立体化网络应用层协议识别的研究与实现

针对由于动态端口和加密通信协议的不断使用、应用层协议识别难度增加以及对高速网络的快速识别需求提升的问题,提出了一种立体化的应用层协议识别方法。其依据树形分类思想,根据数据包的多元信息进行分层过滤识别。通过加入表驱动方法,协议特征库使用动态模块化加载方式和改进基于统计的识别算法,采用SVM的分类模型,实现了准确、快速和易于扩展的应用层协议识别。通过真实网络环境下的测试结果得出,此系统能够保证较小的延时和95%以上的识别率。     

自适应聚类的未知应用层协议识别方法

应用层协议识别是指从承载应用层协议数据的网络流量中提取出可以标识应用层协议的关键特征,并以这些关键特征为基础,将同种类型的应用层协议数据划分在一起。针对现有网络流量识别方法对未知应用层协议识别率低的问题,提出了一种自适应聚类的未知应用层协议识别方法。该方法以传统的AGNES层次聚类算法为基础,依据网络流应用层协议数据的负载特征,基于相似度对应用层协议进行聚类。方法将聚类算法中相似度计算划分为聚类前应用层协议数据间的相似度计算和聚类中簇间的相似度计算两部分,避免了重复性地计算应用层协议数据间的相似度,提升了算法的聚类效率。实验结果表明所提出的方法能够高效准确地对未知协议的网络流量进行识别。     

基于正则表达式的动态应用层协议识别方案

传统依赖于端口号的应用层协议识别方法对大量具有随机端口的应用不再适用,设计一种基于正则表达式的动态应用层协议识别方案。在深入分析DFA状态数对算法性能影响的基础上,提出了构造最优DFA状态数的算法,该算法保证在任意有限的系统资源下具有最小的时间复杂度和空间复杂度,并且将报文匹配方式和One-Pass扫描算法相结合进行测试。实验表明此方案具有较低的资源消耗率,较高识别效率和识别精度。     

基于winpcap的网络抓包系统

为了监控计算机当前网络信息,我们主要通过使用winpcap抓取当前计算机网络中使用的数据包,然后通过对抓取数据包中数据进行分析过滤,得到所抓数据包的协议、数据长度,以及http中的数据报内容等信息。此外,我们的项目还注重研究,主要体现在应用层协议的识别方面,同时采用了基于正则表达式技术得到某种应用层协议的特征表达式,然后通过利用正则表达式匹配引擎进行识别。     

基于特征串的应用层协议识别

随着各种P2P协议的广泛应用以及逃避防火墙检测的需要,传统的基于常用端口识别应用层协议的方法已经出现问题。文章通过分析可用的文档和实际报文TRACE,分别为七种应用层协议找出其实际交互过程中必须出现且出现频率最高的固定字段,并将这些固定字段作为协议的特征串来识别这七种协议。实验结果表明,相较于端口方法,使用特征串方法识别这七种应用层协议具有更高的准确性,并且时间消耗的增长不会超过2%。     

BACnet协议应用层编码的研究和实现

BACnet协议应用于楼宇智能控制,目的是实现设备间的互操作。它使用面向对象式方法,将电气设备抽象为一个对象,并将设备的电气属性抽象为标准对象的标准属性,操作对象的属性由不同的应用层服务来实现,规定了各种电气设备在通信时应该遵循的协议规程。BACnet协议可以使用不同的底层通信,例如IP协议或者ARCNET协议。该文的协议实现算法不涉及数据链路层/物理层,研究应用层的实现方式。只要实现了应用层协议,下层的不同只体现在不同的协议控制信息上。     

基于应用层协议关键词序列的应用层异常检测方法

提出一种基于应用层协议关键词序列的应用层异常检测方法.它用应用层协议关键词和关键词之间的时间间隔构成观测序列,用隐半马尔可夫模型来刻画正常用户在使用每种应用层协议时的行为.该方法可分为模型训练和异常检测两个阶段:在模型训练阶段,利用前后向算法训练得到正常用户在使用每种应用层协议时其行为的隐半马尔可夫模型;在异常检测阶段,在线统计每个观测序列相对于模型的平均对数或然概率,当发现某个用户在使用某种应用层协议的过程中其行为出现异常时,采取调整该用户数据流的优先级或者带宽的方式来对该用户的异常行为进行控制,从而可以自动纠正用户的异常行为.使用包括DARPA测试数据集在内的一些数据对该方法进行了验证.实验结果表明该方法能很好地描述正常用户在使用应用层协议时的行为,并且在检测用户异常行为时具有很高的检测率和很低的误报率.     

微服务容器化部署的研究

由于对应用层信息的收集和识别能够实现更精确的性能分析和入侵检测,对提高网络安全性和性能具有重要意义,为此对SSH隧道下应用协议的识别进行了研究。首先,分析SSH协议以确定可以从连接建立阶段获得哪些信息。随后在流量监控基础架构所创建的扩展功能的基础上对所获取信息进行分析,获取SSH数据中所包含的应用层协议相关的信息。最后,在真实网络对SSH连接进行监测,并对监测结果进行分析。研究结果表明,通过对SSH流量数据的分析,可以识别包括端口、客户端软件在内等应用层协议,改进对暴力密码攻击等安全漏洞的检测。     

基于分类与特征匹配的应用层协议识别方法

针对网络安全监控对应用层数据的监测与分析,传统的基于端口、负载和关键字的应用层协议识别法不再适用,提出了一种基于分类和特征匹配的应用层协议识别法.其核心思想是先提出分类的判定规则,对待识别的数据流依据判定规则进行一个粗粒度的分类,针对不同的数据流采取不同的协议特征匹配,从而达到识别更多入侵行为以及提高特征识别速度的目的.将仿真结果与其他识别法进行比较,表明了该方法的执行效率优于其他识别法.     

基于残差网络和循环神经网络混合模型的应用层协议识别方法

针对现有协议识别方法无法有效提取协议数据的时间和空间特征导致协议识别准确率不高的问题,提出了一种基于一维残差网络和循环神经网络的应用层协议识别方法。所构造的协议识别模型由一维预激活残差网络(PreResNet)和双向门控循环神经网络(BiGRU)组成,利用一维PreResNet提取协议数据的空间特征,利用BiGRU提取协议数据的时间特征,在此基础上通过注意力机制提取与协议识别有关的关键特征来提高协议识别的准确率。所提方法首先从网络流量中提取应用层协议数据,对数据进行预处理,从而将其转化为一维向量;然后利用训练数据对分类模型进行训练,得到成熟的协议识别模型;最后用训练好的分类模型识别应用层协议。在公开数据集ISCX2012上进行测试实验,结果表明,所提协议识别模型的总体准确率为96.87%,平均F值为96.81%,高于对比的协议识别模型。     

The Research of Address Message of an Unknown Single Protocol Data Frame

Network protocols are sets of standards for certain network communications. The identification and analysis of network protocol are of significance to network management and security. There are various technologies of protocol identification, but in the process of identification protocols, in order to simplify the identification process and improve the efficiency of protocol identification, unknown mixed multi-protocol needs to be separated into single protocol so as to make further identification. This paper presents an efficient method to determine the single protocol address message based on the previous research of separating unknown mixed data frame into single protocol. By this way, the data frames of single protocol are split into point-to-point data frame according to the address; consequently, the final identification of unknown protocol can be realized. Moreover, the method was evaluated by analysis of the ARP and TCP data; this method is able to find the more than 2/3 of address information.     

面向比特流的未知协议识别与分析技术综述

在日益严峻的网络安全形势下,为确保信息的安全性,大量的网络应用开始采用未知的私有协议进行数据传输,尤其是在军事对抗中的战场无线通信网络下,通信所采用的协议不仅未知,还有可能被加密。要从截获的通信比特流中提取可用信息并加以利用,推断出以比特流形式存在的未知协议的报文格式是首要前提。首先从整体上介绍了现有面向比特流的协议识别研究领域所涉及的主要内容,重点分析了现有未知协议格式推断方法,包括频繁模式挖掘、关联规则挖掘、比特流帧切分以及协议格式推断,最后总结其优缺点及下一步研究方向。     

蓝牙Ad hoc网络形成算法的性能评价

评价一个蓝牙Adhoc网络形成算法的优劣可以用不同方法和性能指标来衡量。文中首先介绍了蓝牙Adhoc网络的拓扑结构,然后讨论了评价蓝牙Adhoc网络形成算法的主要手段和性能指标,对目前主要的蓝牙Adhoc网络形成协议的性能进行了总结和比较。此外,还对树型散射网形成(Tree Scattemet Formation,TSF)协议的部分性能指标进行了仿真,给出了相应的性能仿真曲线。最后总结现有网络形成协议存在的问题,分析业界关注的重点及今后可能的研究方向。     

Cache memory design for Internet processors

As a result of the exploding bandwidth demand from the Internet, network router and switch designers are designing and fabricating a growing number of microchips specifically for networking devices rather than traditional computing applications. In particular, a new breed of microprocessors, called Internet processors, has emerged that is designed to efficiently execute network protocols on various types of internetworking devices including switches, routers, and application-level gateways. We evaluate a series of three progressively more aggressive routing-table cache designs and demonstrate that the incorporation of hardware caches into Internet processors, combined with efficient caching algorithms can significantly improve overall packet forwarding performance     

基于译码表的字符预处理技术及其在协议识别中的应用

本文提出一种利用FPGA内部存储器构造译码表实现字符预处理来简化模式匹配电路的方法,并将其应用于高速链路的应用层协议识别。该方法利用共享的译码表对正则表达式的文字进行预译码,并将常见的应用层协议模式映射成简化的逻辑电路,再将电路并行化,从而用较少的硬件资源来达到最大的吞吐量,为当今高速主干链路的流管理提供了一种可行的解决方案。     

基于NS2的无线Ad Hoc网络路由协议仿真

运用NS2对Ad Hoc网络尤其是对Ad Hoc网络的路由协议研究成为网络研究者的一种重要手段。首先介绍Ad Hoc网络和NS2进行仿真的一般步骤,然后通过AODV路由协议的仿真实例分析,结论表明运用NS2研究Ad Hoc网络的可行性和有效性。     

基于内容分析的网络协议指纹识别

针对当前网络协议识别面临的网络带宽持续增加、许多新应用的出现和端口识别局限性的挑战,分析各种识别方法所使用的协议指纹存在的基础、局限性和匹配的难易程度,提出一种基于协议指纹匹配和协议规则验证的协议自识别技术实现协议自识别方法,通过提取不同网络协议类型之间的细微差别,建立网络应用协议指纹特征库,并通过协议验证规则验证协议识别结果的正确性。最后通过实验表明该方法的有效性。     

移动支持协议切换性能研究

切换是移动支持协议研究的重要内容,其性能好坏对移动网络的性能和服务质量提供具有至关重要的影响.在合适的网络模型和切换模型的基础上,通过理论分析和数值仿真的方法对各类移动支持协议(包括移动IP与微观移动协议以及不同的微观移动协议)的切换性能进行了深入的研究和比较.结果表明,切换性能受无线网络参数和移动支持协议的路径更新算法两个因素影响;采用微观移动协议时的切换性能好于只使用移动IP时的情形;在所有微观移动协议中,MIP-RR和MMP协议中的路径更新算法切换性能最佳.     

GloMoSim中DSR协议实现分析

仿真是目前研究Ad hoc网协议和算法的廉价、有效手段。分析目前流行的网络仿真软件Glo-Mosim的控制流程,并且详细分析移动自组网路由协议DSR在GloMoSim中的设计与实现,重点分析DSR的路由请求处理、路由回复处理、路由错误处理、丢包处理、路由处理等必要操作。