Revue Mditerranenne des Tlcommunications vol.

1, n1, 2011 Mediterranean Telecommunication Journal

10
H. DAHMOUNI - MODELES DE CHAINE DE MARKOV POUR LA CLASSIFICATION AUTOMATIQUE DES SERVICES
Modles de chane de Markov pour la
classification automatique des services
Hamza Dahmouni
INPT
Dpartement Tlcommunications
Rabat, Maroc
dahmouni@inpt.ac.ma
Abdeslam En-nouaary
INPT
Dpartement informatique
Rabat, Maroc
abdeslam@inpt.ac.ma
Sandrine Vaton
Telecom Bretagne
Dpartement informatique
Brest, France
sandrine.vaton@telecom-
bretagne.eu
Rsum : La bande passante des rseaux mobiles est une
ressource trs rare, par consquent les oprateurs sont
contraints connatre le plus prcisment possible tous les
services transports sur leurs rseaux, afin de mieux surveiller
leur usage et optimiser ces ressources. Dans ce papier on
propose une mthode de classification automatique de
services base sur les modles de chanes de Markov. Cette
mthode est base sur l'aspect fonctionnel des applications et
modlise l'ordre de squence de paquets d'une application par
une chane de Markov afin d'identifier une "signature" cette
application. La thorie de test d'hypothses est employe pour
tester si une squence de paquets est produite par le service
dtecter ou par un autre service. Nous nous sommes bass sur
des traces relles du rseau d'Orange France pour calibrer les
modles Markovien et valuer notre mthode.
MOTS-CLS : Chane de Markov, classification, test d'hypothses,
services mobiles.
1. Introduction
Plusieurs systmes mobiles (GPRS, EDGE,
UMTS,) sont utiliss actuellement en tant que
rseaux d'accs Internet. Les principaux dfis relever
par ces rseaux rsident, d'une part, dans la raret des
ressources radio et d'autre part, dans l'intgration et le
support d'une grande varit de services de donnes,
avec des exigences diffrentes de niveaux de qualit de
service.
D'un autre cot, le monde Internet a connu ces
dernires annes une augmentation importante du
nombre et de la varit des applications. On note
l'apparition des nouveaux services trs consommateurs
en bande passante (P2P, Vido, VoIP...), et
l'augmentation de l'usage de services de plus en plus
crypts. La diversit de ces services a engendr
l'apparition de plusieurs architectures de gestion de la
QoS (DiffServ, IntServ, Cross Protect, ) pour assurer
un niveau de qualit de service compatible avec chaque
application.
Le principe de gestion et d'attribution de niveau de
QoS repose sur une connaissance pralable de chaque
type de trafic. On ajoute que les ressources radio dans
les rseaux mobiles sont rares et prsentent une forte
limitation. Une volution des usages vers un accs des
services de donnes consommateurs en bande passante
favorise l'apparition de phnomnes de congestion dans
le rseau. Ces diffrentes raisons, contraignent les
oprateurs et les fournisseurs de services une
connaissance trs fine des diffrents types de trafic qui
circulent sur leur rseaux, afin de: garantir le niveau de
QoS ; scuriser au mieux le rseau face aux attaques ;
dtecter et stopper tout trafic malicieux ou illicite ;
quilibrer la charge dans le rseau et affiner les
politiques de tarification.
Pour rpondre ces exigences, on peut avoir recours
une mthode de dtection et de classification
automatique de diffrents types de trafic sur le rseau.
Les problmatiques de classification la vole
intressent les chercheurs et les industriels depuis
relativement longtemps. On regroupe les diffrentes
mthodes existantes en trois catgories. La premire
mthode est base sur la correspondance entre le
numro de port et le type d'application qui est dfini par
l'IANA [13][13]. La deuxime mthode est base sur les
caractristiques statistiques multi-varies des
applications, en s'appuyant sur les mthodes
d'apprentissage statistiques [3][1]. La troisime mthode
est base sur l'analyse syntaxique des couches
applicatives, celle-ci consiste chercher des motifs ou
des chanes de caractres dterministes [15].
Dans cet article on introduit un nouveau genre de
mthode pour la dtection et la classification la vole
des services, en particulier pour les services mobiles.
Revue Mditerranenne des Tlcommunications vol. 1, n1, 2011 Mediterranean Telecommunication Journal
11
H. DAHMOUNI - MODELES DE CHAINE DE MARKOV POUR LA CLASSIFICATION AUTOMATIQUE DES SERVICES
Notre mthode est base sur l'aspect protocolaire et
fonctionnel des applications.
Nous nous intressons dans un premier temps au
trafic TCP qui est le trafic majoritaire, et on prend en
compte seulement la squence des paquets de contrle
(SYN, ACK, PSH, RST, FIN). Cette squence est
diffrente d'une application lautre et dpend du
fonctionnement de chaque application, par consquent
elle permet de caractriser un profil pour l'application.
Cette approche est inspire du travail de [6][6] sur
l'application de Modle de chane de Markov pour
dtecter les Cyber-attaques dans le trafic.
On modlise l'ordre de la squence de paquets par
une chane de Markov d'ordre 1, ainsi on associe donc
chaque application un modle de chane de Markov
(MC). L'espace d'tats ainsi que le diagramme de
transition des modles, pour diffrentes applications,
sont obtenues partir de mesures relles ralises du
rseau oprationnel d'Orange France. Chaque
application est identifie par une "signature" qui est la
matrice de transition du modle de Markov associ.
Pour dtecter si une squence de paquets est produite
par le service dtecter, nous nous basons sur la thorie
des tests d'hypothses. En effet, cette thorie est trs
mature dans le domaine du traitement de signal (parole,
radar, sonar, etc), et pourtant, il y a une sous
exploitation de cette thorie dans la classification des
services. Notre objectif est d'utiliser ce formalisme pour
automatiser la classification des services. Les courbes
ROC obtenues par le test d'hypothses nous donnent la
probabilit de dtection en fonction de la probabilit de
la fausse alarme.
Le reste de cet article est organis comme suit. La
section 2 prsente les diffrents travaux lis la
classification des services. La prsentation des traces
relles exploites pour cette tude ainsi que la
calibration des modles Markovien sont dcrites dans la
section 3. La section 4 prsente le modle mathmatique
de dtection et de classification employ. Dans la
section 5 on prsente la validation de la mthode et
l'valuation de ces performances. La dernire section
donne une conclusion ainsi que des perspectives.
2. Etat de l'art
La classification des services et la dtection
d'anomalies dans le trafic sont devenues rcemment un
sujet d'Internet de nombreux chercheurs et industriels.
Dans cette section on prsente un tat de l'art sur les
diffrents travaux sur ces problmatiques.
2.1. Classification par numro de port
La mthode la plus simple et la plus classique est
de dfinir le type de service partir du numro de port
dans la couche de transport (TCP ou UDP). La
correspondance entre le numro de port et le service
demand est dfinie par l'IANA. Cependant, avec
l'volution des services Internet, et l'apparition de
plusieurs architectures rseaux (P2P par exemple), la
classification base sur le numro de port montre des
limitations, et elle est devenue insatisfaisante.
Premirement, l'association des numros de ports
aux applications n'est pas toujours bien dfinie.
Plusieurs implmentations de TCP emploient des ports
client dans la catgorie des ports enregistrs. Ceci
pourrait de manire errone classifier la connexion
comme appartenant l'application associe ce port.
Les ports ne sont pas dfinis par l'IANA pour toutes les
applications surtout les nouvelles, par exemple les
applications de P2P telles que Napster, Kazaa, etc. Dans
certains cas des ports serveur sont dynamiquement
assigns si c'est ncessaire. Par exemple, le ftp (passif)
permet la ngociation dynamique du port serveur utilis
pour le transfert de donnes. Ce numro est dtermin
entre les deux extrmits durant l'initiale connexion de
contrle en FTP contrle. Diffrentes applications sont
encapsules dans des applications bien connues, par
exemple streaming ou chat sur HTTP, etc.
Deuximement, diffrents services (temps rel,
interactif, lastique, etc.) avec des niveaux de QoS
diffrents, peuvent utiliser le mme numro de port, ce
qui ajoute une autre limitation cette approche de
classification. Les auteurs de [9][9] et [10][10] ont
montr de leur cot que cette mthode est incapable de
classifier la majeure partie du trafic actuel, cette
communaut considre que cette mthode ne peut tre
en partie que des applications classique ainsi que la
premire gnration du trafic P2P. CoralReef [11][11]
reste un exemple doutil qui dploie cette mthode pour
la classification des applications Internet.
2.2. Classification par analyse syntaxique
Une approche alternative la classification base sur
le numro de port, est d'employer une analyse
syntaxique des informations, payload ou les donnes
applicatives, transportes dans le paquet IP [12][12].
Cette approche exige donc, une connaissance antrieure
prcise de l'information de chaque application ainsi que
Revue Mditerranenne des Tlcommunications vol. 1, n1, 2011 Mediterranean Telecommunication Journal
12
H. DAHMOUNI - MODELES DE CHAINE DE MARKOV POUR LA CLASSIFICATION AUTOMATIQUE DES SERVICES
le format de ses paquets. En pratique, il faut chercher
des chanes de caractre qui identifie bien une
application. Par exemple "http/1." Correspond
l'application http et "0xe319010000" correspond au
service eDonkey [4][4].
Cette technique donne une mthode de classification
quasi-dterministe, mais possde aussi de nombreuses
limitations. Premirement, le traitement ou l'analyse de
payload d'un grand nombre de paquets rend cette
technique trs coteuse en temps de calcul (ncessite un
matriel de capacit trs puissante), et doit donc se
limiter l'analyse de trafic de liens de faible capacit.
Deuximement, l'information descriptive (chane de
caractres) de l'application n'est pas toujours disponible
De plus on constate une augmentation des applications
scurises o le payload du paquet est crypt [15][15].
2.3. Classification par des mthodes statistiques
Des mthodes de classification bases sur la thorie
d'apprentissage statistique, classification baysienne,
distance aux clusters, peuvent tre appliques pour
classifier les services dans un trafic. La difficult pour
ces mthodes se prsente dans la dfinition de bon
descripteur de trafic. La description d'un service est
toujours possible dans une chelle de temps
macroscopique (par exemple flot ou session) mais
devient trs difficile dans une chelle microscopique.
Dans ce contexte, on trouve les travaux de [2][3][2]
[3], sur l'application des analyses baysiennes,
notamment, Nave Beyesian classifier, pour la
classification de trafic en plusieurs catgories. Les
travaux de [1][1] ainsi que [6][6] utilisent des
techniques d'apprentissage bases sur les mthodes NN,
LDA et QDP. Les auteurs de [4][4] proposent par contre
une mthode de classification aveugle du trafic au
niveau flot. Cette mthode est base sur les
informations collectes au niveau flot, cest dire, les
adresses IP source/destination ainsi que les ports
source/destination. Loutil WEKA [14][14] implmente
une vingtaine de mthodes dapprentissage statistique
pour la classification des diffrents types de trafic, et il
peut tre utilis pour comparer les performances de ces
mthodes.
3. Traitement de donnes et Calibration des modles
3.1. Traitement de donnes
Quoique l'tude du trafic Internet fixe ait t un sujet
d'intrt pendant plusieurs d'annes, trs peu de rsultats
ont t publis sur l'tude et la caractrisation du trafic
de donnes dans les rseaux mobiles. Aprs avoir trait
les problmatiques lies la caractrisation des services
par des grandeurs statistiques et montrer l'impact de ses
services sur les performances des rseaux mobiles en se
basant seulement sur les numro de port, les
problmatiques de dtection et de classification des
services la vole sans connaissance de numro de port
est devenu ncessaire.
C'est pourquoi nous avons tudi des traces de
donnes collectes sur le rseau oprationnel d'Orange
France. Les mesures ont t captures sur deux
interfaces Gb diffrentes pendant une priode de dix
jours (environ 5 heures par jour, entre 11 AM et 16 h.).
Les trames captures ces interfaces contiennent, toutes
les informations d'entte TCP ou d'UDP/IP (Flag TCP,
taille de paquet, numro de port, direction de
transfert...) ainsi que l'instant d'arrive des paquets.
Le flag TCP indique le type de paquet, qui une
combinaison de la famille {SYN, ACK, PSH, RST,
URG, FIN}; chaque champ de ce flag est positionn 1
ou 0. Le nombre de combinaison possible de cette
famille est 64. Le premier objectif est de dterminer le
nombre de combinaison possible pour chaque
application dans le trafic, par consquent, on aura le
nombre d'tat (espace d'tat) possible E={E
i
}. Dans
cette tude, on s'intresse seulement au sens montant de
transfert du trafic, et on dfinit les tats du modle
comme suit:
2. 4. 8. 16. 32.
i
E SYN ACK PSH RST URG FIN = + + + + +
( 1)
3.2. Modles de chane de Markov
L'analyse de trafic de donnes peut tre ralis
trois niveau, paquet, flot et session, o un flot est une
succession de paquets qui ont le mme 5-tuple
{protocole, adresse IP source, adresse IP destination,
port source, port destination}, et une session est une
succession de flots de la mme application. Pour
dterminer le modle de chane de Markov associ
une application, on rorganise les flots selon leur ordre
d'activation et les paquets selon l'ordre d'arrive dans un
flot.
On modlise l'ordre de la squence de paquets dans
une session par une MC (X
t
)
t
temps discret et espace
d'tats dans E={E
1
,,E
s
}. Sa matrice de transition est
note (P
i,j
).
Revue Mditerranenne des Tlcommunications vol. 1, n1, 2011 Mediterranean Telecommunication Journal
13
H. DAHMOUNI - MODELES DE CHAINE DE MARKOV POUR LA CLASSIFICATION AUTOMATIQUE DES SERVICES
Les probabilits de transitions de la MC pour chaque
application sont estimes partir de nos captures de
trafic, comme suit :
t 1 t 1
,
t 1 t 1
nombre d'observations de pairs (X , ) avec X et
nombre d'observations de pairs (X , ) avec X et 1,...,
t t
i j
t t
X i X j
p
X i X s
+ +
+ +
= =
=
= =
4. Modle Mathmatique
Dans cette section le test d'hypothses Neyman-
Pearson dans le cas de deux hypothses simples,
appliqu aux modles de chane de Markov.
4.1. Test d'hypothses
Une chane de Markov est caractrise naturellement
par sa matrice de transition P et sa distribution de
probabilit initiale p. On considre qu'on a deux
modles MC qui ont le mme espace d'tats
E={E
1
,,E
s
}: MC
0
:={P
0
,p0} et MC
1
:={P
1
,p
1
}. Notons
Y=(y
1
,,y
T
) une squence d'observations de taille T. On
dfinit les deux hypothses H
0
et H
1
par :
0 1 0
1 1 1
{La squence ( ,..., ) est issue de }
{La squence ( ,..., ) est issue de }
T
T
H Y y y MC
H Y y y MC
= =
= =
(2)
Un test (de dcision) entre H
0
et H
1
est une
fonction surjective dfinie sur l'ensemble des
observations et valeur dans l'ensemble {H
0
, H
1
}. La
probabilit de fausse alarme et la probabilit de
dtection de test est donne par :
1 1 0 1 1 1
Pr{ ( ,..., ) / }; Pr{ ( ,..., ) / }
T T
y y H H y y H H o o | o = = = =
(3)
Le rapport de vraisemblance logarithmique de deux
hypothses s'crit:
1 1
1
1 0
Pr{ ,..., / }
log ( ,..., ) log( )
Pr{ ,..., / }
T
T
T
y y H
y y
y y H
A =
(4)
Soit
0
une probabilit de fausse alarme cible, alors
d'aprs Neyman-Pearson, le test est dfini par
0 1 0 *
1
1 1 0
si log ( ,..., ) ( )
( ,..., )
si log ( ,..., ) ( )
T
T
T
H y y
y y
H y y
o
o
o
A s
=

A >

(5)
est le test qui maximise la puissance parmi tous les
tests dont la probabilit de fausse alarme est infrieur

0
. La courbe ROC du test reprsente la probabilit la
puissance de test en fonction de la fausse alarme.
4.2. Entropie et Distance de Kullback-Leibler
Soit MC un modle de chane de Markov de matrice
de transition P, et soit p la probabilit stationnaire de ce
modle (p.P=P). Alors l'entropie de ce modle est
donne par :
,
( ) ( ) ( , ) log( ( , ))
i j
H P p i P i j P i j =

(6)
La distance de Kullback-Leibler entre deux modles
de chane de Markov MC
0
:={P
0
,p
0
} et MC
1
:={P
1
,p
1
} est
donne par :
1
1 0 1 1
0
,
( , )
( // ) ( ) ( , ) log( )
( , )
i j
P i j
D P P p i P i j
P i j
=
(7)
Soit logp(y
1
,,y
T
) la log-vraisemblance d'une
squence de taille T, alors d'aprs la proprit
dquipartition asymptotique, si la squence (y
1
,,y
T
)
est issue du modle MC
1
la fonction
1 1
1
log ( ,..., / )
T
p y y H
T
converge en distribution vers une loi gaussienne dont la
moyenne et l'oppos de l'entropie de MC
1
, par contre si
la squence est issue du modle MC
0
, la fonction
1 1
1
log ( ,..., / )
T
p y y H
T
converge en distribution vers une loi
gaussienne dont la moyenne est l'oppos de la somme de
l'entropie du modle MC
0
et la distance de Kullback-
Leibler entre les deux modles (H(P
0
)+D(P
0
//P
1
).
5. Performances de la mthode
Dans cette section on prsente la validation de
l'approximation du trafic par des modles de chane de
Markov, et on prsente l'valuation de la performance
de la mthode de dtection dans le cas de deux services
(hypothse simple contre hypothse simple) travers les
courbes ROC.
5.1. Validation des modles de chane de Markov
Pour cette tude on considre deux trafics, le trafic
http et les applications Telnet. Les modles de chane de
Markov pour ces deux applications est ralis sur 8836
sessions (5900 sessions http et 2836 sessions Telnet).
On note MC
1
:={P
1
,p
1
} le modle de chane de Markov
associ l'application http (hypothse H
1
), et
Revue Mditerranenne des Tlcommunications vol. 1, n1, 2011 Mediterranean Telecommunication Journal
14
H. DAHMOUNI - MODELES DE CHAINE DE MARKOV POUR LA CLASSIFICATION AUTOMATIQUE DES SERVICES
MC
0
:={P
0
,p
0
} ce associ l'application Telnet
(hypothse H
0
), avec
0
0 1 0 0 0
0.005 0.60 0.387 0.006 0.021
0.001 0.421 0.578 0 0
0.886 0 0 11.4 0
0.2 0.63 0 0.05 0.12
P
(
(
(
( =
(
(
(

1
0 0.953 0.002 0.045 0
0.014 0.685 0.201 0.079 0.021
0.002 0.676 0.206 0.083 0.002
0.696 0.002 0.001 0.30 0.001
0.474 0.30 0.001 0.08 0.145
P
(
(
(
( =
(
(
(

Une connexion TCP typique dbute par les changes
SYN (client vers serveur), SYN-ACK (serveur vers le
client) et puis ACK (client vers serveur). Pour les
probabilits initiales, on considre que le dbut des
observations correspondent au dbut des connexions,
cest dire, les squences de paquets observes
commencent toutes par le paquet SYN (E
1
), on prend
donc p
1
(E
1
)=p
0
(E
1
)=1.
Pour valider l'approximation de ces deux
applications par les modles de chane de Markov, nous
nous basons sur une validation par de trafic simul (par
la mthode de mont-Carlo) et aussi par la vrification
des deux proprits de convergence de la log-
vraisemblance de la squence de chaque application.
Dans le cas ou la probabilit de transition est nulle, on
la remplace par une valeur trop petite epsilon, dans cette
tude on prend epsilon=0.00001.
La figure 1 prsente les courbes de la fonction de
rpartition inverse du rapport de log-vraisemblance
(quation 5) sous l'hypothse H
0
, et la fonction de
rpartition du rapport de log-vraisemblance sous
l'hypothse H
1
, pour les squence de taille 30 (courbes
gauche ) et de taille 50 (courbes droite).
Figure 1. Fonction de rpartition et rpartition inverse
du rapport log-vraisemblance sous H
0
et H
1
pour T=30
( Gauche) et T=50 ( Droite)
La figure 2 (courbe gauche) respectivement
(courbe droite) prsente la fonction de distribution de
1 0
1
log ( ,..., / )
T
p y y H
T
, respectivement
1 1
1
log ( ,..., / )
T
p y y H
T
, la
moyenne de cette distribution est gale l'entropie du
modle MC
0
, respectivement MC
1
Ces courbes
confirme les rsultats de convergence de la proprit
dquipartition asymptotique 4.2.
Figure 2. Distribution de log-vraisemblance sous H0 (
Gauche) et sous H
1
( Droite)
Figure 3. distribution de logvraisemblance sous H
0
(
gauche) et sous H
1
( droite).
La figure 3. (courbe droite), respectivement
(courbe gauche), prsente la fonction de distribution
de log-vraisemblance sous H
1
, respectivement sous H
0
,
sachant que le trafic est gnr par le trafic Telnet,
respectivement par http. La moyenne de cette fonction
est bien l'oppos de la somme de l'entropie de MC
0
et la
distance de kullback-Leibler entre le modle MC
0
et
MC
1
, respectivement la somme de l'entropie de MC
0
et
la distance de KullbackLeibler entre le modle MC
1
et
MC
0
.
5.2. Evaluation de performances de la mthode
L'valuation de la mthode de dtection est
reprsente par les courbes ROC, qui trace la puissance
de test en fonction de la fausse alarme. On prsente ci-
dessous les courbes ROC pour diffrentes tailles (T) des
squences observes.
La figure 4 (courbes gauche) prsente les courbes
ROC pour l'application HTTP contre Telnet, et les
courbes droite reprsentent l'application HTTPS
Revue Mditerranenne des Tlcommunications vol. 1, n1, 2011 Mediterranean Telecommunication Journal
15
H. DAHMOUNI - MODELES DE CHAINE DE MARKOV POUR LA CLASSIFICATION AUTOMATIQUE DES SERVICES
contre Telnet [6][5] pour diffrentes taille de la
squence dobservation (T).
Figure 4. courbes ROC de http/Telent ( D) et de
https/Telnet ( G)
On observe que la vitesse de croissance de courbes
ROC en fonction de la taille de la squence est
diffrente dans les deux cas, cela est d la diffrence
entre les distances de Kullback-Leibler entre les
modles. Cette diffrence est confirme par les rsultats de
Nakagawa et al [8][8] sur la dpendance entre la
convergence de la puissance de test et la distance de
Kullback-Leibler entre les modles.
6. Conclusion & Perspectives
Dans ce papier on a prsent une mthode de
dtection et de classification de service base sur l'ordre
de la squence de paquets de contrle dans chaque
trafic. La mthode a t applique de trafics rels de
rseau mobiles d'Orange France. Les rsultats obtenus
montrent que la performance de la mthode est
meilleure quand la distance de Kullback-Leibler entre
les modles est grande, dans le cas contraire il est
ncessaire d'observer une longue squence de paquets
afin de dtecter la nature de trafic. L'application de la
mthode un trafic mixte est faisable, en s'appuyant sur
une connaissance priori de la rpartition de trafic dans
le mixte, et sur l'application de formule de Bayes pour
dterminer un modle de chane de Markov pour le
mixte moins le service dtecter.
7. Bibliographies
[1] Roughan M. Sen S,. Spatscheck O. and Duffield N,
" Class-of-Service Mapping for QoS: A statistical
signature-based approach to IP traffic
Classification". In ACM/ SIGCOMM IMC,
November 2004.
[2] Moore A.W and Papagiannaki K., "Toward the
accurate Identification of network Application". In
PAM March 2005.
[3] Moore A.W. and Zuev D., "Internet Traffic
Classification Using Bayesian Analysis techniques.
IN ACM SIGMETRICS, 2005
[4] Karagiannis T., Papagiannaki K. and Faloutsos M.,
" BLINC: Multilevel Traffic Classification in the
Dark", In ACM SIGCOMM, 2005
[5] Dahmouni, H. Ross D., Morin B. and Vaton S.,
"Impact of data traffic composition on GPRS
performance". In ITC 19, September 2005.
[6] Ye N., Zhang Y. and C.M. Borror," Robustness of
the Markov-Chain Model for Cyber-Attack
Detection". IEEE Transactions on Reliability, Vol.
53, N1, 2004.
[7] Kwitt R., Strohmeier T. and Hofmann U.," Machine
Learning for Perceptual QoS", In Proc. CISTA
2005.
[8] Nakagawa K. and Kanaya F., "On the Converse
Theorem in Statistical Hypothesis Testing for
Markov Chains", IEEE Trans. On information
theory, 1993.
[9] W. Li, M. Canini, W. Moore, R. Bolla, Efficient
application identification and the temporal and
spatial stability of classification schema. Computer
Networks 2008.
[10] A. Madhukar and C. Williamson. A Longitudinal
Study of P2P Traffic Classification. MASCOTS,
2006.
[11] CoralReef:
http://www.caida.org/tools/measurement/coralreef/.
[12] S. Sen, O. sparscheck, D. Wang. Accurate, Scalable
In-Network Identification of P2P Traffic Using
Application Signatures. 13th international
conference on WWW, 2004.
[13] IANA: http://www.iana.org/assignments/port-numbers
[14] WEKA: http://www.cs.waikato.ac.nz/ml/weka/
[15] M. Ye, J. Wu, Ke Xu, and D.M Chiu. Identify p2p
traffic by inspecting data transfer behaviour. In
Proceedings of the 8th International IFIP-TC 6
Networking Conference, 2009.