本人现在做网络业务识别方面的，从网上下载pcap的格式文件后，现需要提取流特征，之前见过有人在Unix系统下用是Tcpdump+awk脚本语言来提取，我目前只是现在不知道该怎么提取特征，有哪位会的能否指点一下？

[moxiaotiao]

本人现在做网络业务识别方面的，从网上下载pcap的格式文件后，现需要提取流特征，比如说客户端到服务器相互传输的分组数、分组大小、字节数、分组长度的最大、最小、平均以及方差，分组到达间隔时间的最大、最小、平均以及方差等流量特征，之前见过有人在Unix系统下用是Tcpdump+awk脚本语言来提取，我目前只是现在不知道该怎么提取特征，有哪位会的能否指点一下，谢谢！或者有做这个的，大家也可以交流一下，呵呵

[senghoo]

DFI（深度流检测）不是很了解。。
我是做DPI（深度包检测）的。

[xunyu]

你要提取的是什么类型的数据，TCP?UDP?HTTP?stream特征一般都是要通过计算得出的，我用的jdsu的traceview一般都能自动计算出这些参数

[moxiaotiao]

@xunyu 主要是TCP比如HTTP、SSH、DNS、FTP、SMTP

[moxiaotiao]

@xunyu 提取每种协议流量的上面若干属性，用来做流量聚类

[xunyu]

@moxiaotiao 这个我们公司也在做类似的东西，据我所知现在是在驱动层采集这些参数，如果用脚本处理pcap的方式怕内存不够大来处理吧。。

[moxiaotiao]

@xunyu jdsu的traceview这个软件在哪下载，可否用用

[moxiaotiao]

@xunyu 我主要做实验用，每种协议的流量提取1000个样本就足够了

[xunyu]

@moxiaotiao traceview主要看的是fc协议里的东西，可能没法囊括全部的HTTP、SSH、DNS、FTP、SMTP的东西，我上班帮你看看吧，应该有下载的

[moxiaotiao]

@xunyu 好的 你帮我看看