基于DPI和DFI相結(jié)合的業(yè)務(wù)識別系統(tǒng)中的樣本獲取技術(shù)設(shè)計.pdf

1、隨著千兆網(wǎng)絡(luò)時代的到來，傳統(tǒng)的報文捕獲機制已經(jīng)成為整個系統(tǒng)的性能瓶頸。最近幾年，點對點（Peer-to-Pecr，P2P）應(yīng)用的快速增長，極大地消耗了有限的網(wǎng)絡(luò)資源，是導(dǎo)致網(wǎng)絡(luò)帶寬不夠用的主要原因，如何對P2P流量進行有效的識別和控制就顯得相當(dāng)重要了。為了能夠在高速網(wǎng)絡(luò)中可以迅速地捕獲數(shù)據(jù)包并對其進行有效分析和準(zhǔn)確識別，需要對現(xiàn)有的數(shù)據(jù)包捕獲技術(shù)和網(wǎng)絡(luò)流量分類識別系統(tǒng)進行重新的設(shè)計和定位，而基于機器自學(xué)習(xí)的深度流檢測（Deep Flow

2、 Inspection，DFI）系統(tǒng)可以有效的識別出采用動態(tài)端口和加密協(xié)議的網(wǎng)絡(luò)流。DFI分類識別系統(tǒng)對網(wǎng)絡(luò)流的識別準(zhǔn)確率主要取決于它的學(xué)習(xí)和訓(xùn)練樣本，因此本文主要研究如何在高速網(wǎng)絡(luò)中獲得有效的網(wǎng)絡(luò)流量特征數(shù)據(jù)集，并對其進行有效的特征選擇，去除冗余和類別標(biāo)簽不相關(guān)的特征，達(dá)到降低向量的空間維度和計算復(fù)雜度，提高DFI系統(tǒng)的分類準(zhǔn)確率。具體研究內(nèi)容和主要工作如下：
　　 研究了基于深度包檢測（Deep Packet Inspect

3、ion，DPI）和DFI的流量識別技術(shù)。首先論述了DPI的工作原理、主要實現(xiàn)技術(shù)和系統(tǒng)的主要功能。其次研究并闡述了支持向量機（SupportVector Machine，SVM）及機器學(xué)習(xí)的基本原理和如何用SVM進行分類。最后得到了DFI流量識別的基本方法。
　　 研究了基于Linux的底層數(shù)據(jù)包捕獲系統(tǒng)。首先詳細(xì)論述了Linux的內(nèi)核模塊機制和傳統(tǒng)的數(shù)據(jù)包捕獲方法。其次提出了千兆網(wǎng)絡(luò)環(huán)境下高速捕獲數(shù)據(jù)包的方法和系統(tǒng)框架，該系統(tǒng)

4、主要涉及三個部分：修改的網(wǎng)卡驅(qū)動程序、構(gòu)建虛擬用戶捕獲設(shè)備（Virtual User KernelModule，VUKM）模塊和協(xié)議分析接口。修改的網(wǎng)卡驅(qū)動主要使到達(dá)網(wǎng)卡的數(shù)據(jù)包繞過內(nèi)核的協(xié)議棧，轉(zhuǎn)交給VUKM模塊處理；VUKM模塊作用是實現(xiàn)用戶空間的應(yīng)用程序和內(nèi)核空間的程序共享內(nèi)存；協(xié)議分析接口提供上層協(xié)議分析子系統(tǒng)與底層數(shù)據(jù)捕獲系統(tǒng)的接口，為上層應(yīng)用程序和網(wǎng)卡無沖突地訪問VUKM模塊提供一種機制。最后得到通過網(wǎng)卡并由底層數(shù)據(jù)包捕獲系

5、統(tǒng)捕獲的原始數(shù)據(jù)包。
　　 研究了DFI的樣本獲取。首先研究了特征選擇的基本理論。其次給出了對數(shù)據(jù)特征集進行處理的方法，設(shè)計了Filter模塊和Wrapper模塊。基于ReliefF算法的Filter模塊可以處理多類分類問題和去除大量不相關(guān)的特征，基于SFS算法的Wrapper模塊，可以有效的選擇出DFI分類器需要的樣本。最后得到了DFI訓(xùn)練和學(xué)習(xí)需要的最優(yōu)特征集。
　　 文章最后在OfficeTen3800的硬件平臺下