基于DPI和DFI相結(jié)合的業(yè)務識別系統(tǒng)中的樣本獲取技術設計.pdf

1、隨著千兆網(wǎng)絡時代的到來，傳統(tǒng)的報文捕獲機制已經(jīng)成為整個系統(tǒng)的性能瓶頸。最近幾年，點對點（Peer-to-Pecr，P2P）應用的快速增長，極大地消耗了有限的網(wǎng)絡資源，是導致網(wǎng)絡帶寬不夠用的主要原因，如何對P2P流量進行有效的識別和控制就顯得相當重要了。為了能夠在高速網(wǎng)絡中可以迅速地捕獲數(shù)據(jù)包并對其進行有效分析和準確識別，需要對現(xiàn)有的數(shù)據(jù)包捕獲技術和網(wǎng)絡流量分類識別系統(tǒng)進行重新的設計和定位，而基于機器自學習的深度流檢測（Deep Flow

2、 Inspection，DFI）系統(tǒng)可以有效的識別出采用動態(tài)端口和加密協(xié)議的網(wǎng)絡流。DFI分類識別系統(tǒng)對網(wǎng)絡流的識別準確率主要取決于它的學習和訓練樣本，因此本文主要研究如何在高速網(wǎng)絡中獲得有效的網(wǎng)絡流量特征數(shù)據(jù)集，并對其進行有效的特征選擇，去除冗余和類別標簽不相關的特征，達到降低向量的空間維度和計算復雜度，提高DFI系統(tǒng)的分類準確率。具體研究內(nèi)容和主要工作如下：
　　 研究了基于深度包檢測（Deep Packet Inspect

3、ion，DPI）和DFI的流量識別技術。首先論述了DPI的工作原理、主要實現(xiàn)技術和系統(tǒng)的主要功能。其次研究并闡述了支持向量機（SupportVector Machine，SVM）及機器學習的基本原理和如何用SVM進行分類。最后得到了DFI流量識別的基本方法。
　　 研究了基于Linux的底層數(shù)據(jù)包捕獲系統(tǒng)。首先詳細論述了Linux的內(nèi)核模塊機制和傳統(tǒng)的數(shù)據(jù)包捕獲方法。其次提出了千兆網(wǎng)絡環(huán)境下高速捕獲數(shù)據(jù)包的方法和系統(tǒng)框架，該系統(tǒng)

4、主要涉及三個部分：修改的網(wǎng)卡驅(qū)動程序、構建虛擬用戶捕獲設備（Virtual User KernelModule，VUKM）模塊和協(xié)議分析接口。修改的網(wǎng)卡驅(qū)動主要使到達網(wǎng)卡的數(shù)據(jù)包繞過內(nèi)核的協(xié)議棧，轉(zhuǎn)交給VUKM模塊處理；VUKM模塊作用是實現(xiàn)用戶空間的應用程序和內(nèi)核空間的程序共享內(nèi)存；協(xié)議分析接口提供上層協(xié)議分析子系統(tǒng)與底層數(shù)據(jù)捕獲系統(tǒng)的接口，為上層應用程序和網(wǎng)卡無沖突地訪問VUKM模塊提供一種機制。最后得到通過網(wǎng)卡并由底層數(shù)據(jù)包捕獲系

5、統(tǒng)捕獲的原始數(shù)據(jù)包。
　　 研究了DFI的樣本獲取。首先研究了特征選擇的基本理論。其次給出了對數(shù)據(jù)特征集進行處理的方法，設計了Filter模塊和Wrapper模塊?；赗eliefF算法的Filter模塊可以處理多類分類問題和去除大量不相關的特征，基于SFS算法的Wrapper模塊，可以有效的選擇出DFI分類器需要的樣本。最后得到了DFI訓練和學習需要的最優(yōu)特征集。
　　 文章最后在OfficeTen3800的硬件平臺下