第1章　網絡協議　1
1.1　互聯網簡史　1
1.2　OSI參考模型　3
1.3　TCP/IP協議　4
1.3.1　TCP/IP協議模型　4
1.3.2　TCP與UDP　6
1.3.3　Ethernet II幀格式　8
1.3.4　IPv4地址　9
1.3.5　IPv4報文　11
1.3.6　TCP報文　13
1.3.7　UDP報文　14
1.3.8　ICMP報文　15
1.4　IPv6　18
1.4.1　IPv6地址　18
1.4.2　IPv6報文　19
1.4.3　IPv6安全　20

第2章　網絡流量數據集　23
2.1　網絡數據集格式　23
2.1.1　PCAP文件格式　24
2.1.2　NetFlow格式　25
2.2　PCAP數據采集　28
2.2.1　數據采集方法　28
2.2.2　常用捕包分析工具　29
2.2.3　Libpcap庫　31
2.2.4　數據集標注　34
2.2.5　NetFlow和IPFIX處理工具　35
2.3　開放數據集　36
2.3.1　CAIDA數據集　36
2.3.2　UNIBS數據集　36
2.3.3　WIDE數據集　37
2.3.4　WITS數據集　38
2.4　其他輔助工具　39
2.4.1　匿名化處理工具　39
2.4.2　IP地址定位　40

第3章　數據預處理與評估　41
3.1　數據清洗　41
3.2　數據變換　42
3.2.1　規范化　42
3.2.2　離散化　42
3.3　數據歸約　43
3.4　維規約與特征選擇　44
3.5　數據抽樣　45
3.6　數據分布分析　45
3.6.1　簡單度量指標　45
3.6.2　數據分布評估方法　46
3.7　數據集評估指標　47
3.8　特征的相關性分析　48
3.8.1　散布圖　48
3.8.2　卡方檢驗　49
3.8.3　皮爾遜相關系數　50

第4章　機器學習方法　51
4.1　C4.5決策樹　51
4.2　貝葉斯方法　52
4.2.1　貝葉斯定理　53
4.2.2　樸素貝葉斯　54
4.2.3　隱馬爾可夫模型　54
4.2.4　貝葉斯網絡　55
4.3　K-最近鄰算法　56
4.4　支持向量機　58
4.4.1　SVM思想概述　58
4.4.2　線性支持向量機　59
4.4.3　非線性支持向量機與核函數　61
4.4.4　C-SVM、V-SVM與LS-SVM　62
4.4.5　LibSVM　63
4.5　K-均值聚類　63
4.6　分類器評估指標　65
4.6.1　關于分類器模型評估　65
4.6.2　關于分類結果評估　66

第5章　網絡流量分類技術概述　69
5.1　基本概念　69
5.2　方法與現狀　70
5.2.1　基于標準端口匹配　70
5.2.2　基于DPI　70
5.2.3　基于協議解析　71
5.2.4　基于統計學習　72
5.2.5　研究方法演進　73
5.3　流量分類方法比較評估　74
5.4　挑戰　76

第6章　互聯網流量特性分析　79
6.1　隨機過程　79
6.2　自相似性　81
6.3　長相關性　82
6.4　Hurst指數　83
6.4.1　R/S估計方法　84
6.4.2　Whittle最大似然估計方法　84
6.4.3　小波估計方法　85
6.5　重尾分布　86
6.6　突發性　87
6.7　特性計算及演進趨勢分析　88

第7章　基于端口的網絡流量分類　89
7.1　典型端口分配　89
7.2　CAIDA CoralReef軟件包　91
7.3　布隆過濾器　91

第8章　基于協議解析的網絡流量分類　95
8.1　標準開放協議解析　95
8.1.1　TCP協議狀態機　95
8.1.2　POP3協議狀態機　98
8.1.3　HTTP協議狀態機　99
8.2　協議行為分析　102
8.2.1　基于流量的分析方法　102
8.2.2　基于軟件逆向分析方法　113

第9章　基于DPI的網絡流量分類　116
9.1　DPI產品概述　116
9.2　多模式匹配算法　117
9.2.1　WM算法　117
9.2.2　AC算法　119
9.3　正則表達式　120
9.4　統計簽名　124
9.5　L7filter　125

第10章　基于統計學習的網絡流量分類方法　133
10.1　流統計特征　133
10.2　流特征生成工具　137
10.3　時間復雜度分析　138
10.3.1　學習算法的時間復雜度　139
10.3.2　流統計特征計算的時間復雜度　140
10.4　文獻方法列舉　141
10.5　機器學習軟件包WEKA　153
10.5.1　WEKA數據文件格式　153
10.5.2　WEKA GUI菜單　155
10.5.3　WEKA Explorer　156
10.5.4　WEKA預處理　157
10.5.5　WEKA分類　159
10.5.6　WEKA聚類　165
10.5.7　WEKA關聯分析　165

第11章　SIP和H.323 VoIP流量檢測　166
11.1　概述　166
11.1.1　簡介　166
11.1.2　發展歷程　167
11.1.3　協議體系　167
11.2　VoIP流量檢測　170
11.2.1　檢測分析功能　170
11.2.2　檢測分析原理　171
11.2.3　檢測分析系統　172

第12章　Skype流量識別分類方法　174
12.1　引言　174
12.2　Skype發展現狀　175
12.3　Skype流量識別方法　177
12.4　兩種方法測試結果　180
12.4.1　基于應用行為的Skype識別方法測試結果　180
12.4.2　基于關鍵字的Skype識別方法　182
12.4.3　Skype真的沒有官方服務器么？　184
12.5　小結　185

附錄：詞匯表　187
參考文獻　194