融合自动化逆向和聚类分析的协议识别方法

• 作者: 李城龙 汪东升 薛一波
• 来源期刊: 计算机科学与探索
• 学科: 工学
• 关键词: 协议识别 网络消息 逆向分析 关联
• 年，卷（期）: 2012,（5）
• 所属期刊栏目: 学术研究
• 页码范围: 397-408
• 分类号: TP393
• 字数: 8489字
• 语种: 中文
• DOI: 10.3778/j.issn.1673-9418.2012.05.002

摘要

网络流分类与协议识别是网络管理的前提和必要条件,但是越来越多加密协议的出现,使得传统的流分类方法失效.针对加密协议的协议识别问题,提出了一种融合自动化逆向分析技术和网络消息聚类分析技术的新型分类方法(automatic reverse and message analysis,ARCA).该方法通过自动化逆向分析技术获得网络协议的结构特征；再利用网络消息聚类分析技术,获得网络协议的交互过程；最后将网络协议的结构特征与交互过程用于加密协议流量的识别和分类检测.该方法不依赖于网络包的内容检测,能够解决协议加密带来的识别问题.通过对多个加密协议(如迅雷、BT、QQ和GYalk等)真实流量的实验,其准确率和召回率分别高于96.9％和93.1％,而且只需要检测流量中0.9％的字节内容即可.因此,ARCA方法能够对各类加密协议流量进行有效和快速的识别.