型 随机 变 量 能 降 低 模 型 建 立 时 间 ，提 高 识 别 未 知 流 的实 时性 和 准 确 性 ；Ｈ Ｍ—Ｉ 能 同 时 识 别 多 种 Ｐ Ｐ协 议 产 生 Ｍ ＦＡ ２ 的分 组流 ， 并 能 较 好 地 适 应 网络 环 境 变 化 。 关键 词 ： 对 等 方 到 对 等 方 ；有 限状 态 机 ；流 识 别 ； 隐 马 尔科 夫模 型
第 ３ 第 ６期 ３卷 ２１ ０ ２年 ６月
通
信
学
报
、 ｌ３ Ｎｏ ６ ｂ －３ ．源自 Ｊ ｎ ０１ ｕ ｅ２ ２Ｊ ｕ ａ ｎＣ ｏ ｍ ｕ ｉａｉ ｎ ｏｍ ｌ ｍ ｏ ｎｃ ｔ ｓ ｏ
基 于 隐 马 尔科 夫 模 型 的 Ｐ Ｐ流 识 别技 术 ２
许博 ，陈呜，魏祥麟
中图分类号：Ｔ ３ ３ Ｐ９
文献标识码 ：Ａ
文章编号 ：１０ —３ Ｘ ２ １）６０ ５ —９ ００４ ６ （０ ２０ —０ ５０
Ｈ ｉ ｅ ａ ｋ ｖ ｍ ｏ ｅ ａ ｅ Ｐ ｆ ｗ ｅ ｔｆｃ ｔｏ ｅ ｈ ｉ ｕ ｄｄ ｎ Ｍ ｒ ｏ ｄ ｌ ｓ ｄ Ｐ２ ｏ ｉ ｎ ｉ ａ ｉ ｎ ｔ ｃ ｎ ｑ ｅ ｂ ｌ ｄ ｉ
基 金项 目： 国家 高 技 术研 究 发 展 计 划（“ ６ ” 计划 ） 金 资 助项 目（０ ７ Ａ０ Ｚ １ ） ８３ 基 ２ ０ Ａ １ ４ ８ ；江 苏 省 自然 科 学基 金 资助 项 目 （ Ｋ２０ ０ ８ ；国家 自然科 学基 金资助项 目（ １７ ０ ３ Ｂ ０９５ ） ６０ ２０ ）
Ｃ ｅ ａ ｐｔｖ ｏ ｄ ｆｅｅｎ ｅ ｗｏｒ ｉｃ ｎ ａ ｂ ｄａ ｉ ｅｔ ｉｆ ｒ ｔｎ ｔ ｋ ｃｒ ｕｍ ｓａ ｃ ｔ ｎ ｅ．
Ｋｅ ｒ ｓ ｐ ｅ ｅ ｒ ｆｎ ｔ ｔ ｔ ｃ ｎ ； ｏ ｉ ｅ ｔ ｃ ｔ ｎ ｈ ｄ ｅ ａｋ ｖ ｍｏ ｅ ｙ ｗｏ ｄ ： ｅ ｒｔ ｐ ｅ ； ｉ ｓａｅ ｍａ ｈ ｅ ｆ ｗ ｎ ｆ ａｉ ； ｉ ｄ ｎＭ ｒ ｏ ｄ ｌ ｏ ｉ ｅ ｉ ｌ ｄ ｉ ｉ ｏ
流识别技术 。该技术利用分组大小 、到达时间间隔和到达顺序等特征构建流识别模型 ，采用 离散型随机变量刻 画 ＨＭＭ 状态特征 ；提 出了能同时识别 多种 Ｐ Ｐ应用流的架构 Ｈ ２ ＭＭ．Ｉ ＦＡ，设计 了 Ｈ ＭＭ 的状态个数选择算法 。在 校 园网中架设可控实验环境 ，使 用 Ｈ ＭＭ—Ｉ ＦＡ识别 多种 Ｐ Ｐ流，并与 已有识别方法进行 比较 ，结果表 明采用离散 ２
分类和识别 的目的Ｉ 。但此类方法大多都无法高 ” 效 、实 时地 识 别特 定协 议产生 的分 组流 。
本 文提 出了 一 种基 于 隐 马 尔科 夫模 型 （ ＨＭＭ）
识别 Ｐ Ｐ流 的新 方法 ，将 Ｈ ２ ＭＭ 中的隐状 态序 列与 分组 流观 察序 列对 应起 来 ，并采 用离 散 型随机 变量 刻 画状 态特征 ，有效 地提 高 了识别 Ｐ Ｐ流 的实时性 ２ 和准 确 性 。实 验结 果表 明此 方法 能准确 、快速 地 识 别 多种 Ｐ Ｐ应用 协议 产 生 的分 组流 。 ２
ｉ ａｉ ｈ ｉｕ ｓｐ ｏ ｏ ｅ ． ｉ ｐ ｒ ａ ｈ ｍａ ｅ ｕ ｅ ｏ ｃ ｅ ｚ ， ｎ ｅ － ｒｉ ａ ｍｅ ａ ｄ ａｒ ａ ｒ ｅ ｃ ｎ ｔｕ ｔ ｆｃ ｔ ｎ ｔｃ ｎ ｑ ｅ ｗａ ｒ ｐ ｓ ｄ Ｔｈ ｓａ ｐ ｏ ｃ ｄ ｓ ｆ ａ ｋ ｔ ｉ ｅ ｉ ｔｒａ ｒｖ ｌ ｉ ｎ ｒ ｖ ｌｏ ｄ ｒｔ ｏ ｓｒ ｃ ｏ ｅ ｐ ｓ ｔ ｉ ｏ ｌ ｗ ｄ ｎ ｉ ａｉ ｄ ｌ ｎ ｗｈ ｃ ｉｃ ｅｅ ｒ ｎ ｏ ｖ ｒａ ｌ ｓ ｕ ｅ ｏ ｄ ｐ ｃ ｈ ｈ ｒ ｃ ｅ ｉ ｉ ｆ ＨＭ Ｍ ｔ ｔ．Ａ ｆｏ ｉｅ ｔ ｃ ｔ ｎ ｍｏ ｅ ，ｉ ｉ ｈ ｄ ｓ ｒ ｔ ａ ｄ ｍ ａ ｉ ｂ ｅ ｗａ ｓ ｄ ｔ ｅ ｉｔｔ ｅ ｃ ａ ａ ｔ ｒ ｔ ｓ ｏ ｉ ｆ ｏ ｓｃ ｓａｅ
隔 构造二 维 向量 特 征 ，提 高 了识别准 确性 ，但 他们
采 用连续 型 随机 变 量 ，降低 了识别 的实 时性 ， 同时 缺 乏不 同 ＨＭＭ 之 间的相似度 比较 】 埽。
３ 基 本 思 想
Ｐ Ｐ流识 别实 际上是 根据 收集 的流信 息识 别 出 ２ 某 种 Ｐ Ｐ网络应 用协 议 的过程 。网络 协 议可使 用有 ２
ｇ ｒｔｍ ｒｓ ｌｃ ｉ ｇ ｔ ｅｎ ｍｂ ｒ ｆ ｏ ｈ ｆ ｅｅ ｔ ｕ ｅ ｉ ｏ ｎ ｈ ｏ ＨＭ Ｍ ｔｔ ｓｄ ｓｇ ｅ ． ｎ ａｃ ｎｒ ｌ ｂ ｅｅ ｐ ｒｍｅ ｔ ｉ ｕ ｔｎ ｅ ｉ ｅｃ ｐ ｓ ｓ ｅｗａ ｅ ｉ ｎ ｄ Ｉ ｏ ｔｏ ｌ ｌ ｘ ｅ ａ ａ ｉ ｎ ａ ｃｒ ｍｓａ ｃ ｔ ａ ｕ ｌ ｃ ｎｈ ｍ ｎ ｔ ｒ， ｅ ｗｏ ｋ ＨＭ Ｍ － Ｉ ｗａ ｔ ｉｅ ｄ ｎ ｉ ２ ｏ ｄ ｗａ ｏ ａ ｅ ｔ ｔ ｅ ｅ ｔ ｃ ｔ ｎ ｍｅ ｈ ｄ ． ｅｒ ｓ ｌ Ｆ Ａ ｓｕ ｌ ｄ ｔ ｉ ｅ ｔ ｙ Ｐ Ｐ ｆ ｗｓａ ｓｃ ｍｐ ｄ ｗｉ ｏ ｒｉ ｎ ｆ ａ ｏ ｔ ｏ ｓ Ｔｈ ｅ ｕ ｔ ｉ ｚ ｏ ｆ ｌ ｎ ｒ ｈ ｈ ｄ ｉ ｉ ｉ ｓ ｓ ｏ ｔ ａ ｉｃ ｅｅ ｒ ｄ ｍ ａ ｉｂ ｅ Ｃ ｅ ｒ ａ ｅ ｔ ｅ ｍｏ ｅ ｏ ｓｒ ｃｉ ｇ ｔ ｄ ｉ ｒ ｖ ｅ ｔ — ｏ ｔ ｄ ａ ｃ ｒ ｃ ｎ ｈ ｗ ｔ ｓ ｒ ｔ ａ ｏ ｖ ｒ ｌ ａ ｄ ｃ ｅ ｓ ｈ ｄ ｌ ｎ ｔ ｔ ｉ ａ ｈ ｄ ｎ ａ ｎ ｃ ｕ ｎ ｍｅｎ ｍｐ ｏ ｅｔ ｍｅ ｃ ｓ ｃ ｕ ａ ｙ ｉ ｈ ｉ ｎ ａ
Ｘ Ｕ ｏ ＣＨ ＥＮ ｉ ｇ， ＥＩＸｉ ｎ ｌｎ Ｂ ， Ｍ ｎ Ｗ ａ ｇ－ｉ
（ ｓ ｔｔ ｏ Ｃ ｍｍａ ｄ ｕｏ ｔ ｎ Ｐ ＡＵｎｖ ｒ ｔ ｆ ｃｅ ｃ ｎ ｅ ｈ ｏｏ ｙＮａｊ ｇ２ ０ ０ ， ｈ ａ Ｉ ｔｕｅ ｆ ｏ ｎｉ ｎ Ａ ｔｍａ ｏ ， Ｌ ｉ ｉ ｓ ｙｏ Ｓ ｉ ｅ ｄＴ ｃ ｎ ｌｇ ， ｎｉ １ ０ ７ Ｃ ｉ ） ｅｉ ｎ ａ ｎ ｎ
Ａｂ ｔａ ｔ ｏｉｅ ｔ ｙｖ ｒｏ ｓＰ Ｐ ｆ ｗｓａ ｃ ｒｔｌ ｅ ｌｔ ， ｉｄ ｎ Ｍａｋ ｖｍｏ ｅ （ ｓｒ ｃ：Ｔ ｎ ｆ ａ ｕ ２ ｏ ｃ ｕ ａｅｙｉ ｒａ— ｍｅ ａｈｄ ｅ ｒ ｏ ｄ ｌ ＨＭＭ） ａ ｅ ２ ｏ ｉｅ ｔ ｄ ｉ ｉ ｌ ｎ ｉ ｂ ｓ ｄＰ Ｐ ｆ ｗ ｎｉ ｌ ｄ —
其 状 态通 过观 测 序 列 的随 机过 程 表现 出来 。Ｈ ＭＭ
２ 相 关工 作
Ｍｅ ａ ｎ 等人 首先将流 统计特 征应用于流 识别 ，他 们 利用 分组 大 小和到达 时间 间隔 的统 计特 征识 别 出 实时音频 流 【。Ａ． Ｇ ｅ ｏ 等 人使用 Ｅ 算法 ［， ８ 】 Ｍｃ ｒｇ ｒ Ｍ ９ 】 利用 运输 层统 计信 息 ，如分组 大 小、流字 节数 、连
Ｆ ｕ ｄ ｔ ｎ Ｉ ｍｓ Ｔ ｅ ｔ ｎ ｌ ｇ ｅ ｈ ｏｏ ｙＲ ｓａｃ ｄＤ ｖ ｌｐ ｎ Ｐ ｏ ｒｍ ｆ ｈ ａ（６ ｏ ｒ ） ２ ０ Ａ １ ４ ８ ； ｏ ｎ ａ ｉ ｅ ： ｈ ｉ ａ ＨｉｈＴ ｃ ｎ ｌｇ ｅｅ ｈａ ｅ ｅｏ ｍｅ ｔ ｒ ｇａ ｏ ｉ ８ ３ ｇａ （０ ７ Ａ０ Ｚ １ ） ｏ ｔ Ｎａ ｏ ｒ ｎ Ｃ ｎ ｒ Ｐ ｍ Ｔ ｅＮ ｔｒ ｃｅ ｃ ｏ ｎ ａ ｏ ｆ ｉ ｇ ｕＰ ｏ ｉｃ Ｂ ２ ０ ０ ８ ； ｈ ａ ｏ ａ Ｎａ ｒ ｃｅ ｃ ｏ ｎ ａ ｏ ｆ ｈｎ （ １ ７ ０ ３ ｈ ａｕａ Ｓ ｉｎ ｅＦ ｕ ｄ ｔ ｎｏ ａ ｓ ｒ ｖｎ ｅ（ Ｋ ０ ９ ５ ）Ｔ ｅＮ ｔ ｎ ｌ ｔ ａ Ｓ ｉｎ ｅ ｕ ｄ ｔ ｎ ｉ ａ６ ０ ２ ４ ） ｌ ｉ Ｊ ｎ ｉ ｕｌ Ｆ ｉ ｏＣ
识 别流 的方 法 简单 、高效 ，在传 统应 用流 识别 中发 挥 了重要 作用 。但 Ｐ Ｐ应 用广泛 采用 动态 端 口、 ， ２
端 口跳 变和 端 口伪装 等 技术 ，使 该识 别方法 不 再可
行 。 于特 征字 的 Ｐ Ｐ流识 别方法 具有 识 别准 基 ２ ， 确 率 高 、可在 线 处理 等优 点 ，其缺 点 是需要 深度 检
１ 引言
因特 网中新 型 网络应 用不 断 涌现 ，流 量成 分 日 趋 复 杂 ，这使 得优 化 网络 结构 、维护 网络安全 、强
化 网络管 理 以及理 解 网络 行为 面 临挑 战 。基于 端 口
收稿 日期 ：２ １．９１ ；修 回 日期：２ １． １ ４ ０ ００ —５ ０ １０ ． ０
（ 放 军理 工大 学 指挥 自动 化 学院 ，江 苏 南京 ２ ００ ） 解 １０７
摘
要 ： 了实 时 、 确 地 识 别 多 种 Ｐ Ｐ应 用 流 ，提 出 了基 于 隐马 尔 科 夫 模 型 （ ＭＭ， ｉｄ ｎ ａ ｏ ｄ１ Ｐ Ｐ 为 准 ２ Ｈ ｈｄ ｅ ｒ ｖ Ｍ ｋ ｍｏ ｅ） ２ 的
包 含 ２层 ，一个 可观 察层和 一个 隐藏 层 。可 观察 层 是 待识 别 的观 察序 列 ，在 Ｐ Ｐ流 识别 中表现 为节 点 ２
间交互 的多 个连续 分组 ，隐藏层 是一 个 马尔科 夫过 程 ，即运 行在 节 点 内部 的一个 有 限状态 机 ，其 中每 个 状态 转移 都带 有转 移概率 。 在Ｈ ＭＭ 中，对于 一个 随机事件 ，有一个观察值
・
５ ６・
通
信
学
报
第 ３ ３卷
测 分组应 用层 负载 ，无法 识别 采用信 息 加密传 输 的
协 议 ，且 提取 应用 协议特 征字 比较 困难 。基 于运输 层 统 计 信 息和 行 为 特 征 的启 发 式 识 别 方 法 是 当 前 的研 究热 点 。这类 方法 利用 流 的属性 、统计 特征 以 及 行 为特 征 ，按 照启 发式规 则对 流进 行分 析 ，达 到
限状态 机描 述 ，但协 议有 限状态 机位 于节 点 内部 ， 其状态 及状 态 问的转 移特 征均被 节 点屏蔽 ，只 有在