面向二进制数据帧的聚类系统

为了分离复杂无线网络环境下获取到的二进制数据帧,为后续协议逆向解析提供前提条件,实现了对复杂协议簇协议的聚类系统.首先使用AC算法挖掘出二进制数据帧中的频繁序列特征;然后创新地使用了Apriori算法搜索分析这些特征的关联关系,并且结合二进制流数据帧的特点对结果进行了四步剪枝处理;最后利用筛选出的特征通过改进的K-means算法进行聚类.实验表明,该系统可以对二进制协议数据帧的聚类起到很好的效果,同时对存在TYPE字段的多层协议簇,还能进一步区分出多种协议间的层次关系.     

未知单协议数据帧的地址分析与研究

网 络协议是网络通信中一系列标准的集合,未知协议的识别和分析对网络监管、保障网络安全具有重大意义。协议识别技术多种多样,但在协议的分析识别过程中,为了实现协议的简单高效识别,通常需要将未知混合多协议分离为单协议,然后再进行进一步的识别。在将未知混合数据帧分离为单协议的基础上,提出了一种高效的确定单协议位置信息的方法,即进一步将单协议的数据帧按地址分为点对点数据帧,从而实现未知协议的最终识别。最后通过分析ARP、TCP数据对该方法进行评估,结果表明采用该方法可以找到2/3以上的地址信息。     

基于改进凝聚层次聚类的协议分类算法

在比特流未知协议识别过程中,针对如何将得到的多协议数据帧分为单协议数据帧这一问题,提出了一种改进的凝聚型层次聚类算法。该算法以传统的凝聚型层次聚类算法思想为基础,结合比特流数据帧的特征,定义了数据帧之间及类簇之间的相似度,采用边聚类边提取符合要求类簇的方式,能快速有效地对数据帧进行聚类;并且该算法能自动地确定聚类的个数,所得的类簇含有相似度评价指标。利用林肯实验室公布的数据集进行测试,说明该算法能以较高的正确率对协议数据帧进行聚类。     

面向比特流的未知短波协议识别技术

协议识别技术在信息对抗中发挥着极其重要的作用,它是对信号进行解码的前提条件,是通信对抗由信号层对抗,转变为信号层与信息层对抗互相结合,以信息层对抗为主的关键一步.从海量比特流数据中识别未知协议的基本方法是对比特流数据进行挖掘,寻找其中的特征序列,在没有先验知识的情况下,则需要对其中的频繁序列进行提取.为适应比特流环境,本文在BNDM算法的基础上做出改进,进行前置编码,极大地提高了二进制环境下搜寻频繁序列的效率.实验表明,上述方法能够实现海量比特流数据中对未知短波协议的识别以及对协议数据帧的定界和切分.     

基于协议偏离的程序协议指纹提取与识别

针对传统协议指纹提取技术耗时耗力,且无法提取与识别加密协议指纹问题,提出了一种基于协议偏离的程序协议指纹自动提取方法。协议偏离描述了协议各版本实现程序的网络行为差异,以动态二进制分析技术为支撑,分别从协议偏离会话流层面与偏离消息层面对协议特征进行提取。实验结果不仅验证了所提方法的可行性,还为提取与识别加密协议应用程序指纹提供了一条新思路。     

基于LoRaWAN的自适应多帧高效传输方法

针对LoRaWAN协议中LoRa网关与LoRa终端间数据多帧传输方式存在控制开销和传输时延较大的问题,提出一种基于LoRaWAN的自适应多帧高效传输方法（adaptive multi-frame efficient transmission,AMFET）,包含自适应多帧发送机制、自适应多帧接收确认机制和丢帧识别机制。自适应多帧发送机制对需确认数据消息设置优先等级,对高级需确认数据消息进行立即确认,对低级需确认数据消息在自适应发送模式结束后统一进行确认,同时将Fpending机制引入LoRaWAN上行多帧传输;自适应多帧接收确认机制通过位向量压缩技术记录已接收数据帧信息,从而单次对多个需确认数据消息进行合并确认;丢帧识别机制利用需确认帧编号（confirmed data identity,CDID）识别低级需确认消息是否丢失,避免终端异常进入休眠模式。通过数学分析和实验测试,分别对AMFET方法的性能进行了理论验证和实验验证,验证结果表明,相对于原LoRaWAN多帧传输方式,AMFET方法在保证数据传输可靠性的前提下,有效降低了数据传输时延和数据传输能耗。     

网络协议帧切分优化过程研究与仿真

为保障信息网络的安全,对网络协议帧进行合理的切分是准确掌握未知网络协议信息,挖掘协议特征,保证通信安全的重要步骤.在未知协议的识别与分析过程中,无法掌握所有网络通信协议规范,也难以准确获得数据特征,导致传统的网络协议帧切分方法面对大数据量时,在可行性与有效性方面存在较大的局限性.提出一种面向比特流的协议帧切分算法.详细分析了协议下比特流数据的特性;通过树结构存储统计比特流数据,并进行预挖掘以预测支持度和确定次数权值,进而判定获得频繁序列;运用位置差关联规则推断可能的帧头位置及帧长,从而实现协议帧的切分.通过对真实数据的仿真对提出的方法进行了验证,结果表明上述方法能够对未知协议进行准确帧长分段切分,使效率和准确度都有提高.     

基于帧时隙ALOHA的RFID标签集合检测协议框架

大规模RFID应用需要高效的检测协议对RFID标签集合进行管理,而现有的高效检测协议大都基于帧时隙ALOHA方法。为此在总结已有文献中对于标签集合检测协议的不同描述的基础上,提出了基于帧时隙ALOHA的RFID标签集合检测协议框架：分析了协议时间度量、丢失率估算、已识别标签处理和最优检测效率问题等协议框架中的基本问题,总结了迭代识别、短响应时隙和随机响应三种典型的优化方法。针对基本的帧时隙ALOHA检测协议,本文进一步利用上述三种方法进行优化,并通过仿真实验对其效率进行了分析对比。实验结果表明,综合利用三种优化方法的协议检测效率高于已知最高检测效率的IIPS-CM协议。     

基于协议逆向的移动终端通信数据解析

针对移动终端通信协议及通信数据的解析,其难点在于大部分移动终端应用程序并无相关公开的技术文档,难以获知其采取的通信协议类型。指令执行序列分析技术通过分析程序执行的指令序列逆向推断出消息格式和状态机。但有时序列信息采集不全,导致状态机推断不完备,从而无法获取全部协议信息。针对上述问题,提出了一个新型的基于状态机对比推断分析的移动终端通信协议解析方案,可用于取证场景提高数据取证的准确性和完备性。该方案首先利用PIN动态二进制插桩,识别污点源并跟踪污点轨迹分析出协议消息格式;然后根据格式信息对提取的协议消息进行聚类分析推断出原始状态机;最后利用最长公共子序列（LCS,longest common subsequence）算法与已知的协议状态机进行对比,相似度最高者即为推断出的通信协议类型。在Android平台上基于两类应用程序设计实验对该方案进行测试和评估,实验结果表明可准确提取应用程序的通信内容,实用价值强。     

基于协议首部的字节频率统计特征发现方法

应用协议识别在网络安全领域具有极其广泛的应用,而如何发现协议特征是协议识别的核心问题。为此,提出一种高效准确的协议特征自动发现方法。利用协议自身的格式特点,将消息进行token化,并根据token序列对消息进行分类。由分类数的变化曲线大致判别协议的首部长度,从而确定字频统计的范围。对数据流中每个数据包的消息首部进行字节频率统计,并将字节频率进行归一化处理,得到字节频率特征向量。通过计算待测协议与样本协议的余弦相似度对协议进行分类和识别。实验结果表明,用该方法所提取的特征进行识别,准确率超过93.5%。     

基于字符距离聚类的未知工控协议分类方法

未知工控协议分类是实现多类型混合工控协议识别的前提。利用工控协议报文格式精简且广泛采用二进制序列的特点,提出基于字符距离聚类的未知工控协议分类方法。该方法打破传统方法计算文本协议报文的欧氏距离而难以准确反映工控协议报文相似性的问题,通过构建二进制特征序列,计算字符距离,并开展基于字符距离K-means聚类,实现了未知工控协议分类。其中,为确保分类的准确性,提出基于最大平均字符距离的最佳聚类K值确定方法。半物理仿真结果表明,所提方法对未知工控协议分类的准确率可达96.80%,协议类型判别的正确率可达97.07%。     

结合通信重排和消息合并的通信调度方法研究

网络通信对于高性能计算机应用至关重要。当前,随着数值模拟应用的复杂化和并行规模的不断提升,应用软件对于缓解拥塞和减少通信协议开销的需求愈发迫切。传统的消息合并方法只以减少通信协议开销和延迟为目标,所以针对小消息进行合并。与之不同的是,从调度算法的角度提出了一种通过消息重排以减缓大消息网络拥塞,并基于优先级合并消息来提高网络有效利用率的算法。实验表明,该算法针对真实应用的通信性能最大可以提升41%,平均对每个应用提升了10%。     

改进Athena算法的多协议攻击自动化验证方法

多协议环境下协议安全性问题是安全协议形式化分析验证领域的一个公开问题。针对此问题,在分析Athena算法的基础上提出了一种多协议攻击自动化验证方法。该方法扩展了Athena状态表示方法和后继状态生成算法,使得攻击者具备截取其它协议交互消息和计算生成当前协议消息的能力,能够以自动化的方式验证协议是否存在多协议攻击。实验结果表明,提出的方法能够实现多协议攻击的自动化验证。     

一种新的Ad hoc网络路由协议

路由算法是Ad hoc网络中最重要的技术之一,由于Adhoc网络拓扑结构的频繁变化和带宽受限,给路由协议的设计带来了严峻的挑战。本文介绍了一种新的Ad hoc网络路由协议,该协议能自适应地广播链路状态消息,因此能以较小的带宽消耗获得较精确的路由。     

融合自动化逆向和聚类分析的协议识别方法

网络流分类与协议识别是网络管理的前提和必要条件,但是越来越多加密协议的出现,使得传统的流分类方法失效。针对加密协议的协议识别问题,提出了一种融合自动化逆向分析技术和网络消息聚类分析技术的新型分类方法(automatic reverse and message analysis,ARCA)。该方法通过自动化逆向分析技术获得网络协议的结构特征;再利用网络消息聚类分析技术,获得网络协议的交互过程;最后将网络协议的结构特征与交互过程用于加密协议流量的识别和分类检测。该方法不依赖于网络包的内容检测,能够解决协议加密带来的识别问题。通过对多个加密协议(如迅雷、BT、QQ和GTalk等)真实流量的实验,其准确率和召回率分别高于96.9%和93.1%,而且只需要检测流量中0.9%的字节内容即可。因此,ARCA方法能够对各类加密协议流量进行有效和快速的识别。     

一种IPv6网络可用带宽测量方法及分析

在分析IPv4网络带宽测量原理的基础上,结合下一代网络协议IPv6,提出了一种IPv6网络单程不等长包对减法可用带宽测量方法。利用IPv6报文的流标签字段控制测试报文序列的路径,设计并编程实现了IPv6网络可用带宽测量原型系统。试验结果表明,方法在IPv6网络下具有可行性,测量误差小于0.1M。测量结果符合实际,反映了网络可用带宽与时延的实时关联性,为网络监控和性能测量提供了有益的手段。     

Engineering a New Algorithm for Distributed Shortest Paths on Dynamic Networks

We study the problem of dynamically updating all-pairs shortest paths in a distributed network while edge update operations occur to the network. We consider the practical case of a dynamic network in which an edge update can occur while one or more other edge updates are under processing. A node of the network might be affected by a subset of these changes, thus being involved in the concurrent executions related to such changes. In this paper, we provide a new algorithm for this problem, and experimentally compare its performance with respect to those of the most popular solutions in the literature: the classical distributed Bellman-Ford method, which is still used in real network and implemented in the RIP protocol, and DUAL, the Diffuse Update ALgorithm, which is part of CISCO’s widely used EIGRP protocol. As input to the algorithms, we used both real-world and artificial instances of the problem. The experiments performed show that the space occupancy per node required by the new algorithm is smaller than that required by both Bellman-Ford and DUAL. In terms of messages, the new algorithm outperforms both Bellman-Ford and DUAL on the real-world topologies, while on artificial instances, the new algorithm sends a number of messages that is more than that of DUAL and much smaller than that of Bellman-Ford.     

P2P网络环境下的一种高效搜索算法:Multilayer Light-Gossip

由于现有非结构化P2P网络路由协议均在应用层实现,缺乏缓存机制和对Internet底层通信子网路由资源的利用,存在可扩展性差和效率不高的问题·在基于层域结构的RLP2P网络环境下,将路由空间分为域间和域内两层,结合泛洪和生成树搜索方式的优点,提出并实现了一种Multilayer Light-Gossip分级搜索算法和域间基于正六边形的蜂窝路由探测策略,把网络中的搜索消息分为域间和域内扩散两类分级扩散,以一定的消息冗余保持网络的稳健性和搜索的有效性,使定位某种服务的工作量和查询范围从网络中的所有结点数降到域内的节点数·运用预测评估方法对级间路由消息进行预分组,使消息能够自适应地沿着一条在时间度量上距离尽量短的路径前进·实验结果表明,Multilayer Light-Gossip算法大幅提高搜索效率和减少冗余消息,在广域环境下具有良好的搜索性能和扩展性·     

一种1553B总线命令优化算法

1553B 总线是一种集中式控制的飞机内部电子系统联网的标准。针对1553B总线通信协议的特点,通过对设置的命令所生成的命令时序表进行优化排列,提出一种产生优化总线传输方案的算法,以达到在一个大周期内总线负载均衡,从而生成加载在总线控制器中的优化总线命令表文件。应用表明,该算法能有效完成总线命令优化任务,提高总线传输效率。     

RBC-OLSR: Reputation-based clustering OLSR protocol for wireless ad hoc networks

We consider the problem of assuring the trustworthiness (i.e. reliability and robustness) and prolonging the lifetime of wireless ad hoc networks, using the OLSR routing protocol, in the presence of selfish nodes. Assuring the trustworthiness of these networks can be achieved by selecting the most trusted paths, while prolonging the lifetime can be achieved by (1) reducing the number of relay nodes (MPR) propagating the topology control (TC) messages and (2) considering the residual energy levels of these relay nodes in the selection process. In this paper, we propose a novel clustering algorithm and a relay node selection algorithm based on the residual energy level and connectivity index of the nodes. This hybrid model is referred to as H-OLSR. The OLSR messages are adapted to handle the cluster heads election and the MPR nodes selection algorithms. These algorithms are designed to cope with selfish nodes that are getting benefits from others without cooperating with them. Hence, we propose an incentive compatible mechanism that motivates nodes to behave truthfully during the selection and election processes. Incentive retributions increase the reputation of the nodes. Since network services are granted according to nodes’ accumulated reputation, the nodes should cooperate. Finally, based on nodes’ reputation, the most trusted forwarding paths are determined. This reputation-based hybrid model is referred to as RH-OLSR. Simulation results show that the novel H-OLSR model based on energy and connectivity can efficiently prolong the network lifetime, while the RH-OLSR model improves the trustworthiness of the network through the selection of the most trusted paths based on nodes’ reputations. These are the two different processes used to define the reputation-based clustering OLSR (RBC-OLSR) routing protocol.