2、基于隐马尔可夫模型的网络流量分类技术解析

基于隐马尔可夫模型的网络流量分类技术解析

1. 流量分类概述

流量分类在网络管理和安全领域至关重要。常见的流量分类方法有基于知名端口、基于数据包内容和基于流特征这三种。然而，基于端口的识别方法在当前网络流量中的有效性较低，基于数据包内容的技术也存在一定局限性。因此，基于流特征的流量分类成为研究重点。

本文提出了一种基于流特征和马尔可夫模型的流量建模与识别技术，具有以下主要特点：
1. 基于流的分析 ：通过数据包的源端口和目的端口来定义流或通信。
2. 流级表示 ：将流中的每个数据包视为系统的输入观测值，将其参数化为三维向量 ，其中 psize 是数据包大小，itime 是到达间隔时间，chdir 表示流中的方向变化。
3. 马尔可夫模型建模与分类 ：利用马尔可夫模型对给定流进行建模和分类，该模型代表了相关服务的通信模式。
4. 分类优势 ：一是能够将监控的流量分类为不同类型，如 P2P、HTTP、SMTP、VoIP 等；二是通过估计目标服务的正常行为，检测行为偏差，从而从安全角度判断是否发生非法事件。

2. 相关工作对比

在基于马尔可夫建模的流量分类领域，相关研究较少。以下是一些相关研究及其与本文方法的对比：
|研究|方法|局限性|本文优势|
| ---- | ---- | ---- | ---- |
|[5]|使用马尔可夫模型收集特定流的行为，观测值为控制包|需要大量控制包才能高精度分类，如区分 HTTP 和 HTTPS 流至少需要 5