导航： >> 安全论文>> 综合安全论文>>正文

网络安全协议分析方法研究

文档作者：李宏姚君文档来源：中国电子科技集团公司第五十四研究所		点击数：	更新时间： 2022年04月11日
下载地址：点击这里	文件大小： 2.68 MB 共3页	文档格式： PDF	下载点数： 1 点（VIP免费）

全屏查看

内容预览 [文件共3页]

本文件共3页，如需编辑使用，请下载。

注：预览效果可能会出现部分文字乱码（如口口口）、内容显示不全等问题，下载是正常的。

	文件大小：2.68 MB 共3页文件格式：PDF 下载点数：1 点（VIP会员免费）

下一篇：基于匹配策略的安全协议重构分析

上一篇：一种远程证明协议转换模型及通用安全协议…

文本预览

仅提取页面文字内容，供快速阅读使用。

网络安全协议分析方法研究
李宏姚君
中国电子科技集团公司第五十四研究所河北05008l
摘要：随着网络速率增加以及网络应用的日益复杂多样，网络环境下每天都可能有海量数据，如何从这些数据中提取隐
藏的重要信息，以便从中发现异常，人们将目光投向数据挖掘技术，通过关联分析、序列模式分析等算法，发掘数据间潜在
的模式，找出某些容易被忽略的信息，以便于理解和观察的方式返回给用户作为决策依据。本文通过对安全协议分析各个方
向研究现状的阐述和分析，为安全协议分析领域相关研究提供参考和借鉴。
关键词：安令协议；协议分析
0 l亩
随着网络速率增加以及网络应用的日益复杂多样，网络
环境下每天都可能有海量数据，如何从这些数据中提取隐藏
的重要信息，以便从中发现异常，人们将目光投向数据挖掘
技术，通过关联分析、序列模式分析等算法，发掘数据问潜在
的模式，找出某些容易被忽略的信息，以便于理解和观察的方
式返回给用户作为决策依据。Lee首次将数据挖掘算法应用于
异常检测研究领域；支持向量机是数据挖掘中的一项新技术，
借助最优化方法解决机器学习问题的新工具，也被广泛用于检
测过程中。另一种通过模拟自然进化过程搜索最优解的问题求
解方法的遗传算法，在检测过程中用于不同目的，使用遗传算
法取得分类规则，而将遗传算法用于取得合适的分类规则。数
据挖掘方式的优点是数据驱动形式， 不需要依靠先前观测的
网络行为模式，并且适于处理大量数据的情况，然而该方法
中各种挖掘算法太过分散，针对的数据对象差异较大。
协议自动分析技术的实现可以显著减少人工分析的工
作量，提高对私有协议的分析效率，并使对网络安全事件的
快速自动响应成为可能。在未知协议分析领域，国内外已进
行了较为深入的研究。根据分析对象的不同，现有的协议分
析技术大致分为两类：报文序~1](network trace)分析和指令执
行序~1](execution trace)分析。
报文序列分析技术以嗅探得到的网络数据流x 为分
析对象，其可行性在于以下两点：(1)单个报文样本的数据
流为报文格式的一个实例，同一报文格式对应的多个报文
样本具有相似性；(2)会话是协议实体之间的完整交互过
图
程，协议实体在一次会话中的状态转换序列是协议状态机
的一个子集。同一会话内报文的时序关系包含了部分协议
状态转换的信息。
指令执行序列分析技术是指以数据解析过程中的指令
执行序列为分析对象的一类技术，其理论依据在于：(1)协议
实体接受报文的过程即报文解析的过程，通过对程序处理域
边界及域的使用方式可以获得协议格式的表达式和属性
(2)完整会话的指令序列可划分为单个报文指令序列的排列，
子序列之间的顺序关系包含了状态转换信息。
虽然未知协议分析技术的可行性已得到充分验证，但是
由于方法本身的局限性和实现的复杂性，分析得到的协议描
述与理想流程的目标还有较大的差距。目前对未知网络协议
分析还有以下问题尚待解决：(1)对未知网络协议语义属性提
取的研究，获取的协议逆向描述有待进一步完善。(2)现有方
案都依赖于样本集的完备程度，如果对应于某种格式的报文
不在样本集中出现，则无法分析得到该格式的描述。(3)当前
方案多数都没有考虑加密协议的分析，少数指令执行序列方
案也仅依据算术指令占全部指令的比重识别解密过程，其准
确度无法保证。(4)当前研究仅针对较为理想的单通道双端协
议模型，没有考虑多通道、多交互方协议等应用场景。
目前关于安全协议分析多从以下几个方面进行。
1 安全协议形式化分析与信息获取
下图描述了安全协议信息获取及协议数据挖掘的主要
步骤及流程。具体分为两部分：安全协议信息获取与安全协
议数据挖掘，如图l所示。
2012．5 13
万方数据
图1 协议形式化建模流程图
分析安全协议的目标、缺陷及运行环境，采用基于推理、
攻击与证明的结构化方法对协议进行形式化分析，涵盖安全
协议保密性、完整性、可证实性、不可抵赖性等特点进行分
析归纳t捕获数据报文并对报文进行逐层分析，在捕获和分
析过程中将数据分组以以太网数据帧和IP数据报文混合的
形式表示，然后再按照TCP／IP协议栈分层统计网络流量的
组成，以树形结构显示分析的结果，网络流量获取方法按照
实现机制分为两类：一类是基于硬件特性的网络流量捕获，
一类是基于组合机的网络流量捕获。将捕获到的数据分组按
照TCP／IP进行分析，能获得网络数据分组的构成情况，尤
其是针对IP分片、TCP的连接建立、连接拆除以及TCP有
限状态机的状态变化十分有效。并且可以基于TCP连接进行
分析，通过分析TCP的会话，从整体或更大的粒度了解网络
流量特征及行为特征。并且利用该功能自主构造IP、TCP、
ICMP、UDP等数据报文，通过构造特殊的数据分组并控制
数据的数量和特征，模拟一些攻击行为如IP碎片攻击、ICMP
重定向攻击等，并且可以在已有协议的基础上实现网络层、
传输层新协议的开发和测试。
2 安全协议数据挖掘与网络安全态势研究
目前研究集中于分类分析、聚类分析、关联分析、序列
模式分析等数据挖掘方法，通过网络流量信息进行网络安全
态势感知，研究基于Apriori的关联规则挖掘算法、基于矩阵
的态势规则挖掘算法，根据关联规则对网络安全态势进行划
分并进行安全预警，为网络安全攻击与防范奠定基础，通过
可视化界面，在多业务、多流量环境下基于协议分析、信息
获取、数据挖掘等多种方法，为管理人员提供良好的可视化
平台，实现网络安全态势感知及级别划分，完成网络节点信息、
网管信息、链路信息等网络信息实时监控工具，完成对网络安
全状态、节点安全状态、链路安全状态实时更新与监控。基于
Apriori的关联规则挖掘算法安全态势感知模型如图2所示。
14 同鳖安宝技7It与匝用2012．5
■● ： ．．．■一． ■I ． _
图2 数据挖掘算法安全态势感知模型
(1)序列符号化：采用时间序列分段方法形成便于数据
挖掘工具处理的符号序列。
(2)数据挖掘：使用经典的Apriori算法，可以得到满足
最小支持度和最小置信情况下的关联规则。
(3)对规则聚类：根据已知网络攻击对熵值序列的影响，
把关联规则分为正常空间和异常空间，根据这些关联规则把
网络态势分成安全的，中等的，风险等级。
3 未知安全协议分析方法研究
研究未知安全协议分析方法，首先要从现有未知安全协
议分析方法人手，热悉未知安全协议分析方法。总结未知安
全协议分析一般方法。建立未知安全协议分析一般模型，为
未知安全协议分析工具提供理论支持。
由于直观实用，大多数安全协议都基于有限状态机模型
设计和实现，例如著名的TCP协议、RSVP协议等等。有限
状态机(今后简称状态机)有很多形式模型，不同的模型适合
于不同的应用。状态机模型的本质在于反映出当程序在特定
状态上接收到消息(事件)时，如何转移到另一个特定的状态。
未知安全协议分析就是从截获的网络数据流分析找出协议
的有限状态机的过程。目前的未知安全协议分析有一个较为
固定的流程，图3描述了未知协议分析主要流程。
图3 未知协议分析一般流程图
未知网络协议一般会封装在一些已知的网络层或传输
层数据报里，可以通过获得已知协议报文的数据字段获得未
知网络协议的会话字节流。这些字节流通常根据时间序列来
判断其交互关系，并分别进行分析。同一报文的不同字段之
间通常会在多次取样中有不同的行为表现，可以通过大量样
本的序列比对来对报文中各字段进行分割。目前，对于字段
的结构识别多采用经验上的做法，获得协议字段的语法信
万方数据
息，再结合协议应用场景人工推断协议的语义信息。在获得
多个报文的语义信息后，可根据报文的先后顺序得到未知协
议中的状态转移信息，并可形成状态前缀树(状态机的一部
分)。之后，可以通过自动的方法将状态转移树合并，获得协
议的最小确定状态机，即通过目前的报文所分析出的协议的
状态机的一部分。
在以上流程为针对一般未知协议分析的通用流程，其研
究背景也局限于较为理想的单通道双端非加密协议，且其中
很多阶段的研究并不成熟。为了使未知协议的分析方法可以应
用于未知安全协议分析，下面两个问题将是未来研究的重点：
安全协议语义属性提取方法，安全协议加密字段分析方法。
未知安全协议根据其应用的场景和目的，其内部包含的
语义属性也会有所区别。可以利用未知安全协议的应用场景
对其内部字段的语义属性推断提供新的依据，提高语义推断
的速度和质量。根据项目背景需求选择两种以上场景的三到
五种已知私有安全协议，分析其字段的语义信息，总结在这
些场景下协议常见语义内容。利用之前人工分析的结论，编
写针对特定语义内容的协议分析引擎，针对这几种场景下未
知的私有安全协议进行协议分析， 比较其自动化程度与分析
准确度。
在协议格式提取阶段多采用同一报文格式的多个报文
之间进行比对，获得报文的特征并由此识别报文字段。在加
密协议中，经过加密的报文特征经过处理很难通过直接比对
获得，需要采用新的方法进行协议格式提取。即使在加密协
议中，也会存在非加密字段，通过对非加密字段的解析有助
于推断加密字段的语义信息。同时，不同的加密方法会在数
据流中留下相应特征，通过对这些特征的解析可以推断加密
协议所可能采用的加密方法。
以上两个问题是制约目前未知安全协议分析依赖人工，
自动化程度不高和适用范围窄的关键问题。通过对这几个问
题的解决有助于安全协议分析工具对未知安全协议分析部分的
实现，可以提高未知安全协议分析的自动化和精细化程度。
4 结论
本文通过对安全协议分析各个方向研究现状的阐述和
分析，为安全协议分析领域相关研究提供参考和借鉴。
参考文献
【1]w．Lee，S．J．Stolfo and K．Mok．A Data Mining Framework for
Building Intrusion Detection Models．In Proceedings of IEEE
Symposium oil Security and Privacy．Oakland．1 999．
【2】凌军，曹阳，尹建华．基于时态知识模型的网络入侵检测方法
研究．计算机学报．2003．
[3】饶鲜，董春曦，杨绍全．基于支持向量机的入侵检测系统．软
件学报．2003．
【4]W．Li．Using Genetic Algorithm for Network Intrusion Detection，
C．S．G．Department ofEnergy．2004．
【5]J．Gomez and D．Dasgupta．Evolving f classifiers for intrusion
detection．In IEEE Workshop on Information Assurance，United
States M ilitary Academy．200 1．
【6]COMPARETTI P M，WONDRACEK G，KRUEGEL C，et a1．
Prospex：protocol specification extraction[C]／／Proc of the 30th
IEEE Symposium on Security and Privacy．2009．
【7]BEDDOE M．Protocol information project[EB／OL]．(2004-10-05)
http：／／www．4tphi．net／awalters／PI／PI．Htm1．
[8]NEWSOME J,SONG D．Dynamic taint analysis for automatic
detection,analysis,an d signature generation ofexploits on commodity
software【C】／／Proc ofNetwork and Distributed System Security
Symposium．2005．
[9]SHEVERTALOV M，MANCORIDIS S．A reverse engineering
tool for extracting protocols of networked印plications[C]／／Proc of
the 14thWorkingConferenceonReverseEngineering．2007．
2012．5 陬嗜吝安至技7ft与应用15
万方数据

网友评论 more

综合安全论文最新内容

05-04