论文部分内容阅读
当前网络加密流量比例不断提高,而木马、社交应用等多以加密流量形式在网络中传播,给网络安全和网络管理带来了严峻挑战。因此有效识别网络应用层加密流量是识别恶意流量,实现网络管控的前提。现有网络应用层加密流量的识别方法主要存在以下三个问题：(1)网络中加密流量的比例相对明文流量很小,使得多数基于统计思想的加密流量识别方法易受到明文流量的干扰而导致识别精确度较低。(2)基于应用特征自动提取的识别方法时间复杂度较高。(3)基于传输层流级统计特征的经典协议指纹识别方法精确度较低。针对上述问题,本文依托国家863计划项目“面向三网融合的统一安全管控网络”的相关课题,对现有上述存在的技术问题进行了深入的分析和研究,提出了基于串行检验的网络加密流量识别算法ETI-ST,粗粒度识别网络协议不相关加密流量；然后针对不同应用场景识别方法的缺陷,分别提出基于ECLAT树结构的特征自动提取算法FEA-ET和基于指纹趋势感知的Skype协议识别算法ISP-FT,达到细粒度识别网络应用层加密流量的目的。论文所提方法都通过仿真实验进行了对比分析,验证了算法的有效性。具体研究工作如下：1.提出了基于串行检验的网络加密流量识别算法。针对多数基于统计思想的应用层加密流量识别方法易受到明文流量干扰的问题,根据网络加密流量的随机性特征,提出了基于串行检验的网络加密流量识别算法ETI-ST,该算法利用网络数据间的相关性对随机性评估的影响,采用串行检验方法对序列随机性进行量化。仿真实验表明：与现有基于熵的方法相比,ETI-ST的精确度可达到82.3%,提高了约15%。2.提出了基于ECLAT树结构的应用特征自动提取算法。针对现有应用特征自动提取方法时间复杂度高的问题,提出了基于ECLAT树结构的应用特征自动提取算法FEA-ET,并应用DPI技术来识别网络应用层加密流量。FEA-ET算法仅扫描一次待测网络加密流量集得到各位置频繁字节的支持度；构建ECLAT树结构,自动化挖掘不同数据报文的频繁字节串集。仿真实验表明：与经典的APRIORI算法相比,该算法减少了I/O负载,在特定参数下,时间复杂度平均降低了20%,提高了挖掘效率。3.提出了基于指纹趋势感知的Skype协议识别算法。针对基于传输层流级统计特征的经典协议指纹识别方法精确度较低的问题,本文通过研究私有加密协议Skype通联初期稳定的流级统计特征变化趋势,定义了趋势感知加权函数,提出了一种基于指纹趋势感知的Skype协议识别算法ISP-FT。仿真实验表明：与经典的协议指纹算法和C4.5算法相比,ISP-FT算法在召回率相差0.1%的前提下,精确度至少提高4%,准确率至少提高3.3%,且仅处理前6个数据包即可识别Skype协议,在一定程度上满足了实时性要求。