在互联网用户行为分析和异常行为检测的相关研究中，协议识别和特征提取是网络流量特征分析的重要技术手段。下面，本文为大家介绍几款常用的网络流量特征提取的工具。

一、WireShark

WireShark是一款常见的网络数据包分析工具。该软件可以在线截取各种网络封包，显示网络封包的详细信息，也可分析已有的报文数据，如由 tcpdump/Win Dump、WireShark 等采集的报文数据。WireShark 提供多种过滤规则，进行报文过滤。使用者可借助该工具的分析功能，获取多种网络数据特征。

二、Tcptrace

Tcptrace是一款分析TCP流量数据文件的工具，它的输入包括多种的基于报文采集程序输出的文件，如tcpdump，snoop，etherpeek，HPNet Metrix和WinDump。使用Tcptrace可以获得每个通信连接的各种信息，包括：持续时间，字节数，发送和接收的片段，重传，往返时间等，也可以生成许多图形，用于使用者的后续分析。

三、QPA

QPA是一款开源的基于进程抓包的实时流量分析软件。其基于进程抓包的优势，能够实时准确判定每个包所属进程，基于正则表达式书写规则，能提取IP、端口、报文长度与内容等维度特征;QPA按流量类型自动归类，分析简便，优于基于一条条会话的分析模式。

四、Tstat

Tstat是在第三款软件Tcptrace的基础上进一步开发而来，可以在普通 PC 硬件或者数据采集卡进行在线的报文数据采集。除此之外，Tstat 还可分析已有的数据报文，支持各种dump格式，如 libpcap 库支持的格式等。双向的 TCP 流分析可得到新的统计特征，如阻塞窗口大小、乱序片段等，这些信息在服务器和客户端有所区分，还可区分内网主机和外网主机。

Tstat分析网络流量并生成三种不同类型的测量集合：直方图，轮循调度数据库和日志文件。

Tstat支持在Linux系统(目前为Ubuntu，Debian，RedHat和CentOS)和Mac OS X(从10.6 Snow Leopard到目前的10.11 El Capitan)上测试。

五、 CapAnalysis

CapAnalysis是一款有效的网络流量分析工具，适用于信息安全专家，系统管理员和其他需要分析大量已捕获网络流量的人员。CapAnalysis通过索引PCAP文件的数据集，执行并将其内容以多种形式转化，从包含TCP，UDP或ESP流的列表，到将其连接以地理图形的方式表示出来。可安装部署到debian32/64位，Ubuntu32/64位系统。

六、Xplico

Xplico的目标是提取互联网流量并捕获应用数据中包含的信息。解码控制器，IP/网络解码器，程序集和可视化系统构成了一个完整的Xplico系统。该系统支持对HTTP，SIP，IMAP，POP，SMTP，TCP，UDP，IPv6等协议的分析。

大家可根据工具的特点，将这些工具应用于实际分析中。

七、有偿抢票或被定义非法

其实，早在2016年春运时，就有零星的网络平台推出过有偿抢票产品。而2017年，多家旅游以及出行类网络平台也加入进来，更有24小时VIP抢票、付费插队等花样选项。不过，这样的有偿服务也遭到质疑。唐欣认为，有偿抢票有望在2017年有所治理，以堵住各大公司开发有偿抢票APP的势头。“我觉得出台措施去制止或者宣布有偿抢票属于非法的可能性比较大。”

对于有偿抢票产品的合法性，本报记者采访了多个OTA公司，但各大公司均表示不方便置评。一位接近OTA公司的相关人士告诉记者，目前此事比较敏感，各家公司都在等待政策的出台，因此对此事都持观望态度，不方便发言。AnyView（网络警）网络监控软件专业版是国内目前最专业局域网网络监控软件产品。包含局域网上网监控和局域网内网监控；

全国价格监管平台12358工作人员向本报记者表示，有偿抢票这类服务费用属于自愿选择项目，目前对于这一部分并没有具体规定。而且，对于有偿抢票服务政府没有进行统一定价，由消费者自愿选择，无法说收取这个费用属于违法。不过，火车票代售点售卖车票等服务一般会收取5元服务费，而各网络平台的春运抢票服务价格一般都高于5元钱。对此，上述价格监督平台工作人员表示：“火车票手续费是在监管之列的。火车票没按照5元收服务费，可以举报；没有按照票面收火车票的钱，可以举报。但自愿使用24小时VIP服务费不在监管之列，各软件收费名称也不一样，没办法说它是超标准收费。”