基于隐马尔可夫模型的协议识别技术.pdfVIP

第 12卷第 5期 V01．12NO．5 2011年 10月 0ct．2011 基于隐马尔可夫模型的协议识别技术 何 中阳，杨 白薇，李 鸥，刘 洋 (信息工程大学 信息工程学院，河南 郑州 450002) 摘要：随着网络的高速发展和协议的复杂化，传统的基于端 口号和特征串的应用层协议识别算 法的识别率 已明显下降。基于协议统计特征的模式识别方法应运而生，文章提 出了一种基于 隐马尔可夫模型的协议识别技术，选取包长、包到达时间间隔、包传输方 向等数据包外部特征 组成特征矢量，避免了对数据具体 内容 的解析；引入 了增量学习的思想，实现 了对未知协议的 主动学习。实验结果显示，该算法对于控制报文和数据报文均加密的应用层协议 同样有很好 的识别效果 ，识别率达到了9O％以上。 关键词：隐马尔可夫模型；协议识别；特征提取；增量学习 中图分类号 ：TN915．04 文献标识码 ：A 文章编号 ：1671—0673(2011)05—0596—05 ProtocolIdentificationBased onHiddenM arkovM odel HE Zhong·yang，YANG Bai—wei，LIOu，LIU Yang (InstituteofInformationEngineering，InformationEngineeringUniversity，Zhengzhou450002，China) Abstract：W iththerapiddevelopmentofnetworksandincreasingcomplexityofnew protocols，tradi— tionalport-·basedandpayload--basedapplication-—layerprotocolidentificationmethodsarefallingbe-· hindwithpooridentificationperformance．Sopatlern-matchingidentificationmethodsbasedonsta· tisticalcharacteristicshavebecomepopular．Thispaperproposesaprotocolidentificationtechnique usingHiddenMarkovModel(HMM)，whosecharacteristicoectorconsistsofpacketexternalproper- tiessuch aspacketsizes，inter-arrivaltimes，andpacket’Sfransterdirection，avoiding in—depth packetpayload inspection． Incrementallearning isintroduced to achieveactivelearningfrom un- knownapplication—layerprotocols．Experiments show thatthismethod can substantially increase identificationaccuracy(above90％)ofencryptedapplication-layerprolocols． Keywords：HiddenMarkovModel；protocolidentification；charaderisticsselection；incrementallearn— ing 0 引言 准确地识别 Internet上每个流所使用的应用层协议对于网络管理员、研究员以及服务提供商、用户都 具有重要的意义 ，尤其是研究区分服务、QoS、入侵检测 、流量监控、计费管理 以及用户行为分析的前提和 基础 。传统的网