[发明专利]基于模糊神经网络的TCP/IP协议隐蔽通道检测方法

说明书

技术领域

本发明涉及信息安全及神经网络领域，尤其是涉及一种基于模糊神经网络的TCP/IP协议隐蔽通道检测方法。

背景技术

隐蔽通道是一种以违背安全策略进行信息传输的机制，也是信息安全领域中的一个难点问题。根据美国国防部颁布的《可信计算机系统评估标准》(TCSEC)的要求，对B2安全级及以上的系统必须进行隐通道分析，并估算隐通道的带宽，然后根据带宽决定对隐通道的处理。我国国家标准GB17859-1999《计算机信息系统安全保护等级划分准则》，以及其他相关的国际国内标准，都有类似的规定。隐蔽通道可以分成两类：操作系统中的隐蔽通道和网络中的隐蔽通道。随着网络技术的飞速发展，整个网络可以被看作一个巨大的计算机系统，这种在网络环境下与网络协议密切相关的隐蔽通道，通常被称作网络隐蔽通道。它利用非正常手段在网络中传递信息，突破网络安全机制。由于这些特点，在信息安全的角度来说对网络隐蔽通道的研究有着特殊的意义。

目前国际上已有的隐蔽通道标识方法主要有以下几类：(1)语义信息流法、(2)共享资源矩阵法、(3)语法信息流法、(4)非干涉法。其中语义信息流法和共享资源矩阵法使用的比较多。这些方法都是针对操作系统中的隐蔽通道，目前在网络隐蔽通道检测方面并没有专门的方法，基于网络检测隐蔽通道是当前关于隐蔽通道研究的热点方向。对于它的研究技术比较多，并且同时涉及到概率论、统计学习等多个领域的知识。但是，现在不少技术还是处于初级阶段，stream profiling相对比较发展成熟的技术。它通过记录和分析各种不同协议的正常数据流，提取、建立各种正常流的特征判别模型。当检测一个网络中是否存在某类隐蔽通道时，只需要看当前网络中的通信特性是否符合相应的特征模型，就可以判断是否具有存在隐蔽通道的可能性。现在大多数的应用实现都是基于这种技术。

发明内容

本发明的目的是解决其技术难题，提供一种基于模糊神经网络的TCP/IP协议隐蔽通道检测方法。

基于模糊神经网络的TCP/IP协议隐蔽通道检测方法包括如下步骤：

1)建立过滤器，按照过滤规则过滤通过网络接口的数据包，抓取网络接口上输出的TCP/IP数据包；

2)对数据包头结构中选项域进行分析形成特征向量，然后将特征向量输入模糊神经网络；

3)模糊神经网络对特征向量进行处理，最后对输出结果进行模糊聚类，通过输出结果判断是否存在隐蔽通道。

所述的抓取网络接口上输出的TCP/IP协议包包括如下步骤：

1)建立过滤器，传递数据链路层数据包的指针给过滤器；

2)按照过滤规则过滤数据包，将通过过滤条件的数据包复制一份放到缓存链表中，当链表超过设定的最大值时，将保存数据包的链表传送给数据包分析模块；

3)传送完数据包，网络驱动程序重新获得控制权，系统进行正常的网络协议处理，传送刚才送给过滤器的数据包到上层网络协议栈；

所述的对数据包头结构中选项域进行分析形成特征向量包括如下步骤：

1)分析数据包结构，读出数据包中TCP/IP头结构，取出目的地址域，端口号域和完成标志位域；

2)分析TCP协议头结构和IP协议头结构中选项域，如果这个域为空，则该部分结果为0，否则，该部分结果为1，利用这两个结果生成特征向量；

3)将特征向量按照目的地址分类，将每次TCP/IP连接从开始到结束的每个数据包都生成向量，然后插入到链表中对应特征向量集中，当一次TCP/IP连接结束后，将特征向量集送到神经网络模块。

所述的模糊神经网络对特征向量进行处理，最后对输出结果进行模糊聚类，通过输出结果判断是否存在隐蔽通道包括如下步骤：

1)训练阶段

a.从数据采集模块接收特征向量集，特征向量集由一次TCP/IP连接对应的所有特征向量组成，提交模糊神经网络模块；

b.利用自适应模糊神经网络推理系统进行训练，直至系统稳定，得到模糊神经网络模型；

2)检测阶段

a.从数据采集模块接收特征向量集，提交相应的训练完成后的模糊神经网络模块，得到输出值；

b.对输出值集合进行模糊聚类，分辨网络输出的数据是否存在隐蔽通道。

所述的将特征向量按照目的地址分类：网络隐蔽通道通常是向某个具体的地址泄露信息，这里以目的地址为单位进行分类，对网络中传输的信息进行监控。

所述的对输出值集合进行模糊聚类，分辨网络输出的数据是否存在隐蔽通道：对神经网络输出值集合进行模糊C-均值聚类，输出是0或者1，其中0代表正常，1代表异常。