流數(shù)據(jù)協(xié)議特征分析.pdf

1、近年來，網(wǎng)絡(luò)信息安全與防護(hù)已經(jīng)成為一個不容忽視的問題，保護(hù)網(wǎng)絡(luò)信息安全也是國家信息化所要面臨的主要問題。在某些特別的環(huán)境下，通過各種手段使用非常規(guī)的專用未知協(xié)議進(jìn)行竊密的行為日益普遍，危害日趨嚴(yán)重；與此同時，從獲取的流數(shù)據(jù)中對未知協(xié)議進(jìn)行分析識別，應(yīng)用通行的監(jiān)測手段和協(xié)議分析與識別方法并不能很好的達(dá)到預(yù)期效果。
　　流數(shù)據(jù)是一連串高速傳送、無限長度（隨時間增加）、順序不可逆的數(shù)據(jù)序列。本文所講述的流數(shù)據(jù)是數(shù)據(jù)鏈路層上的流數(shù)據(jù)（即二

2、進(jìn)制0、1代碼）。
　　因?yàn)閿?shù)據(jù)鏈路層流數(shù)據(jù)即比特流并沒有語義且單一，目前研究者多從應(yīng)用層入手考慮，而對于數(shù)據(jù)鏈路層上的二進(jìn)制流數(shù)據(jù)的協(xié)議識別則研究較少，所以對于二進(jìn)制流數(shù)據(jù)的協(xié)議特征分析并沒有很好的解決辦法。隨著網(wǎng)絡(luò)協(xié)議的發(fā)展，協(xié)議識別呈現(xiàn)出新的特點(diǎn)，比如某些協(xié)議進(jìn)行了加密、使用動態(tài)形式的端口、還有采用 P2P方式。為了達(dá)到網(wǎng)絡(luò)信息安全的目標(biāo)，并能夠及時對危險(xiǎn)進(jìn)行預(yù)警，當(dāng)前急切的需要能夠在如此復(fù)雜的網(wǎng)絡(luò)環(huán)境下研究出一種能夠?qū)ξ粗?/p>

3、協(xié)議進(jìn)行分析識別的、效率高的、準(zhǔn)確率高的方法。在網(wǎng)絡(luò)的現(xiàn)實(shí)復(fù)雜情況下，流數(shù)據(jù)協(xié)議特征分析成為一個新的研究領(lǐng)域。
　　本文通過對已知協(xié)議和未知協(xié)議的分析與識別方法的研究，認(rèn)為流數(shù)據(jù)的未知協(xié)議的特征也有其固定的特點(diǎn)和規(guī)律，當(dāng)截獲大量、快速、連續(xù)到達(dá)的數(shù)據(jù)序列時，就可以通過實(shí)施一定的技術(shù)手段和方法對其進(jìn)行分析和識別，找到其中所蘊(yùn)含的規(guī)律信息。從海量的流數(shù)據(jù)中分析和識別未知協(xié)議的方法就是要對數(shù)據(jù)進(jìn)行挖掘，找尋其中所包含的特征序列，在沒有經(jīng)

4、驗(yàn)和已知協(xié)議的特征序列對照的情況下，達(dá)到對頻繁序列的快速提取。本課題的內(nèi)容是：首先對數(shù)據(jù)鏈路層上傳輸?shù)牧鲾?shù)據(jù)（二進(jìn)制）進(jìn)行合理的幀切分，而后選擇合適的標(biāo)識和特征選擇算法，其次驗(yàn)證所用算法在協(xié)議識別中的效果，最后篩選出能準(zhǔn)確描述協(xié)議的指紋信息。針對以上步驟，本文基于聚類算法對數(shù)據(jù)幀進(jìn)行聚類操作，并且設(shè)計(jì)了一個無監(jiān)督的基于最小冗余最大相關(guān)的特征選擇算法提取數(shù)據(jù)幀的特征。
　　本課題的研究正式基于這樣的依據(jù)，針對大量、快速、連續(xù)到達(dá)的數(shù)