基于C4.5决策树的VoIP实时检测系统

社交媒体在人际交流中扮演着至关重要的角色，像Wechat等即时通信应用每天被数十亿用户使用，值得注意的是，这类应用程序已经成功地适应了用户的需求，在过去的10年中，Skype、Google Plus、What Sapp和Apple FaceTime等许多VoIP应用已经非常流行，并正在逐渐取代普通的电话服务，主要是因为价格较低，甚至免费。由于监管的缺失和运营不够规范，各种安全问题日益显现，如通信金融诈骗、隐私泄露等，所以对VoIP的监测显得十分重要和迫切[1]。

标题是对文本的简明描述，须服从于个性化出版、概括其内容以吸引读者等目的。Swales（1990）曾经宣称，文体中的标题未得到学界应有的重视；自那以来，对标题的学术研究得到蓬勃发展，特别是被称之为标题学（titleology）的术语在大量学术文献得以广泛应用，就是其中的体现（Baicchi，2003）。在我国，对标题的研究也方兴未艾，诞生了大量的著述，其研究范围大都以小说、电影、新闻等文体为主。但是，我国对于学术文体的标题研究较少，特别是对于法学论文标题的研究，迄今尚付阙如。本文以法学论文标题的修辞格为中心来分析其文体特点及其翻译策略。

目前，对于VoIP流量识别主要分为三大类：1)基于协议分析的VoIP流量识别方法；2)基于数据流特征的VoIP流量识别方法；3)基于机器学习的VoIP流量识别方法。陈敏等[2]提出了一种综合流量识别方式，结合协议特征和协议流程，提取会话中的动态信息，由此识别该程序进行的通信过程。张广兴等[3]通过分析VoIP的传输特性和对RTP、RTCP协议连接时的特征，根据通信中2种数据流都存在时特征之间的关系，提出了一种在传输层识别VoIP流量的启发式算法。以上方法的不足之处在于，协议分析的识别方法无法识别使用私有加密协议的应用。文献[4]使用一种新的盲流分析技术，能够准确检测到Whatsapp流量。Yildirim等[5]研究了IP数据包的长度，认为VoIP流量类型的包长应为60～150 Byte，但其识别率不高。文献[6]提取数据流中一段时间内的包长以及时间间隔等信息，将范围、均值、方差等作为特征进行流量识别，但其实验过分依赖经验，对于不同的网络数据适应性不强。Mauro等[7]基于数据挖掘工具WEKA，调用其中的机器学习算法，针对VoIP程序Skype，提出了一种基于决策理论的识别系统，但由于实验数据不足，且未对数据流的特征进行选择，只有82%的识别精度。肖梅等[8]基于朴素贝叶斯算法搭建分类器模型，能够准确识别QQ流量。Alshammari等[9]在实验中证明C4.5算法在识别准确率上优于朴素贝叶斯算法等常用机器学习算法。刘建明等[10]提出基于机器学习算法的VoIP在线识别系统，但由于不具有实时性，并非真正意义上的在线识别。鉴于此，提出一种基于C4.5决策树算法的实时VoIP流量检测系统，在分流阶段重新定义一种按时间分割的分流方法，使系统具备了实时性，能够快速准确识别VoIP流量。

1 实时VoIP流量检测系统

所设计的系统中，流定义为2个主机之间连续交换的数据包，规定同一条流中的四元组(源地址，目的地址，源端口，目的端口)相同。由于VoIP流量的类型通常为UDP流，均考虑在UDP流的基础上实验与测试，非VoIP流量的类型获取全部为UDP类流量。实时VoIP流量检测系统主要包括流量预处理模块和流量识别模块2个模块，流量识别模块又包括离线识别与在线识别。

1.1 流量处理模块

流量处理模块在离线状态下进行，通过Wireshark软件获取数据集，然后根据分流规则对数据集进行处理，选择合适的特征值，对数据集进行特征提取，构成训练集。流量处理流程如图1所示。

  

图1 流量处理流程Fig.1 Flow processing process

1.1.1 PCAP文件解析

“醍醐灌顶”出自于《敦煌变文集·维摩诘经讲经文》，比喻灌输智慧，使人大彻大悟。杨译中“Baoyu felt as if Buddha had suddenly shown him the light”, 通过注释法基本翻译出了典故中的要义，虽未全尽人意，也已算成功之作了。

1）创建机械类课程的三维建模与仿真平台。利用现代信息技术对相关教学内容进行二次开发，实现各类机械类课程典型实例在虚拟环境下的可控操作，形成直观生动的教学案例，实现教学内容的整体优化。通过三维建模与仿真平台创建的静态或动态的三维物体模型及仿真结果，所传递的教学信息更为逼真，更能够吸引学生的注意，给予学生视、听、触觉多方位的感官刺激，这种方式更有表现力和感染力。充分挖掘三维动画方面的技术优势，以多形式、多角度呈现教学内容，并以虚拟现实课件的建设为重点，实现教学手段现代化。在教学的同时为学生提供二维码扫描打开链接下载的方式供其下载，以便其课下学习。

通过对Pcap文件的头文件分析，可以提取每一条数据流的四元组，然后获取数据包长、包间隔时间等流统计特征，再通过这些流统计特征进行分流。考虑到CSV格式文件支持使用Excel查看，在特征选择结束后，生成CSV格式训练集。

FLOW_LEN=FLOW_INTERVAL；

贫困和饥寒时刻困扰着章学诚，耗费了他大量宝贵的时间和精力，但章学诚还是利用点滴时间发愤治学，正如他自己所言，他的许多文章都是在“车尘马足之间”写成的。他之所以能做到这样，是因为受其“学以明道”的使命感所驱使。

基于机器学习的VoIP流量检测中，通常需要检测一条完整的UDP流，这种方法主要适用于离线检测。基于机器学习算法的在线识别，主要是将完整的一条流前面一小段作为子流，对其进行特征分析与检测[11]。但是，数据流的前一小段数据包一般为TCP连接信号，对于UDP类型的VoIP流量识别不具备通用性，并且对于基于私有协议的应用程序，其特征也会随之改变，因此，这种识别方式不具有普遍适用性。即使是实时检测中，也需要一个对数据包累积的过程，大大增加了识别的时间，降低了实用价值。

注水与施肥，注入的新水要过滤以防止杂鱼及鱼卵随水进池，虾池水位先浅后深，利用水深的控制获得更有利于虾生长的水温。同时施肥培育足够量的浮游生物成为虾的直接天然饵料，常用发酵后的有机肥料，施用量为每亩80kg，视水色逐步追加施肥。

为了实现系统的实时性，重新定义了分流规则，在分流程序中加入了流间隔时间、流长度、包间隔时间、包长度作为控制变量，使分流规则能够自定义。一般一条完整的VoIP语音作为一条流，将一条完整的数据流平均分割成若干条子流。分流参数为：流间隔(FLOW_INTERVAL)，流长度(FLOW_LEN)，包间隔(PACKET_IAT)，包长度(PACKET_LEN)。其中流间隔决定了对VoIP流量识别的延时。具体定义如下：

1.1.2 分流规则

根据对现场填埋垃圾的论证，就已填埋的垃圾量、垃圾主要组成、填埋工艺等情况基本可以估算，到2016年填埋场沼气收集量为1 100～1 200 m3/h，能满足一期2台1000kW的发电机组的运行；由于近年来垃圾总量大幅上升，预计到2022年填埋场沼气收集量约为2100m3/h，完全能满足4台1000 kW的发电机组的运行。

PACKET_IAT=FLOW_INTERVAL/2；

PACKET_LEN=60。

1.1.3 随机采样

2)设数据流按时间平均分割后的子流个数集合为k，k={k1，k2，…，kn}，数据流的长度为p，流间隔时间(FLOW_INTERVAL)为t，则k=p/t；

1)设数据流的集合为P，P={P1，P2，…，Pn}；

分流后每条数据流会被分为若干条子流，而每条流的长度以及包含数据包的个数并不相同，因此，每条流分割所得的子流个数有多有少。源于同一条流的子流，它们之间的特征非常接近，这可能造成一些特征在数据中出现的次数增加，对识别产生干扰。而且，通过数据分析发现，一些非VoIP流，如P2P类型流量的特征，与VoIP数据流的特征也非常接近，所以在流量识别时可能产生混淆，将非VoIP流量类型误识别为VoIP流量，若该类型流量占比大，会对分类器识别的精度造成影响，使实验的结果产生较大的误差，故需要对每条流的子流进行随机采样。采样规则为：

3)取最小切分个数a=min[k]，从每条流的子流中随机取出a条，将取出的子流合并为新的数据集p。

此次旱灾表现出降雨少、来水少、蓄水少、墒情差、饮水困难程度重等特点，出现了作物干枯、河道断流、饮水困难等现象，是水文干旱、气象干旱、农业干旱的集中表现。数据显示，2009年 7月 1日—2010年 1月20日，云南省平均降水量为511.5 mm，比多年同期平均偏少207 mm，偏少了29%，打破了有气象观测记录以来同期平均降水量的最少纪录。受降水减少的影响，主要河流来水减少，部分河流甚至出现断流，使大部分地区的库塘蓄水不足，进而发生严重的农业干旱和水文干旱，造成水资源供需失衡，并最终表现为涉及降水、气温、人口、经济、供水、用水等方面因素的经济社会干旱。

与此同时，该《管理暂行办法》将慢性病卡持有者的门诊费用年报销额限定在1 000元/年·人。若以每年4次随访计算，按本次调查显示的糖尿病患者次均门诊总费用平均值361.4元，易知此门诊费用的封顶线是小于平均的年门诊费用的。也就是说，即使被纳入为门诊治疗的补偿对象，限于医疗保险基金的承受能力，该政策补偿力度是有限的。实际上，当基本医疗保险主要针对大病支出的补偿而忽略慢性病支出的特点时，其对慢性病患者的经济保护作用就会较弱[17-18]。李媛等[19]的研究也表明，目前城乡居民合作医疗保险的门诊补偿还仅限于特殊疾病和选择二档缴费的部分大病，且补偿力度有限。

属性A提供所在分类的信息量，记为属性A的信息增益G(D,A)，则属性A将样本区分后所得到的信息增益为

Moore等[12]基于可作为传输层通信行为特征的249个统计变量，提出了多种基于监督式机器学习算法的识别流量方法。若全部进行统计，将会消耗大量的时间，而且建模耗时太长，与实时性相悖。许多流量统计特征可从流量中计算出来，并不是所有的特性都能在不同的应用之间提供良好的区分。使用这些特征会降低分类器的精度。

首先，通过关键语音流属性，选择20个候选特征，考虑到建模时间会影响识别系统的时效性，20个候选特征还不是最优特征子集；根据搜索算法BFS和基于关联度准则的CFS算法，再次进行特征选择，最后选取其中12个典型特征，如表1所示。

 

表1 选取的12个典型特征Tab.1 12 typical of features selected

  

编号特征描述特征简称1数据包总个数tpkts2数据包总长度tpkl3正向数据包的数量fpkts4反向数据的包数量bpkts5正向平均数据包长度meanfpktl6正向最大数据包长度maxfpktl7反向平均数据包长度meanfpktl8反向最大数据包长度maxfpktl9平均活动流量meanaf10最大活动流量maxaf11平均空闲流量meanif12最大空闲流量maxif

1.2 流量检测模块

实验环境为个人PC，操作系统为Window 7，CPU为Intel xeon E5 2.8 GHz，内存为DDRⅢ。实验平台为新西兰怀卡托大学的开源数据挖掘平台Weka-3.6以及1台华为S5000交换机。

  

图2 流量检测系统Fig.2 Flow identification system

1.2.1 C4.5决策树

C4.5是目前最具影响力的决策树分类算法。C4.5算法用信息增益率代替信息增益选择节点属性，支持离散属性和连续属性，是一种基于信息熵的决策树学习算法[13]。

C4.5算法的具体定义为：设S为训练集，内部共有n个训练样本，归为m个不同的类，得到集合{S1，S2，…，Si，…，Sm}，样本的数量在类中表示为ni，类别出现概率表示为pi=ni/n。S的信息熵为

 

(1)

取数据集的任意属性记为A，取值为a1，a2，…，av，将属性A每个取值的信息期望记为I(A=aj)，j=1，2，…，m。训练集S被该属性划分为v个子集D{D1，D2，…，Dv}，取Dj为A=aj的样本子集，则样本数为dj，样本子集中属于子集Si的样本数为dij，第i类的概率为pij，pij=dij/dj。样本子集Dj的信息期望为

 

(2)

当A=aj的样本的概率为pj=dj/n，利用属性A划分当前样本集合D的期望信息，即A的熵为

 

(3)

1.1.4 特征选择

G(D,A)=I-H(D|A)，

(4)

属性A的信息增益率为

为了有效减少金矿开采导致的水资源污染，应采用水层隔离方式来减少水污染现象的发生，矿井排水也可以充分利用，用来灌溉农田。通过应用阻水技术和截流技术封闭进水通道，避免矿井水资源泄露，保障矿金周边能够正常供水。针对已污染水源需要及时进行净化处理和水污染治理。采用物理或化学方式进行污水治理，分段治理污水，逐步改善水环境，净化污水。

 

(5)

使用2种机器学习算法(朴素贝叶斯算法和支持向量机算法)作对比实验。朴素贝叶斯算法是基于贝叶斯定理的统计分类器，它给出了其给定类的条件概率。这种识别方法分析每个类的实例和每个属性之间的关系，以获得属性值和类之间关系的条件概率。朴素贝叶斯分类器假定输入要素的值是独立的，对给定的类没有影响。通过计算每个类先验出现的概率，并计算给定类中的实例出现的概率，可用于直接过程中的识别。支持向量机是一组用于回归和识别问题的机器学习方法，同时最小化经验识别误差和最大化几何边界，数据由n个属性或n个特征的向量表示。然后，整个识别问题的形式是确定该数据是否可以用n-1维超平面分离。假设数据是线性分离的，应找到一个超平面来分离特征向量。若存在这样的超平面，则被称为最大边界超平面，并且这种线性分类器被称为最大边缘分类器，超平面距离或边界任一侧的特征向量被称为支持向量。

1.2.2 Jpcap在线抓包

推进两化融合发展能够带动信息技术对激发创新潜能、重构生产体系、引领组织变革、高效配置资源等作用的充分发挥，促进生产要素的高效流动和优化配置，引导制造业朝着分工细化、协作紧密的方向发展，更好地解决供需错配矛盾和供需结构性失衡问题，推动经济稳健发展[14-16]，同时，两化融合能够催生服务型制造、个性化定制等各种满足消费升级需求的新模式、新业态，创造更加多样化、更具性价比、更高质量的产品和服务供给。工业是实体经济的核心主题，是建设现代化经济体系的主要着力点，因此，本文针对两化融合在提升第二产业发展质量方面的绩效情况，提出假设H3a～H3c。

Jpcap调用Winpcap给Java提供一个公共的接口，实现平台无关性，并能捕获发送数据包。Java语言虽然在TCP/UDP传输方面给予了良好的定义，但无法对网络层以下进行控制。而Jpcap扩展包补充了这一点，Jpcap是一个可以让Java工作在链路层的类库，Jpcap实际上并非一个真正实现对数据链路层的控制，而是一个中间件[14]。

本系统中，可通过Jpcap库编写的组件，在抓取数据包的同时，对流量进行实时分析。根据TCP/IP协议定义的规则，UDP的协议号为17，而VoIP流量是基于UDP的协议，故在获取流量时对协议号进行判断，只需分析UDP类型流量。Jpcap抓取的是单个数据包，通过四元组分流，并进行流分割，分为若干段子流，统计其特征，然后依次通过分类器模型输出IP地址，实现动态的流量监测。

2 实验结果与分析

流量检测系统如图2所示。系统主要包括离线识别和在线识别。离线识别部分，通过对获取的数据集进行数据流特征处理，包括分流、随机采样、特征提取、特征选择等过程，生成训练集。在流量检测模块，将训练集分出一部分作为测试集，对基于C4.5、朴素贝叶斯、支持向量机算法的分类器进行训练，然后进行测试得到离线识别结果。在线识别部分，通过基于Jpcap库的实时抓包功能，获取网络中的数据包，通过与离线识别相同的数据流特征统计过程，进入分类器进行识别，识别的结果以IP的形式输出，并且根据分流的时间进行实时刷新，流量检测模块如虚线框所示。

2.1 实验数据

实验中，使用2个网络数据源，文献[12]中的Moore数据集作为非VoIP流量，T-stat网提供的部分Skype数据集作为VoIP流量。在实验室获取了部分VoIP和非VoIP流量，对交换机设置镜像端口的方式，设置了一个包含6台电脑的本地实验网络，包括1台实验主机和5台分机，分别运行VoIP类型应用程序以及非VoIP类型但会产生UDP类型流量的应用程序，在主机运行流量抓取软件Wireshark，将通过交换机的数据包捕获，生成数据包文件。同时运行特定的应用程序，进行数据抓取并进行标记。从中选取部分应用程序数据，构成训练集如表2所示。

 

表2 训练集Tab.2 Tranining set

  

应用程序流数占比Skype4 00016.7%Wechat4 00016.7%QQ4 00016.7%Thunder4 00016.7%Youku4 00016.7%Game4 00016.7%合计24 000100%

2.2 实验指标

在实验中，将VoIP类型数据分为正类，Non-VoIP类型数据分为负类，分类器在数据集上的预测为正确或不正确，会有4种可能，NTP代表VoIP流量的正确分类个数，NFN代表VoIP流量错误分类个数，NFP代表Non-VoIP流量的错误分类个数，NTN代表Non-VoIP流量的正确分类个数。主要评价指标为：

由于机器学习软件WEKA能识别的文件格式为arff格式或CSV格式，而实验中网络数据获取软件Wireshark抓取的数据包为PCAP格式，需要对数据包进行解析。

 

(6)

 

(7)

 

(8)

其中：RR为召回率；P为精度；ROA为整体准确率。

2.3 实验结果

1)在离线识别实验中，将训练集文件导入数据挖掘工具Weka平台，选择J48算法即C4.5决策树算法，实验分割时间为2 s，开始建模并分析结果。分类结果如图3所示。

  

图3 C4.5算法分类结果Fig.3 C4.5 algorithm classification result

实验采用10折交叉验证法对分类器的平均测试误差进行评估。由图3可知，离线识别精度达98.4%，召回率为98.5%。从图3的混淆矩阵可看出，数据集中只有187个正样本被分为non-VoIP类，199个负样本被分为VoIP类，故该模型对正样本识别能力极强，对负样本区分能力很强，是一个非常稳健的分类模型。使用训练集分别对基于NaiveBayes和SVM算法的分类器进行训练，经过建模、识别，分类结果如表3所示。

 

表3 3种算法分类结果Tab.3 Three algorithm classification result

  

样本类别J48NBSVMTP ratFP ratTP ratFP ratTP ratFP ratVoIP0.9850.0180.9310.0270.9580.013Non-VoIP0.9820.0150.9290.0350.9630.021

从表3可看出，基于J48算法的分类方法比朴素贝叶斯算法(NB)和支持向量机算法(SVM)要好，TP分类占98.5%，FP分类占1.8%，因此后面的实验都采用基于J48算法的分类器。

建筑的结构设计往往在很大程度上体现了一座城市的经济发展状况，并且可以反映一个城市或一个国家的文化特征和民族特征。建筑结构设计代表着一座建筑的灵魂，要使建筑行业得到更广阔的发展前景，需要对建筑结构设计的优化方法进行研究。

学校可以在网上建设网络家长学校和网络社区。互联网跨越时间、空间的限制以及平等性、自由性，为开办家长学校和网络社区提供了可能。建立家、校电子联系信箱，互通情况，共同关心孩子的健康成长。

2)实时检测实验结果如4图所示。该系统可成功实时检测到VoIP流量，并且能够捕捉源IP与目的IP，每2 s进行一次更新。在实时检测中，同样存在误识别的情况，需要检测分类器在实时检测中的性能。由于在线检测依然是二分类问题，选择上述混淆矩阵中的指标作为判断标准。累积进行50次在线实验，分别对比3种分类器实时检测的性能。在线识别结果如图5所示。

  

图4 实时监测结果Fig.4 Real-time monitoring results

  

图5 3种算法的在线识别结果Fig.5 Online recognition result

实验结果表明，J48决策树算法的精度、召回率和整体准确率均为最高，SMO算法的3个评价指标比较均匀，而对于朴素贝叶斯算法，精度表现还不错，但召回率偏低，说明预测正类别的能力稍显薄弱，而预测负类别的能力尚可。综上所述，在实时检测实验中，基于J48决策树算法构建的分类器识别效果最好。

3)离线识别实验。可在所有识别流量统计信息事先得到的情况下进行，而在实时识别中，只有部分流量统计信息。为了能找到最短的VoIP流量识别时间，需要找到最优分割时间t，该时间数值应尽量小，且保证系统识别精度高，因此，进行了最优识别时间分析实验。

在最优识别时间分析实验中，使用最优特征子集，对基于J48决策树算法的分类器进行训练，然后分别运行VoIP类应用程序Skype和Wechat，进行识别精度的检测。之后逐渐缩短流分割时间，进行多次实验，直到识别精度开始下降，此时可以确定一个区间，在此区间找到最合适的流分割时间。最优识别时间实验结果如图6所示。

  

图6 最优识别时间实验结果Fig.6 Experimental results of optimal recognition time

实验结果表明，通过2种VoIP类型应用程序识别率的对比，流的分割时间为115 ms时，J48算法可以达到一个很高的精度，而且可以在不同的轨迹中将流量的分类精度提高到93%以上。流的分割时间为125 ms时，精度虽有略微的提高，但是该实验考虑的是更快的速度，在精度相差无几的情况下，选择115 ms作为最优识别时间。

3 结束语

准确的VoIP流量识别有助于对于网络环境的监管。提出一种分流规则，即通过对一条完整的流进行平均切分产生子流，然后子流的长度就是系统的识别时间。通过实验分析，本系统能快速准确识别输入的VoIP流量、输出流的源IP和目的IP，保持实时更新。J48决策树算法对于这种分流方式具有较高的识别率，并且能够识别Wechat、Skype及QQ等多种应用程序。而且通过实验分析得到最优识别时间仅为115 ms，精度超过93%。下一步的研究重点是对更多VoIP流量应用的适用性，以及将该识别技术部署到更加复杂、庞大的网络中。

参考文献:

[1] 葛明阳.基于流量的Voip分段匹配识别算法[J].网络安全技术与应用，2014(4):34-35.

[2] 陈敏，张广兴，毕经平.基于SIP的VoIP流量识别方法研究[J].计算机应用研究，2007,24(4):301-303.

[3] 张广兴，陈敏，谢高岗，等.一种VoIP流量识别的新方法[J].计算机应用研究，2008,25(4):1186-1188.

[4] CUADRA-SANCHEZ A,ARACIL J.A novel blind traffic analysis technique for detection of WhatsApp VoIP calls[J].International Journal of Network Management,2017,27(2):e1968.

[5] YILDIRIM T,RADCLIFFE P J.VoIP traffic classification in IPSec tunnels[C]//IEEE International Conference on Electronics and Information Engineering,2010:151-157.

[6] OKABE T,KITAMURA T,SHIZUNO T.Statistical traffic identification method based on flow-level behavior for fair VoIP service[C]//IEEE Workshop on Voip Management and Security,2006:35-40.

[7] MAURO M D,LONGO M.Skype traffic detection:a decision theory based tool[C]//IEEE International Carnahan Conference on Security Technology,2014:1-6.

[8] 肖梅，辛阳.基于朴素贝叶斯算法的VoIP流量识别技术研究[J].信息网络安全，2015(10):74-79.

[9] ALSHAMMARI R.Machine Learning based encrypted traffic classification:identifying SSH and Skype[C]//2009 IEEE Symposium on Computational Intelligence for Security and Defense Applications,2009:1-8.

[10] 刘建明，唐霞，李龙.基于机器学习的VoIP流量在线识别系统[J].电子技术应用，2016,42(8):133-137.

[11] GU C,ZHANG S,SUN Y.Realtime encrypted traffic identification using machine learning[J].Journal of Software,2011,6(6):1009-1016.

[12] MOORE A,ZUEV D,CROGAN M.Discriminators for use in flow-based classification,RR-05-13[R].London:Queen Marry University of London,2005.

[13] 杜丽英.基于决策树的C4.5算法[J].轻工科技，2013(10):59-59.

[14] 石慧慧.基于Jpcap的网络流量采集监控系统研究与设计[D].南京：南京林业大学，2010:19-22.