基于XGBoost的SSH流量分类

目的：SSH下 HTTP、FTP、SMTP、SCP、Login 等五种常见应用。
特征：握手阶段的包长特征、网络流级别的特征、比例类型的特征。
1、前 6 个网络数据包的包长都一样，所以从SSH 交互过程中第 7 个网络数据包到第 36 个网络数据包这 30 个网络数据包的包长。到客户端的，为了区别这两种不同方向的网络数据包，当客户端发送到服务器端的网络数据包为 X 字节，则特征大小为+X，当服务器端发送到客户端的网络数据包为 Y 字节，则特征大小为-Y，数据包为 Y 字节，则特征大小为-Y。为了使不同方向数据包的差异最大化，则在每个特征大小上加减一个常数 1460，1460 字节一般设置为 MSS（maximum segment size）最大分节大小。
2、

3、
total_packets_b_a 表 示 服 务 器 发 送 到 客 户 端 的 网 络 数 据 包 总 个 数 ；max_packet_length_a_b 表示客户端发送到服务器数据包包长的最大值。
去燥：络流量中有很多噪音样本，一些样本特征向量的真实类别会和所标记的类别有不符的情况。本章使用了基于孤立森林的去噪方法来对采集到的特征向量进行去噪。
方法：XGBoost，对比高斯NB、CART、SVM、去燥前XGBoost。