[发明专利]未知网络协议隐匿行为的指令序列聚类挖掘方法

权利要求书

1.一种未知网络协议隐匿行为的指令序列聚类挖掘方法，其特征在于：其包括 以下步骤：

S1，基因指令的划分标记；

S2，指令序列聚类；

S3，行为计算；

S4，潜在隐匿行为的触发：找到所有潜在隐匿行为前的比较指令，提取参与 比较的常量，用这些常量替换协议消息中的相关字段，生成具有触发能力的 新消息，用新消息触发潜在的隐匿行为；

S5，协议运行安全性评估：计算隐匿行为和已知行为之间3类基因指令分布 率的绝对差值RS，若RS>0.3，则协议运行不安全，该协议具有恶意行为，挖 掘结束；否则，协议运行安全；挖掘结束。

2.根据权利要求1所述的一种未知网络协议隐匿行为的指令序列聚类挖掘方法， 其特征在于：所述步骤S1中的基因指令的划分标记过程如下：函数调用相关指令， 条件跳转相关指令和数据处理相关指令，将所有指令转换成3类基因指令的排列 组合；也即是将协议程序的所有指令划分并标记为3类基因指令。

3.根据权利要求1所述的一种未知网络协议隐匿行为的指令序列聚类挖掘方法， 其特征在于：所述步骤S2中的指令序列聚类具体过程如下：

(2a)从受训协议样本中随机选取一个已知的行为指令序列A，作为初始的协议 行为模式，该已选择的行为模式构成一个基本的行为聚类；

(2b)根据基因指令分布的相似性，把所有的协议指令划分成不同的行为聚类；

(2c)将挖掘出的不同于A的行为指令序列生成新的行为聚类，直到没有新的行 为指令序列被挖掘出来。

4.根据权利要求1所述的一种未知网络协议隐匿行为的指令序列聚类挖掘方法， 其特征在于：所述步骤S3中的行为计算过程如下：

(3a)对于挖掘出的每一个行为指令序列P，计算它和初始行为指令序列A之间 的距离，若距离为0，就将P和A划为同一个行为聚类，执行步骤S5；否则转入步 骤(3b)；

(3b)若P和A之间的距离为1，则P为潜在的隐匿行为，执行步骤(3c)；

(3c)将所有潜在的隐匿行为生成隐匿行为集合，执行步骤S4。

5.根据权利要求1所述的一种未知网络协议隐匿行为的指令序列聚类挖掘方 法，其特征在于：所述步骤S3中的行为计算过程如下：

(3a)对于挖掘出的每一个行为指令序列P，计算它和初始行为指令序列A之间 的行为距离，且用基因指令分布率的关联矩阵来表示行为距离，若行为距离为0， 就将P和A划为同一个行为聚类，执行步骤S5；否则为不同的行为聚类，转入步 骤(3b)。

(3b)若P和A之间的距离为1，则P为潜在的隐匿行为，执行步骤(3c)；

(3c)将所有潜在的隐匿行为生成隐匿行为集合，执行步骤S4。