[发明专利]基于RIPPER算法的未知操作系统类型识别方法

说明书

本发明提供的是一种基于RIPPER算法的未知操作系统类型识别方法。(1)数据集的收集；(2)指纹数据处理；(3)指纹的特征预处理；(4)RIPPER模型的学习与训练；(5)未知操作系统识别及验证。本发明的识别方法克服了SVM在未知指纹识别时，如果指纹库中的特征较多，经向量化后的指纹数据维数会很高，导致建模时间增加以及分类器效率降低，从而操作系统指纹识别的准确率和速率下降。以及决策树在未知指纹识别时，建立依赖于树的生成，树的建立过程是对整个空间的递归划分、建立局部模型的过程，往往比较耗时，导致未知操作系统识别的效率会降低。实现了在未知操作系统类型识别时准确率和效率上的提高。

技术领域

本发明涉及的是一种操作系统类型识别方法。

背景技术

随着21世纪到来，互联网行业如雨后春笋般出现应用于人们生活生产的各个行业，其覆盖的广泛性远超预期，随着网络的发展壮大，方便了人们的资源共享和通信的同时，网络安全问题随之而来，无论是电子商务中人们的财产安全，聊天通信的的隐私保护，还是办公中的文件保护，甚至国家安全都与网络安全息息相关。计算机遍布各个领域，有计算机构成的网络信息空间已经成为人们生活中不可或缺的部分，正因为人们对网络的需求增加，随之而来的是网络安全的重要性。网络信息安全问题在我国以及全球显著的增加，并且有持续增长的趋势。如果不加以控制和治理将会威胁到人民和国家的利益，无论是在网络安全的攻击还是防护中，对信息的采集和分类都至关重要，这其远程主机的系统类型通常和黑客们的首要出发点，因为某些类型的操作系统有着众所周知的漏洞可以被利用。因此绝大多数的漏洞都是从识别操作系统的类型出发。而网络安全的防护同样需要对主机操作系统类型的识别，并进行伪造等防护来对用户进行保护。操作系统的类型及版本在其中扮演着举足轻重的地位。因此准确，快速的操作系统识别的研究对网络安全有着重大意义。

现有的操作系统类型识别方法中存在许多的局限性。首先，大多数为主动操作系统识别方式，依赖于主动探测所得到的数据包，主要的缺点是容易被监测工具检测发现，致使探测结果不准确。其次，当前的主机操作系统识别技术中，无论是主动还是被动的操作系统识别技术，都是获取识别操作系统类型相关的属性生成操作系统指纹，并将待识别的操作系统指纹与指纹库中指纹对比。当待识别的操作系统指纹与指纹库中指纹完全匹配时，给出具体的操作系统类型和版本。当指纹在指纹库中不存在时，即没有精确匹配，系统给出的识别结果将是未知操作系统类型。最后，现有的基于决策树和SVM的未知操作系统指纹识别技术存在缺点和不足。在基于SVM的未知操作系统指纹识别技术中，如果指纹库中的特征较多，经向量化后的指纹数据维数会很高。当数据样本数量较大时，需构建二值分类器的数量会增加，导致建模时间增加以及分类器效率降低，从而操作系统指纹识别的准确率和速率下降。在基于决策树的未知操作系统指纹识别技术中，决策树规则的建立依赖于树的生成，树的建立过程是对整个空间的递归划分、建立局部模型的过程，往往比较耗时，这种缺点导致未知操作系统识别的效率会降低。

发明内容

本发明的目的在于提供一种识别准确率和识别效率更好的基于RIPPER算法的未知操作系统类型识别方法。

本发明的目的是这样实现的：

(1)数据集的收集：获取p0f指纹库加入到数据集，并收集网络流量数据来丰富和完善数据集；

(2)指纹数据处理：通过收集的大量网络流量数据，利用基于libpacp的定制工具对数据包进行处理，获取包头中对操作系统是被有关的字段和信息，生成p0f格式指纹，和p0f指纹库一起作为训练和学习的数据集；

(3)指纹的特征预处理：分析p0f指纹各个属性的取值范围，将各个属性统一用数值进行表示，并将其生成akff格式供Weka进行分类训练；

(4)RIPPER模型的学习与训练：将已经预处理的数据集输入RIPPER进行训练，生成可识别未知操作系统类型的RIPPER模型；