刘珍，王若愚

（1.广东药科大学医药信息工程学院， 广东 广州 510006；2.华南理工大学信息网络工程研究中心， 广东 广州 510006）

基于行为特征学习的互联网流量分类方法

刘珍1，王若愚2

（1.广东药科大学医药信息工程学院， 广东 广州 510006；2.华南理工大学信息网络工程研究中心， 广东 广州 510006）

基于连接图的互联网流量分类方法能反映主机间的通信行为，具有较高的分类稳定性，但是经验式总结的启发式规则有限，难以获得高分类准确率。 研究分析了主机间通信行为模式和 BOF 方法，从具有相同｛目的 IP 地 址，目的 端 口号，传 输 层 协议｝网 络 流量 中 ，提 取 主 机 间 连 接 相 关的 行 为统 计 特 征（HCBF），采 用 C4.5决策树算法学习基于行为特征的分类规则，其无需人工建立启发式规则。 在传统互联网和移动互联网流量数据集上，从基本分类性能和分类稳定性方面，与现有的特征集进行比较分析，实验结果表明，HCBF 特征集合的类间区分能力和稳定性较高。

互联网流量分类；行为特征；机器学习；通信行为；网络测量

1 引言

互联网流量分类是异常检测、网络计费、流量整形、网络 规 划 、QoS 部 署 和 网 络 协 议 研 究 等 的 重 要 基 础［1，2］。随 着动态端口号、端口伪装和载荷加密技术的使用，传统的端口号映射和载荷特征检测方法逐渐失效。至今，学术界提出了多种互联网流量分类方法，特别是基于机器学习和通信 行 为 的 流 量 分 类 方 法 成 为 研 究 热 点［3，4］。

基 于 连 接 图 （connectivity graph）的 流 量 分 类 方 法 通 过分析和描述网络应用的 IP 报文在主机间的传输行为模式 ，进 而 识 别未 知 IP 报 文 的 应 用 类 别 。……