導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 綜合安全論文>>正文

網(wǎng)絡(luò)安全協(xié)議分析方法研究

文檔作者：李宏姚君文檔來源：中國電子科技集團(tuán)公司第五十四研究所		點(diǎn) 擊數(shù)：	更新時間： 2022年04月11日
下載地址：點(diǎn)擊這里	文件大小： 2.68 MB 共3頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共3頁]

本文件共3頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：2.68 MB 共3頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會員免費(fèi)）

下一篇：基于匹配策略的安全協(xié)議重構(gòu)分析

上一篇：一種遠(yuǎn)程證明協(xié)議轉(zhuǎn)換模型及通用安全協(xié)議…

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

網(wǎng)絡(luò)安全協(xié)議分析方法研究
李宏姚君
中國電子科技集團(tuán)公司第五十四研究所河北05008l
摘要：隨著網(wǎng)絡(luò)速率增加以及網(wǎng)絡(luò)應(yīng)用的日益復(fù)雜多樣，網(wǎng)絡(luò)環(huán)境下每天都可能有海量數(shù)據(jù)，如何從這些數(shù)據(jù)中提取隱
藏的重要信息，以便從中發(fā)現(xiàn)異常，人們將目光投向數(shù)據(jù)挖掘技術(shù)，通過關(guān)聯(lián)分析、序列模式分析等算法，發(fā)掘數(shù)據(jù)間潛在
的模式，找出某些容易被忽略的信息，以便于理解和觀察的方式返回給用戶作為決策依據(jù)。本文通過對安全協(xié)議分析各個方
向研究現(xiàn)狀的闡述和分析，為安全協(xié)議分析領(lǐng)域相關(guān)研究提供參考和借鑒。
關(guān)鍵詞：安令協(xié)議；協(xié)議分析
0 l畝
隨著網(wǎng)絡(luò)速率增加以及網(wǎng)絡(luò)應(yīng)用的日益復(fù)雜多樣，網(wǎng)絡(luò)
環(huán)境下每天都可能有海量數(shù)據(jù)，如何從這些數(shù)據(jù)中提取隱藏
的重要信息，以便從中發(fā)現(xiàn)異常，人們將目光投向數(shù)據(jù)挖掘
技術(shù)，通過關(guān)聯(lián)分析、序列模式分析等算法，發(fā)掘數(shù)據(jù)問潛在
的模式，找出某些容易被忽略的信息，以便于理解和觀察的方
式返回給用戶作為決策依據(jù)。Lee首次將數(shù)據(jù)挖掘算法應(yīng)用于
異常檢測研究領(lǐng)域；支持向量機(jī)是數(shù)據(jù)挖掘中的一項(xiàng)新技術(shù)，
借助最優(yōu)化方法解決機(jī)器學(xué)習(xí)問題的新工具，也被廣泛用于檢
測過程中。另一種通過模擬自然進(jìn)化過程搜索最優(yōu)解的問題求
解方法的遺傳算法，在檢測過程中用于不同目的，使用遺傳算
法取得分類規(guī)則，而將遺傳算法用于取得合適的分類規(guī)則。數(shù)
據(jù)挖掘方式的優(yōu)點(diǎn)是數(shù)據(jù)驅(qū)動形式， 不需要依靠先前觀測的
網(wǎng)絡(luò)行為模式，并且適于處理大量數(shù)據(jù)的情況，然而該方法
中各種挖掘算法太過分散，針對的數(shù)據(jù)對象差異較大。
協(xié)議自動分析技術(shù)的實(shí)現(xiàn)可以顯著減少人工分析的工
作量，提高對私有協(xié)議的分析效率，并使對網(wǎng)絡(luò)安全事件的
快速自動響應(yīng)成為可能。在未知協(xié)議分析領(lǐng)域，國內(nèi)外已進(jìn)
行了較為深入的研究。根據(jù)分析對象的不同，現(xiàn)有的協(xié)議分
析技術(shù)大致分為兩類：報(bào)文序~1](network trace)分析和指令執(zhí)
行序~1](execution trace)分析。
報(bào)文序列分析技術(shù)以嗅探得到的網(wǎng)絡(luò)數(shù)據(jù)流x 為分
析對象，其可行性在于以下兩點(diǎn)：(1)單個報(bào)文樣本的數(shù)據(jù)
流為報(bào)文格式的一個實(shí)例，同一報(bào)文格式對應(yīng)的多個報(bào)文
樣本具有相似性；(2)會話是協(xié)議實(shí)體之間的完整交互過
圖
程，協(xié)議實(shí)體在一次會話中的狀態(tài)轉(zhuǎn)換序列是協(xié)議狀態(tài)機(jī)
的一個子集。同一會話內(nèi)報(bào)文的時序關(guān)系包含了部分協(xié)議
狀態(tài)轉(zhuǎn)換的信息。
指令執(zhí)行序列分析技術(shù)是指以數(shù)據(jù)解析過程中的指令
執(zhí)行序列為分析對象的一類技術(shù)，其理論依據(jù)在于：(1)協(xié)議
實(shí)體接受報(bào)文的過程即報(bào)文解析的過程，通過對程序處理域
邊界及域的使用方式可以獲得協(xié)議格式的表達(dá)式和屬性
(2)完整會話的指令序列可劃分為單個報(bào)文指令序列的排列，
子序列之間的順序關(guān)系包含了狀態(tài)轉(zhuǎn)換信息。
雖然未知協(xié)議分析技術(shù)的可行性已得到充分驗(yàn)證，但是
由于方法本身的局限性和實(shí)現(xiàn)的復(fù)雜性，分析得到的協(xié)議描
述與理想流程的目標(biāo)還有較大的差距。目前對未知網(wǎng)絡(luò)協(xié)議
分析還有以下問題尚待解決：(1)對未知網(wǎng)絡(luò)協(xié)議語義屬性提
取的研究，獲取的協(xié)議逆向描述有待進(jìn)一步完善。(2)現(xiàn)有方
案都依賴于樣本集的完備程度，如果對應(yīng)于某種格式的報(bào)文
不在樣本集中出現(xiàn)，則無法分析得到該格式的描述。(3)當(dāng)前
方案多數(shù)都沒有考慮加密協(xié)議的分析，少數(shù)指令執(zhí)行序列方
案也僅依據(jù)算術(shù)指令占全部指令的比重識別解密過程，其準(zhǔn)
確度無法保證。(4)當(dāng)前研究僅針對較為理想的單通道雙端協(xié)
議模型，沒有考慮多通道、多交互方協(xié)議等應(yīng)用場景。
目前關(guān)于安全協(xié)議分析多從以下幾個方面進(jìn)行。
1 安全協(xié)議形式化分析與信息獲取
下圖描述了安全協(xié)議信息獲取及協(xié)議數(shù)據(jù)挖掘的主要
步驟及流程。具體分為兩部分：安全協(xié)議信息獲取與安全協(xié)
議數(shù)據(jù)挖掘，如圖l所示。
2012．5 13
萬方數(shù)據(jù)
圖1 協(xié)議形式化建模流程圖
分析安全協(xié)議的目標(biāo)、缺陷及運(yùn)行環(huán)境，采用基于推理、
攻擊與證明的結(jié)構(gòu)化方法對協(xié)議進(jìn)行形式化分析，涵蓋安全
協(xié)議保密性、完整性、可證實(shí)性、不可抵賴性等特點(diǎn)進(jìn)行分
析歸納t捕獲數(shù)據(jù)報(bào)文并對報(bào)文進(jìn)行逐層分析，在捕獲和分
析過程中將數(shù)據(jù)分組以以太網(wǎng)數(shù)據(jù)幀和IP數(shù)據(jù)報(bào)文混合的
形式表示，然后再按照TCP／IP協(xié)議棧分層統(tǒng)計(jì)網(wǎng)絡(luò)流量的
組成，以樹形結(jié)構(gòu)顯示分析的結(jié)果，網(wǎng)絡(luò)流量獲取方法按照
實(shí)現(xiàn)機(jī)制分為兩類：一類是基于硬件特性的網(wǎng)絡(luò)流量捕獲，
一類是基于組合機(jī)的網(wǎng)絡(luò)流量捕獲。將捕獲到的數(shù)據(jù)分組按
照TCP／IP進(jìn)行分析，能獲得網(wǎng)絡(luò)數(shù)據(jù)分組的構(gòu)成情況，尤
其是針對IP分片、TCP的連接建立、連接拆除以及TCP有
限狀態(tài)機(jī)的狀態(tài)變化十分有效。并且可以基于TCP連接進(jìn)行
分析，通過分析TCP的會話，從整體或更大的粒度了解網(wǎng)絡(luò)
流量特征及行為特征。并且利用該功能自主構(gòu)造IP、TCP、
ICMP、UDP等數(shù)據(jù)報(bào)文，通過構(gòu)造特殊的數(shù)據(jù)分組并控制
數(shù)據(jù)的數(shù)量和特征，模擬一些攻擊行為如IP碎片攻擊、ICMP
重定向攻擊等，并且可以在已有協(xié)議的基礎(chǔ)上實(shí)現(xiàn)網(wǎng)絡(luò)層、
傳輸層新協(xié)議的開發(fā)和測試。
2 安全協(xié)議數(shù)據(jù)挖掘與網(wǎng)絡(luò)安全態(tài)勢研究
目前研究集中于分類分析、聚類分析、關(guān)聯(lián)分析、序列
模式分析等數(shù)據(jù)挖掘方法，通過網(wǎng)絡(luò)流量信息進(jìn)行網(wǎng)絡(luò)安全
態(tài)勢感知，研究基于Apriori的關(guān)聯(lián)規(guī)則挖掘算法、基于矩陣
的態(tài)勢規(guī)則挖掘算法，根據(jù)關(guān)聯(lián)規(guī)則對網(wǎng)絡(luò)安全態(tài)勢進(jìn)行劃
分并進(jìn)行安全預(yù)警，為網(wǎng)絡(luò)安全攻擊與防范奠定基礎(chǔ)，通過
可視化界面，在多業(yè)務(wù)、多流量環(huán)境下基于協(xié)議分析、信息
獲取、數(shù)據(jù)挖掘等多種方法，為管理人員提供良好的可視化
平臺，實(shí)現(xiàn)網(wǎng)絡(luò)安全態(tài)勢感知及級別劃分，完成網(wǎng)絡(luò)節(jié)點(diǎn)信息、
網(wǎng)管信息、鏈路信息等網(wǎng)絡(luò)信息實(shí)時監(jiān)控工具，完成對網(wǎng)絡(luò)安
全狀態(tài)、節(jié)點(diǎn)安全狀態(tài)、鏈路安全狀態(tài)實(shí)時更新與監(jiān)控?；?
Apriori的關(guān)聯(lián)規(guī)則挖掘算法安全態(tài)勢感知模型如圖2所示。
14 同鱉安寶技7It與匝用2012．5
■● ： ．．．■一． ■I ． _
圖2 數(shù)據(jù)挖掘算法安全態(tài)勢感知模型
(1)序列符號化：采用時間序列分段方法形成便于數(shù)據(jù)
挖掘工具處理的符號序列。
(2)數(shù)據(jù)挖掘：使用經(jīng)典的Apriori算法，可以得到滿足
最小支持度和最小置信情況下的關(guān)聯(lián)規(guī)則。
(3)對規(guī)則聚類：根據(jù)已知網(wǎng)絡(luò)攻擊對熵值序列的影響，
把關(guān)聯(lián)規(guī)則分為正?？臻g和異?？臻g，根據(jù)這些關(guān)聯(lián)規(guī)則把
網(wǎng)絡(luò)態(tài)勢分成安全的，中等的，風(fēng)險(xiǎn)等級。
3 未知安全協(xié)議分析方法研究
研究未知安全協(xié)議分析方法，首先要從現(xiàn)有未知安全協(xié)
議分析方法人手，熱悉未知安全協(xié)議分析方法。總結(jié)未知安
全協(xié)議分析一般方法。建立未知安全協(xié)議分析一般模型，為
未知安全協(xié)議分析工具提供理論支持。
由于直觀實(shí)用，大多數(shù)安全協(xié)議都基于有限狀態(tài)機(jī)模型
設(shè)計(jì)和實(shí)現(xiàn)，例如著名的TCP協(xié)議、RSVP協(xié)議等等。有限
狀態(tài)機(jī)(今后簡稱狀態(tài)機(jī))有很多形式模型，不同的模型適合
于不同的應(yīng)用。狀態(tài)機(jī)模型的本質(zhì)在于反映出當(dāng)程序在特定
狀態(tài)上接收到消息(事件)時，如何轉(zhuǎn)移到另一個特定的狀態(tài)。
未知安全協(xié)議分析就是從截獲的網(wǎng)絡(luò)數(shù)據(jù)流分析找出協(xié)議
的有限狀態(tài)機(jī)的過程。目前的未知安全協(xié)議分析有一個較為
固定的流程，圖3描述了未知協(xié)議分析主要流程。
圖3 未知協(xié)議分析一般流程圖
未知網(wǎng)絡(luò)協(xié)議一般會封裝在一些已知的網(wǎng)絡(luò)層或傳輸
層數(shù)據(jù)報(bào)里，可以通過獲得已知協(xié)議報(bào)文的數(shù)據(jù)字段獲得未
知網(wǎng)絡(luò)協(xié)議的會話字節(jié)流。這些字節(jié)流通常根據(jù)時間序列來
判斷其交互關(guān)系，并分別進(jìn)行分析。同一報(bào)文的不同字段之
間通常會在多次取樣中有不同的行為表現(xiàn)，可以通過大量樣
本的序列比對來對報(bào)文中各字段進(jìn)行分割。目前，對于字段
的結(jié)構(gòu)識別多采用經(jīng)驗(yàn)上的做法，獲得協(xié)議字段的語法信
萬方數(shù)據(jù)
息，再結(jié)合協(xié)議應(yīng)用場景人工推斷協(xié)議的語義信息。在獲得
多個報(bào)文的語義信息后，可根據(jù)報(bào)文的先后順序得到未知協(xié)
議中的狀態(tài)轉(zhuǎn)移信息，并可形成狀態(tài)前綴樹(狀態(tài)機(jī)的一部
分)。之后，可以通過自動的方法將狀態(tài)轉(zhuǎn)移樹合并，獲得協(xié)
議的最小確定狀態(tài)機(jī)，即通過目前的報(bào)文所分析出的協(xié)議的
狀態(tài)機(jī)的一部分。
在以上流程為針對一般未知協(xié)議分析的通用流程，其研
究背景也局限于較為理想的單通道雙端非加密協(xié)議，且其中
很多階段的研究并不成熟。為了使未知協(xié)議的分析方法可以應(yīng)
用于未知安全協(xié)議分析，下面兩個問題將是未來研究的重點(diǎn)：
安全協(xié)議語義屬性提取方法，安全協(xié)議加密字段分析方法。
未知安全協(xié)議根據(jù)其應(yīng)用的場景和目的，其內(nèi)部包含的
語義屬性也會有所區(qū)別。可以利用未知安全協(xié)議的應(yīng)用場景
對其內(nèi)部字段的語義屬性推斷提供新的依據(jù)，提高語義推斷
的速度和質(zhì)量。根據(jù)項(xiàng)目背景需求選擇兩種以上場景的三到
五種已知私有安全協(xié)議，分析其字段的語義信息，總結(jié)在這
些場景下協(xié)議常見語義內(nèi)容。利用之前人工分析的結(jié)論，編
寫針對特定語義內(nèi)容的協(xié)議分析引擎，針對這幾種場景下未
知的私有安全協(xié)議進(jìn)行協(xié)議分析， 比較其自動化程度與分析
準(zhǔn)確度。
在協(xié)議格式提取階段多采用同一報(bào)文格式的多個報(bào)文
之間進(jìn)行比對，獲得報(bào)文的特征并由此識別報(bào)文字段。在加
密協(xié)議中，經(jīng)過加密的報(bào)文特征經(jīng)過處理很難通過直接比對
獲得，需要采用新的方法進(jìn)行協(xié)議格式提取。即使在加密協(xié)
議中，也會存在非加密字段，通過對非加密字段的解析有助
于推斷加密字段的語義信息。同時，不同的加密方法會在數(shù)
據(jù)流中留下相應(yīng)特征，通過對這些特征的解析可以推斷加密
協(xié)議所可能采用的加密方法。
以上兩個問題是制約目前未知安全協(xié)議分析依賴人工，
自動化程度不高和適用范圍窄的關(guān)鍵問題。通過對這幾個問
題的解決有助于安全協(xié)議分析工具對未知安全協(xié)議分析部分的
實(shí)現(xiàn)，可以提高未知安全協(xié)議分析的自動化和精細(xì)化程度。
4 結(jié)論
本文通過對安全協(xié)議分析各個方向研究現(xiàn)狀的闡述和
分析，為安全協(xié)議分析領(lǐng)域相關(guān)研究提供參考和借鑒。
參考文獻(xiàn)
【1]w．Lee，S．J．Stolfo and K．Mok．A Data Mining Framework for
Building Intrusion Detection Models．In Proceedings of IEEE
Symposium oil Security and Privacy．Oakland．1 999．
【2】凌軍，曹陽，尹建華．基于時態(tài)知識模型的網(wǎng)絡(luò)入侵檢測方法
研究．計(jì)算機(jī)學(xué)報(bào)．2003．
[3】饒鮮，董春曦，楊紹全．基于支持向量機(jī)的入侵檢測系統(tǒng)．軟
件學(xué)報(bào)．2003．
【4]W．Li．Using Genetic Algorithm for Network Intrusion Detection，
C．S．G．Department ofEnergy．2004．
【5]J．Gomez and D．Dasgupta．Evolving f classifiers for intrusion
detection．In IEEE Workshop on Information Assurance，United
States M ilitary Academy．200 1．
【6]COMPARETTI P M，WONDRACEK G，KRUEGEL C，et a1．
Prospex：protocol specification extraction[C]／／Proc of the 30th
IEEE Symposium on Security and Privacy．2009．
【7]BEDDOE M．Protocol information project[EB／OL]．(2004-10-05)
http：／／www．4tphi．net／awalters／PI／PI．Htm1．
[8]NEWSOME J,SONG D．Dynamic taint analysis for automatic
detection,analysis,an d signature generation ofexploits on commodity
software【C】／／Proc ofNetwork and Distributed System Security
Symposium．2005．
[9]SHEVERTALOV M，MANCORIDIS S．A reverse engineering
tool for extracting protocols of networked印plications[C]／／Proc of
the 14thWorkingConferenceonReverseEngineering．2007．
2012．5 陬嗜吝安至技7ft與應(yīng)用15
萬方數(shù)據(jù)

網(wǎng)友評論 more

綜合安全論文最新內(nèi)容

05-04