[论文解读] Role Classification of Hosts within Enterprise Networks Based on Connection Patterns

Godfrey Tan, Massimiliano Poletto+2 more|ArXiv.org|Mar 10, 2026

Network Traffic and Congestion Control参考文献 20被引用 37

一句话总结

本文定义了企业网络中主机的角色分类问题，并提出两种实用算法，根据连接模式对主机进行分组，能够处理时序变化，结果显示分组显著更小且与网络结构一致。

ABSTRACT

Role classification involves grouping hosts into related roles. It exposes the logical structure of a network, simplifies network management tasks such as policy checking and network segmentation, and can be used to improve the accuracy of network monitoring and analysis algorithms such as intrusion detection. This paper defines the role classification problem and introduces two practical algorithms that group hosts based on observed connection patterns while dealing with changes in these patterns over time. The algorithms have been implemented in a commercial network monitoring and analysis product for enterprise networks. Results from grouping two enterprise networks show that the number of groups identified by our algorithms can be two orders of magnitude smaller than the number of hosts and that the way our algorithms group hosts highly reflects the logical structure of the networks.

研究动机与目标

• 为企业网络中的主机定义角色分类问题。
• 开发基于观测连接模式的实用算法对主机进行分组。
• 在保持稳定角色组的同时处理连接模式的时序变化。
• 在商业网络监控产品中展示该方法。
• 展示所得主机分组反映网络的逻辑结构。

提出的方法

• 提出基于主机连接模式的两种实用角色分类算法。
• 加入应对连接行为时序变化的机制。
• 在面向企业网络的商业网络监控产品中应用该算法。
• 通过对两个企业网络进行分组并将分组数与主机数进行比较来评估。
• 评估分组与底层逻辑网络结构的符合程度。

实验结果

研究问题

• RQ1 如何基于连接模式在企业网络中有效地将主机分组为角色？
• RQ2 所提算法能否在连接行为的时序变化中保持稳定的角色组？
• RQ3 所得主机分组是否对应所研究网络的逻辑结构？
• RQ4 识别出的分组数量与主机总数相比如何？
• RQ5 该方法在商业网络监控与分析产品中是否可实现？

主要发现

• 两种算法产生的角色分组中，分组数量比主机数量小两个数量级。
• 分组模式强烈反映所分析企业网络的逻辑结构。
• 该方法已在商业网络监控/分析产品中实现。
• 在两个企业网络上的结果表明该方法的实用性。