陈亮，龚俭

(1. 东南大学 计算机科学与工程学院，江苏 南京 210096；

2. 江苏省计算机网络技术重点实验室，江苏 南京 210096)

1 引言

实时准确地识别 Internet流量所使用的应用层协议是网络QoS、网络流量和用户行为等监控的前提和基础，在网络性能管理、计费管理、流量工程和入侵检测等研究领域有着重要作用。然而由于包括各种P2P协议在内的越来越多的应用不遵守默认端口约定或使用动态端口通信等原因，早期以IANA中注册的常用端口号区分应用协议流量的方法准确率已低于50%[1,2]，严重影响分析结果的可信性。依据报文负载内容识别应用协议的方法在主干网络带宽增长到10Gbit/s以上后是一个巨大的技术挑战，且该种方法无法处理流量加密的情况。

因此，自 2004年开始基于行为特征识别应用流量的方法逐渐成为国际上研究的热点。这类方法首先归纳出各应用交互过程中在流/主机上表现出的不同行为特征，并以此为依据判别待分类流量所使用的应用协议。由于尚处于起步阶段，目前基于行为识别应用协议的方法不能精确识别单一的应用协议，而只能将流量分至大致的应用类别中。所谓应用类别，是对具有类似功能或行为的应用层协议的抽象概括，如BitTorrent、eDonkey等应用协议都属于P2P应用类别。

基于行为识别应用协议的方法可分为事先无训练集和有训练集2类，分别对应数理统计中的聚类分析和判别分析。使用聚类算法方面，A.McGregor[3]和Jeffrey Erman[4,5]等人分别使用EM和AutoClass等方法考虑流之间的相似性将流量分组，而后利用端口号或负载检查的方法分析其准确性。……