP，DNS 76055 43.2 1078
迅雷 15分钟 P2P，HTTP，DNS 77376 62.1 1239
PPlive 30分钟 P2P，HTTP 239704 175.5 1417
Edonkey 30分钟 P2P，HTTP，DNS 113358 29.4 2955
HTTPS网页浏览 10分钟 HTTPS，SSL，HTTP，DNS 42945 24.4 1765
表3 结果
测试用例 总数 准确识别数 未识别数
HTTP 1776 1474 302
Edonkey 2955 742 2213
Email 22 11 11
Pplive 1417 458 959
QQ 1078 197 881
迅雷 1239 885 354
HTTPS 1765 1432 333
FTP 25 22 3

Claims (2)

1.一种基于DPI和SVM技术的网络流量识别***，其特征在于：包括捕获模块、分析模块、DPI识别模块、SVM分类模块、训练模块、特征库、数据库；分析模块分别与捕获模块、DPI识别模块、SVM分类模块、训练模块相连；DPI识别模块、训练模块分别与SVM分类模块相连；特征库与DPI识别模块相连；数据库分别与DPI识别模块和SVM分类模块相连。
2.基于上述***的网络流量识别方法，其特征在于：包括以下步骤，
步骤1、捕获模块从网络上获取数据包，并将数据包传送给分析模块；
  步骤2、分析模块对数据包进行会话重组和特征提取，并将得到的数据流发送至训练模块和DPI识别模块，将提取出的特征传送至SVM分类模块；
  步骤3、训练模块对获得的数据流进行训练，并将得到的特征发送给SVM分类模块；
    步骤4、DPI识别模块将接收到的数据流通过特征匹配进行识别，并且在特征匹配的过程中再次对数据流进行特征提取，将提取的特征发送给SVM分类模块，同时标识该数据流是否需要重新识别，如果是，则进入步骤5，否则将数据流发送至数据库，转步骤6；
    步骤5、DPI识别模块将需要重新识别的数据流发送给SVM分类模块，SVM分类模块根据其得到的特征对数据流进行分类，并将数据流发送至数据库，转步骤6；
步骤6、数据库将得到的数据流进行结果统计。
CN201210255162.0A 2012-07-23 2012-07-23 一种基于dpi和svm技术的网络流量识别方法 Expired - Fee Related CN102739457B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201210255162.0A CN102739457B (zh) 2012-07-23 2012-07-23 一种基于dpi和svm技术的网络流量识别方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201210255162.0A CN102739457B (zh) 2012-07-23 2012-07-23 一种基于dpi和svm技术的网络流量识别方法

Publications (2)

Publication Number Publication Date
CN102739457A true CN102739457A (zh) 2012-10-17
CN102739457B CN102739457B (zh) 2014-12-17

Family

ID=46994287

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201210255162.0A Expired - Fee Related CN102739457B (zh) 2012-07-23 2012-07-23 一种基于dpi和svm技术的网络流量识别方法

Country Status (1)

Country Link
CN (1) CN102739457B (zh)

Cited By (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104796282A (zh) * 2015-03-12 2015-07-22 南京邮电大学 一种面向深度包检测产品的评估***及评估方法
CN105007194A (zh) * 2015-05-25 2015-10-28 上海南邮实业有限公司 一种自动识别网络协议的方法
CN105024862A (zh) * 2015-08-05 2015-11-04 福建师范大学 一种基于自主学习的网络业务识别方法
CN105162663A (zh) * 2015-09-25 2015-12-16 中国人民解放军信息工程大学 一种基于流集的在线流量识别方法
CN105430021A (zh) * 2015-12-31 2016-03-23 中国人民解放军国防科学技术大学 基于载荷相邻概率模型的加密流量识别方法
CN105554152A (zh) * 2015-12-30 2016-05-04 北京神州绿盟信息安全科技股份有限公司 一种数据特征提取的方法及装置
CN105721254A (zh) * 2016-03-30 2016-06-29 华南理工大学 一种区分goose、smv和mms报文的方法
CN106209506A (zh) * 2016-06-30 2016-12-07 瑞斯康达科技发展股份有限公司 一种虚拟化深度包检测流量分析方法及***
CN109040141A (zh) * 2018-10-17 2018-12-18 腾讯科技（深圳）有限公司 异常流量的检测方法、装置、计算机设备和存储介质
CN110020037A (zh) * 2017-07-27 2019-07-16 中国电信股份有限公司 应用特征库生成方法和装置
CN110336798A (zh) * 2019-06-19 2019-10-15 南京中新赛克科技有限责任公司 一种基于dpi的报文匹配过滤方法及其装置
CN111211948A (zh) * 2020-01-15 2020-05-29 太原理工大学 基于载荷特征和统计特征的Shodan流量识别方法
US10721143B2 (en) 2017-02-15 2020-07-21 Siemens Aktiengesellschaft Testing method, device and system
CN112637292A (zh) * 2020-12-14 2021-04-09 中国联合网络通信集团有限公司 数据处理方法、装置、电子设备及存储介质
CN113992542A (zh) * 2021-10-19 2022-01-28 中国科学院计算机网络信息中心 一种基于新增流数目特征的在线网络流量预测方法及***

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1997007A (zh) * 2006-09-30 2007-07-11 华为技术有限公司 一种实现业务感知的***、方法及设备
US20100138920A1 (en) * 2008-12-03 2010-06-03 Electronics And Telecommunications Research Institute Method and system for detecting and responding to harmful traffic
CN101841440A (zh) * 2010-04-30 2010-09-22 南京邮电大学 基于支持向量机与深层包检测的对等网络流量识别方法
CN102315974A (zh) * 2011-10-17 2012-01-11 北京邮电大学 基于层次化特征分析的tcp、udp流量在线识别方法和装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1997007A (zh) * 2006-09-30 2007-07-11 华为技术有限公司 一种实现业务感知的***、方法及设备
US20100138920A1 (en) * 2008-12-03 2010-06-03 Electronics And Telecommunications Research Institute Method and system for detecting and responding to harmful traffic
CN101841440A (zh) * 2010-04-30 2010-09-22 南京邮电大学 基于支持向量机与深层包检测的对等网络流量识别方法
CN102315974A (zh) * 2011-10-17 2012-01-11 北京邮电大学 基于层次化特征分析的tcp、udp流量在线识别方法和装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
胡庆安: "基于双重特征的协议识别方法研究", 《万方学位论文》 *

Cited By (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104796282A (zh) * 2015-03-12 2015-07-22 南京邮电大学 一种面向深度包检测产品的评估***及评估方法
CN105007194A (zh) * 2015-05-25 2015-10-28 上海南邮实业有限公司 一种自动识别网络协议的方法
CN105024862A (zh) * 2015-08-05 2015-11-04 福建师范大学 一种基于自主学习的网络业务识别方法
CN105024862B (zh) * 2015-08-05 2018-04-13 福建师范大学 一种基于自主学习的网络业务识别方法
CN105162663B (zh) * 2015-09-25 2019-02-19 中国人民解放军信息工程大学 一种基于流集的在线流量识别方法
CN105162663A (zh) * 2015-09-25 2015-12-16 中国人民解放军信息工程大学 一种基于流集的在线流量识别方法
CN105554152A (zh) * 2015-12-30 2016-05-04 北京神州绿盟信息安全科技股份有限公司 一种数据特征提取的方法及装置
CN105430021A (zh) * 2015-12-31 2016-03-23 中国人民解放军国防科学技术大学 基于载荷相邻概率模型的加密流量识别方法
CN105430021B (zh) * 2015-12-31 2018-06-12 中国人民解放军国防科学技术大学 基于载荷相邻概率模型的加密流量识别方法
CN105721254A (zh) * 2016-03-30 2016-06-29 华南理工大学 一种区分goose、smv和mms报文的方法
CN106209506A (zh) * 2016-06-30 2016-12-07 瑞斯康达科技发展股份有限公司 一种虚拟化深度包检测流量分析方法及***
US10721143B2 (en) 2017-02-15 2020-07-21 Siemens Aktiengesellschaft Testing method, device and system
CN110020037A (zh) * 2017-07-27 2019-07-16 中国电信股份有限公司 应用特征库生成方法和装置
CN109040141A (zh) * 2018-10-17 2018-12-18 腾讯科技（深圳）有限公司 异常流量的检测方法、装置、计算机设备和存储介质
CN110336798A (zh) * 2019-06-19 2019-10-15 南京中新赛克科技有限责任公司 一种基于dpi的报文匹配过滤方法及其装置
CN110336798B (zh) * 2019-06-19 2022-05-13 南京中新赛克科技有限责任公司 一种基于dpi的报文匹配过滤方法及其装置
CN111211948A (zh) * 2020-01-15 2020-05-29 太原理工大学 基于载荷特征和统计特征的Shodan流量识别方法
CN111211948B (zh) * 2020-01-15 2022-05-27 太原理工大学 基于载荷特征和统计特征的Shodan流量识别方法
CN112637292A (zh) * 2020-12-14 2021-04-09 中国联合网络通信集团有限公司 数据处理方法、装置、电子设备及存储介质
CN112637292B (zh) * 2020-12-14 2022-11-22 中国联合网络通信集团有限公司 数据处理方法、装置、电子设备及存储介质
CN113992542A (zh) * 2021-10-19 2022-01-28 中国科学院计算机网络信息中心 一种基于新增流数目特征的在线网络流量预测方法及***

Also Published As

Publication number Publication date
CN102739457B (zh) 2014-12-17

Similar Documents

Publication Publication Date Title
CN102739457B (zh) 一种基于dpi和svm技术的网络流量识别方法
CN106815112B (zh) 一种基于深度包检测的海量数据监控***及方法
Yamansavascilar et al. Application identification via network traffic classification
CN102271090B (zh) 基于传输层特征的流量分类方法及装置
CN102045363B (zh) 网络流量特征识别规则的建立方法、识别控制方法及装置
CN102724317B (zh) 一种网络数据流量分类方法和装置
CN102035698B (zh) 基于决策树分类算法的http隧道检测方法
CN107733851A (zh) 基于通信行为分析的dns隧道木马检测方法
CN101714952B (zh) 一种接入网的流量识别方法和装置
CN113206860B (zh) 一种基于机器学习和特征选择的DRDoS攻击检测方法
CN102315974A (zh) 基于层次化特征分析的tcp、udp流量在线识别方法和装置
CN106789242B (zh) 一种基于手机客户端软件动态特征库的识别应用智能分析方法
CN104320304A (zh) 一种易扩展的多方式融合的核心网用户流量应用识别方法
CN103428224A (zh) 一种智能防御DDoS攻击的方法和装置
CN109151880A (zh) 基于多层分类器的移动应用流量识别方法
CN110417729A (zh) 一种加密流量的服务与应用分类方法及***
CN111222019B (zh) 特征提取的方法和装置
Wang et al. Characterizing application behaviors for classifying p2p traffic
US11650994B2 (en) Monitoring network traffic to determine similar content
CN109768936B (zh) 一种精细化分流***及分流方法
CN106789728A (zh) 一种基于NetFPGA的VoIP流量实时识别方法
CN105991353A (zh) 故障定位的方法和装置
Lukashin et al. Distributed packet trace processing method for information security analysis
US11677668B1 (en) Transparent application-layer/os deeper packet inspector
Hong et al. A sensitive information detection method based on network traffic restore

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20141217

Termination date: 20150723

EXPY Termination of patent right or utility model