25、自动化行为指纹识别：协议消息聚类研究

自动化行为指纹识别：协议消息聚类研究

1. SIP 协议简介

SIP（Session Initiation Protocol）是 VoIP 通信管理的事实上的信令协议，主要用于 VoIP 会话的建立、拆除和协商。它有丰富的协议原语和选项，以及复杂的底层状态机。选择 SIP 来阐述相关方法的原因如下：
- 操作数量相对较多（超过 10 种）。
- 传输层信息和网络层信息没有明确界限，自动化分析困难。
- 单个消息类型分布不均衡，部分消息类型很少出现。

SIP 消息分为请求和响应两类：
- 请求消息以以下关键字开头：REGISTER、OPTIONS、INVITE、UPDATE、CANCEL、ACK、BYE、SUBSCRIBE、NOTIFY、PRACK、PUBLISH、INFO、REFER、MESSAGE。
- 响应消息以 3 位数字代码开头，分为 6 类，由第一位数字标识。

下面是一个 SIP 事务示例：

graph LR
    A[user1@domain1.com] -->|INVITE 请求| B[user2@domain2.com]
    B -->|Trying 消息| A
    B -->|Ringing 消息| A
    B -->|OK 响应| A
    A -->|ACK 确认| B
    B -->|BYE 消息| A
    A -->|OK 响应| B

构建了一个包含 1580 条 SIP 消息的数据集，涵盖 27 种重要且在 VoIP