[發(fā)明專利]一種針對(duì)基于SSL加密的VPN流量識(shí)別方法

有效

• 申請(qǐng)?zhí)枺?/td>: 202011181962.3
• 申請(qǐng)日: 2020-10-29
• 公開（公告）號(hào): CN112118270B
• 公開（公告）日: 2023-01-06
• 發(fā)明（設(shè)計(jì)）人: 姜文剛;王宇航;翟江濤;王晰晨
• 申請(qǐng)（專利權(quán)）人: 江蘇科技大學(xué)
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;H04L41/14;H04L47/2483;H04L12/46
• 代理公司: 南京正聯(lián)知識(shí)產(chǎn)權(quán)代理有限公司 32243
• 代理人: 杭行

1.一種針對(duì)基于SSL加密的VPN流量的識(shí)別方法，其特征在于，采用Bit級(jí)DPI指紋生成技術(shù)識(shí)別SSL流量，對(duì)數(shù)據(jù)進(jìn)行預(yù)處理后，通過特定的規(guī)則生成位簽名，再對(duì)位簽名進(jìn)行運(yùn)行長(zhǎng)度編碼，利用編碼后的位簽名生成SSL狀態(tài)轉(zhuǎn)換機(jī)，用來識(shí)別SSL流量，在已識(shí)別的SSL流量基礎(chǔ)上利用基于注意力機(jī)制的雙向GRU網(wǎng)絡(luò)流量識(shí)別模型，識(shí)別SSLVPN流量，包括以下步驟：

(1)獲取數(shù)據(jù)集：捕獲網(wǎng)絡(luò)數(shù)據(jù)流量，生成會(huì)話，通過五元組對(duì)網(wǎng)絡(luò)數(shù)據(jù)流量過濾分流并獲取原始實(shí)驗(yàn)數(shù)據(jù)集，將原始數(shù)據(jù)集分為實(shí)驗(yàn)數(shù)據(jù)集和位簽名數(shù)據(jù)集兩部分；

(2)數(shù)據(jù)預(yù)處理：提取實(shí)驗(yàn)數(shù)據(jù)集和位簽名數(shù)據(jù)集中每條流內(nèi)所有數(shù)據(jù)包的有效載荷數(shù)據(jù)并連接起來；

(3)位簽名：使用位簽名數(shù)據(jù)集的有效載荷的不變位集，依據(jù)如果每個(gè)流的第k位的值都為0，k簽名位設(shè)置為0，如果每個(gè)流的第k位的值為1，k簽名位設(shè)置為1，如果這些位的位置中有0位和1位，則第k個(gè)簽名位設(shè)置為^的規(guī)則，生成SSL加密流量特定的位簽名；

(4)運(yùn)行長(zhǎng)度編碼：對(duì)步驟(3)生成的位簽名進(jìn)行運(yùn)行長(zhǎng)度編碼RLE；

(5)SSL狀態(tài)轉(zhuǎn)換機(jī)：將經(jīng)過編碼的位簽名轉(zhuǎn)換成SSL狀態(tài)轉(zhuǎn)換機(jī)；

(6)識(shí)別SSL流量：提取實(shí)驗(yàn)數(shù)據(jù)集中每個(gè)流的有效負(fù)載的前40位，將它們輸入到SSL狀態(tài)轉(zhuǎn)換機(jī)，識(shí)別目的加密流量；

(7)SSL流量實(shí)驗(yàn)數(shù)據(jù)集：利用步驟(6)中識(shí)別出來的SSL加密流量組成SSL流量實(shí)驗(yàn)數(shù)據(jù)集；

(8)SSL流集數(shù)據(jù)預(yù)處理：讀取數(shù)據(jù)流，截?cái)鄶?shù)據(jù)，并拆分為一定長(zhǎng)度的向量，將SSL流量實(shí)驗(yàn)數(shù)據(jù)集分為訓(xùn)練集和測(cè)試集兩部分；

(9)識(shí)別SSLVPN加密流量：將經(jīng)過步驟(8)處理后的數(shù)據(jù)集輸入到基于注意力機(jī)制的雙向GRU網(wǎng)絡(luò)流量識(shí)別算法，識(shí)別SSLVPN加密流量；

(10)對(duì)獲得的指標(biāo)結(jié)果分析，并選取參數(shù)，優(yōu)化加密流量識(shí)別方法。

2.根據(jù)權(quán)利要求1所述的針對(duì)基于SSL加密的VPN流量的識(shí)別方法，其特征在于，所述步驟(1)中所述獲取數(shù)據(jù)集的具體內(nèi)容和方法是：

1)定義TCP流為以握手協(xié)議中的SYN標(biāo)志位開始，并且以FIN標(biāo)志位或以RST標(biāo)志位結(jié)尾的TCP雙向流；

2)定義UDP流為以第一個(gè)數(shù)據(jù)包到達(dá)為開始，如果兩個(gè)數(shù)據(jù)包到達(dá)的時(shí)間間隔超過一分鐘，則認(rèn)為數(shù)據(jù)流結(jié)束，新數(shù)據(jù)流的開始。

3.根據(jù)權(quán)利要求2所述的針對(duì)基于SSL加密的VPN流量的識(shí)別方法，其特征在于，所述步驟(2)中數(shù)據(jù)預(yù)處理，具體內(nèi)容和過程為：

1)檢測(cè)每條流內(nèi)的所有數(shù)據(jù)包；

2)若該數(shù)據(jù)包包含有效負(fù)載，則提取有效負(fù)載；

3)按順序連接提取到的有效負(fù)載，用作后續(xù)簽名生成階段的輸入。

4.根據(jù)權(quán)利要求3所述的針對(duì)基于SSL加密的VPN流量的識(shí)別方法，其特征在于，步驟(3)中所述位簽名的具體過程為：

1)從SSL的L個(gè)流中各收集前n位，并為SSL流生成n位簽名，第h個(gè)流的前n位為f_1h、f_2h、…、f_nh，L個(gè)流都被提取都用于生成如下簽名，每個(gè)流提取的第k位[1,n]位置用來決定SSL流的第k個(gè)簽名位，簽名創(chuàng)建過程如下所示，其中每個(gè)Si是一個(gè)簽名位：

2)根據(jù)1)所示規(guī)則生成SSL流的位簽名。

5.根據(jù)權(quán)利要求4所述的針對(duì)基于SSL加密的VPN流量的識(shí)別方法，其特征在于，步驟(4)所述運(yùn)行長(zhǎng)度編碼的具體過程為：

步驟(3)生成的位簽名由1位、0位和^位組成，每個(gè)簽名為n位，對(duì)位簽名進(jìn)行運(yùn)行長(zhǎng)度編碼RLE，將許多連續(xù)數(shù)據(jù)元素中具有相同數(shù)據(jù)值的序列存儲(chǔ)為單個(gè)值，并存儲(chǔ)該數(shù)據(jù)值重復(fù)的次數(shù)計(jì)數(shù)。

6.根據(jù)權(quán)利要求5所述的針對(duì)基于SSL加密的VPN流量的識(shí)別方法，其特征在于，步驟(5)所述SSL狀態(tài)轉(zhuǎn)換機(jī)的具體過程為：

根據(jù)壓縮后的位簽名確定SSL狀態(tài)轉(zhuǎn)換機(jī)的狀態(tài)個(gè)數(shù)，再為每一個(gè)狀態(tài)配置相應(yīng)的計(jì)數(shù)器作為保護(hù)，只有當(dāng)約束被滿足時(shí)，才允許轉(zhuǎn)換；用壓縮后的位簽名生成SSL狀態(tài)轉(zhuǎn)換機(jī)。