非标工业控制协议格式逆向方法研究

协议安全是工业控制系统信息安全中的一项重要内容,非标协议格式的正确识别是协议安全分析的基础。基于工控系统行业现状和工控协议的结构确定、传输重复、语义有限的特性,提出了基于网络流量的非标准工控协议逆向识别方法,通过单报文处理进行初步分词聚类,多报文处理进行报文序列比对,关键字段推断语义,最终得到协议格式。验证结果表明,该方法能较好地识别非标工控协议格式。     

基于免疫粒子群的P2P协议识别方法

为了解决基于统计特征的P2P协议识别中,因特征选择不当而引起的识别准确率低的问题,采用免疫粒子群算法(Immune-PSO)选取最优特征子集,选择出最能区分P2P协议的特征子集。实验结果表明,该算法较标准粒子群算法具有更高的全局搜索能力,能更准确地找出最优特征子集,该方法能有效地提高协议的识别率,对常见的P2P协议如BitTorrent、eMule等有高达90%的识别率。     

基于改进投票专家算法的专有协议模糊测试方法

为了解决由于专有协议的广泛应用给模糊测试带来的严峻挑战,提出了一种将协议逆向工程和模糊测试相结合的专有协议模糊测试方法。并针对现有协议关键字提取算法n-gram将报文划分成等长子序列,造成关键字提取不够精确的弊端,提出基于有损计数算法改进的投票专家算法,为专有协议的逆向过程提供更加精准的协议关键字划分。对改进的投票专家算法和报文格式的逆向过程进行了详细说明。最后从准确提取关键字信息、协议逆向效果和对目标进行模糊测试三个方面对提出的方法进行了实验分析。并且,讨论了该方法存在的不足及未来的研究方向。     

基于自适应权值的数据报指纹特征识别与发现

面对未知协议下的报文数据,由于不能通过协议规范获得相关特征,导致传统的模式匹配方法在报文提取和协议识别过程中存在着难题;提出了以数据挖掘理论为基础的数据报指纹特征提取方案;在特征序列挖掘过程中引入自适应权值,对源数据中的序列模式进行加权统计得到判决结果;再利用提升率对特征序列进行关联规则验证,输出数据报的指纹特征;最后,采用ARP广播帧和ICMP数据包作为原始数据,测试提取数据报指纹特征;实验结果表明,自适应权值的引入能够有效减小报文中冗余数据段的干扰,提高指纹特征提取的正确率,并对报文的长度变化有一定的鲁棒性。     

基于半监督子空间聚类的协议识别方法

针对现有的基于统计特征的协议识别方法选择识别特征时未考虑不同协议个体之间的差异的问题,结合半监督学习和模糊子空间聚类（FSC）方法,提出了一种半监督子空间聚类协议识别方法（SSPIA）。首先,将有标签的样本流转化为成对约束信息,从而获取先验约束条件;其次,在此基础上提出半监督模糊子空间聚类（SFSC）算法,该算法利用约束条件指导子空间聚类过程;然后,建立类簇和协议类型的映射,以获取协议各个特征的权重系数,进而构建个体化的密码协议特征库用于后续协议识别;最后,针对5个典型的密码协议进行聚类效果和识别效果实验。实验结果表明,针对基于统计特征的协议识别问题,与传统K-means方法和FSC方法相比,所提SSPIA的聚类效果更好,且SSPIA构建的协议识别分类器更为精确,协议识别率更高,误识别率更低。所提SSPIA提高了基于统计特征的识别效果。     

基于卷积神经网络的应用层协议识别方法

针对传统网络协议识别方法中人工提取特征困难以及识别准确率低等问题,提出了一种基于卷积神经网络（CNN）的应用层协议识别方法。首先,基于完整的传输控制协议（TCP）连接或用户数据报协议（UDP）交互划分原始网络数据,从中提取出网络流;其次,通过数据预处理将网络流转化为二维矩阵,便于CNN的分析处理;然后,利用训练样本集合训练CNN模型,自动化提取出网络协议特征;最终,基于训练成熟的CNN模型进行应用层网络协议的识别。实验结果表明,所提方法的总体协议识别准确率约为99.70%,能有效实现应用层协议的识别。     

基于状态相关字段的二进制协议状态机推断

在通信协议规范中,报文的格式类型与状态类型不存在一一映射关系,通过聚类较难将格式类型相同、状态类型不同的报文分离。为此,提出一种基于状态相关字段的二进制私有协议状态机推断方法。根据最长公共子序列距离进行状态相关字段识别,以获取协议会话的行为逻辑相似性。构建基于邻接表的初始状态机,对其进行异常会话去除与相似状态合并,从而降低协议状态机的规模。在TCP协议和SMB协议数据集上的测试结果表明,该方法能够有效推断二进制私有协议状态机,其准确率与召回率均较高。     

基于典型相关分析特征融合的人脸表情识别方法

针对目前大部分人脸表情识别算法中仅提取图像的某一类特征,导致特征参数不能全面反映脸部情感信息的问题,提出了一种基于特征融合和离散隐马尔可夫模型（HMM）识别的人脸表情识别方法。对同一个图像序列分别使用离散小波变换(DWT)和标准正交非负矩阵分解(ONMF)提取纹理信息,使用改进的主动表观模型(AAM)提取几何形变信息,再使用高维小样本下典型相关分析(CCA)对提取的两种特征进行特征融合,最后使用离散HMM来进行表情分类识别。实验结果表明,经过特征融合后,在较少特征向量维数下该方法能够达到较高的识别率和较快的识别速度。     

基于滑动窗特征融合的深信度网络驾驶行为识别*

针对动态突变行为原始信息量较少、行为不易区分以及浅层结构分类算法分类正确率较低的问题,提出一种改进的基于加速度数据特征融合的深信度网络驾驶行为识别算法。采用从手机传感器中获取的实时三轴加速度数据,进行预处理后利用端点检测算法确定行为切换点,通过滑动窗实时提取时间序列信息并计算序列片段的时频域特征,选取有效特征后,融合原始行为信息与特征建立完整时间序列段作为受限玻尔兹曼机的输入端,隐层转换为网络可识别的伯努力分布方式,优化预设参数的多隐层受限玻尔兹曼机对输入端信息的特征进行提取,最终通过DBN(Deep Belief Network,深信度网络)实现驾驶行为的识别。实验结果表明,改进的滑动窗特征融合的深信度网络驾驶行为识别算法整体识别率为85.2%,能有效进行驾驶行为的识别。     

结合非线性全局特征和谱特征的脑电情感识别

针对现有表征情感信息的脑电信号的非线性特征提取不完善的问题,将相空间重构技术引入情感脑电的识别中,提取了在相空间重构下基于轨迹的描述轮廓的三种非线性几何特征作为新的情感脑电特征。结合脑电信号的功率谱熵以及非线性属性特征（近似熵、最大Lyapunov指数、Hurst指数）,提出了基于主成分分析（PCA）的非线性全局特征（非线性几何特征+非线性属性特征）和功率谱熵的融合算法,以支持向量机（SVM）为分类器进行情感识别。结果显示,非线性全局特征能更有效地实现情感识别,二分类情感识别率约90%左右。基于PCA的融合情感特征相比单一特征能达到更佳的情感识别性能,四分类实验中平均识别率可达86.42%。结果表明,非线性全局特征相比非线性属性特征情感识别率有所提高,非线性全局特征以及功率谱熵的结合可以构造出更佳的情感脑电特征参数。     

基于最佳路径搜索的二进制协议格式关键词边界确定方法

针对二进制协议报文格式逆向分析中字段切分问题，提出以格式关键词为逆向分析目标，通过改进的n-gram算法和最佳路径搜索算法实现对二进制协议格式关键词的最优定界。首先，将位置因素引入n-gram算法，提出基于迭代n-gram-position的格式关键词边界提取算法，有效解决了n-gram算法中n值不易确定和固定偏移位置格式关键词的边界提取问题；然后，定义了频繁项边界命中率和左右分支信息熵为基础的分支度量，以关键词和非关键词的n-gram-position取值变化率存在差异为基础构造约束条件，提出基于最佳路径搜索的格式关键词边界选择算法，实现了对格式关键词的联合最优定界。在AIS1、AIS18、ICMP00、ICMP03和NetBios五种不同类型协议报文数据集上的测试结果表明，所提算法能够准确确定不同协议格式关键词的边界，F值均在83%以上。与VDV和AutoReEngine经典算法相比，所提算法的F值平均提升约8个百分点。     

基于协议偏离的程序协议指纹提取与识别

针对传统协议指纹提取技术耗时耗力,且无法提取与识别加密协议指纹问题,提出了一种基于协议偏离的程序协议指纹自动提取方法。协议偏离描述了协议各版本实现程序的网络行为差异,以动态二进制分析技术为支撑,分别从协议偏离会话流层面与偏离消息层面对协议特征进行提取。实验结果不仅验证了所提方法的可行性,还为提取与识别加密协议应用程序指纹提供了一条新思路。     

基于正则表达式的动态应用层协议识别方案

传统依赖于端口号的应用层协议识别方法对大量具有随机端口的应用不再适用,设计一种基于正则表达式的动态应用层协议识别方案。在深入分析DFA状态数对算法性能影响的基础上,提出了构造最优DFA状态数的算法,该算法保证在任意有限的系统资源下具有最小的时间复杂度和空间复杂度,并且将报文匹配方式和One-Pass扫描算法相结合进行测试。实验表明此方案具有较低的资源消耗率,较高识别效率和识别精度。     

基于扩展前缀树的协议格式推断方法

对未知网络协议进行协议格式推断在网络安全领域具有重要意义。现有的协议格式推断方法存在时间复杂度高、精确度较低等问题。提出了一种基于扩展前缀树协议格式推断方法。该方法首先通过N-gram分词获取候选协议关键词,使用互信息进行合并得到不同长度的协议关键词。在此基础上,依据与报文相对应的关键词序列构建扩展前缀树,实现对报文样本的初步聚类。而后,在扩展前缀树的基础上采用分段的多序列比对方法获取精确的协议格式。实验结果表明,该协议格式推断方法对于文本协议和二进制协议都能够取得理想的推断效果。     

A secure short message communication protocol

According to the security requirement of the short message service （SMS） industry application, a secure short message communication protocol is proposed. This is an application level protocol constructed on the standard SMS communication protocol using public key authentication and key agreement without the need of wireless public key infrastructure （WPKI）. Secure short message transmission and dynamic key agreement between mobile terminals and the accessing gateway axe realized. The security of the proposed protocol is validated through the BAN logic. Compared with the standard SMS protocol, the effective payload rate of our protocol can reach 91.4%, and subscriber identity module （SIM） tool kit （STK） applications based on our protocol suit well for all kinds of mobile terminals in practical application.     

基于模式串匹配的Ethernet协议识别算法研究

协议识别是网络安全与对抗领域中的一项关键技术。简要介绍了网络协议识别的重要性,分析了Ethernet类协议的特征,构建了协议识别的系统模型,依据Ethernet类协议的特征,提出了一种新的基于模式串匹配的协议识别算法NEWMATCH,并对该算法的性能进行了分析,并与传统模式串匹配算法（如：BF、KMP、BM等）进行了比较。该算法在Ethernet类协议识别方面具有一定的适用性。     

一种基于PUF的两方认证与会话密钥交换协议

提出了一个轻量级的两方认证及会话密钥交换协议,在一个拥有PUF实体的密码设备（Device）与服务器（Server）之间进行安全认证并建立共享会话密钥。协议采用了模糊提取器来进行认证和密钥提取,同时使用伪随机函数和异或加密来进行消息认证和通信数据加密,有效降低了执行开销。协议中Server只需要获取并存储Device中PUF的一条激励-响应信息,用于后续的密钥更新与交换,避免了因采集大量的激励-响应信息而带来的存储资源的消耗和数据泄露隐患。分析表明提出的协议实现了双向认证和可靠的密钥交换,能够抵抗窃听攻击、篡改攻击、中间人攻击、DOS攻击、建模攻击、物理探测攻击等各种攻击技术。     

基于时间戳私钥签名技术的Nayak-T协议安全性分析

随着信息网络的快速发展,云服务走进人们视野,云环境下信息安全问题成为人们关注的焦点。Nayak协议是一种云环境下基于口令身份认证,实现双向认证和会话密钥交换的协议。针对Nayak协议存在的中间人攻击,提出改进协议Nayak-T。Nayak-T协议在消息项内增加时间戳并更改加密手段,通过双重加密的手段来保证双方通信安全。利用四通道并行建模法对Nayak-T协议建模,运用SPIN对该协议进行验证,验证结果得出Nayak-T协议安全的结论。模型优化策略分析表明,采用静态分析、类型检查、语法重定序模型优化策略的模型检测效率最佳,可运用于类似复杂协议的形式化分析与验证。     

一种基于聚合签名的服务会话认证协议

为满足Web服务的会话认证需求,提高多方服务交互环境下的认证效率,基于IBC体制中无可信PKG签名思想提出一种基于身份的聚合签名算法,并使用该算法设计一种新的服务会话认证协议。该协议在保证多方服务实例安全共享会话的同时,能够解决密钥托管和防PKG伪造用户签名等问题,认证方只需对多个会话实例认证信息的聚合签名进行一次验证就能确信各签名是否来自指定的会话参与方,从而减少会话认证量。相比类似方案,该协议具有更高的计算效率。     

基于身份的无线传输层安全握手协议改进方案

现有无线传输层安全(WTLS)协议主要基于数字证书构建,存在通信与计算开销较大、未对服务器证书的有效性进行在线验证等不足。以基于身份的密码体制思想,综合运用基于身份的加密(IBE)、基于身份的签名(IBS)及基于身份的密钥协商(IBAKA)等机制,提出了一种基于身份的密码系统(IBC)的WTLS改进协议。改进协议以身份标识为核心,以传递身份标识代替传递证书,使用IBE、IBS及IBAKA分别完成加密、签名及密钥协商等操作,并在密钥计算中融入了加密者的身份信息,使得密文具有消息源的可认证性。对改进协议的安全性及效率的分析表明,改进协议在确保安全的前提下降低了通信开销。