[發明專利]針對BitTorrent協議中基于矩陣編碼的Bitfield消息隱蔽通信檢測方法

在審

• 申請號: 201710219748.4
• 申請日: 2017-04-06
• 公開（公告）號: CN107171767A
• 公開（公告）日: 2017-09-15
• 發明（設計）人: 翟江濤;李萌;徐留杰;徐心怡
• 申請（專利權）人: 江蘇科技大學
• 主分類號: H04L1/00
• 分類號: H04L1/00;H04L9/06
• 代理公司: 南京蘇高專利商標事務所(普通合伙)32204
• 代理人: 唐紅

1.一種針對BitTorrent協議中基于矩陣編碼的Bitfield消息隱蔽通信檢測方法，其特征在于：依次包括以下步驟：(1)建立正常通信的Bitfield模型；(2)利用Bitfield模型進行檢測；

其中，所述步驟(1)的具體流程為：

(1.1)、設置數據捕獲器：使用BT客戶端進行主機之間的通信，捕獲數據包并在捕獲的數據包中篩選出包含Bitfield消息的數據包，捕獲的Bitfield數據依次記為a₁，a₂，…，a_N；

(1.2)、設置數據處理器：利用數據處理器對步驟(1.1)中捕獲的若干組數據進行處理，即先將每組Bitfield消息中的十六進制數據轉化為二進制數據，然后對相鄰時間捕獲到的兩組數組求差，即a_N-a_N-1，可得到一個包含-1、0、1的一維數組，數組中含有n個數據；

(1.3)、設置窗口分割器：窗口分割器將處理后的一維數組分為大小為w的窗口，共可分為L個窗口；

(1.4)、設置Markov轉移矩陣求取器：將各個窗口內的數據均視作一個Markov鏈，設-1到-1的轉移概率為P₁₁，-1到1的轉移概率為P₁₃，0到-1的轉移概率為P₂₁，0到0的轉移概率為P₂₂，0到1的轉移概率為P₂₃，1到-1的轉移概率為P₃₁，1到0的轉移概率為P₃₂，1到1的轉移概率為P₃₃；

其中，-1到0的轉移概率為P₁₂＝num(X_n＝-1|X_n+1＝0)/(n-1)；

num(X_n＝-1|X_n+1＝0)即馬爾科夫鏈中當前狀態為-1且下一個狀態為0的情況總數，然后依次計算出P₁₁、P₁₂、P₁₃、P₂₁、P₂₂、P₂₃、P₃₁、P₃₂和P₃₃，然后組成Markov轉移矩陣M，求得各個窗口的Markov轉移矩陣M₁、M₂、...M_L；

(1.5)、設置K-L散度求取器：K-L散度求取公式為其中p、q為兩個n維矩陣，p_ij為矩陣p中i行j列的元素，q_ij為矩陣q中i行j列的元素，由該公式可求取M₂、M₃、...M_L與M₁的K-L散度D_L；

(1.6)、訓練模型：重復(1.2)-(1.5)由多組數據可得到多組K-L散度值，對數據進行分析訓練，求得K-L散度的均值m、方差v和檢測閾值Th＝m+αv,其中α為自定義的常量函數，用于調整檢測閾值；

其中，所述步驟(2)即是利用K-L散度建立模型庫進行檢測，具體包括如下步驟：

(2.1)、設置數據捕獲器：使用BT客戶端進行主機之間的通信，在通信的同時通過數據捕獲器捕獲兩次數據包，并在捕獲的數據包中通過wireshark內置過濾器篩選出包含Bitfield消息的數據包；

(2.2)、設置數據處理器：先利用數據處理器對捕獲的兩個數據包分別進行處理，將Bitfield消息中的十六進制數據轉化為二進制數據，接著將處理完成的倆兩個數據包合并成一個一維數組，對捕獲到的兩個數組求差；

(2.3)、設置窗口分割器：窗口分割器將處理后的一維數組分為大小為w的窗口，共可分為L個窗口；

(2.4)、設置Markov轉移矩陣求取器：將一個窗口內的數據視作一個Markov鏈，根據步驟(1.4)中公式求取Markov轉移矩陣，求得各窗口的Markov轉移矩陣

(2.5)、設置K-L散度求取器：根據步驟(1.5)中公式求取與M₁的K-L散度；

(2.6)、判斷檢測結果：:將所得K-L散度值與閾值Th做比較，若大于Th可知待測數據為含密數據，若小于Th可知待測數據為正常數據。