基于機(jī)器學(xué)習(xí)的數(shù)據(jù)碎片類型識(shí)別技術(shù)研究.pdf

1、在數(shù)字取證、入侵檢測(cè)和逆向工程等領(lǐng)域，經(jīng)常會(huì)遇到一些類型未知或格式不明的數(shù)據(jù)或文件片段。如何快速識(shí)別出這些數(shù)據(jù)的數(shù)據(jù)類型或所在原文件的文件類型是一個(gè)至關(guān)重要的問題。本文針對(duì)已有的方法往往存在識(shí)別顆粒度粗糙的問題，特別是在遇到流行的復(fù)合文件碎片時(shí)識(shí)別效果不理想的問題，對(duì)基于機(jī)器學(xué)習(xí)的數(shù)據(jù)碎片類型識(shí)別技術(shù)進(jìn)行了研究。
　　首先，分析并總結(jié)了已有的數(shù)據(jù)碎片識(shí)別方法的優(yōu)缺點(diǎn)。本文分析并總結(jié)了當(dāng)前基于相似性度量的方法，基于機(jī)器學(xué)習(xí)的方法，以

2、及轉(zhuǎn)化為圖片分類問題的方法等數(shù)據(jù)碎片類型識(shí)別方法的優(yōu)缺點(diǎn)；指出這些方法大多是依據(jù)文件類型的，即試圖推斷出一個(gè)單獨(dú)碎片來自哪種類型的文件，存在顆粒度粗糙且準(zhǔn)確率低的問題，特別是在遇到流行的復(fù)合文件碎片時(shí)識(shí)別效果往往不理想。
　　其次，為了解決識(shí)別顆粒度粗糙且準(zhǔn)確率低的問題，本文提出了一個(gè)更精確的碎片識(shí)別問題的定義，并在此基礎(chǔ)上提出一個(gè)使用機(jī)器學(xué)習(xí)算法、依據(jù)數(shù)據(jù)類型進(jìn)行數(shù)據(jù)碎片識(shí)別方法。該方法首先通過分析常見的文件格式及其數(shù)據(jù)結(jié)構(gòu)，得

3、到常見的數(shù)據(jù)類型并構(gòu)造數(shù)據(jù)集；然后將數(shù)據(jù)集分為訓(xùn)練集和測(cè)試集兩部分，并提取碎片特征；之后使用機(jī)器學(xué)習(xí)算法和訓(xùn)練集中的數(shù)據(jù)構(gòu)建分類器；最后使用測(cè)試集中的數(shù)據(jù)檢驗(yàn)分類器分類效果。該方法在識(shí)別碎片類型時(shí)依據(jù)數(shù)據(jù)類型，與已有的依據(jù)文件類型的方法相比，準(zhǔn)確率提高了約20％，并且減少了碎片類型識(shí)別顆粒度。此外，本文在實(shí)驗(yàn)中使用了多種機(jī)器學(xué)習(xí)算法，對(duì)比分析了它們的優(yōu)缺點(diǎn)。
　　最后，將提出的方法應(yīng)用到PPT文件碎片識(shí)別技術(shù)中。PPT文件類型是一

4、種復(fù)合文檔格式，在依據(jù)文件類型的方法中，其碎片識(shí)別率一直很低。本文分析了其文件格式，找出了其內(nèi)部常見的數(shù)據(jù)類型，探討了其難以識(shí)別的原因，并將依據(jù)數(shù)據(jù)類型進(jìn)行數(shù)據(jù)碎片識(shí)別的技術(shù)應(yīng)用到PPT碎片識(shí)別中。實(shí)驗(yàn)結(jié)果表明，本文提出的方法與依據(jù)文件類型的方法相比，準(zhǔn)確率提高了52％。
　　本文把碎片的文件類型識(shí)別問題轉(zhuǎn)換為更精確的數(shù)據(jù)類型識(shí)別，使用機(jī)器學(xué)習(xí)方法進(jìn)行碎片識(shí)別，對(duì)數(shù)據(jù)碎片識(shí)別問題進(jìn)行了有益的探索。所提出的方法不僅可以提高數(shù)據(jù)碎片識(shí)