第1章 绪论 1

1.1 网络流量 2

1.1.1 网络流量的概念 2

1.1.2 网络流量的产生 2

1.2 网络流量分类 3

1.2.1 网络流量分类的概念 3

1.2.2 网络流量分类的意义 4

1.2.3 对网络安全管理的应用价值 5

1.2.4 经典的网络流量分类技术 6

1.3 网络流量四层分类模型 7

1.4 研究思路与内容 8

参考文献 9

第2章 流量获取 11

2.1 引言 11

2.1.1 背景与意义 11

2.1.2 组织结构 11

2.2 原始流量接入 12

2.2.1 端口镜像 12

2.2.2 分光 13

2.2.3 流量牵引 13

2.3 流量调度 14

2.3.1 单向流对准 14

2.3.2 负载均衡 19

2.4 流量数据筛选 21

2.4.1 流量数据筛选描述模型 21

2.4.2 面向会话的前N包筛选策略 22

2.5 小结 25

参考文献 25

第3章 明密文分类 26

3.1 引言 26

3.1.1 背景与意义 26

3.1.2 组织结构 27

3.2 相关工作 27

3.2.1 基于连续若干字节(符)的信息熵计算方法 27

3.2.2 基于滑动窗口的信息熵计算方法 28

3.2.3 基于采样的信息熵计算方法 28

3.3 规律模型 28

3.3.1 实践发现 28

3.3.2 规律总结 31

3.3.3 剖析讨论 31

3.4 分类特征的计算 31

3.4.1 概述 31

3.4.2 传统信息熵 31

3.4.3 n-gram信息熵 32

3.4.4 采样信息熵 33

3.5 影响信息熵计算的几个因素 34

3.5.1 网络数据负载长度 34

3.5.2 网络数据头部偏移 35

3.6 基于随机森林的明密文分类方法 37

3.6.1 明密文分类方法 37

3.6.2 对比实验介绍 37

3.6.3 实验数据集 37

3.6.4 实验评价指标 38

3.6.5 实验结果及讨论 39

3.6.6 其他相关参数讨论 42

3.7 小结 43

参考文献 43

第4章 协议分类 45

4.1 引言 45

4.1.1 背景与意义 45

4.1.2 组织结构 46

4.2 相关工作 46

4.2.1 基于传输层端口的协议分类方法 46

4.2.2 基于报文负载的协议分类方法 47

4.2.3 基于流量统计特征的协议分类方法 47

4.3 规律模型 48

4.3.1 实践发现 48

4.3.2 规律总结 52

4.3.3 剖析讨论 52

4.4 协议分类特征 52

4.4.1 概述 52

4.4.2 字节级特征 53

4.4.3 n-gram级特征——直接使用n-gram 53

4.4.4 n-gram级特征——利用低阶n-gram近似模拟高阶n-gram 54

4.5 基于非参数化模型的应用层协议分类方法 55

4.5.1 协议分类系统架构 56

4.5.2 协议建模方法 57

4.5.3 实验数据集 61

4.5.4 实验评价指标 62

4.5.5 实验结果 62

4.5.6 相关工作对比 65

4.6 小结 66

参考文献 67

第5章 应用分类 68

5.1 引言 68

5.1.1 背景与意义 68

5.1.2 组织结构 68

5.2 相关工作 68

5.2.1 基于SNI的分类方法 69

5.2.2 基于数据报文长度统计特征的分类方法 69

5.2.3 基于数据报文序列统计特征的分类方法 70

5.2.4 基于数据报文负载和深度学习的分类方法 70

5.3 规律模型 71

5.3.1 实践发现 71

5.3.2 规律总结 77

5.3.3 剖析讨论 77

5.4 应用分类特征 78

5.4.1 流的统计行为信息 78

5.4.2 流的状态序列信息 79

5.5 基于自注意力机制的应用分类方法 81

5.5.1 应用分类架构 82

5.5.2 应用分类方法 82

5.5.3 实验数据集 87

5.5.4 实验评价指标 88

5.5.5 实验结果 89

5.5.6 相关工作对比 94

5.6 小结 96

参考文献 97

第6章 行为分类 98

6.1 引言 98

6.1.1 背景与意义 98

6.1.2 组织结构 98

6.2 相关工作 99

6.2.1 基于机器学习的行为分类方法 99

6.2.2 基于深度学习的行为分类方法 100

6.3 流量行为描述模型 100

6.3.1 场景分析 100

6.3.2 模型定义 102

6.4 流量行为属性分布规律 106

6.4.1 实践基础 107

6.4.2 长度类属性分布规律 110

6.4.3 时间类属性分布规律 116

6.4.4 连接度类属性分布规律 117

6.4.5 比值类属性分布规律 120

6.5 流量行为分类特征 124

6.5.1 流量行为差异性规律 124

6.5.2 面向异常行为发现的分类特征 128

6.6 针对隐蔽攻击的行为分类方法 130

6.6.1 HTTP隐蔽攻击场景分析 131

6.6.2 面向隐蔽攻击检测的分类特征 132

6.6.3 基于GAN的恶意流量生成算法 133

6.6.4 基于混合结构神经网络的行为分类方法 137

6.6.5 实验评估 139

6.7 小结 144