16、加密网络流的协议识别技术剖析

加密网络流的协议识别技术剖析

1. 背景与问题提出

在当今网络环境中，计算机安全和入侵检测是至关重要却又缺乏最优解决方案的问题。随着网络的发展，系统资源被滥用的方式也日益增多。例如，用户可能会通过隧道或代理，利用HTTP或SSH进行P2P文件共享等活动，从而绕过公司防火墙访问被封锁的网站。

当底层协议被加密并通过隧道或代理传输时，本地路由器能观察到的信息仅有数据包的时间、大小和方向。传统的协议识别方法，如基于端口号或TCP头信息的方法，在这种情况下往往失效。因此，我们需要一种新的方法来识别加密网络流的协议。

2. 现有方法概述

• 基于端口号的方法 ：主要的入侵检测系统（如Snort）通常根据连接端口来定义流的协议，但这种方法容易被绕过。
• 基于神经网络的方法 ：Early等人利用TCP帧中的SYN、ACK、FIN和PSH标志构建C5.0决策树，但在隧道流中，由于TCP头信息被打乱，该方法的效果未知。
• 基于隐马尔可夫模型（HMM）的方法 ：Wright等人使用HMM对加密流进行协议识别，不同协议的识别准确率有所差异，对于SSH和Telnet等协议的识别效果较差。
• 基于网页对象特征的方法 ：Sun等人通过统计HTTPS网站引用的外部HTTP对象的数量和大小来进行网页分类，但该方法不适用于协议识别。

3. 新方法介绍

3.1 预备知识

我们假设处理的是