序論：寫作是一種深度的自我表達。它要求我們深入探索自己的思想和情感，挖掘那些隱藏在內心深處的真相，好投稿為您帶來了七篇網絡流量監測范文，愿它們成為您寫作過程中的靈感催化劑，助力您的創作。

篇(1)

關鍵詞：網絡流量；監測；網絡管理

1、網絡流量的特性

通過對互聯網通信量的測量，人們發現互聯網通信量的主要特性有:

1、數據流是雙向的，但通常是非對稱的

互聯網上大部分的應用都是雙向交換數據的，因此網絡的流是雙向的。但是兩個方向上的數據率有很大的差異，這是因為從網站下載時會導致從網站到客戶端方向的數據量比另外一個方向多。

2、大部分TCP會話是短期的

超過90%的TCP會話交換的數據量小于10K字節，會話持續時間不超過幾秒。雖然文件傳輸和遠程登陸這些TCP對話都不是短期的，但是由于80%的WWW文檔傳輸都小于10K字節，WWW的巨大增長使其在這方面產生了決定性的影響。

3、包的到達過程不是泊松過程

大部分傳統的排隊理論和通信網絡設計都假設包的到達過程是泊松過程，即包到達的間斷時間的分布是獨立的指數分布。簡單的說，泊松到達過程就是事件(例如地震，交通事故，電話等)按照一定的概率獨立的發生。泊松模型因為指數分布的無記憶性也就是事件之間的非相關性而使其在應用上要比其他模型更加簡單。然而近年來對互聯網絡通信量的測量顯示包到達的過程不是泊松過程。包到達的間斷時間不僅不服從指數分布，而且不是獨立分布的。大部分時候是多個包連續到達，即包的到達是有突發性的。很明顯，泊松過程不足以精確地描述包的到達過程。造成這種非泊松結構的部分原因是數據傳輸所使用的協議。非泊松過程的現象迫使人們懷疑使用簡單的泊松模型研究網絡的可靠性，從而促進了網絡通信量模型的研究。

4、網絡通信量具有局域性

互聯網流量的局域性包括時間局域性和空間局域性。用戶在應用層對互聯網的訪問反映在包的時間和源及目的地址上，從而顯示出基于時間的相關(時間局域性)和基于空間的相關(空間局域性)。

2、 網絡流量的測量

網絡流量的測量是人們研究互聯網絡的一個工具，通過采集和分析互聯網的數據流，我們可以設計出更加符合實際的網絡設備和更加合理的網絡協議。計算機網絡不是永遠不會出錯的，設備的一小點故障都有可能使整個網絡癱瘓，或者使網絡性能明顯下降。例如廣播風暴、非法包長、錯誤地址、安全攻擊等。對互聯網流量的測量可以為網絡管理者提供詳細的信息以幫助發現和解決問題。互聯網流量的測量從不同的方面可以分為:

1、基于硬件的測量和基于軟件的測量

基于硬件的測量通常指使用為采集和分析網絡數據而特別設計的專用硬件設備進行網絡流的測量，這些設備一般都比較昂貴，而且受網絡接口數量，網絡插件的類型，存儲能力和協議分析能力等諸多因素的限制?；谲浖臏y量通常依靠修改工作站的內核中的網絡接口部分，使其具備捕獲網絡數據包的功能。與基于硬件的方法比較，其費用比較低廉，但是性能比不上專用的網絡流量分析器。

2、主動測量和被動測量

被動測量只是記錄網絡的數據流，不向網絡流中注入任何數據。大部分網絡流量測量都是被動的測量。主動測量使用由測量設備產生的數據流來探測網絡而獲知網絡的信息。例如使用ping來估計到某個目的地址的網絡延時。

3、在線分析和離線分析

有的網絡流量分析器支持實時地收集和分析網絡數據，使用可視化手段在線地顯示流量數據和分析結果，大部分基于硬件的網絡分析器都具有這個能力。離線分析只是在線地收集網絡數據，把數據存儲下來，并不對數據進行實時的分析。

4、協議級分類

對于不同的協議，例如以太網(Ethernet )，幀中繼(Frame Relay )，異步傳輸模式( Asynchronous Transfer Mode )，需要使用不同的網絡插件來收集網絡數據，因此也就有了不同的通信量測試方法。

3、 網絡流量的監測技術

    根據對網絡流量的采集方式可將網絡流量監測技術分為:基于網絡流量全鏡像的監測技術、基于SNMP的監測技術和基于Netflow的監測技術三種常用技術。

1、基于網絡流量全鏡像的監測技術:網絡流量全鏡像采集是目前IDS主要采用的網絡流量采集模式。其原理是通過交換機等網絡設備的端口鏡像或者通過分光器、網絡探針等附加設備，實現網絡流量的無損復制和鏡像采集。和其它兩種流量采集方式相比，流量鏡像采集的最大特點是能夠提供豐富的應用層信息。

    2、基于Netflow的流量監測技術:Netflow流量信息采集是基于網絡設備提供的Netflow機制實現的網絡流量信息采集。

篇(2)

1網絡流量監測的必要性及意義

網絡管理中非常重要且非?；A的一個環節就是網絡流量監測，網絡流量監測即是通過對網絡數據的連續采集，以此來監測網絡的流量。網絡及其重要成分的性能指標也是對網絡流量數據的統計和計算得到的。網絡管理員根據當前的和歷史的存儲網絡及其重要成分的性能的數據數據，就可對網絡及其主要成分的性能進行性能管理，通過數據分析獲得性能的變化趨勢。分析制約網絡性能的瓶頸問題。在網絡流量監測的基礎上，管理員可對感興趣的網絡管理對象設置閾值范圍以配置網絡閾值對象，閾值對象監控實時輪詢網絡獲取定義對象的當前值。若超出閥值的上限和下限則報警，幫助管理員發現網絡瓶頸，這樣即可實現一定程度上的故障管理，而網絡流量監測本身也涉及到安全管理方面的內容。所以，研究網絡流量監測是非常有意義的。

2網絡流量的特性

2.1數據流是雙向的，但通常是非對稱的。互聯網上大部分的應用都是雙向交換數據的，因此網絡的流是雙向的。但是兩個方向上的數據率有很大的差異，這是因為從網站下載時會導致從網站到客戶端方向的數據量比另外一個方向多。

2.2大部分TCP會話是短期的。超過90%的TCP會話交換的數據量小于10K字節，會話持續時間不超過幾秒。雖然文件傳輸和遠程登陸這些TCP對話都不是短期的，但是由于80%的WWW文檔傳輸都小于10K字節，WWW的巨大增長使其在這方面產生了決定性的影響。1.3包的到達過程不是泊松過程大部分傳統的排隊理論和通信網絡設計都假設包的到達過程是泊松過程，即包到達的間斷時間的分布是獨立的指數分布。然而近年來對互聯網絡通信量的測量顯示包到達的過程不是泊松過程。包到達的間斷時間不僅不服從指數分布，而且不是獨立分布的。大部分時候是多個包連續到達，即包的到達是有突發性的。很明顯，泊松過程不足以精確地描述包的到達過程。造成這種非泊松結構的部分原因是數據傳輸所使用的協議。非泊松過程的現象迫使人們懷疑使用簡單的泊松模型研究網絡的可靠性，從而促進了網絡通信量模型的研究。

2.3網絡通信量具有局域性?；ヂ摼W流量的局域性包括時間局域性和空間局域性。用戶在應用層對互聯網的訪問反映在包的時間和源及目的地址上，從而顯示出基于時間的相關（時間局域性）和基于空間的相關（空間局域性）。

3網絡流量的監測技術與方法

3.1網絡流量的監測技術種類

（1）基于流量鏡像協議分析。流量鏡像（在線TAP）協議分析方式是把網絡設備的某個端口（鏈路）流量鏡像給協議分析儀，通過7層協議解碼對網絡流量進行監測。與其他3種方式相比，協議分析是網絡測試的最基本手段，特別適合網絡故障分析。缺點是流量鏡像（在線TAP）協議分析方式只針對單條鏈路，不適合全網監測。

（2）基于硬件探針的監測技術。硬件探針是一種用來獲取網絡流量的硬件設備，使用時將它串接在需要捕捉流量的鏈路中，通過分流鏈路上的數字信號而獲取流量信息。一個硬件探針監視一個子網（通常是一條鏈路）的流量信息。對于全網流量的監測需要采用分布式方案，在每條鏈路部署一個探針，再通過后臺服務器和數據庫，收集所有探針的數據，做全網的流量分析和長期報告。與其他的3種方式相比，基于硬件探針的最大特點是能夠提供豐富的從物理層到應用層的詳細信息。但是硬件探針的監測方式受限于探針的接口速率，一般只針對1000M以下的速率。而且探針方式重點是單條鏈路的流量分析，Netflow更偏重全網流量的分析。

（3）基于SNMP的流量監測技術?；赟NMP的流量信息采集，實質上是測試儀表通過提取網絡設備Agent提供的MIB（管理對象信息庫）中收集一些具體設備及流量信息有關的變量。相似的方式還包括RMON。與其他的方式相比，基于SNMP的流量監測技術受到設備廠家的廣泛支持，使用方便，缺點是信息不夠豐富和準確，分析集中在網絡的2、3層的信息和設備的消息。SNMP方式經常集成在其他的3種方案中，如果單純采用SNMP做長期的、大型的網絡流量監控，在測試儀表的基礎上，需要使用后臺數據庫。

（4）基于Netflow的流量監測技術。Netflow流量信息采集是基于網絡設備（Cisco）提供的Netflow機制實現的網絡流量信息采集。Netflow為Cisco之專屬協議，已經標準化，并且Juniper、extreme、華為等廠家也逐漸支持，Netflow由路由器、交換機自身對網絡流量進行統計，并且把結果發送到第3方流量報告生成器和長期數據庫。一旦收集到路由器、交換機上的詳細流量數據后，便可為網絡流量統計、網絡使用量計價、網絡規劃、病毒流量分析，網絡監測等應用提供計數根據。Netflow方式是網絡流量統計方式的發展趨勢。在綜合比較四種技術之后，不難得出以下結論：基于SNMP的流量監測技術能夠滿足網絡流量分析的需要，且信息采集效率高，適合在各類網絡中應用。

3.2網絡流量的監測方法

流量監測包括測量工具/系統的部署、流量數據的采集（包括數據包捕獲、歸并和采樣處理等）、數據包的解析和處理、測量實體量化數值的獲得與統計分析、流量特征化描述、流量存儲和查詢表示、流量建模等多個環節，具有相對復雜的處理和分析過程。目前存在有眾多種流量測量的實現方法，他們可適用不同的測量環境、滿足不同的測量要求，并且有著不同的實現方式?；谟布臏y量通常需要設計和應用特定的硬件設備來對流量數據進行采集和分析。被測量的流量并非由普通的商用計算機直接獲得，而是需要從服務器、交換機、路由器等特定的網絡設備上經過一定處理后導出，然后再由普通的商用計算機完成后續的流量處理和統計分析等工作。不同形式的數據，對應要求在普通的商用計算機上通過不同的程序或軟件實現相應的流量處理和統計分析功能。

篇(3)

關鍵詞：網絡流量；監控；意義

中圖分類號：TP393.06 文獻標識碼：A 文章編號：1007-9599 (2012) 09-0000-01

一、網絡流量監視與控制策略

（一）對網絡流量的捕捉與分類。對網絡流量的捕捉與分類是實現網絡流量管理的第一步。要事先設置好捕捉點，對網絡流量加以捕捉與分類，只有這樣才可以做后續的分析及控制工作。更需要進行說明的是，網絡流量分類要實現宏觀化，還可以做到細化。例如TCP、UDP、ICMP的分類方法具有宏觀特點，而其中的HTTP、FTP包括Kazza、Skype之類的P2P流量在分類及識別方面還要進一步對其細化。比如我們的日常工作，網管人員可以借助于Wireshark、TCPDump等進行報文捕捉與分析軟件對流量做捕捉與分類工作。（二）對網絡流量的監視。監視網絡流量的大小，可以找到問題的原因與狀況，然后按照相應的管理策略執行有關的操作。應用程序與網絡管理對各類信息進行收集與分類，并對收集的信息進行展示，所展示的內容主要有對帶寬的利用率、活躍的主機與網絡效率及相關的應用程序。這一目標主要是利用了市面上的可視化分析管理工具NTOP來實現這一管理的，對網絡管理員進行協助。（三）對網絡流量的控制策略。對網絡流量的分析主要是因優先級別不同而分配一定的帶寬資源。這些分配主要是對主機及應用進行的等等，我們要對所消耗資源的P2P程序及音頻視頻下載等程序做進一步的分析。它的具體操作時間主要以常用的流量控制工具對其實現，比如采取的分類監視與網絡流量的控制，這樣，我們可以對網絡流量做有效的管理，將無序的網絡流量變成有序的網絡流量。

二、網絡流量測量方法與選擇

當前，我們通常使用的網絡流量的測量方式包括以下兩種。

（一）利用計算機對網絡進行偵聽，比如利用“嗅控器”進行偵聽的Sniffer工具，這種方式不能使所有對象的流量都被監聽到，比如對路由器的要求主要是達到路由器與偵聽計算機同屬于一個物理網段。（二）在網絡對象中直接獲取流量，在使用SNMP協議時，對它所提供的基本功能中的Get2Re2quest與Get2NextReq都屬于一個M IB數據庫表，并從中可以獲取所需相關信息。比如利用免費工具軟件METG對其進行分析，它得到的監控結果主要是一個GIF或者PNG格式的圖形文件，再把這些圖形文件植入到標準的HTML頁面之中。

三、網絡流量測量的實現

（一）對數據采集與存儲主要是通過流量監控管理系統來實現的，利用Linux AS4. 0這一操作系統，通過C語言編程完成這一功能，借助ucd-snmp軟件包完成對網絡設備MIB信息的獲取。比如UCD-SNMP軟件具有多個SNMP工具，它具有可擴展、SNMP庫、對SNMP消息的查詢及設置、對SNMP陷阱工具的產生與處理、利用SNMP的netstat命令、實現管理系統庫瀏覽器Tk/Perl的作用。對ucd-snmp軟件包的安裝調試以后，可以在shell下面使用/usr/local/snmp/sbin/snmpd，也可以加在/etc/rc. d/rc. Local之中，實現開機后的自動啟動功能。（二）Web服務器具有用戶查詢及交互模傳統方式，它主要是一種基于C/S架構的管理模式，在Web技術不斷走向成熟以及被大面積應用的基礎上，一種基于Web的全新的網絡管理WBM(Web-BasedManagement)，具有靈活性、易操作性的服務產生。我們利用本系統的設計，對網絡管理信息的數據經SNMP在MIB庫中進行收集，在網絡管理系統所做的過濾、分析、加工處理以后，在Web服務器做好數據的存儲。管理員利用Web技術借助于瀏覽器本地或者遠程訪問流量監控系統，對WBM技術與傳統的網絡及設備管理系統進行對比，利用分布性、用戶界面各種不同的操作優勢，在動態網頁PHP的函數集中對臺戲SNMP協議應用于網管函數的接口中。在使用PHP時，不斷完成輪詢操作。而PHP所提供的網管函數庫與數據采集模塊的Agent通過交互對流量進行監控。它還利用PHP語言與Ajax技術對Web管理頁面進行了創建，利用標準的接口，將用戶的HTTP格式的請求再做進一步的轉換工作，使其成為了一種SNMP協議的格式，再將SNMP協議數據單元進行轉換，使其成為HTTP格式，對用戶的瀏覽器界面進行顯示。還要對Ajax(“Asynchronous JavaScriXML”，即異步JavaScript和XML)窗體技術加以利用。主要是將XMLHttpRequ應用于JavaScript腳本所提供的頁面之內，再通過服務器通信的手段，使JavaScript不用刷新頁面就可以實現對數據的獲取，而不用對整個頁面進行刷新。

四、網絡流量監控的意義

P2P技術用以通訊，僅一到兩臺電腦的P2P軟件就可以對整個局域網的所有帶寬資源加以搶占。因此，要保證企業網絡的能夠穩定運行，還要對流量進行監控與限制。對局域網流量的監控限制主要有以下解決方案：

（一）對每臺機器進行流量的分配。在Linux操作系統中有流量控制的作用，它主要是利用輸出端口的一個隊列完成流量的控制。借助于linux的網關，就可以對每臺機器的流量進行設置。我們還可以利用局域網的流量監控軟件對流量進行監控。這一方案主要是對網關或者網橋的連接方式加以設置，所以在提高網速方面有一定的影響。（二）到網絡流量管理中使用流量控制，主要是使網絡管理者實現對網絡資源與業務資源的帶寬加以控制，并對其資源加以調度，可以通過HTTP、FTP、SMTP以及P2P的應用加以管理，特別是對通過對P2P流量進行抑制以提升傳統數據業務的用戶體驗度。另一方面，流量控制對網絡流量管理具有一定的作用，可以對業務資源進行調度，并對業務資源進行使用，對業務狀態進行實時監控。（三）對流量進行控制主要是在輸出端口對一個隊列進行流量的控制，控制的方式可以通過路由，也就是通過IP地址或者目的子網的網絡號進行設計。對流量進行控制主要是對功能模塊以隊列、分類及過濾的方式實現。因為網絡流量的種類較多，網絡管理員的管理要以分類的方式完成。在城域網網絡規劃和擴容可以參考網絡流量模型來實現，xFlow與探針能獲得流量模型的控制，困為探針具有應用協議的分析能力，可以深入分析流量。然后在城域網接入層、匯聚層以及在城域網出口的每個層面安裝探針，對流量進行監測與分析，從而得到相對完整的流量模型。我們所提出的P2P應用是網絡帶寬的一種主要的消耗者，對P2P流量進行疏導，可以實現它的本地化，可以對承載網絡流量流向進行優化，另外還可以對用戶感知進行提升，它也城域網的未來發展方向之一。

參考文獻：

篇(4)

關鍵詞： 網絡測量；網絡性能指標；網絡流量測量儀

0 引言

隨著現代科學技術的發展，人們的生活越來越依賴于計算機網絡，借助于網絡人們可進行工作、娛樂、購物等等，滲入到生活的各個方面。同時，計算機網絡的發展也是日新月異，網絡的復雜度也越來越高，所以網絡性能的測量，有助于對網絡性能有效的預報和控制，及時發現網絡出現的問題并找到解決方法。網絡測量可以這樣理解，使用的軟、硬件測量工具或者軟硬件結合的工具，對網絡性能的的各項指標進行測量，并對網絡性能的狀況作出客觀的分析。

1 網絡測量分類和主要研究領域

目前，對網絡測量的分類有很多。根據測量的內容可以分為拓撲測量與性能測量；根據測量方式可以分為主動測量和被動測量；根據測量點的多少可分為單點測量與多點測量；根據測量采用的協議可分為基于BGP（Border Gateway Protocol，邊界網關協議）協議的測量、基于TCP/IP協議的測量以及基于SNMP協議的測量。在主動測量方式中，需要短暫斷網，向網絡中發送數據，通過觀察收到的數據，對網絡性能進行分析。被動測量不需要斷網，通過鏡像或者串接的模式連接到網絡中，記錄網絡中產生的數據，并進行分析。

一般的網絡測量的主要參數包括RTT（往返時延）、路徑數據、帶寬、延遲、擁塞程度、吞吐量、帶寬利用率、丟包率、服務器和網絡設備的響應時間、最大的網絡流量、網絡服務質量QoS等。

2 網絡流量測量

目前，上網用戶日益增多，隨之而來的是用戶對自己上網產生的流量并不透明，上網產生的流量精度與否，用戶也是不甚明了，由此而產生的爭議不斷上演。通過對網絡流量的測量，不僅可以對計算機網絡的動態使用情況進行掌握，而且對流量的準確監測，對用戶的合法權益維護也具有重要的意義。對網絡流量性能可以通過網絡流量模型進行預測，流量測量不僅僅是用在流量的測量上，還能夠應用在安全管理、性能管理、計費管理等方面。

3 網絡流量測量儀的設計

3.1 網絡流量測試儀的設計思路

針對目前沒有一款網絡流量測量儀是從計量方面來進行網絡流量監控，此款網絡流量測量儀主要是從用戶端進行流量計量，能夠在一定時間內對用戶產生的流量進行精確統計，精度是現行電信運營商的精度的0.3倍。

網絡流量測試儀采用串聯的方式連接在線路中，儀器的一個端口連接電信運營商的網絡，另一個端口連接用戶電腦，連接方式。

3.2 網絡流量測量儀的硬軟件結構

網絡流量測量儀是由一塊FPGA，在物理層有兩個RJ45網卡接口、存儲器、LCD和控制面板等組成，其硬件結構。

網絡流量測量儀依據的標準是IEEE802.3以太網絡通訊協議，通過計算MAC層的數據來統計流量大小。網絡流量測量儀的軟件結構三個模塊組成：實時數據處理和分析模塊、流量統計和計量模塊和LCD顯示模塊。

3.3 網絡流量測量儀的工作流程

網絡流量測量儀的主要功能就是對上網流量進行計量，這也是設計此儀器的核心所在，所以儀器的首要功能是精確可靠的統計上網產生的數據，通過幀的接收、驗證、計算，數據包括上下行流量，然后通過查詢功能對得到的數據在LCD上顯示出來。

4 結論

網絡流量測量儀采用軟硬件結合的方法，在用戶端進行網絡流量統計，從模擬驗證來看，可以精確對用戶的上網流量進行測量，填補了我國在網絡流量計量方面的空白，維護了消費者的合法權益，具有一定的社會和經濟效益。

參考文獻：

[1]王寧、羅軍勇，一種關于重疊服務網絡的可用帶寬測量技術[J].微計算機信息，2005（23）.

[2]王存立、吳捷，服務質量測量技術及其應用[J].中興通訊技術，2003（04）.

篇(5)

【 關鍵詞 】 模糊相對熵；網絡異常行為；網絡異常流量檢測

【 中圖分類號 】 TP309.05 【 文獻標識碼 】 A

1 引言

IP網絡具有體系架構開放、信息共享靈活等優點，但是因其系統開放也極易遭受各種網絡攻擊的入侵。網絡異常流量檢測屬于入侵檢測方法的一種，它通過統計發現網絡流量偏離正常行為的情形，及時檢測發現網絡中出現的攻擊行為，為網絡安全防護提供保障。在網絡異常流量檢測方法中，基于統計分析的檢測方法通過分析網絡參數生成網絡正常行為輪廓，然后度量比較網絡當前主體行為與正常行為輪廓的偏離程度，根據決策規則判定網絡中是否存在異常流量，具有統計合理全面、檢測準確率高等優點?；谙鄬氐漠惓z測方法屬于非參數統計分析方法，在檢測過程中無須數據源的先驗知識，可對樣本分布特征進行假設檢驗，可在缺乏歷史流量數據的情況下實現對網絡異常行為的檢測與發現。本文系統研究了模糊相對熵理論在網絡異常流量檢測中的應用，并搭建模擬實驗環境對基于模糊相對熵的網絡異常流量檢測方法進行了測試驗證。

2 基于模糊相對熵的多測度網絡異常流量檢測方法

2.1 模糊相對熵的概念

相對熵（Relative Entropy）又稱為K-L距離（Kullback-Leibler divergence），常被用作網絡異常流量的檢測方法。本文引入模糊相對熵的概念，假定可用來度量兩個概率分布P={p1，p2，...，...，pn}和Q={q1，q2，...，...，qn}的差別，其中，P、Q是描述同一隨機過程的兩個過程分布，P、Q的模糊相對熵定義為：

S（P，Q）=[Pi ln+（1-pi）ln] （1）

上式中qi可以接近0或1，這會造成部分分式分母為零，因此對（1）式重新定義：

S'（P，Q）=[Pi ln+（1-pi）ln]（2）

模糊相對熵為兩種模糊概率分布的偏差提供判斷依據，值越小說明越一致，反之亦然。

2.2 多測度網絡異常流量檢測方法流程

基于模糊相對熵理論的多測度網絡異常檢測具體實施分為系統訓練和實際檢測兩個階段。系統訓練階段通過樣本數據或監測網絡正常狀態流量獲取測度的經驗分布，實際檢測階段將實測數據獲取的測度分布與正常測度分布計算模糊相對熵，并計算多個測度的加權模糊相對熵，根據閾值判定網絡異常情況，方法流程如下：

Step1：獲取網絡特征正常流量的參數分布。通過樣本數據或監測網絡正常狀態流量獲取各測度的經驗分布。

Step2：獲取網絡特征異常常流量的參數分布。對選取網絡特征參數異常流量進行檢測獲取各種測度的概率分布。

Step3：依據公式（2）計算單測度正常流量和異常流量間模糊相對熵Si。

Step4：計算多測度加權模糊相對熵S。

S=α1S1+α2S2+…+αkSk （3）

式中αk表示第k個測度的權重系數，由測評數據集統計分析獲得。

最終，根據S建立不同的等級閾值來表征網絡異常情況。S越大，表示網絡流量特征參數分布偏離正常狀態越多，網絡中出現異常流量的概率越大；S越小，表示網絡流量特征參數分布與正常狀態吻合度越好，網絡中出現異常流量的概率越小。

3 測試驗證

為測試方法的有效性，搭建如圖1所示的實驗環境，模擬接入層網絡拓撲結構、流量類型和流量負載情況。測試環境流量按業務域類型分類，主要分為視頻、語音、數據三種業務域，按每個業務單路帶寬需求計算，總帶寬需求約為2368kbps～3200kbps。

（1）檢測系統接入交換機鏡像端口，系統部署環境。

①硬件環境：Intel（R） Core（TM） 2 Duo CPU 2.00GHz，2.0G內存；②操作系統環境：Windows XP，.NET Framework 3.5；③數據庫系統：Microsoft SQL Server 2005 9.00.1399.06 （Build 2600： Service Pack 3）。

測試環境交換機采用華為S3050C，用戶主機接入點配置如表1所示。

測試網絡正常流量狀態方案配置。

①1號主機架設視頻服務器模擬視頻業務域，單路平均帶寬需求2.59Mbps；②2、3號主機架設音頻服務器模擬語音業務域，單路平均帶寬需求128kbps；③4、5、6號主機采用應用層專用協議和傳輸UDP協議模擬發包程序模擬數據業務域，單路平均帶寬需求64kbps。

按上述方案配置網絡環境，交換機網絡流量負載約為2.996Mbps。

3.1 測試用例設計

網絡中的異常行為主要包括非法網絡接入、合法用戶的違規通信行為、網絡攻擊及未知的異常流量類型等，系統將其定義為四類：帶寬占用、非法IP地址、非法IP會話、模糊相對熵異常四類異常事件，其中模糊相對熵異?？筛鶕涷灁祿O定多個閾值等級。測試用例以網絡正常流量為背景流量，根據測試目的添加異常流量事件。測試用例設計及實驗測試過程如表2所示。

3.2 結果分析

測試用例持續監測網絡兩小時。根據模糊相對熵數據輸出，繪制ROC曲線，檢測率與誤警率的關系如圖2所示。通過ROC曲線，能夠準確反映模糊相對熵異常流量檢測方法檢測率與誤警率的關系。權衡檢測率與誤警率，選擇合適的閾值。當模糊相對熵閾值設定為39.6時，系統檢測率為84.36%，誤警率為3.86%，表明檢測系統對未知異常流量具有較好的檢測效果。

4 結束語

基于模糊相對熵的網絡異常流量檢測方法可以在不具備網絡歷史流量信息的情況下，通過對網絡流量特征進行假設檢驗，實現對網絡異常行為的檢測發現。實驗測試結果表明，設定合理的模糊相對熵閾值，該方法的檢測率可達84.36%。在下一步的工作中，將研究自學習式閾值設定方法，以及對模糊相對熵方法進一步優化，提升方法的準確性和效率。

參考文獻

[1] 蔣建春，馮登國等.網絡入侵檢測原理與技術[M].北京： 國防工業出版社，2001.

[2] 蔡明，嵇海進.基于ISP網絡的DDoS攻擊防御方法研究[J].計算機工程與設計，2008， 29（7）：1644-1646.

[3] Francois Bavaud. Relative Entropy and Statistics[EB/OL].http：//unil.ch/webdav/site/imm/users/ fbavaud/private/IT_statistics_bavaud.pdf.，2011-05-16.

[4] 張亞玲，韓照國，任姣霞.基于相對熵理論的多測度網絡異常檢測方法[J].計算機應用，2010， 30（7）：1771-1774.

[5] 李涵秋，馬艷，雷磊.基于相對熵理論的網絡Dos攻擊檢測方法[J].電訊技術， 2011， 51（3）：89-92.

[6] 張登銀，廖建飛.基于相對熵理論網絡流量異常檢測方法[J].南京郵電大學學報（自然科學版），2012， 32（5）：26-31.

[7] 胡為，胡靜濤.加權模糊相對熵在電機轉子故障模糊識別中的應用[J].信息與控制，2009， 38（3）：326-331.

作者簡介：

姚宏林（1974-），男，碩士，副教授，從事信息安全教學與研究。

篇(6)

關鍵詞：網絡流量；監控設計；實現；策略

中圖分類號：TP393.06

在我國網絡迅速發展的前提下，網絡各個領域當中網絡流量監控的設計和實現變得異常重要，它的存在對于各種軟件的運行是否出現堵塞的現象顯得異常重要。就此，本論文著重針對網絡流量監控設計進行了分析，提出了相關的建議。

1 網絡流量監控的重要性

網絡是一個錯綜復雜的體系并且在管理的過程中會出現很大的難度和弊端，因此在進行網絡監控和管理的過程中一定要重視網絡流量監控問題。從目前我國網絡監控的發展來看，伴隨著各種軟件的迅速發展以及多媒體規模的普及和多形式化的網絡軟件的出現，不同領域的各項業務在網絡中逐漸趨于完善，網絡傳輸工作從以往的數據中迅速增長，給我國網絡造成了很大的負擔。因此，強化網絡流量監控工作顯得異常重要。就此，筆者認為在構建網絡監控體系的過程中要不斷的優化其內部軟件以及外部硬件，從根本上提高網絡監控在網絡中的重要位置發揮出其作用，這必然對網絡監控具有很大的意義。網網絡的流暢性、病毒的發現和制約起到了積極影響。與此同時，相關設計單位應該將網絡監控管理提高到面上，從思想上重視網絡流量監控工作，通過定期的完善和升級，一直網絡出現攻擊和病毒侵蝕的情況。

2 分析網絡流量特征

為了進一步的完善網絡局域網網絡流量管理的要求，應該構建局域網的流量監控軟件，通過網絡流量的分類、規劃、管理，針對網絡流量的整體特征進行總結，從根本上設計出符合于實際性、更好地、管理有效的流量監控體系。從根本上有效的管理網絡流量，達到避免局域網網絡堵塞的現象。就此，針對不同單位局域網的特征從以下幾個方面進行論述。

2.1 TCP/IP

在90年代初期開始，網絡中的主要協議主要是TCP/IP，雖然說視頻流、TP電話、相關的視頻軟件等發展的非常迅速，帶動了UDP協議在網絡中快速的發展，但是TCP/IP以及呈現出一個持續性發展的狀態。并且，因為用戶在瀏覽視頻或者是觀看電影的過程中會通過網頁進行，這就導致了WWW瀏覽器的迅速升級以及快速發展，從根本上提高其內容的豐富性。并且，網頁游戲以及商城對于TCP/IP的促進和發展也是非常有利的呈現出可持續發展的趨勢。因此，從以上內容的描述來看，TCP/IP在網絡中呈現出一個快速發展的趨勢，并且占據著主導位置。

2.2 雙向數據流

從網絡自身的角度進行分析，網絡的總體流向應該是呈現出一個雙方面浮動的情況，出了在網絡中應有的數據流通、數據改變、網頁訪問、下載相關的服務器、多媒體等會經常性的出現訪問外部網站的現象。

2.3 網絡數據流呈現出非對稱性

簡單來說，就是網絡數據在運作的過程中，兩者呈現出不統一的現象。或者其中的一個呈現高的現象，或者是其中一個呈現出低增長的狀態。比如說，某些單位在進行下載資料的過程中，數據流量非常緩慢甚至一個短短的視頻就需要下載一兩個小時左右。但是，在另外一個單位在進行下載資料的過程中速度非?？觳⑶页尸F出持續增長的趨勢，這個時候就呈現出了網絡數據流不對稱的現象。

2.4 短期性的TCP會話

從測試的內容來看，一般單位內部的區域網TCP會話中超過80%的交換數據量大體上是

2.5 規律

每天上午、下午以及晚上6～11時是數據流量的高峰階段，這主要是因為在上午以及下午階段隸屬于辦公期間對于數據流量的需求較大，然而從晚上6～11時來說是下班階段對于娛樂、游戲、交通等流量需求較高，是流量的高峰時間。除此之外，其他的時間隸屬于低估流量時期。

2.6 P2P通信

在網絡高速發展的前提下，互聯網的P2P技術伴隨著快速發展在網絡內的波及范圍變得越來越廣泛，并應用在各個場景當中。從我國國內的角度進行分析，P2P軟件應用最廣泛的是Workslink，還有完全以音樂共享為主要設計而進行開發的KuroKuro，是全中文操作的PP點點通，搜索音樂快捷方便的P2P軟件ezPeer，MP3搜索下載的全中文軟件的Jelawat，并且是何目前最容易分享的其他電腦網絡共享文件iMESH。不過從受眾最廣泛的角度進行分析，在線視頻點直播的PPS、pptv，完全性的體現出了視頻的優越性，從根本上體現出了P2P通信的優勢。并且這兩款視頻點播曾經創下了在線點播在線人數超千萬的記錄，完全性的體現出了收看人越多，視頻觀看流暢的P2P技術的優勢。但是，從下載歌曲、電影、軟件、在線視頻點播等進行分析，直播的P2P軟件只有擁有足夠的種子以及足夠的金額護短就能夠占據全部寬帶，從整體上使其他網絡用戶沒有辦法正常性的使用網絡，從根本上造成了嚴重性的網絡擁塞。

3 系統設計

在進行系統的過程中，首先要注意的是保障單位局域網的網絡流通現象，針對局域網的流量實施監控措施，完善監控系統針對監控系統所會出現的一系列問題和弊端進行適當性的修改和整體。從根本上保障局域網的監控系統能通過系統管理模塊以及站點流量管理體系，從根本上針對網絡流量進行實施監控，并且保障流量能夠暢通，對于出現數據制約網路的現象，應立即采取攔截的策略。與此同時，設計網絡流量監控系統中，一定要保障其監控系統中涵蓋流量監控、流量實時監控、流量定時監控、忙時監控、P2P監控等，從總體上保障流量監控體系能夠完善并且處于一個穩步運轉的狀態中。就此，從以下幾個方面針對其內容進行論述。

3.1 系統管理模塊

系統管理模塊是系統的基礎性模塊，其模塊涵蓋了用戶管理功能、系統的配置功能。所謂的用戶管理功能是通過密碼管理和用戶限制非系統性人員或者是失誤操作流量的監控體系。這里面所說的用戶包含了超級管理人員以及系統兩級用戶。超級管理人員可以通過增加管理員用戶、刪除管理員用戶、修改管理人員能修改自身的密碼和對其履行超級管理權限并且針對系統進行細致性的管理。從根本上完善對系統的總體配置和使用，更好的監控網關地址等配置。從另外一個角度進行分析，系統管理模塊是通過固定的體系進行維修和管理，從根本上提升維修和管理的策略。

3.2 流量采集模塊

如果說將整個系統比喻成大腦，那么流量采集模塊就是整個大腦中最核心的部分，占據著一定的位置。于此銅絲，流量采集模塊是基于窗口流量監控范圍內，并且針對流量進行監控和管理。通過流量采集模塊為基礎，針對其進行實時監控和管理，通過圖表的總體模式直接性的針對端口流量的情況，實時監控處理。監控主要涵蓋了針對指定的IP地址以及制定的IP區段內的流量實時監控，其次是針對指定協議端口流量監控，最后是針對指定的AS或者是制定AS間的流量監控。與此同時，這項模塊還可以還能針對網絡性能進行監控報警。其報警主要可以分成流量擁塞報警，當流量增加的時候，就會達成設定的域值。另外一種可以分成網絡擁塞報警，當流量陡增發生丟包或設備路由器轉換成交換機的CUP以及內存處理能力出現嚴重性的問題。報警可以針對整個性能管理、故障管理以及安全管理都起到非常重要的作用。

3.3 站點流量管理模塊

站點流量管理模塊式以站點管理為基本單位，并且將訪問的站點按照不同類別進行分類，并且針對其分段時間按照流量監測的實際情況采取限制性訪問的策略，將這些站點設置信息保存至相關到數據庫當中達到實現分類監控管理的目的。

3.4 P2P流量監控模塊

主要針對下載和P2P監控，針對P2P軟件例如BT等嚴重性的占用到了網絡寬帶，因此需要針對P2P流量實施監控政策。網絡監測管理人員希望能夠封鎖一切的BT軟件，控制這一系列軟件的占用網絡寬帶率，從根本上提升BT軟件的占用率，改變流量監控的現狀，提高網絡流量的使用率，減少降低的范圍。從BT服務來說，一般使用TCP/IP協議的16881一直到16889端口。從最近幾年來說，為了跨越封鎖，很多BT工具開始修改鏈接的端口，直接性的使封鎖BT軟件變得特別困難。從目前來看，通過的方式是通過監視每臺局域網中計算機的下載速率，如果某臺計算機嚴重性的占用寬帶，網絡管理人員將封鎖到達該臺計算機的IP報文，使該臺電腦不能夠進行下載。與此同時，還應該保障P2P軟件的使用，從根本上使P2P軟甲家算計需要在使用之前向項目管理人員進行申請。與此同時，還應該保障其不影響其他同事工作的時候實施下載策略。

3.5 流量分析統計模塊

其主要是通過對數據庫進行檢測工作，從總體上針對數據進行反反復復的分析工作，并且針對數據表格拼湊以及數據狀態進行實質性的改變和分析，從總體上提高統計圖的類型和形式達到有效分析流量的目的。

3.6 計算機網絡流量監控系統

其關鍵點在于通過實時采集技術針對網絡所產生的數據進行分析和整理，在一定程度上針對其設備進行統計和測量工作。在一定程度上成為了目前我國所出現的主要的IP流量分析、統計分析以及相關費用的標準。針對其流量數據進行手機和整理，能夠在一定程度上將其更好的變成流量的問題，通過IP數據包的整體檢測和分析，從而找到IP地址的源頭以及IP地址的端口，從總體上提高了IP地址的斷口。達到了區分網絡類型和傳輸方向、傳輸類型和信息的目的。從另外一點進行分析，針對P2P流量實施監控的時候，其主要應該從局域網采取下載公式的測量，當察覺到計算機嚴重性的占用寬帶情況的過程中，應立即采取封鎖IP數據流通的情況，終止該電腦下載的情況。并且，在使用P2P軟件的計算機必須在使用之前向上級網絡提交使用報告和申請，將其報告或者是申請放置到數據庫當中，達到在不斷時間段不影響單位網絡正常運行的目的。

4 結束語

總而言之，針對計算機網絡流量監控的設計和實現來說，一定要完善其系統保障流量監控體系實施的恰當，保障各個軟件在流量監督體系中能夠更加完善。從總體上推動網絡軟件的大力發展以及保障網絡運行的暢通。

參考文獻：

[1]程光，龔儉，丁偉.網絡流量宏觀行為分析的一種時序分解模型[J].電子學報，2012（11）.

[2]蔡康，湯艾軍.IP網絡流量與分析[J].廣東通信技術，2012（01）.

[3]鄒柏賢.網絡流量正常行為模型的建立[J].計算機應用，2012（07）.

[4]安常青，李學農，李小喬，岑賢道.基于SNMP的網絡流量管理系統[J].計算機工程與應用，2012（05）.

[5]趙佳寧，李忠誠.基于模擬的網絡流量自相似現象分析[J].計算機科學，2012（11）.

[6]劉特，徐迎曉，吳建軍，黃令恭.基于Java Servlet的網絡流量采集與監控技術[J].計算機工程，2012（19）.

[7]鄔源楊，董瑋文，楊宇航.自相似網絡流量的長相關分析方法[J].計算機工程，2012（05）.

[8]鄒柏賢.網絡流量正常行為模型的建立[J].計算機應用，2012（07）.

篇(7)

摘要：基于機器學習的網絡流量識別技術作為一種典型的數據流分類的應用，對概念漂移檢測方法的要求越來越高。針就這個問題，首先分析了概念漂移檢測的兩種典型方法，然后結合實際的網絡環境中經常存在類別不平衡的特性提出了一種檢測概念漂移的算法CF_CDD，并對該算法的原理和統計學理論基礎進行了詳細的論述。再根據提出的概念漂移檢測算法構建基于權重的集成分類器算法TCEL_CF_CDD，以達到自適應流量識別的目的。最后進行實驗，驗證了文中提出的概念漂移檢測算法的可行性。

關鍵詞：流量識別； 概念漂移； 統計學檢驗； 集成學習

中圖分類號：TP393 文獻標識碼：A文章編號：2095-2163（2013）06-0050-05

0引言

隨著網絡日新月異地迅猛發展，網絡上的各種協議也相繼出現，與此相對應，流量識別技術則日趨顯示了其重要的作用和價值。傳統的基于端口的流量識別方法和深層數據包檢測（DPI）技術已經不能很好地完成識別的任務，當前基于機器學習的流量識別技術已經成為引領該領域研究的主流和方向[1]。網絡流量識別本質上是根據網絡數據包的特征將網絡數據流分成已知的協議類別，而這正是一種典型的數據流分類的應用，那么必然地數據流分類面臨的概念漂移檢測問題在進行流量識別技術研究時也就需要慎重對待、深入考慮。近年來，關于數據流分類中概念漂移檢測的研究已取得了不少的成果，但是各類方法在應對某種具體的數據流時卻都具有一定的局限性[2]。本文結合實際網絡環境中存在類別不平衡的情況，提出了更適用于網絡流量識別的概念漂移檢測方法。

1流量識別與概念漂移

概念漂移是數據流分類中的問題。作為一種具體的數據流，網絡數據流當然也存在概念漂移的相關問題。

1.1流量識別中的概念漂移

以機器學習的角度來看，基于機器學習的網絡流量識別技術實際上就是學習概念的過程[3]。識別的實現是通過在訓練網絡數據集內尋找其蘊含的協議分類規則（概念），由此得到網絡流量識別器，進而識別測試網絡數據包或者實際工作中到來的網絡數據包的類別。

假定網絡數據流D={…，di-1，di，di+1，…}，其網絡數據流中的協議類別C={C1，C2，…，Cn}，t時刻，在訓練網絡數據集Dt上訓練得到識別規則f：DtC，那么在t+1時刻就可以對dt+1網絡數據包的協議類別預測為f（dt+1）。但是，如果網絡數據流的隱藏背景在t時刻和t+1時刻發生了改變，引發了概念漂移，t+1時刻的實際識別規則已經是g：Dt+1C，且g≠f。也就是說，dt+1的真實協議類別是g（dt+1），因而利用原來的識別規則f預測的dt+1的協議類別即是不盡合理的。通過上面的論述可以看到，概念漂移對網絡流量識別的影響，而正確的做法也就相應可得了。假定在t+t時刻發生了概念漂移，應該迅速檢測出漂移的發生，然后重新訓練識別器，得到正確的識別規則g，然后利用g來進行以后的網絡數據包協議類別預測。

自適應的流量識別就是能夠自主地檢測到概念漂移的發生，而后再對分類器進行重新構建，以保證其對動態網絡數據流的正確識別。

1.2檢測方法分類

由于概念漂移的生成原因極其復雜，目前的檢測方法都不是直接的，而只是間接的[4]。最為基礎的有兩個：

（1）可能導致概念漂移發生的原因；

（2）概念漂移發生后可能產生的結果。

前者稱之為性質法，后者為性能法[5]。

性質法是指監測最新的網絡數據集合的相關統計性質，如協議種類的分布、各數據包的特征分布等等。Alippi設計了不依賴先驗信息而只需要數據分布模型的中心極限定理的概念漂移檢測算法[6]；Peter等提出了基于熵的概念漂移檢測方法[7]。

性能法是指檢測識別器最新的性能指標，如分類精度、召回率等等，如果分類器的性能指標出現較大波動，即說明發生了概念漂移。Widmer的FLORA算法依賴分類器的樣本覆蓋量和準確率決定窗口大小[8]；Last等提出的OLIN算法[9]即根據誤差率來判斷概念漂移產生與否。

2概念漂移檢測

上節闡述的兩種概念漂移檢測方法中，最經常使用的是基于性能監測的方法，但是卻不適合類別不平衡的數據流環境。本節將會看到，網絡流量環境中經常出現的類別不平衡現象對概念漂移檢測的影響，同時結合這點，本文也提出了改進算法，以適應實際網絡環境下的動態流量變化。

2.1檢測算法原理

對于穩定的網絡流量，其各個協議類別是大致服從同一概率函數分布的，但是，如果一個存在概念漂移的網絡流量中，網絡數據包協議類別的分布概率卻會隨著概念漂移的發生而相應改變。因此以觀察協議類別的概率分布變化來檢測網絡流量是否發生概念漂移則不失為一個恰當穩妥的辦法。根據貝葉斯理論知道，概率分布P（w/x） = P（x/w）P（w）/P（x）。當P（x）改變而P（x/w）不變時，也就是說之前不常出現的協議數據包開始大量出現了或者相反，此時發生的概念漂移就是漸變；當P（x）不變而P（x/w）發生改變時，這種概念漂移就是突變。通常，在一個網絡數據流中多會同時存在這兩種類型的概念漂移，且也很難進行有效區分，但是從檢測概念漂移的目的來說，檢測到概念漂移后即可對分類器進行重新構建，因此也就沒有必要區分概念漂移的具體類型了。

網絡數據流量是按照時間相依有序的離散的數據集合，流量識別實質上就是進行時間序列分析。粗略來看，如果只是簡單的對網絡流量進行時序分析，似乎忽略了數據流變量之間內存因果關系和結構關系的影響。但是實際上時序分析是從總體方面對網絡流量進行考察，綜合說明各種作用力的共同影響。當無法輕易獲得所關心的各種紛繁因素時，就可以直接將時間t用作變量來代替各種因素。因此，概念漂移檢測就可以將時間t引入到文中的檢測模型內，從而完成整個算法。

綜上，當將時間t作為變量引入檢測模型后，再加上一定的協議類別變量，此時如果能夠找到兩個變量之間的關系問題，就能夠得到概念漂移檢測的解決方法。而統計學理論已有很多研究成果就是致力于探討變量之間的關系，本文就從統計學理論中尋求概念漂移檢測的方法。

2.1.1統計學理論——卡方檢驗

卡方檢驗是一種應用相當廣泛的非參數統計理論，利用該理論，可以判定實際觀察的概率分布是否發生了改變還是僅來自于理論誤差。

網絡數據包集合，函數ψ是數據包的某項特征變量Z的概率分布，而且滿足條件（1）：

P（Z=ci）=pi，s.t. Pi>0， ∑ni=1 pi=1（1）

變量ni代表監測到的網絡流量數據集合中數據包協議類別為ci的數量，所有ni的和滿足條件（2）：

∑mi=1 ni=n（2）

已經知道，ni是監測值，再假定mi是理論值，則根據以上定義可得卡方值，如式（3）：

χ2=∑ni=1（ni-mi）2mi（3）

綜上可得，如果卡方值小于其臨界值，函數ψ就是變量Z的最優擬合函數；相反，如果卡方值大于臨界值，函數ψ就不再是變量Z的最優擬合函數。卡方的臨界值取決于已驗證得到的χ2統計理論表。

本文中，利用卡方值來檢驗連續兩個網絡流量的數據集合Di和Di+1是否發生了概念漂移。為了進一步闡述檢測方法，先做如下兩個假設。

（1）假定函數ψ已經滿足于一個數據包集合的分布，然后驗證其連續的下一個集合是否滿足該條件；

（2）假定這個網絡流量中只存在兩種協議的數據包，即Http和Non-http。

根據上述假設，探討分析可得如表1所示的連續兩個網絡流量的數據包集合Di和Di+1的類別分布，表1中變量c1， c2， c3， c4分別代表Http和Non-http在不同數據集合中的觀察個數。根據這四個變量，就可以得到期望的兩個數據包集合中的協議類別數c1，c2 ，c3 ，c4 ，具體如公式（4）、（5）、（6）、（7）所示。

計算得到卡方值后，再和臨界值比較就能夠判定函數ψ是否滿足于Di+1，以此就可以判定概念漂移是否發生。

2.1.2類別不平衡與Fisher檢驗

χ2檢驗對2維表的各個協議類別的數量是有一定要求的，要求20%的協議類別數量不小于某個特定值。但是在真實的網絡環境下，經常存在類別不平衡的流量，因此就無法滿足χ2檢驗的要求，此時就只能應用Fisher精確檢驗。

同樣，使用上小節的2*2表進行說明，先設幾個變量：C1= c1 + c2，C2= c3 +c4，C3= c1 + c3，C4= c2 + c4，C = C1 + C2或C3 + C4 ，就可以得到p值，如式（9）所示，根據P{cij}來確定是否發生了概念漂移。

2.1.3檢驗步驟

根據概念漂移的檢測原理和統計學理論，就可以利用χ2檢驗和Fisher檢驗來共同確定連續的兩個數據包集合是否發生了概念漂移。具體步驟如下：

（1）建立零假說，即認為沒有發生概念漂移；

（2）確定數據包集合之間的實際差異，即根據類別是否平衡，進行χ2檢驗或者Fisher檢驗；

（3）根據χ2檢驗或者Fisher檢驗的結果，和理論值進行比較。如果大于理論值，則拒絕零假說，即認為發生了概念漂移。

2.2概念漂移檢測算法

通過上述的分析，本文接下來將給出一個利用統計學理論來檢測概念漂移發生的方法。和已經存在的大部分概念漂移算法相比，該方法有兩個顯著的特征：第一，該方法屬于顯示探測概念漂移，因此其中含有單獨的檢測概念漂移發生的模塊；第二，該方法結合網絡流量識別的實際環境——經常存在類別不平衡的特性，利用集成學習的方法來適應動態的網絡數據變化。當一個網絡數據包集合到達以后，概念漂移檢測模塊就對其進行檢測，檢測是否有概念漂移發生，如果概念漂移發生了，檢測模塊就會告知流量識別器更新或者重構識別器，以保證流量識別器能夠繼續對其后的網絡數據流進行準確識別。

算法CF_CDD旨在檢測出動態變化的網絡數據流中發生的概念漂移，一旦網絡數據包數量達到合適的窗口大小，概念漂移模塊就檢測連續的兩個網絡數據包集合之間是否有概念漂移發生。CF_CDD （Di，Di-1）算法如下。

在如上算法中，第1步、第2步是分類器對數據包Di，Di-1進行分類，并統計了相應的樣本數量，第3步判斷協議類別是否出現了不平衡。若平衡，就進行χ2檢驗；不平衡，就是Fisher檢驗。最后，根據檢驗結果P和CONST的比較，判定是否發生了概念漂移。其中，CONST是根據自由度和置信度查表得來的界限。

2.3自適應流量識別

若要完成自適應的網絡流量識別，就要有效地檢測出概念漂移，再對分類器進行調整。本文采用集成學習來構建分類器，因而構建集成分類器的子分類器的機器學習算法就需要進行重點研究和專門討論了。

2.3.1類別不平衡下的機器學習算法

網絡數據流量中經常存在協議類別不平衡的情況，協議類別的分布對基于機器學習的流量識別技術有著不小的影響。因此，選擇合適的機器學習算法以適應網絡協議流不平衡環境下的在線流量分類，即顯得尤為重要[10]。

本文在實驗與分析中，將幾種典型的機器學習算法——決策樹C4.5、NBK、SVM與提出的概念漂移檢測算法結合后進行了對比，選取得到最能適應含有類別不平衡協議流的真實環境的算法，且算法性能良好。

2.3.2集成學習

算法TCEL_CF_CDD，利用權重集成分類器對到達的網絡數據包進行分類，集成分類器的子分類器要根據概念漂移檢測模塊的結果進行調整、更新。

在上述算法的第4步中，基分類器的構建過程中采用的是一種常用的機器學習算法，本文將通過實驗來選擇出實驗真實環境的算法；第4-6步是集成分類器的構建過程，當變量Num等于Max時，標志著集成分類器構造完成；而后在第8-11步中定義基分類器在相應的數據集上的準確性；第12步是對各子分類器權重進行規格化；第13步表明了在本課題中為了充分利用樣本信息，對每組樣本均采用了先測試、后訓練的策略；第14步是調用CF_CDD算法來檢測連續的兩個樣本網絡數據包集合之間是否發生了概念漂移，如果發生了概念漂移就要在最新的樣本數據集中構建最新的基分類器，并用構建出來的新分類器替換已經存在的基分類器中表現最差的那個；第19步是在調整子分類器后，對各分類器的權重進行調整。

3實驗與分析

本文利用已經捕獲的幾個網絡數據包集合來模擬網絡流量，將數據包按捕獲的時間進行順序排列，并用實現的算法對其進行分類識別。本文的算法是在MOA平臺上實現的，MOA是一個典型的利用WEKA實現的數據流分析軟件。

3.1機器學習算法的比較

將三種典型的機器學習算法——決策樹C4.5、NBK、SVM與本文提出的概念漂移檢測算法CF_CDD結合，分別構造識別器，利用模擬的網絡流量的第一個數據包集合作為訓練集，并且對后續的五個數據包集合進行分類，以測試不同的機器學習算法對識別精確性的影響，其結果如表2所示。從表2中可以看到：NBK的精確度明顯不高，而且也有隨時間下降的趨勢；決策樹C4.5和SVM相比NBK則有不錯且相對穩定的精確度，適合提出的概念漂移檢測算法。

C4.5和SVM雖然都有不錯的精確度，但是因為知道SVM的建模時間相對C4.5來說耗時更長，再結合處理概念漂移檢測的實際特點——需要經常調整分類器，因而此處不難得出結論：決策樹C4.5與本文提出的對概念漂移檢測算法CF_CDD結合進行網絡流量識別更能夠自適應地處理實際網絡環境中的概念漂移問題。

3.2漂移檢測算法的比較

一般的數據流中，檢測概念漂移的算法是基于誤差率的，利用對分類器誤差率的監測來判定是否發生了概念漂移。本實驗就對基于誤差率（Error_CDD）和本文提出的基于統計學檢驗（CF_CDD）的兩種概念漂移的算法在模擬的網絡流量識別的精度進行了對比，對比結果如圖1所示。

從圖1中可以看到，當有類別不平衡的協議類別時，Error_CDD的識別精度大幅度下降，驗證了之前提到的性能法不適合于類別不平衡的網絡數據流量識別，而本文提出的CF_CDD算法卻有良好的穩定性，也說明本文提出的算法能夠很好地適應類別不平衡現象。

4結束語

本文對流量識別中的概念漂移進行了深入研究，主要分析了漂移檢測原理，并結合真實網絡環境中存在的類別不平衡的特點，提出了基于統計學理論的概念漂移檢測算法，在檢測算法的基礎上提出了利用集成學習來完成自適應的流量識別，最后的實驗證明了本文提出的算法的可行性和可靠性。當然，數據流概念漂移的問題還有很多，建議其后的主要研究方向就是類似本文這樣針對某種具體數據流的特點進行詳細的分析。

參考文獻：

[1]王耀南，張瑩.基于可信多數投票的快速概念漂移檢測[J].湖南大學學報（自然科學版）， 2010， 37（6）： 36-40.

[2]GUAN Jinghua， LIU Dayou. Selected ensemble of classifiers for handling concept-drifting data streams[J]. Computer Science， 2010，37（1）：204-207.

[3]王濤，李舟軍，顏躍進，等.數據流挖掘分類技術綜述[J].計算機研究與發展，2007，44（11）： 1809-1815.

[4]SUN Yue， MAO Guojun， LIU Xu. Mining concept drifts from data streams based on multi-classifiers[J]. Acta Automatica Sinica， 2008， 34（1）： 93-97.

[5]文益民.概念漂移數據流分類研究綜述[J].智能系統學報， 2012，7（6）：1-10.

[6]ALIPPI C， BORACCHI G， ROVERI M. An effective just-in-time adaptive classifier for gradual concept drifts[C]//Proceedings of the 2011 International Joint Conference on Neural Networks. San Jose， USA， 2011： 1675-1681.

[7]PETER V， ABRANHAM B. Entropy-based concept drift detection[C]//Proceedings of the 6th International Conference on Data Mining. Hong Kong， China， 2006： 1113-1118.

[8]WIDMER G， KUBAT M. Effective learning in dynamic environments by explicit context tracking[C]//Proceedings of the Sixth European Conference on Machine Learning. Vienna， Austria， 2003： 69-101.