论文部分内容阅读
近年来网络安全事件频发,现有以高级持续性威胁为主要形式的网络攻击往往采用了相关隐匿技术绕过安全设备入侵系统,给系统安全造成严重隐患。由于SSL（Secure Sockets Layer）协议有着良好的安全性和兼容性使得其在网络流量中占比重越来越大,常常作为高级持续性威胁的伪装载体。精细化识别SSL应用对网络安全防护有重要意义,同时也是提升网络管理水平、改善服务质量的重要支撑。本文面向SSL应用的加密流量精细化识别技术开展研究,具体的工作如下:（1）针对现有基于信息熵的明密文流量识别方法对压缩、多媒体流量存在误判和私有协议识别效果不佳的问题,本文设计实现了一种基于DPI（Deep Packet Inspection）和负载随机性的加密流量识别方法。该方法首先用DPI技术对网络流量快速粗精度识别,接着对DPI无法识别的流量计算负载信息熵和蒙特卡洛估计π值的误差,不仅克服了DPI自身的不足,同时解决了用信息熵识别非加密压缩流量误判的问题。实验表明所提方法在各项性能指标均优于传统的明密文流量识别模型,该方法平均的精准率、召回率和F1-Measure分别达到94.98%、90.05%和92.45%以上。（2）针对加密协议识别往往存在特征提取困难的问题,本文设计实现了基于多维特征融合的加密流量协议识别模型。该方法融合VAE（Variational Auto-Encoder）算法自动提取特征和网络流量识别领域常用特征的思想,并通过引入互信息算法得到对识别贡献度最大的特征集,有效地避免了由于特征冗余导致识别效率低的问题。实验表明所提方法不仅具有较快的收敛速度,而且在各项性能指标均优于现有的加密协议识别模型,该方法平均的精准率、召回率和F1-Measure均可达97%以上。（3）随着网络流量细颗粒度识别需求的提高,精细化识别SSL应用成为网络安全和网络流量可管可控的迫切需求。针对此,本文设计实现了基于SSL协议交互字段的多输入最大化单输出HMM（Hidden Markov Model）并行识别方法。该方法利用不同SSL应用的数据流在来自服务器端/客户端方向的协议交互阶段特点精细化识别应用,可以有效避免修改数据包大小、时间流特征等识别的不可靠因素。实验表明所提方法较现有识别模型对几类典型加密应用识别效果有较大提高,该方法平均的准确率和虚警率上分别为95.78%和5.16%,具有较好的实验效果。最后,对全文进行总结,并指出了研究方向。