51、高级网络指纹识别技术解析

高级网络指纹识别技术解析

1. 背景与目标

在网络环境中，为了检测网络中是否存在恶意的VoIP设备和系统，需要对这些设备和协议栈进行指纹识别。通常情况下，只有特定供应商的设备才能连接到网络，其他潜在的恶意系统必须被检测并阻止。传统的方法是手动构建单个签名，这是一个繁琐且耗时的过程。因此，需要一个能够自动调整和部署的系统，它能够处理捕获并标记的网络流量，检测出可作为潜在区分特征的结构特征。

2. 结构协议指纹识别

2.1 指纹识别原理

大多数应用层和网络协议使用基于形式语法的语法规范，每个消息可以用树状结构表示。通过比较不同设备生成的消息的解析树，可以检测出设备之间的结构差异。从这些树结构中提取的特征构成了结构签名，这些独特的特征被称为指纹。

2.2 签名类型

• 不同字段内容 ：例如提示信息或初始化消息等字符序列可以确定一个签名。
• 不同字段长度 ：语法允许项目重复时，字段的长度是一个很好的签名候选，如符号后空格的数量、支持的功能等。
• 不同字段顺序 ：当一组项目中没有指定明确顺序时，这种情况就会出现，例如当前协议中功能的广告方式。

2.3 学习方法

提出一种学习方法，通过分析和比较不同设备捕获的消息跟踪来自动识别独特的结构签名。学习和分类过程分为两个阶段：
- 阶段1（设备不变特征） ：系统自动对语法中的每个字段进行分类，以确定哪些字段在