早期包识别操作流程

1.用Tranalyzer生成flows.txt文件

在linux下

t2 -r ***.pcap -w ~/Downloads

 

2.提取所有TCP流

tawk 'tcp()' ***_flows.txt > ***_TCP.txt

 

3.提取前20个包，并保存为csv文件

tawk -t -H  '{                                    
    n = split($L2L3L4Pl_Iat, A, ";");
    for (i=1; i <= n; i++) {
        split (A[i],B,"_");
        printf "%f\t%d\t", B[2], B[1];
    }           
    printf "\n";
}' ***_TCP.txt > ***_pl_iat.txt
//tawk -v OFS=','  '{program}' ***.csv是使用program生成csv文件的命令

 

4.拷贝

cp ***_pl_iat.txt /mnt/hgfs/share

 

5.打开Preprocess_dataset，输入流量类型，前n个包，实现A/B流合并，生成***_pl_iat.csv

 

6.打开weka，Explorer，Open file，打开.csv文件，另存为.arff文件

 

7.再打开Preprocess_dataset，合并arff

 

8.用weka进行机器学习