网络协议异常行为分析研究

《网络协议异常行为分析研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、博士学位论文网络协议异常行为分析研究作者姓名胡燕京Ｔ指导教师姓名、职称姜晓鸿教授申请学位类别工学博士学校代码10701学号09202310246分类号TP393密级公开西安电子科技大学博士学位论文网络协议异常行为分析研究作者姓名：胡燕京一级学科：计算机科学与技术二级学科：计算机系统结构学位类别：工学博士指导教师姓名、职称：姜晓鸿教授学院：计算机学院提交日期：2017年9月ResearchandAnalysisofNetworkProtocol’sAbnormalBehaviorAdissertationsubmittedtoXID

2、IANUNIVERSITYinpartialfulfillmentoftherequirementsforthedegreeofDoctorofPhilosophyinComputerSystemsOrganizationByHuYanjingSupervisor:JiangXiaohongProfessorSeptember2017西安电子科技大学学位论文独创性（或创新性）声明秉承学校严谨的学风和优良的科学道德，本人声明所呈交的论文是我个人在导师指导下进行的研宄工作及取得的研究成果。尽我所知，除了文中特别加以标注和致谢中所罗列的内容以外

3、，论文中不包含其他人己经发表或撰写过的研究成果；也不包含一为获得西安电子科技大学或其它教育机构的学位或证书而使用过的材料。与我同工作的同事对本研宄所做的任何贡献均己在论文中作了明确的说明井表示了谢意。一学位论文若有不实之处，本人承担切法律责任。、本人签名：戈日期：西安电子科技大学关于论文使用授权的说明：本人完全了解西安电子科技大学有关保留和使用学位论文的规定，即研宂生在校攻读学位期间论文工作的知识产权属于西安电子科技大学。学校有权保留送交论文的复印件，允许查阅、借阅论文；学校可以公布论文的全部或部分内容，允许采用

4、影印、缩印或其它复制手段保存论文。同时本人保证，结合学位论文研宄成果完成的论文、发明专利等成果，署名单位为西安电子科技大学。保密的学位论文在年解密后适用本授权书。、、、戈导师签名本人签名：＇與：鲁時鴻，“日期：Ｐ日期：摘要摘要掌握网络协议的行为关乎网络空间安全的基础，是实施安全防护和攻防对抗的重要技术前提。随着网络应用的不断深入发展，网络协议的行为日益复杂多变，特别是各式各样的异常行为混迹于协议的正常行为之中，善恶难辨，使得传统的协议逆向工程和安全防护手段难以应对。协议行为分析是一种通过分析协议消息（报文）的数据特征及协议

5、程序的指令序列特征来掌握协议行为规律的逆向分析技术。由于协议异常行为种类繁多，隐蔽性强且潜伏期长，往往不对目标主机或网络进行明显地破坏，只在短时间内秘密窃取重要信息，或完成攻击任务后立即恢复正常行为。目前对协议行为的认识和研究不足，对正常行为和异常行为之间的界限还难以划清，对隐匿、隐藏和隐形攻击等异常行为难以感知、识别和挖掘，协议的异常行为对网络空间安全造成的威胁更加严峻。因此，研究网络协议异常行为分析技术显得尤为重要而迫切。针对传统逆向分析技术的不足，本文围绕协议异常行为分析展开，对协议的隐匿、隐藏和隐形攻击等典型异常行为进行了分析，致力于研究新的协议

6、异常行为感知和挖掘方法，评估协议的运行安全性，取得的主要研究成果如下：1.针对协议异常行为难以区分的问题，研究了协议的不同行为在指令级的特征，提出了基因指令的概念和指令标记问题。所有的协议程序指令，无论平台和指令集如何，大致都可划分为3类基因指令，即函数调用相关指令，可标记为F指令；数据处理相关指令，记为D指令；条件跳转相关指令，记为C指令。协议的不同行为表现在相应的指令序列上也各不相同，即所有的协议行为都可以表示成3类基因指令的排列组合。对标记后的行为指令序列实施指令聚类分析，即可将协议的异常行为指令序列暴露出来，从而自动挖掘出协议潜在的异常行为。该方

7、法能以较高的准确度挖掘未知协议的异常行为，具有广泛的应用场景。2.针对协议的隐匿行为潜伏期长且难以暴露等问题，提出了动态污点分析和指令聚类分析相结合的方案，先通过动态污点分析捕获协议的公开行为指令序列，并推断出协议消息的大致结构；再利用自主设计的指令聚类算法感知并挖掘出潜在的隐匿行为指令序列，同时挖掘出能触发隐匿行为的条件；根据挖掘出的隐匿行为触发条件，结合已经推断出的协议消息的大致结构，利用自主设计的敏感消息生成算法自动生成能触发协议隐匿行为的新消息；最后，利用敏感消息触发隐匿行为的执行，观察、取证和分析隐匿行为的具体内容。该方法既能将隐匿行为快速区分

8、出来，又能准确掌握隐匿行为指令序列，分析其具体功能，这就为有针对性的防御和反制准