基于统计特性的P2P流量识别方法研究

本文立足于P2P协议最基本的特点,提出了一种新的P2P流量识别方法,对P2P流量进行分析研究,总结出连续性和端口离散性两个P2P流量统计特性。并以此为基础建立了基于流量统计特性的P2P流量识别模型。

维普资讯 doc.guandang.net

网络纵横

-枉科技 2 0年第 夹 I 07 5

基于统计特性的P流量识别方法研究 P 2 李晓歌①李娜⑦焦琳③ (郑州牧业工程高等专科学校②漯河职业技术学院③南京邮电大学 )① 摘要本文立足于P P 2协议最基本的特点，提出了一种新的P P 2流量识别方法，对P P 2流量进行分析研究，总结出连续性和 端口离散性两个P P 2流量统计特性。并以此为基础建立了基于流量统计特性的P P 2流量识别模型。 关键词 P P/ sre ci t流量识别滑动窗口 2 C S evr ln e

PP 2技术能提供快速高效的文件共享、低成本高可用的计算资源和存储资源共享、强大的网络连通性和灵活的信息沟通能力。目 前，P P 2技术广泛应用于信息共享、实时通信、网络游戏、金融服务、信息检索、协同工作、普及计算等领域。PP 2技术的发展也带来了众多问题：P P 2传输速度高，其用户抢占大部分网络带宽，仅将剩余带宽留给非PP 2用户；容易引起企业及I链路瓶颈；不分时 S P段的P P 2高速下载，增大网络设备的负荷等。因此，对 PP 2流量进行识别和控制已刻不容缓。 目前有多种P P量识别的方法：①基于包内容的P P 2流 2流量识别技术，通过检查数据包的数据内容找到特定P P 2协议的关键字以 识别P P 2流量 .该方法直观、检测效率高、误检率低，但只能检测已知协议的PP 2流量，无法识别数据加密的PP 2流量。②基于伪参与技术的PP量识别方法是用若干实验主机主动参与到 PP 2流 2网络中，通过与P P户进行包交换获取相关信息，并以此来识别 2用

为了详细描述 P P量识别方法，先做如下定义： 2流

定义一流量的特征状态元素f分别依次代表了流量的连续 i、C 性、口离散性的统计特征值。端 定义二统计窗口尺寸 w、 f示流量特性量化结果 f ( 1) f w表 ii, t=2 依赖于 t— f I w个单位统计时间内流量的原始统计信息。~t W+共 f PP量识别模型的流量识别结果由流量的连续性和端口离散 2流

性两个因素共同决定，同时满足两个特性的流量才被判定为PP 2流 量。

PP 2流量的统汁特性都是描述性的统计特征，需要将这些特征

进行数值化才能应用于P P 2流量识别模型中，并且量化值能够有效反映流量的特性强弱程度。在本文的没计中，流量的特性量化值

PP 2流量，该方法识别准确度高，但是受与试验主机进行数据交换的P P 2节点的限制，有可能识别不完全，漏检率很高。③基于传输层端口的PP 2流量识别方法实现简单，花费的系统资源也较少，对早期的纯P P量识别很有效，但是当前很多PP 2流 2协议都开始采用动态端口技术或借用知命端口以规避检测 .此时该识别方法显得无能为力。④基于流量特征的PP 2流量识别方法是一种新的流量识别方法，文献【】出根据P P 2提 2应用的传输层通信模式特点进行 PP 2流量识别，能够识别出采用随机端口以及借用熟知端口进行通信的 PP 2应用流量，与传统的以流量为研究对象的方法不同，该方法以网络主机作为研究对象，识别流量方法简单有效。 本文提出了一种新的基于流量统计特性的 P P量识别方法， 2流 可以识别协议类型已知和未知的P P 2流量。 1 P P量特性分析 2流

f l≤≤,流量的某个特性表现越强，其对应的量化值就越接 i】 i2 。 e 1近于l。流量本身是具有连续性的，流量统计信息的量化结果也应该呈现出连续性。经过特性量化以后，连续的一段流量就转化为一个具有指定意义的点。为了准确描述网络流量的变化情况，本文采用滑动窗口机制实现P P 2流量特性的量化。流量的特性量化值不是仅仅由当前—个窗口中的原始统计信息决定，而是由滑动窗口机制中的“ w个发送窗口”的信息共同决定。 21连续性量化 .

作者对当前流行的多个 PP用软件进行分析，用e e l 2应 t r抓包 ha工具抓取PP量，并借助于e e l的统汁功能对P P量和 2流 t r自带 ha 2流 C S量进行研究和比较，总结出P P/流 2流量的强连续和端口离散的特性。 11连续性 .

作者用e ea t r分析工具中的“ r h”分析方法对试验主机 h 1 1 Ga s 0 p所参与的流量的字节速率 ( y s ) B t/进行分析，通过观察运行多个 es PP 2应用软件的平均包长度时间分布、 e流量和F P量的包长度 wb T流平均值分布，可以得出，w b e流量的包长度平均值波动很大，有时仍会趋近于0,

而P P 2流和 F P T流的包长度平均值就趋于稳定。因此，仅根据包长度平均值特性无法区分F P T流和P P 2流。 12端口离散性 .

PP 2流量的连续性体现了P P 2主机节点参与的流量连续性，如果在一定时间段内被监控主机参与的流量一直不为空，么该主机那就具有强流量连续性，否则，如果被监控主机参与的流量具有突发性或归0象，该主机的流量连续性就很弱。根据第一部分的研现究，PP 2主机节点在不参与资源下载或信息共享的时候与普通网络主机基本无异，因此，其参与的流量连续性应该很弱，当P P 2主机节点参与资源下载或信息共享的时候，其参与的流量应该具有很强的连续性。 流量连续性量化的算法如下。其中w为统汁间隔，ta y为 ol t tB e单位时间内被监控主机的包总长度，N nR t o0 a为流量连续性的量化 e结果。如果在单位时间内，被监控主机参与的流量总和为0,那么认为该时间单元内主机流量出现了归0现象，否则认为该时间单元内主机流量不归0。同时计算从当前时间起，向后回朔w个时间单元的时问内，不归0的时间窗口所占的比例，即为当前的流量连续性值。随着时间的前进，统计窗口也随之向前推移，统汁窗口中的统计信息永远是当前最新的w个时间单元的流量统计信息。 22端口离散性量化 .

描述流量的端口离散性并不需要明确网络主机开辟的具体的端

口只需要知道所开辟的= i号， ………

……………

H 兰。:端h鏊。些. D口粤 . .本 R a映射表来实现端口数量 s

+;一

。 …………”

PP 2节点要保持与其它相邻节点问的联通性，每个节点定时需要更新一次相邻节点的状态 .同时当前P P 2都支持多线程、多点、 断点下载，对于传输层而言就对应单个节点同一时问有多个端口处于活动状态。一般情况下，网络中一个主机与其他主机进行通信时，时间内该主机参与的流量所使用的端口数量有限。作者为每短种流量分别建立一张流量端口统计表，记录试验主机作为源主机或

的统计分析。把端口划分号为3个字段，并建立3 hs N O m号张 ah o t= n￣表，a&h共有6+数值…………… Hs￣ 4

域，保存了对端口一 b=:……”州……………号0 .i

5t 的数值一一映射， H sf b ah￣ l c a分别郁 2 hs 个数值域 ' 分别保存了对端口号6 0i—1 t b和 l—lbt l 5i的数值一一映射。 自。, lp+耋菲善 e m+ : l‘ pcs e一 r+ u‘ l t a nl p 数。 R。 m t tmp ~ 一

目的主机时其流量所涉及到的不同端口的信息。通过实验得出，主机进行 PP 2资源下载时，其参与的流量端口数量明显多于其他正常网络应用流量的端口数量，与传统csi/,务相比，PP￣ 2主机下载流量具有高端口离散性。 2 P P量识别方法 2流

将被监控主机参与的流量的源：………

:紫：:时

.

.

.

端口和目的端口同时对应映射到3 a￣中，每个映射表中记录个hs l了各个字段作为流量的 (源或目的 )端口的次数，在单位时间内， 3 a表的统计信息中非O张hs h字段总量所占的比例，可以反映出在该