基于機(jī)器學(xué)習(xí)的數(shù)據(jù)碎片類型識別技術(shù)研究.pdf

1、在數(shù)字取證、入侵檢測和逆向工程等領(lǐng)域，經(jīng)常會遇到一些類型未知或格式不明的數(shù)據(jù)或文件片段。如何快速識別出這些數(shù)據(jù)的數(shù)據(jù)類型或所在原文件的文件類型是一個至關(guān)重要的問題。本文針對已有的方法往往存在識別顆粒度粗糙的問題，特別是在遇到流行的復(fù)合文件碎片時識別效果不理想的問題，對基于機(jī)器學(xué)習(xí)的數(shù)據(jù)碎片類型識別技術(shù)進(jìn)行了研究。
　　首先，分析并總結(jié)了已有的數(shù)據(jù)碎片識別方法的優(yōu)缺點。本文分析并總結(jié)了當(dāng)前基于相似性度量的方法，基于機(jī)器學(xué)習(xí)的方法，以

2、及轉(zhuǎn)化為圖片分類問題的方法等數(shù)據(jù)碎片類型識別方法的優(yōu)缺點；指出這些方法大多是依據(jù)文件類型的，即試圖推斷出一個單獨碎片來自哪種類型的文件，存在顆粒度粗糙且準(zhǔn)確率低的問題，特別是在遇到流行的復(fù)合文件碎片時識別效果往往不理想。
　　其次，為了解決識別顆粒度粗糙且準(zhǔn)確率低的問題，本文提出了一個更精確的碎片識別問題的定義，并在此基礎(chǔ)上提出一個使用機(jī)器學(xué)習(xí)算法、依據(jù)數(shù)據(jù)類型進(jìn)行數(shù)據(jù)碎片識別方法。該方法首先通過分析常見的文件格式及其數(shù)據(jù)結(jié)構(gòu)，得

3、到常見的數(shù)據(jù)類型并構(gòu)造數(shù)據(jù)集；然后將數(shù)據(jù)集分為訓(xùn)練集和測試集兩部分，并提取碎片特征；之后使用機(jī)器學(xué)習(xí)算法和訓(xùn)練集中的數(shù)據(jù)構(gòu)建分類器；最后使用測試集中的數(shù)據(jù)檢驗分類器分類效果。該方法在識別碎片類型時依據(jù)數(shù)據(jù)類型，與已有的依據(jù)文件類型的方法相比，準(zhǔn)確率提高了約20％，并且減少了碎片類型識別顆粒度。此外，本文在實驗中使用了多種機(jī)器學(xué)習(xí)算法，對比分析了它們的優(yōu)缺點。
　　最后，將提出的方法應(yīng)用到PPT文件碎片識別技術(shù)中。PPT文件類型是一

4、種復(fù)合文檔格式，在依據(jù)文件類型的方法中，其碎片識別率一直很低。本文分析了其文件格式，找出了其內(nèi)部常見的數(shù)據(jù)類型，探討了其難以識別的原因，并將依據(jù)數(shù)據(jù)類型進(jìn)行數(shù)據(jù)碎片識別的技術(shù)應(yīng)用到PPT碎片識別中。實驗結(jié)果表明，本文提出的方法與依據(jù)文件類型的方法相比，準(zhǔn)確率提高了52％。
　　本文把碎片的文件類型識別問題轉(zhuǎn)換為更精確的數(shù)據(jù)類型識別，使用機(jī)器學(xué)習(xí)方法進(jìn)行碎片識別，對數(shù)據(jù)碎片識別問題進(jìn)行了有益的探索。所提出的方法不僅可以提高數(shù)據(jù)碎片識