[发明专利]一种面向因特网不平衡应用流的分类方法

说明书

技术领域

本发明属于因特网流量测量的流量分类技术领域，尤其涉及面向因特网不平衡应用流的分类方法。

背景技术

近年来，因特网接入技术和接入设备的不断发展促进了因特网用户规模的迅速扩张。因特网网络应用的快速增加使因特网流量迅猛增长。自1999年以来，随着P2P(Peer-to-Peer)架构的出现，P2P文件共享、流媒体等应用获得广泛使用。据第32次《中国互联网络发展状况统计报告》，截至2013年6月，网络视频应用的半年增长率为4.5％，达到3.89亿人，使用率为65.8％。因特网流量因重型应用(heavy hitters)的发展而急剧增长，造成网络带宽资源的过度消耗，引起网络拥塞甚至引发丢包，直接影响网络应用的服务质量(Quality of Service，QoS)和用户体验。因特网服务提供商(Internet service providers，ISP)可采取一系列措施对网络流量(例如P2P)实施控管，以提高网络应用的QoS。此外，基础设施的部署和管理成本在大幅度增加，但是ISP的收益并没有成比例增长；ISP希望高效利用有限的带宽资源，实行经济效益和社会效益都较优的网络计费等。对因特网流量的管理、控制、计费和分析等都建立在因特网流量所属应用类别的识别和分类基础之上。

因特网流量分类属于流量测量范畴，是识别网络IP报文所属应用类别(WEB、MAIL或P2P)的过程。目前，已有大量的因特网流量分类方法被提出。端口号映射法直接根据熟知端口号与网络应用的对应关系进行分类，例如80识别WWW，25端口识别SMTP。但是，随着新型网络应用(P2P、被动FTP等)采用动态端口号、端口伪装技术等，此方法逐渐失效。随后，深度报文载荷检测方法被提出，该方法提取每种网络应用独特的载荷特征字段，并通过特征字段匹配操作实现报文分类，例如L7-filter。但是，该方法是对报文载荷部分进行操作，不仅计算开销较大，而且涉及隐私纠纷等问题；随着报文载荷加密技术的广泛应用，该方法的可用性逐渐下降。目前，基于统计特征的机器学习方法成为因特网流量分类的研究热点之一。统计特征可以不依赖于端口号、报文载荷，而且对模糊化(obfuscation)技术更鲁棒。

因特网流量数据具有显著不平衡性，即一种大类的应用流的数目远远大于小类应用流。例如，在Moore等人(A.W.Moore,D.Zuev.Internet traffic classification using bayesian analysis techniques.Proceedings of the ACM SIGMETRICS,2005)共享的流量数据集中，WEB流数目占据大概70％，部分小类应用类别的流数目却占据不到2％。而大多机器学习算法假设各类别样本数服从均匀分布，且以高总体分类准确率为优化目标，导致分类器往往偏向于正确分类对总体分类准确率贡献较大的大类流量而忽略小类流量的分类性能。例如，Moore等人采用朴素贝叶斯算法分类因特网流量，获得96％以上的总体分类准确率，但是某些小类P2P/ATTACK仅获得36.45/13.46的召回率；Li等人(W.Li,M.Canini,A.W.Moore,et al.Efficient application identification and the temporal and spatial stability of classification schema.Computer Networks,2009)分析C4.5决策树分类方法在流量分类中的时空鲁棒性，他们的实验结果取得高达99％的总体分类准确率，但是小类ATTACK和GAMES的召回率却仅有8.57％和40％；最近Zhang等人(张宏莉,鲁刚.分类不平衡协议流的机器学习算法评估与比较.软件学报,2012)比较分析多种分类算法在分类不平衡协议流的分类性能，实验结果表明，采用集成学习Bagging算法，总体分类准确率达到95％以上，但XUNLEI/SMTP等小类应用的召回率却几乎为0％。