基于行為特征的SSH流分類系統(tǒng)研究與實現(xiàn).pdf

1、最近幾年網(wǎng)絡(luò)技術(shù)發(fā)展迅速，信息網(wǎng)絡(luò)在保障社會發(fā)展方面扮演著愈來愈重要角色，但各類黑客攻擊事件、隱私泄露事件時有發(fā)生，網(wǎng)絡(luò)安全愈來愈受到重視。而僅通過使用各種殺毒軟件和安全衛(wèi)士來已經(jīng)難以保證計算機系統(tǒng)運行的安全性，尤其是通信時的隱私安全問題，越來越多的應(yīng)用開始采用加密通信數(shù)據(jù)的方式來保護用戶的通信隱私，其中使用應(yīng)用層隧道（如SSH[1]）來加密通信數(shù)據(jù)變得越來越普遍，一方面，人們想通過加密隧道來保護他們的通信數(shù)據(jù)的隱私性，另一方面，他們希

2、望以此來保護他們使用的應(yīng)用類型等行為的隱私性，還有一些人通過SSH等隧道隱藏自己的一些非法活動[2]。因此，加密的隧道流量的識別變得越來越重要。
　　隨著各種應(yīng)用協(xié)議數(shù)量越來越多，網(wǎng)絡(luò)應(yīng)用難以再嚴格地遵循使用統(tǒng)一分配的端口提供服務(wù)的規(guī)則，基于端口的流量識別方法識別效果急劇下降，而SSH協(xié)議通信過程中的數(shù)據(jù)報文是經(jīng)過加密的，協(xié)議模型匹配和基于載荷檢測等識別方法均不再適用。
　　雖然SSH協(xié)議通信過程中數(shù)據(jù)報文是密文的，但在正式

3、的數(shù)據(jù)傳輸之前，為建立安全連接所發(fā)送的報文是明文的，且通信過程中的包長、包到達時間間隔、報文方向和到達順序是可知的。本文根據(jù)SSH協(xié)議通信的以上幾個主要特征設(shè)計算法，首先，將基于端口的識別方法和基于載荷特征的識別方法相結(jié)合識別出網(wǎng)絡(luò)中的SSH流，然后，使用基于行為特征的應(yīng)用協(xié)議識別方法對SSH流進行分類，選取流的正向、反向和雙向流的TCP載荷長度和報文到達時間間隔，以及反向報文所占比重這七個特征，使用訓(xùn)練集分別計算出每類要識別的應(yīng)用類別

4、流的特征的期望和方差。對于給定流，計算流的每個特征的期望和方差，然后計算該流屬于給定分類的概率，取最大值，則該流屬于該類別。
　　以本文所提出的識別算法為核心，構(gòu)造了一個SSH流分類系統(tǒng)。該系統(tǒng)分為數(shù)據(jù)采集模塊，SSH流分類模塊，數(shù)據(jù)庫模塊和展示模塊四部分。該系統(tǒng)通過數(shù)據(jù)采集模塊獲取網(wǎng)絡(luò)中的通信數(shù)據(jù)報文，并將獲取到的通信數(shù)據(jù)報文傳送給分類系統(tǒng)的核心模塊——SSH流分類模塊進行識別和分類。分類模塊將報文的預(yù)處理結(jié)果和識別結(jié)果分別寫入