[發(fā)明專(zhuān)利]一種基于二級(jí)決策樹(shù)的P2P協(xié)議識(shí)別方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201210228876.2
• 申請(qǐng)日: 2012-07-02
• 公開(kāi)（公告）號(hào): CN103532908A
• 公開(kāi)（公告）日: 2014-01-22
• 發(fā)明（設(shè)計(jì)）人: 薛一波;張洛什
• 申請(qǐng)（專(zhuān)利權(quán)）人: 清華大學(xué)
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06;H04L29/08
• 代理公司: 北京路浩知識(shí)產(chǎn)權(quán)代理有限公司 11002
• 代理人: 韓國(guó)勝

1.一種基于二級(jí)決策樹(shù)的P2P協(xié)議識(shí)別方法，其特征在于，該方法包括步驟：

S1.獲得純凈的P2P協(xié)議流量和非P2P協(xié)議流量，并從網(wǎng)絡(luò)流量中提取一級(jí)網(wǎng)絡(luò)流統(tǒng)計(jì)特征集作為一級(jí)訓(xùn)練集；

S2.根據(jù)步驟S1所提取的一級(jí)網(wǎng)絡(luò)流統(tǒng)計(jì)特征集分別訓(xùn)練一、二級(jí)分類(lèi)決策樹(shù)模型集；

S3.從網(wǎng)絡(luò)中提取符合特定觸發(fā)規(guī)則的、網(wǎng)絡(luò)流五元組中包含待檢測(cè)IP地址的網(wǎng)絡(luò)流集合的一級(jí)網(wǎng)絡(luò)流統(tǒng)計(jì)特征作為一級(jí)分類(lèi)特征；

S4.利用步驟S2得到的一、二級(jí)分類(lèi)決策樹(shù)模型集及步驟S3所提取的一級(jí)網(wǎng)絡(luò)流統(tǒng)計(jì)特征識(shí)別背景流量中的P2P協(xié)議。

2.如權(quán)利要求1所述的基于二級(jí)決策樹(shù)的P2P協(xié)議識(shí)別方法，其特征在于，步驟S1進(jìn)一步包括：

S11.獲得純凈的P2P協(xié)議的網(wǎng)絡(luò)流量以及非P2P協(xié)議的網(wǎng)絡(luò)流量作為提取訓(xùn)練集特征的基礎(chǔ)；

S12.以IP為基本單位，提取最多包含i個(gè)trigger的、在網(wǎng)絡(luò)流的五元組中源IP地址或目的IP地址等同于待檢測(cè)IP地址的全部網(wǎng)絡(luò)流，所述五元組即源IP地址、目的IP地址、源端口號(hào)、目的端口號(hào)、協(xié)議號(hào)；

S13.將步驟S12提取的全部網(wǎng)絡(luò)流依照其在P2P協(xié)議通信過(guò)程中的不同作用和目的歸類(lèi)為5種不同類(lèi)型的網(wǎng)絡(luò)流，最終形成5種不同類(lèi)型的網(wǎng)絡(luò)流集合；

S14.提取步驟S13中已分好類(lèi)別的5種不同類(lèi)型的網(wǎng)絡(luò)流集合的各自的一級(jí)4維統(tǒng)計(jì)特征total_ips、total_flows、total_packets、total_bytes。

3.如權(quán)利要求2所述的基于二級(jí)決策樹(shù)的P2P協(xié)議識(shí)別方法，其特征在于，在步驟S12中，trigger定義為正向的連接失敗的TCP流（T1）或反向的UDP流（U1）；并且i>0；

在步驟S13中，5種不同類(lèi)型的網(wǎng)絡(luò)流分別為：

T1：正向的連接失敗的TCP流；

T2：正向的數(shù)據(jù)包≤15的TCP流；

T3：正向的數(shù)據(jù)包>15的TCP流；

U1：反向的UDP流；

U2：正向的UDP流。

4.如權(quán)利要求3所述的基于二級(jí)決策樹(shù)的P2P協(xié)議識(shí)別方法，其特征在于，在步驟S13中，正向網(wǎng)絡(luò)流的定義為此網(wǎng)絡(luò)流五元組的源IP地址等于使用P2P協(xié)議或待檢測(cè)的IP地址，反向網(wǎng)絡(luò)流的定義為此網(wǎng)絡(luò)流五元組的目的IP地址等于使用P2P協(xié)議或待檢測(cè)的IP地址。

5.如權(quán)利要求2所述的基于二級(jí)決策樹(shù)的P2P協(xié)議識(shí)別方法，其特征在于，在步驟S14中，一級(jí)4維統(tǒng)計(jì)特征total_ips、total_flows、total_packets、total_bytes分別為：此種類(lèi)型下的網(wǎng)絡(luò)流集合所連接的不同的目的IP地址個(gè)數(shù)、此種類(lèi)型下的網(wǎng)絡(luò)流集合所產(chǎn)生的網(wǎng)絡(luò)流個(gè)數(shù)、此種類(lèi)型下的網(wǎng)絡(luò)流集合所傳輸?shù)臄?shù)據(jù)包個(gè)數(shù)、此種類(lèi)型下的網(wǎng)絡(luò)流集合所傳輸?shù)淖止?jié)數(shù)。

6.如權(quán)利要求3所述的基于二級(jí)決策樹(shù)的P2P協(xié)議識(shí)別方法，其特征在于，步驟S2進(jìn)一步包括：

S21.利用步驟S13所獲得的5種不同類(lèi)型的網(wǎng)絡(luò)流集合的5個(gè)一級(jí)訓(xùn)練集，采用決策樹(shù)算法，分別訓(xùn)練對(duì)應(yīng)的5種不同類(lèi)型的網(wǎng)絡(luò)流集合的5個(gè)一級(jí)分類(lèi)決策樹(shù)模型，形成一級(jí)分類(lèi)決策樹(shù)模型集；

S22.將5個(gè)一級(jí)訓(xùn)練集分別輸入5個(gè)一級(jí)決策樹(shù)模型，每個(gè)一級(jí)決策樹(shù)模型負(fù)責(zé)處理各自的類(lèi)別訓(xùn)練集中的統(tǒng)計(jì)特征，分別計(jì)算得到5種不同類(lèi)型的網(wǎng)絡(luò)流集合的每一個(gè)統(tǒng)計(jì)特征向量的分類(lèi)結(jié)果（r）和錯(cuò)誤率（e）；

S23.將同一次提取的步驟S22種所得到的5種不同類(lèi)型的網(wǎng)絡(luò)流集合的每一個(gè)統(tǒng)計(jì)特征向量對(duì)應(yīng)的分類(lèi)結(jié)果（r）和錯(cuò)誤率（e）進(jìn)行整合形成二級(jí)的10維統(tǒng)計(jì)特征

<r_T1,e_T1,r_T2,e_T2,r_T3,e_T3,r_U1,e_U1,r_U2,e_U2>，

并進(jìn)一步形成二級(jí)分類(lèi)特征訓(xùn)練集；

S24.利用步驟S23所得到的二級(jí)分類(lèi)特征訓(xùn)練集，采用決策樹(shù)算法訓(xùn)練得到二級(jí)分類(lèi)決策樹(shù)模型。