[发明专利]一种IPv6网络中的HTTPS应用识别方法

权利要求书

1.一种IPv6网络中的HTTPS应用识别方法，其特征在于，包括以下步骤：

步骤一、捕获SSL/TLS数据包并形成流量样本，将同一个会话的数据包组流，获取流特征；

步骤二、基于SSL/TLS流量样本建立二阶Markov链模型；

步骤三、基于SSL/TLS流量样本建立HMM模型；

步骤四、根据二阶Markov链模型和HMM模型构建加权集成分类器；

步骤五、通过加权集成分类器对新到的SSL/TLS加密流进行识别分类。

2.如权利要求1所述的IPv6网络中的HTTPS应用识别方法，其特征在于，所述步骤二中，利用SSL/TLS交互的消息类型和报文大小形成的二维特征序列建立应用的指纹模型，即二阶Markov链模型。

3.如权利要求2所述的IPv6网络中的HTTPS应用识别方法，其特征在于，用X_t表示二阶Markov链模型，使用前两个状态来估计当前状态：

P(X_t＝i_t|X_t-1＝i_t-1,X_t-2＝i_t-2,...,X₁＝i₁)＝P(X_t＝i_t|X_t-1＝i_t-1,X_t-2＝i_t-2) (1)

假设二阶马尔可夫链是齐次的，从时间t-2和t-1转移到时间t是时间不变，则可得到：

P(X_t＝i_t|X_t-1＝i_t-1,X_t-2＝i_t-2)＝P(X_t＝k|X_t-1＝j,X_t-2＝i)＝p_i-j-k (2)

其中，中间状态之间的转移矩阵表示如下：

其中，集合P'＝{p₁,p₂,...,p_n}表示识别概率，t＝t₀,t₁,...,t_n∈T，i_t∈{1,2,...,s}，i_t是一个联合特征或联合特征序列，消息类型MT和分组长度PT构成所述联合特征<MT,PT>，联合特征表示Markov链的状态。

4.如权利要求3所述的IPv6网络中的HTTPS应用识别方法，其特征在于，进入二阶Markov链的前两个状态的概率分布ENPD为：

Q＝[q_1-1,...,q_1-s,q_2-1,...,q_2-s,...,q_s-s] (4)

其中qi_-j＝P(X_t+1＝_j,X_t＝_i)；

退出二阶Markov链的最后两个状态的概率分布EXPD为：

W＝[w_1-1,...,w_1-s,w_2-1,...,w_2-s,...,w_s-s] (5)

w_i-j＝P(X_t+1＝_j,X_t＝_i)表示当处于状态i、时间t_n结束会话的概率；

则SSL/TLS会话的概率表示如下：

所得到的概率表示SSL/TLS会话的特征序列接近应用模型的程度，值越大表示当前SSL/TLS会话越接近对应的应用模型。