34、基于人类对话模式的VoIP流量检测

基于人类对话模式的VoIP流量检测

1. 网络流量分类方法

网络流量分类有多种方法，常见的有基于流统计和基于特定签名两种。
- 基于流统计 ：一些研究使用监督机器学习技术如朴素贝叶斯分类器对流量按应用类型进行分类，也有采用无监督聚类算法进行流量识别的。不过这些工作主要侧重于离线流量分类，用于流量趋势分析和网络规划，未考虑在线流量识别，而在线流量识别对实时流量管理至关重要。
- 基于特定签名 ：通过对主机间数据包交换的特定签名来识别网络流量。例如，有研究用一阶马尔可夫链对TCP控制包的序列签名进行建模，先推断每个已知应用的马尔可夫模型的转移概率，再据此识别流量。我们的方案与之类似，同样采用马尔可夫建模，但我们的方法基于交互主机之间的对话模式，而非依赖TCP控制包。

2. 数据描述

为评估提出的VoIP检测方案，我们采集了来自五种网络应用的实际互联网流量跟踪数据，包括VoIP、TELNET、HTTP、P2P和在线游戏。具体采集过程如下：
1. VoIP（Skype） ：按照特定程序捕获Skype流量。
2. TELNET ：在网关路由器上捕获端口号为22（SSH）和23（telnet）的所有TCP流，并去除校园内流量。
3. 在线游戏（魔兽世界） ：在网关路由器上捕获端口号为3274的所有TCP流，源地址或目的地址需在网络203.66（魔兽世界服务器位于台湾）内。
4. P2P ：在运行BitCo