基于应用层协议标志的一种数据还原重组算法.pdfVIP

维普资讯 第8卷 第 13期 2008年7月 科 学 技 术 与 工 程 Vo1．8 No．13 July 2008 1671—1819(2008)13—3685—05 ScienceTechnologyandEngineering ⑥ 2008 Sci．Tech．Engng． 基于应用层协议标志的一种 数据还原重组算法 李 磊 王 晶 李 静 (陕西中医学院现代教育技术及网络中心 ，咸阳712046；桂林工学院 电子与计算机系’，桂林 541004) 摘 要 数据采集的目的是为了分析其内容。对于基于内容的网络安全监控 系统来说，仅分析零碎的数据包是没有任何价 值的，必需将一个会话中双向传输的所有数据包进行的拼接，并排除协商、应答、重传、包头等网络附加信息，最终实现还原与 重放，只有这样才能实现网络 内容的监控与审查。根据网络信息内容安全监控系统的特点，提出一种基于应用层协议标志进 行协议识别和还原重组的算法。实验表明该算法提高了分析的速度，同时大大提高分析的准确性。 关键词 网络安全 网络监控 字符串匹配 数据挖掘 中图法分类号 TP393．09； 文献标志码 B 获取数据包的 目的是为了对这些数据包进行 中标包，与该包连接相关 的余下所有包都 自动保 分析与判断，从而获得网络的信息内容。网络数据 存 ，接收，不再进行检测 比对 ，则可 以节约大量的 包的分析与判断技术 已广泛应用于入侵检测、防火 时问¨J。 墙、网络测量等领域。 目前，比较常用的数据包分 随着分析技术的发展，一种 比无状态数据包分 析技术包括无状态数据包分析技术和有状态数据 析技术更先进的技术被引进，并在防火墙、入侵检 包分析技术。 测等领域得到广泛使用，这种技术就是有状态数据 无状态数据包分析技术是最早采用的网络数 包分析技术。在进行数据分析时，独立的包本身不 据包分析技术。例如传统的防火墙就采用无状态 能提供我们足够的信息，但当我们把相关的数据包 技术来过滤数据包。无状态技术不需要保持每个 组合在一起时，我们就可以获得更多的信息。有状 数据包的状态，它只需要系统为分析软件提供规则 态数据包分析技术在进行协议分析时，分析每个数 集。当采集设备接收到数据包时，就根据规则集的 据包所属的协议状态，提取与连接有关的状态信 规则对该数据包进行检查，如果匹配 ，表示 中标，否 息。每个连接状态可以通过数据包的协议类型号、 则，不中标。无状态数据包分析的优点是不需要消 源、源端 口、目的、目的端 口来标识。通过提取连接 费过多的内存，因为这种技术不需要保存每个包的 状态信息，实现与其它数据包的关联，从而提高数 状态。但缺点也是明显的，这些缺点主要包括、需 据分析的效率和提高系统的性能。相 比与无状态 要消耗大量的计算时问，因为对每个包，都需要进 数据包分析技术，基于有状态的数据包分析技术具 行比对检查，当规则集数量较大时，检索规则集的 有许多优点、可以大大提高采集效率和速度。当采 时问将非常巨大。在实际的应用中，大部分数据包 集设备接收