面向网络报文的未知协议逆向分析方法研究

来源 :孙芳慧 |
随着互联网规模不断扩大,各类网络不断地出现和发展,各场景下新的网络协议层出不穷,现有的网络协议也根据不同环境需求出现各种变化。在对网络系统进行功能维护和安全管理时,未知协议给分析人员造成了极大不便。在如异
随着互联网规模不断扩大,各类网络不断地出现和发展,各场景下新的网络协议层出不穷,现有的网络协议也根据不同环境需求出现各种变化。在对网络系统进行功能维护和安全管理时,未知协议给分析人员造成了极大不便。在如异常检测,流量分析等具体的管理或安全维护中,网络协议规范的逆向分析工作显得异常重要。在此需求下,协议逆向工程应运而生,近年来获得了大量研究人员的关注与发展。协议逆向技术根据可分析对象的差异主要有面向网络报文和面向终端程序两类。虽然后者相关理论较为成熟,但受限于分析对象的可用性使其在很多场景中无法实施。而网络报文作为协议通信过程的交互数据则相对易于获取,相应的分析方法因具有应用广泛、自动化程度高等优势而备受关注。但目前的相关研究在分析方法的通用性、结果的准确性,以及对目标协议规范的还原程度和模型的表达能力等方面仍然存在较多问题,很大程度上限制了对未知目标协议的分析能力和结果质量。本文综合运用数据挖掘的相关理论、技术和方法,对面向网络数据的协议逆向分析过程中的关键问题进行探索。为了在提高逆向分析效率和效果的同时通过降低对先验知识的依赖来提高方法的通用性,针对目前领域内存在瓶颈的报文格式聚类、报文头部通用域分析、交互行为建模及逆向推断等问题进行深入探索,主要研究如下:1.提出一种基于格式相似性的无监督报文聚类方法对混杂的未知协议报文进行聚类分析。在对未知协议报文格式距离度量中,通过对数据进行合理语法标记并优化序列比对算法,来对分词和报文的格式相似度进行度量。对于无监督聚类过程中参数调节问题,使用无监督聚类质量评价指标对算法参数进行调控,使得分析过程脱离人工干预。实验结果表明,本文提出的方法相比于同类研究具有明显性能优势,且在不同分布的多组数据集上能够得到更为稳定的聚类结果。2.提出一种基于信息熵的定长域通用分析方法对未知协议报文头部格式域进行划分和识别。通过提出互信息饱和度来度量相邻位置数据分布的相关性,结合自信息,对未知协议报文头部不同偏移处数据的分布规律进行分析,并设计报文头部定长域的通用分段算法。将此分段算法与分隔符识别相结合,设计并实现了在有限假设条件下的针对有状态协议状态相关域的识别和划分。实验结果表明,本文方法可以对协议报文中存在的通用域进行有效划分,并且能够准确提取报文中存在的状态相关域字段。这方面的研究对于推动未知协议报文通用格式逆向分析和重要字段准确提取具有重要的促进意义。3.提出一种可集成协议报文交互方式和统计信息的协议行为描述模型——随机协议转换器,以及可缓解结果模型过度泛化的协议行为模型逆向推断方法。该模型因为能够在面向协议报文的行为逆向分析过程中统计报文交互行为,从而具备一定的行为预测能力。该推断方法以目标协议的随机协议转换器模型作为推断目标,通过状态标记序列补偿、行为模型前缀树构建和化简,以及行为概率计算等一系列过程来进行分析和推断。在化简前缀树时,通过设计合理的兼容状态合并规则来对结果模型的泛化程度进行控制。实验结果表明,该逆向推断方法分析得到的随机协议转换器模型在行为预测方面具有准确率高,覆盖率广,运算代价小等优点。4.提出一种基于随机协议转换器模型的协议行为渐进式逆向推断方法。通过以增量更新的方式对目标协议报文状态标记序列进行渐进式分析,在推断的过程中实现兼容状态的实时化简,使得重构出的行为模型在此过程中维持在接近最简的状态,从而避免了由构建状态机前缀树所造成的状态爆炸问题。实验测试表明,相比于前一种协议行为模型逆向推断方法,该渐进推断方法可以在牺牲少量预测准确率的情况下,有效地降低行为逆向分析过程的计算代价,尤其在进行大规模数据分析时具有更加明显的优势。
温度场的测量对于科学研究和国民经济的发展都有着十分重要的意义,常规的接触式测温技术由于探头的介入,不可避免的要破坏温度场的原始分布。利用光学方法测量温度场由于其具
目的对老年糖尿病患者实施延伸护理,观察患者遵医行为以及生活质量变化情况。方法将2018年1—12月间该院接收的150例老年糖尿病患者作为研究对象,根据护理方法的不同分为延伸
目的:对急性心肌梗死患者的院前急救护理方式与效果进行探讨。方法:依据院前急救的方式,分67例急性心肌梗死患者为两组,32例家属自行送患者入院为一般组,35例展开院前急救护理
通过对某职院2014届道路桥梁工程专业毕业生工作情况及其所在企业进行跟踪调查,对数据进行统计分析,收集了毕业生对本专业建设的建议,了解用人单位对本专业毕业生的总体评价,
日前,教育部高校学生司有关负责人在接受媒体采访时表示,我国高等教育已进入大众化阶段,大学生不能再自诩为社会精英,而应定位为“普通劳动者”,要怀着一个普通劳动者的心态和定位
混频器作为接收机前端重要的组成部分,其线性度的好坏对整个系统性能有重要影响。在混频器各种线性度指标的基础上,分析混频器的1dB压缩点、二阶交调点(IIP2)和三阶交调点(II
中国经济的迅猛发展,一方面让百姓受惠于工业文明所带来的各种利好,另一方面自然资源巨大消耗、自然环境污染以及生态系统破坏等环境问题也日益突出.环境污染具有公害性、潜
期刊
目的解决挂线疗法操作过程中的量化问题,对这种具有中医优势的手术方法进行规范化研究。方法共观察病例45例,均行低位切开高位挂线手术,依据挂线勒割肌柬收紧长度分为1/4组、1/3组
为贯彻"绿树青山就是金山银山"的环保理念,为了建设绿色城市,建设美丽中国,全国各地都在积极开展园林绿化工程,园林绿化工程的施工阶段虽然重要,但是养护阶段也是必不可少的,
随着中国入境旅游的飞速发展,旅游指南汉译英在将中国的旅游资源推介出去的过程中起着越来越重要的作用。成功的旅游指南英译能够很好地介绍旅游目的地资源,从而吸引外国友人
中国海上丝绸之路申遗于2016年正式启动,迄今尚无有关中国海上丝绸之路申遗专题的综合研究成果。首先建议申遗项目的中英文名称:丝绸之路-海路-中国段(Silk Road-Maritime Ro
文化赋予设计灵魂,文化也需要通过设计不断传承与创新。该文在分析竹编文化工艺与发展历史的基础上,归纳竹编艺术制品在现代空间环境设计中的应用方式;以空间环境设计作为研
稻田养殖淡水龙虾一般亩产可达400~500kg,高时可达600kg。稻田养龙虾可吃掉田中野草和其它水生物,节省了除草的劳动力,还能消灭危害人、畜的蚊蝇;且龙虾在稻田里不停地行动、觅食,
深入分析了电子式电能表准确度试验的原理、过程及计量检定规程的要求,借助概率理论对电能表准确度各项试验的时间进行了定量分析,推导出试验时间分布函数与批量间的关系.提
文书档案管理作为档案工作的重要组成部分,对企事业单位的发展起着重要的指导作用.因此,提高公文档案管理的效率和改革创新就显得尤为重要.随着社会的快速发展,为了适应新时
随着“体育强国”伟大战略的提出,体育锻炼与体质健康问题逐渐成为人们关注的焦点.该文运用文本分析法和调查研究法,以中学生体质健康为研究对象,通过对我国当代中学生体质健
幼儿厌食是指2~7岁孩子在较长一段时间的食欲减退现象,它也是幼儿常见症状和就诊原因。一般认为,孩子厌食与精神因素、不良饮食习惯、微量元素(如锌)缺乏、感染性疾病等有关。长期厌食会影响孩子进食的量和种类,使体重下降,导致营养不良,机体抗病力降低,从而影响生长发育。  目前市场上“开胃”药品种繁多,为帮助家长选用,现将临床上常用有效的几种药物作以下介绍:  四磨汤为中成药制剂,主要成分有木香、枳壳、乌
如今互联网上的电影网站数不胜数,在网上看电影变成了一种享受!虽然它们能够让人们在休闲时到网上收看自己喜欢的电影,可是由于网络现状的影响,家里用的宽带、办公室的网络,让用户在网上电影不仅缓冲、卡壳,画面还出现模糊不清等现象。因此一些用户改用工具软件,将电影下载后在收看。一部电影也要下10个小时……简直无法忍受!现在好了,网上出现了很多边下边看的软件和网站,这样喜欢看电影的用户就可以边下载边看了。
期刊
学位