匿名即时通信监控技术的研究.docVIP

匿名即时通信监控技术的研究 　　摘要：匿名即时通信监控技术是近几年提出的一种网络监控技术，对于追查网络非法联络和犯罪取证具有重要的意义。首先提出了一种面向多代理技术的匿名即时通信监控模型；然后论述了匿名会话检测技术、匿名通信数据库的关联规则挖掘技术、匿名通信追踪技术等匿名即时通信监控关键技术；最后给出了实验结果，并对实验中发现的问题提出了解决方案。 　　关键词：即时通信; 多代理; 匿名通信; 网络监控 　　中图分类号：TP393 　　文献标志码：A 　　文章编号：1001－3695(2008)06－1842－04 　　 　　0引言 　　 　　随着即时通信（instant messenger）日益成为Internet上重要的信息交流方式，利用即时通信技术实施网络犯罪的恶性案件也逐渐增多。通过即时通信系统泄漏国家或商业机密、传播反动和不健康的信息、秘密组织恐怖活动等，这些问题已引起网络安全监管部门的高度重视。为了维护国家安全，遏制网络犯罪，即时通信监控技术亟待深入研究。 　　?ツ壳埃?即时通信监控技术主要包括内容监控技术和通信关系监控技术。内容监控技术主要解决通信双方正在说什么的问题，即通过重组、解码截获的语音数据流，对通话内容进行实时或事后重放。当即时通信系统采用内容加密传输技术，如Skype使AES(advanced encryption standard)算法[1]进行加密，即使截获了数据包，也无法解析其中的内容，因此内容监控技术仅对明文有效。通信关系监控技术主要解决谁和谁正在通信的问题，即通过向TCP报文段的某些首部字段或数据字段添加标记信息，并提取和匹配这些信息，从而确定通信双方关系。为了逃避监控，通信双方经常采用基于代理的匿名通信技术[2]来隐藏通信中的路径信息、通话人地址信息以及数据流特性，增加了通信关系监控的难度。 　　?ケ疚牡难芯慷韵笫?Skype即时通信软件。选择Skype的原因基于以下三点：a)Skype是一款应用广泛的即时通信软件，据统计目前全球的Skype用户已超过??5 000万;b)Skype网络是一个基于KaZaA技术开发的两层P2P覆盖网络，网络中的节点被划分为普通节点、超级节点和服务器节点三类。根据A.B.Salman等人[3]的研究以及利用ethereal实验证实，当通信双方均处在设置有限制端口的NAT和阻塞UDP数据包的防火墙的网络中，通信双方需要通过Skype网络中的其他节点以TCP数据流的方式进行通信，这是符合目前大多数Skype用户的实际情况；c)Skype使用256??bit AES加密算法对通信内容加密，并使用RSA算法来协商AES 密钥。综上所述，Skype是一款使用广泛且具有匿名通信特征的即时通信系统，Skype监控技术的研究对于研究即时通信监控技术具有很重要的价值。 　　?ピ谘芯?Skype自身匿名特征的同时，本文还将基于多代理的匿名系统引入到研究中，基于多代理的Skype通信系统模型如图1所示。 　　 　　1匿名即时通信监控系统模型 　　 　　?ツ涿?即时通信监控系统采用分布式监控、集中式处理的体系结构，整个系统由多个监控节点和一个监控中心组成，系统模型如图2所示。 　　?ゼ嗫亟诘闵柚迷诟魍?络检测区域的汇聚节点，其功能包括：a）根据通信会话检测策略，对匿名数据流进行实时检测和截获，并从截获的数据包中提取协议信息、时间信息、地址信息等特征信息，保存在数据文件中，并以事件驱动模式传输到监控中心进行集中存储和处理。b）设置与监控区域汇聚节点串接的转发节点，根据系统设置对该区域所输出的匿名数据流实施延迟转发、选择性丢包等操作。同时，根据源、目的网络地址分别对流出、流入监控区域的数据流进行固定时间窗口连续采样，并将采样结果定时传输到监控中心进行路径相关性计算。c）根据监控者的控制策略和命令，对已识别的匿名会话进行实施阻断、干扰等控制操作。 　　?ゼ嗫刂行挠闪?个功能模块组成，其模块划分如图3所示。 　　??a）数据处理中心。该模块由四个子模块组成：(a)关联规则挖掘模块主要实现对匿名通信数据库的关联规则挖掘；(b)数据流相关性分析模块根据各监控节点的数据流采样结果计算不同路径之间的相关关系；(c)关联规则匹配模块通过对不同监控区域的关联规则按时间窗口进行匹配，实现通信关系的事后推断；(d)匿名通信关系推断模块根据数据流相关性分析结果和用户设定的相关系数，实现通信关系的快速推断功能。b）黑名单数据库及更新模块，主要用于记录匿名代理节点的网络地址和危险级别，并从已识别的匿名会话中提取新发现的匿名代理节点加入黑名单数据库。c）匿名通信数据库，用于集中记录各监控节点截获的匿名数据包信息。d）数据流采样数据库，记录监控节点对每条输入、输出路径的采样结