基于Net-Trace的未知協(xié)議格式逆向技術(shù)研究.pdf

1、網(wǎng)絡(luò)通信協(xié)議規(guī)范在互聯(lián)網(wǎng)通信和網(wǎng)絡(luò)安全防護(hù)如：網(wǎng)絡(luò)入侵檢測(cè)、隱蔽信道發(fā)現(xiàn)、深度數(shù)據(jù)包分析、以及僵尸網(wǎng)絡(luò)等場(chǎng)景中起著非常重要的作用。通常，對(duì)于非合作的檢測(cè)對(duì)象，其所使用通信協(xié)議的規(guī)范往往是未知的，甚至在惡劣環(huán)境下，用以實(shí)現(xiàn)通信的計(jì)算機(jī)程序也不可得。因此，對(duì)于只能通過(guò)網(wǎng)絡(luò)數(shù)據(jù)包捕獲獲得通信數(shù)據(jù)包的非合作檢測(cè)目標(biāo)，有必要研究基于Net-Trace(網(wǎng)絡(luò)通信數(shù)據(jù)包)的協(xié)議格式逆向分析方法，來(lái)獲得較為完整和準(zhǔn)確的未知協(xié)議報(bào)文格式，從而加強(qiáng)網(wǎng)絡(luò)入侵

2、檢測(cè)、僵尸網(wǎng)絡(luò)檢測(cè)等安全機(jī)制的防護(hù)力度，進(jìn)一步加強(qiáng)和鞏固計(jì)算機(jī)以及網(wǎng)絡(luò)系統(tǒng)的安全度。
　　針對(duì)基于網(wǎng)絡(luò)數(shù)據(jù)的協(xié)議格式逆向方法，本文給出了一種基于協(xié)議格式關(guān)鍵字識(shí)別的聚類劃分和基于報(bào)文特征序列比對(duì)的聚類歸約方法相結(jié)合的未知協(xié)議格式逆向分析方法。
　　聚類劃分階段對(duì)源數(shù)據(jù)進(jìn)行初步處理，劃分?jǐn)?shù)據(jù)包中的報(bào)文字段并標(biāo)記部分語(yǔ)義屬性，通過(guò)對(duì)能夠區(qū)別不同報(bào)文類型的協(xié)議格式關(guān)鍵字進(jìn)行識(shí)別并依此進(jìn)行聚類劃分，之后構(gòu)造協(xié)議報(bào)文格式模版。

3、　　聚類歸約階段對(duì)之前劃分得到的聚類進(jìn)行去冗余歸約。通過(guò)比較不同聚類中協(xié)議報(bào)文格式模版的相似程度，對(duì)相似度較高的格式模版所代表的聚類進(jìn)行合并，降低整體聚類的冗余度，在聚類歸約的過(guò)程中，對(duì)協(xié)議報(bào)文的格式模版進(jìn)行維護(hù)。最終得到能夠代表聚類中所有報(bào)文的格式模版和所有報(bào)文的聚類。
　　通過(guò)使用數(shù)據(jù)包解析工具對(duì)本課題所設(shè)計(jì)的方案進(jìn)行驗(yàn)證，從實(shí)驗(yàn)過(guò)程和結(jié)果分析的數(shù)據(jù)可以看出，本方案能夠?qū)ξ粗獏f(xié)議報(bào)文的格式字段進(jìn)行較為準(zhǔn)確的劃分和識(shí)別，在報(bào)文聚