在互联网用户行为阐发和异常行为检测的相关研究中，和谈识别和特征提取是收集流量特征阐发的主要手艺手段。
本篇经验将和大师介绍几种常用的收集流量特征提取东西，但愿对大师的工作和进修有所帮忙！
方式/步骤
- 1
WireShark
WireShark是一条目常见的收集数据包阐发东西。该软件可以在线截取各类收集封包，显示收集封包的具体信息，也可阐发已有的报文数据，如由 tcpdump/Win Dump、WireShark 等采集的报文数据。WireShark 供给多种过滤法则，进行报文过滤。利用者可借助该东西的阐发功能，获取多种收集数据特征。
- 2
Tcptrace
Tcptrace是一条目阐发TCP流量数据文件的东西，它的输入包罗多种的基于报文采集法式输出的文件，如tcpdump，snoop，etherpeek，HPNet Metrix和WinDump。利用Tcptrace可以获得每个通信毗连的各类信息，包罗：持续时候，字节数，发送和接收的片段，重传，往返时候等，也可以生当作很多图形，用于利用者的后续阐发。
- 3
QPA
QPA是一条目开源的基于历程抓包的及时流量阐发软件。其基于历程抓包的优势，可以或许及时精确鉴定每个包所属历程，基于正则表达式书写法则，能提取IP、端口、报文长度与内容等维度特征;QPA按流量类型主动归类，阐发简洁，优于基于一条条会话的阐发模式。
- 4
Tstat
Tstat是在第三条目软件Tcptrace的根本长进一步开辟而来，可以在通俗 PC 硬件或者数据采集卡进行在线的报文数据采集。除此之外，Tstat 还可阐发已有的数据报文，撑持各类dump格局，如 libpcap 库撑持的格局等。双标的目的的 TCP 流阐发可获得新的统计特征，如梗阻窗口大小、乱序片段等，这些信息在办事器和客户端有所区分，还可区分内网本家儿机和外网本家儿机。
- 5
CapAnalysis
CapAnalysis是一条目有用的收集流量阐发东西，合用于信息平安专家，系统办理员和其他需要阐发年夜量已捕捉收集流量的人员。CapAnalysis经由过程索引PCAP文件的数据集，执行并将其内容以多种形式转化，从包含TCP，UDP或ESP流的列表，到将其毗连以地舆图形的体例暗示出来。可安装摆设到debian32/64位，Ubuntu32/64位系统。
- 6
Xplico
Xplico的方针是提取互联网流量并捕捉应用数据中包含的信息。解码节制器，IP/收集解码器，法式集和可视化系统组成了一个完整的Xplico系统。该系统撑持对HTTP，SIP，IMAP，POP，SMTP，TCP，UDP，IPv6等和谈的阐发。
- 7
如下图所示的几种东西在功能和利用方面的比力，大师可按照东西的特点，将这些东西应用于现实阐发中。
