基于熵估计的安全协议密文域识别方法

ByGrith4

摘 要：现有基于网络报文流量信息的协议分析方法仅考虑报文载荷中的明文信息，不适用于包含大量密文信息的
4 H0 l8 F, R1 F3 x' M' H安全协议。为充分发掘利用未知规范安全协议的密文数据特征，针对安全协议报文明密文混合、密文位置可变的特
点，该文提出一种基于熵估计的安全协议密文域识别方法 CFIA(Ciphertext Field Identification Approach)。在挖
% i9 [; I( h4 N) e5 Y掘关键词序列的基础上，利用字节样本熵描述网络流中字节的分布特性，并依据密文的随机性特征，基于熵估计预
7 K% Y! r" y3 D8 N8 ?4 T/ M定位密文域分布区间，进而查找密文长度域，定位密文域边界，识别密文域。实验结果表明，该方法仅依靠网络数
据流量信息即可有效识别协议密文域，并具有较高的准确率。
关键词：未知安全协议；协议格式；密文域；熵估计
1 引言
1 C9 e, G5 R7 E8 H  @随着密码技术的广泛应用，安全协议被大量应
用在互联网各种核心、关键应用中，与安全协议相
' }4 U) L0 ]; V- U. x9 A. j关的各种数据在网络流量中比重日益增加。基于网
3 `+ m% {4 J' o; ?+ T络报文载荷数据，分析协议用户交互行为信息是安
; j6 \! L! z, Y7 i0 A全协议流量分析的关键内容，有助于对各种网络应
9 A, o6 e; L$ {用实施监控和管理，有效降低系统面临的安全风险。
8 R4 ]% \. D& x/ Q# k8 W目前存在很多私有协议，协议细节未公开，语法、
/ [8 b/ L" T7 o9 m语义、交互步骤缺少公开的描述文档，无法基于已
" a* V2 U. M% T有的协议分析工具(例如著名的 Wireshark)进行分
析。为此，如何提供一种方法，使其能够有效支持
+ z% w2 i( Y9 R" v2 {未知安全协议格式信息的解析，是进一步提升网络
' r' X4 h- x+ ^% w; k3 u6 \) s0 X7 |) e


2 A$ W8 d% k' V! }' c% u  Y6 b

附件下载：

游客，如果您要查看本帖隐藏内容请回复

6 D7 d+ S( n6 g6 @
+ J4 n! g7 G) w0 k

sdkangbaz

谢谢分享