[發明專利]一種基于誤碼率模型的未知通信協議識別方法

有效

• 申請號: 201710093147.3
• 申請日: 2017-02-21
• 公開（公告）號: CN106878307B
• 公開（公告）日: 2019-10-29
• 發明（設計）人: 蔡樂;石榮;許都
• 申請（專利權）人: 電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 成都行之專利代理事務所(普通合伙) 51220
• 代理人: 溫利平

1.一種基于誤碼率模型的未知通信協議識別方法，其特征在于，包括以下步驟：

(1)、數據采集及預處理

利用網絡抓包工具抓取網絡中的通信數據，再將通信數據按照幀格式進行存儲，且每一幀進行二進制處理，最后將處理完成的已知協議通信數據作為訓練數據，將未知協議通信數據作為被識別數據；

(2)、對訓練數據進行特征提取，得到協議特征庫

(2.1)、利用模式匹配算法提取頻繁集

根據已有網絡協議特征字符串允許的長度，窮舉所有的1～6字節的二進制字符串，記為{p₁，p₂，p₃，......，p_m}，p_m表示第m個二進制字符串，最后將窮舉的所有二進制字符串作為模式字符串；

提取訓練數據中的每一幀數據，組成目標字符串{t₁，t₂，t₃，......，t_n}，t_n表示第n幀數據；

將{p₁，p₂，p₃，......，p_m}和{t₁，t₂，t₃，......，t_n}作為模式匹配算法的輸入，通過模式匹配算法進行匹配，并記錄匹配成功的模式字符串以及其在目標字符串中的位置，最后統計相同位置上出現同一模式字符串的幀數，并將幀數占比大于M％的模式字符串定義為此協議的頻繁字符串，最后將所有頻繁字符串組成頻繁集{f₁，f₂，f₃，......，f_K}，f_K表示第K個頻繁字符串；

(2.2)、利用關聯規則分析算法提取協議特征

將頻繁集{f₁，f₂，f₃，......，f_K}及頻繁字符串在各個幀中出現的位置作為關聯規則分析算法的輸入，通過關聯規則分析算法對頻繁字符串進行關聯規則分析，得到關聯字符串，再統計出關聯字符串出現的次數和位置，并將關聯字符串出現的次數占比大于M％的關聯字符串作為識別規則，再將識別規則中的頻繁字符串{f₁，f₂，f₃，......，f_k}存入協議特征庫中，其中，f_k表示第k(k≤K)個頻繁字符串；

(3)、利用模糊匹配算法獲取模糊特征集

(3.1)、計算被識別數據允許的最大誤比特數

其中，L1表示允許的最長特征串的長度，L2表示被識別數據幀的幀長度，FER表示被識別數據的誤幀率；

(3.2)、根據協議特征庫，利用模糊匹配算法提取最大誤比特數范圍內的所有模糊特征字符串

將被識別數據、頻繁字符串{f₁，f₂，f₃，......，f_k}和被識別數據允許的最大誤比特數作為模糊匹配算法的輸入，通過模糊匹配算法進行匹配，記錄匹配成功的模糊特征字符串及其在被識別數據幀中的位置，并存入到模糊特征集中；

(4)、采用Jena自動推理機識別幀的協議類型

首先建立推理規則庫，再將模糊特征集中的模糊特征字符串和推理規則庫作為Jena自動推理機的輸入，并進行推理，得出每一組模糊特征字符串所對應的協議類型，即為此幀的協議類型。

2.根據權利要求1所述的一種基于誤碼率模型的未知通信協議識別方法，其特征在于，所述的模式識別算法包括AC算法、AC-BM算法、Wu-Manber算法。

3.根據權利要求1所述的一種基于誤碼率模型的未知通信協議識別方法，其特征在于，所述的關聯規則分析算法包括Apriori算法和FP-Growth算法。

4.根據權利要求1所述的一種基于誤碼率模型的未知通信協議識別方法，其特征在于，所述的步驟(4)還可以采用SVM識別數據協議類型，具體為：

建立SVM模型：將頻繁字符串{f₁，f₂，f₃，......，f_k}作為訓練數據輸入到SVM中訓練，得到SVM模型；

將模糊特征集中的模糊特征字符串輸入到SVM模型中，通過SVM模型識別出每一幀的數據協議類型。