未明协议的发现与流量分类是网络流量分类的一个分支,旨在从海量的网络数据中发掘出新的协议和应用,并对多种协议的混合数据进行分类。相比于已明协议,未明协议具有协议规范不公开、已知样本数少甚至缺失等特点,不易被识别,所以未明协议流量分类在理论和技术上具有很大的挑战。本文针对未明协议的网络流量分类进行研究,主要目的在于提高未明协议的识别率,重点关注提取未明协议报文特征字符串,以及增加小类网络流样本的数量。首先提出了一种改进的PrefixSpan特征字符串提取算法,用于从同一类别的报文中提取特征字符串;然后提出了一种基于核函数模型的上采样方法,用于增加小类网络流样本的数量;最后设计并实现了网络流量离线分类系统。具体工作内容如下:1.针对未明协议具有的协议规范不公开等特点,为了提取协议的特征字符串,提出了一种基于改进PrefixSpan的未明协议特征字符串自动化提取方法,根据频繁项划分子空间,并对子空间中的各序列进行逐字节的扫描,挖掘出连续的频繁字符串,根据报文的格式特征对其进行筛选与融合,得到协议的特征字符串,据此对新的未明协议报文进行分类。实验结果表明,使用该方法提取出的特征字符串对未明协议的报文进行分类具有较高的准确性。2.未明协议的流量在使用初期的样本数较少,不易被识别,在使用基于流统计特征的方法对网络流量进行分类时,一般将未明协议的流量视作小类网络流样本。为了增加小类样本的数量,提出一种上采样方法,假设小类样本的分布服从混合核函数模型,根据已有的小类样本分布情况估计出小类样本的分布密度函数,然后根据估计出的小类样本的分布密度函数生成一定数量的小类样本,以此来增加小类样本的数量,并在此基础上设计出一种基于Cluster-Map算法的网络流量分类方法。理论分析和实验结果都表明,该方法能够有效地提高小类样本的识别率。3.设计并实现一种离线的网络流量分类系统。该系统使用C#语言进行开发,针对使用Wireshark捕获的pcap数据包提取出各类别的网络流量,实现对小类流样本的上采样,并在离线的环境下对网络流量进行分类。