心跳机制是一种保证网络应用程序和网络设备持续运行和服务不中断的常用技术。包括即时通讯软件和物联网系统在内的互联网正常服务均会采用常规的规则心跳机制,其产生的心跳数据包具有明显的规律性和周期性,对应的心跳数据流表现出规则心跳行为。迅速、准确地在海量的网络流量中检测出含有规则心跳行为的心跳数据流并对其进行服务分类,对于互联网的管理和安全防护工作具有重要的意义,也是网络流量分类研究的一个新思路。本论文的研究工作围绕规则心跳行为展开,研究检测心跳数据流和对其服务分类的方法。本论文主要贡献体现在以下几个方面:1)为了检测网络流量中的心跳数据流,论文提出了规则心跳行为检测方法。首先,将规则心跳行为分为传输层TCP KEEP-ALIVE心跳行为和应用层心跳行为两种,前者具有固定的工作机制,后者在时域上具有周期性。然后,根据两种规则心跳行为各自的特点,提出了基于规则的传输层TCP KEEP-ALIVE心跳行为检测方法和基于傅里叶变换的应用层心跳行为检测方法。这两种方法可以分别检测出网络流量中的含有传输层TCP KEEP-ALIVE心跳行为和基于TCP协议或UDP协议的应用层心跳行为的心跳数据流。在某校园网网络边界的实际流量中进行测试,结果表明两种方法可以有效地在网络边界检测出含有规则心跳行为的心跳数据流。2)为了对检测出的心跳数据流进行服务分类,论文提出了基于规则心跳行为的已知服务分类方法。由于服务的类别众多,无法构建分类器并使用有监督学习算法分类,所以在制定服务分类规则的基础上,设计了基于非确定有限状态自动机的已知服务分类方法。在此基础上,将该方法与规则心跳行为检测方法结合,完成了面向端系统和网络边界的规则心跳行为检测与服务分类程序,它们可以分别对端系统和网络边界流量中的规则心跳行为进行检测和服务分类。基于实际环境的测试表明,该方法可以有效地对部分心跳数据流进行服务分类。3)为了解决已知服务分类方法使用的服务分类规则需要以人工观测的方式进行提取的问题,论文面向未知服务提出了基于机器学习算法的服务分类规则生成方法。根据热门、常见服务的心跳数据流具有一定规模的特性,论文选择了20个流行为特征,基于这些特征和无监督学习算法DBSCAN,完成了未知服务聚类。在此基础上,进一步提出了基于Apriori算法的服务分类规则生成方法,自动生成的服务分类规则可以用于已知服务分类方法。最后,在某校园网网络边界的实际流量的测试表明,通过使用该方法所生成的服务分类规则,已知服务分类方法可以在保持高正确率的情况下对网络流量中大部分的规则心跳行为进行服务分类。