[發明專利]Tor匿名通信流量應用分類的方法

有效

• 申請號: 201410370944.8
• 申請日: 2014-07-30
• 公開（公告）號: CN104135385B
• 公開（公告）日: 2017-05-24
• 發明（設計）人: 蔣平;許勇;趙琛;史明文;汪兆斌
• 申請（專利權）人: 南京市公安局
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06
• 代理公司: 北京科億知識產權代理事務所(普通合伙)11350
• 代理人: 湯東鳳

1.一種Tor匿名通信流量應用分類的方法，其特征是包括步驟：

1)利用Tor的數據包調度機制，定義流突發段概念，并以流突發段的體積值和方向作為分類特征；

2)基于K-均值聚類算法和多序列比對算法對分類特征的數據樣本進行預處理，通過數值符號化和插入空隙的方式來解決數據樣本過擬合和長度不一致問題；經過數據樣本預處理，數值已經符號化，是由字母和空位組成，且長度是相同的；

3)使用Profile隱馬爾科夫模型對不同應用的上行和下行Tor匿名通信流量分別進行建模；

4)最后，將待分類網絡流量的特征代入不同應用的Profile隱馬爾可夫模型中，分別計算出上行和下行流量模型對應的概率，并以最大聯合概率值來決定待分類的Tor匿名通信流量所包含的上層應用類型；

所述步驟3)中，使用啟發式方法建立Tor匿名通信流量的Profile隱馬爾可夫模型，方法如下：

Tor匿名通信流量的Profile隱馬爾可夫模型由Match、Insert、Delete三種狀態組成；為確定Match、Insert、Delete狀態，首先對數據樣本進行排列，分類特征的每一特征向量為一行，構成樣本矩陣；

考察樣本矩陣的每一列，每一列即對應Profile隱馬爾可夫模型中的一個Match或Insert狀態；確定每一列對應的具體的狀態的方法為：如果該列中字母出現的數量超過一半，則為Match狀態，如果該列中字母出現的數量沒有超過一半，為Insert狀態；Delete狀態則由Match狀態對應的列中的空位決定，空位越多，則表示從前一個狀態轉移到此Delete狀態的概率越大；

由于Delete狀態不產生輸出，因而無需計算其對應的輸出概率，而Insert狀態的輸出為隨機輸出，其可觀察字符集包括樣本中所有出現的字符，且輸出概率為等概率分布，即對于所有的可觀察字符，其產生的概率均為1/C，C為字符集合大小；所以確定Match、Insert和Delete狀態后，僅計算狀態間的轉移概率以及Match狀態的輸出概率，方法為：

首先統計狀態間的轉移次數和Match狀態對應的列中各字符出現的數量；

轉移概率計算為：狀態i轉移到狀態j的次數除以狀態i轉移的總次數；

輸出概率計算為：第i個Match狀態輸出字符a的次數除以該狀態輸出的所有字符的總數量。

2.根據權利要求1所述的Tor匿名通信流量應用分類的方法，其特征是所述步驟1)中，將網絡流中相反方向報文間的數據長度大于0即不包括報文頭部字段的連續報文定義為流突發段，并將流突發段的體積值定義為該流突發段中所有報文長度的總和，流突發段的方向定義為流突發段中報文的方向，即入流方向或出流方向；分類特征選擇為流突發段的體積值和方向。

3.根據權利要求2所述的Tor匿名通信流量應用分類的方法，其特征是所述步驟1)中，

Tor匿名通信系統利用libevent事件實現輸入緩沖區和輸出緩沖區中數據的處理調度，表示為隱式的輪詢調度；當Tor節點從TLS/Socks接口接收到信元數據后，將其存入相對應的輸入緩沖區中；對于存在輸入緩沖區中的信元，Tor采用輪詢調度策略對其進行解密或加密處理；

輪詢調度策略的方法為：

首先處理第一個輸入緩沖區中的信元，處理完一定數量的信元后，接著處理第二個輸入緩沖區中的信元，以此類推，直至最后一個輸入緩沖區；然后再返回第一個輸入緩沖區處理，如此循環反復；

對于輸入緩沖區中的信元，處理完畢后，再存入相對應的輸出緩沖區中；對于輸出緩沖區隊列，與輸入緩沖區隊列類似，Tor同樣采用輪詢策略來進行調度，將不同緩沖區中的信元通過TLS/Socks接口發送至網絡；

對于流突發段，設c1,c2,s1,s2,s3,s4,c3,c4為客戶端與服務器之間的交互報文且報文長度大于0，其中，ci代表客戶端發出的報文，si為服務器端返回的響應報文，i為自然數；則{c1,c2}、{s1,s2,s3,s4}和{c3,c4}為三個不同流突發段；則將流突發段體積值定義為段中所有報文長度的總和，突發段的方向定義為段中報文的方向，即入流方向或出流方向。