[发明专利]多层协议嵌套情况下的应用层信息推理方法

说明书

本发明公开了一种多层协议嵌套情况下的应用层信息推理方法，包括：采集现网流量的测试样本并对测试样本进行分析，获取协议信息的组合形式；将协议信息的组合形式中的协议头进行两两组合，获取对应的置信长度或置信偏移分布曲线；将置信长度或置信偏移分布曲线推广到协议多层嵌套的现网流量中，产生置信长度偏移分布曲线；对置信长度偏移分布曲线进行极大似然估计，确定现网流量的多层协议嵌套似然组合。通过已经获取的定长协议头长度值或可变长协议头长度分布，获取两两组合后的置信长度或置信偏移分布曲线，并以此推广到协议多层嵌套的现网流量中，产生置信长度偏移分布曲线，从而推断出现网流量中多层协议嵌套的组合情况。

技术领域

本发明涉及通信技术领域，具体涉及一种多层协议嵌套情况下的应用层信息推理方法。

背景技术

当前加密网络环境存在可用明文信息微存、未知加密协议众多、应用类型广泛、内容无法审查的状况，同时加密流量检测与分类方法存在忽略应用层信息、多依靠加密流量中伴生的明文信息等问题，难以实现对加密流量的准确检测、精细化分类和内容识别。应用层作为网络协议栈的最高层，与产生网络流量的应用及行为直接相关。主流网络流量加密协议主要实现在传输层或应用层。

在实际网络通信传输中，应用层协议的负载不一定是直接应用数据，而有可能是另一个应用层的协议头和负载(如基于HTTP协议的私有应用协议)，也有可能是另一个报文(如VPN)甚至多层嵌套的报文(如多层VPN和Tor)。这种现象将为加密流量的应用层信息还原带来干扰，尤其是ADU的长度分布。

因此，如何高效还原被外层加密协议加密嵌套的协议和实际数据内容成为亟待解决的问题。

发明内容

有鉴于此，本发明实施例提供了一种多层协议嵌套情况下的应用层信息推理方法，以解决现有技术中还原被外层加密协议加密嵌套的协议和实际数据内容效率不够高的问题。

本发明实施例提供了一种多层协议嵌套情况下的应用层信息推理方法，包括：

采集现网流量的测试样本并对测试样本进行分析，获取协议信息的组合形式；协议信息的组合为定长协议头、已知可变长协议头和未知可变长协议头中的至少一种组成；其中，包括：通过一个长度-概率的离散矩阵或者一个拟合函数对可变长协议头进行表达：

S1，设定一个方便抽样的函数q(y)，以及一个常量c，使得已知的分布p(y)总在分布cq(y)的下方；

S2：从方便抽样的q(y)分布抽样得到z₀；

从均匀分布(0,cq(z₀))抽样得到u₀；

S3：如果u₀刚好落到p(y)上方到分布cq(y)下方的区间内，则拒绝本次采样，否则接受这次采样y_t＝z₀；

重复步骤S1～S3，得到接近p(y)分布的样本{y₁,y₂,...,y_m}；

其中，t为采样次数，m为有效采样次数，t＝1,…,m；

采集现网流量，利用蒙特卡罗方法归纳已知可变长协议头的长度-概率分布；

将协议信息的组合形式中的协议头进行两两组合，获取对应的置信长度或置信偏移分布曲线；