[发明专利]多层协议嵌套情况下的应用层信息推理方法

权利要求书

1.一种多层协议嵌套情况下的应用层信息推理方法，其特征在于，包括：

采集现网流量的测试样本并对所述测试样本进行分析，获取协议信息的组合形式；所述协议信息的组合为定长协议头、已知可变长协议头和未知可变长协议头中的至少一种组成；其中，包括：通过一个长度-概率的离散矩阵或者一个拟合函数对所述可变长协议头进行表达：

S1，设定一个函数q(y)，以及一个常量c，使得已知的分布p(y)总在分布cq(y)的下方；

S2：从所述函数q(y)抽样得到z₀；

从均匀分布(0,cq(z₀))抽样得到u₀；

S3：如果u₀刚好落到所述p(y)上方到所述分布cq(y)下方的区间内，则拒绝本次采样，否则接受这次采样y_t=z₀；

重复步骤S1~S3，得到接近p(y)分布的样本{y₁,y₂,...,y_m}；

其中，t为采样次数，m为有效采样次数，t=1,…,m；

采集所述现网流量，利用蒙特卡罗方法归纳所述已知可变长协议头的长度-概率分布；

将所述协议信息的组合形式中的协议头进行两两组合，获取对应的置信长度或置信偏移分布曲线；

将所述置信长度或所述置信偏移分布曲线推广到协议多层嵌套的现网流量中，产生置信长度偏移分布曲线，包括：在一层被加密协议嵌套的情况下，若第一应用数据单元前被添加了新的协议头，造成的应用层信息偏移被均摊至每个下层报文，建立各类非标准应用层协议的应用层信息特征样本库，还原出应用层的嵌套情况；若第二应用数据单元被切分成报文之后，以所述报文为外层应用层数据进行加密封装，信息偏移存在于每一个所述报文中，构建网络层或传输层协议头嵌套下的应用层信息特征样本库；

对所述置信长度偏移分布曲线进行极大似然估计，确定所述现网流量的多层协议嵌套似然组合，包括：

若所述测试样本x∈{x₁，x₂，…，x_n}服从U（0，k）的均匀分布，则所述测试样本的概率密度函数为：

；

所述测试样本的似然函数为：

；

其中，。

2.根据权利要求1所述的应用层信息推理方法，其特征在于，在白盒环境下利用所述协议信息中协议头的不变部分对所述协议信息进行识别，而后采集样本进行归纳。

3.根据权利要求1所述的应用层信息推理方法，其特征在于，根据所述协议信息的组合形式获取对应的置信长度或置信偏移分布曲线，其中，置信度为95%。