c - 流量分析: distinguish between streaming and downloading and other services?

Question

我是 Libpcap 和 Wireshark 新手:对于我的学校项目，我必须区分不同类型的流量(SMTP、网络流量、VoIP、在线游戏、下载、流媒体……)。虽然一开始我依赖端口号(SMTP 为 25，HTTP/HTTPS 为 80/443，...)，但出现了一些问题:总是有更多站点支持 HTTPS(因此，不再需要进行有效负载调查)，并且简单的端口号可以不要告诉我重要的区别(端口 443 可能会带来不同类型的服务)。

所以我想根据一些已知的行为对流量进行分类，例如下载和流媒体具有不同的带宽(比特率):第一个具有恒定的高带宽，第二个具有高带宽的峰值，当您有您需要的“一 block ”。

由于我对该主题不熟悉，这是我从网络上获得的唯一已知行为。有人能指出我正确的方向吗？

Answer 1

1. 使用wireshark将流量划分为 session 。
2. 对于那些根据协议(protocol)/端口分类很明确的情况，请进行分类(例如端口 25 = SMTP 应是给定的)。
3. 对于那些需要进一步分析的特征，找到适当的特征，例如:
   • 平均数据包大小，
   • 数据包大小标准偏差/方差，
   • 上行/下行方向每秒的数据包数，
   • 数据总量，
   • 上行/下行数据量比例，
   • 上下行包数比例
   • 你能想到的还有很多
4. 使用 3. 中的特征数值，构建 vector ，并应用所有分类知识:也许这是支持 vector 机的情况？也许您只是查看可能看到的集群并得出结论？也许您只是生成所有相关类型的“已知”流量并将其映射到该 vector 空间中，将每个未知 session 分类为欧几里德距离 - “最接近”的已知流量类型？也许您根据从主成分分析中学到的知识来预先调节 vector ？

正如您在 4. 中看到的，有很多用于分类的工具，并且您需要精通分类理论来处理您的问题。