焦利彬，王 猛，霍永华

(1.中国电子科技集团公司第五十四研究所,河北 石家庄 050081；2.火箭军装备部驻廊坊地区军代室，河北 廊坊065000)

0 引言

流量分类是网络流量异常负载检测和入侵检测等工作中至关重要的一步，是网络管理(尤其是网络安全领域)的关键研究方向之一。将网络流量与特定应用程序关联的过程被称为流量分类(Traffic Classification，TC)。流量分类是实现流量管理的基本功能之一，支撑了流量处理(如流量策略、流量整形等)到安全管理(如流量过滤、异常检测等)的全流程。

由于现代互联网流量的多样性和复杂性，网络流量的构成更加趋向于异质化，同时对用户流量数据进行深入剖析以得到有价值信息的需求激增，流量分类的难度与必要性持续增加。同时，随着加密技术的广泛采用，也使现有流量分类方法面临着巨大的挑战，例如，对于基于更强大的加密协议(尤其是QUIC和TLS 1.3等加密协议)的流量分类问题尚待深入研究。

流量分类已经广泛应用到各个领域，在流量分类领域主要有以下方法[1-2]：基于端口匹配、基于深度包检测(Deep Packet Inspection,DPI) 、基于行为特征以及基于机器学习(Machine learning,ML)等分类方法。但是，随着网络应用数目逐渐增多,随机端口和伪装端口的出现使得传统基于端口的流量分类方法已经无法对流量特征进行准确识别。同时由于加密协议的广泛使用(例如TLS等)，也使DPI不再适用。基于传统机器学习的流量分类方法解决了端口匹配和深度包检测无法解决的问题，例如针对加密流量的分类和极高的计算成本，但标准ML分类器需要领域专家进行特征标注，无法适应动态和具有挑战性的网络环境。……