[发明专利]一种未知应用层协议报文格式的最佳分段方法

权利要求书

1.一种未知应用层协议报文格式的最佳分段方法，其特征在于利用未知应用层协议在网络会话过程中传输的报文序列样本集，通过隐半马尔可夫模型的模型参数估计算法，从报文序列样本集中获取模型参数，所述报文序列样本集中的每个报文序列被看作一个字符串，所述每个字符串称为一个观测序列，再基于隐半马尔可夫模型的最大似然概率分段方法，对报文进行最佳分段，同时获取代表各个字段语义的应用层协议关键词、属性值、状态码或类型码，并基于观测序列的似然概率分布，发现混杂在样本集中的噪声数据并进行有效过滤。

2.根据权利要求1所述的未知应用层协议报文格式的最佳分段方法，其特征在于所述的关键词定义为在报文内出现的固定模式的比特串或者字符串，所述报文格式的定义为C₁||C₂||...||C_l的形式，其中C_i，1≤i≤l，代表一个定长或变长的字段，l是字段的个数，||代表串行拼接，C_i本身又细分为key_i||data_i的形式，其中key_i是该字段的首部，也是协议的关键词，而data_i是该字段的剩余部分。

3.根据权利要求1所述的未知应用层协议报文格式的最佳分段方法，其特征在于从报文序列样本集中获取模型参数的操作具体如下：

把观测序列记为O_1:T＝o₁o₂o₃o₄...o_T，T为观测序列的长度，即字符个数，其中o_T为观测序列的第T个字符，状态集合定义为S＝{1，2，..，M}，将观测序列O_1:T对应的状态序列记为S_1:T＝S₁S₂S₃S₄...S_T，S_t∈S，对观测序列的最佳划分就是求最大似然概率的状态序列i₁，i₂，...，i_n，其中i₁，i₂，...，i_n∈S，每个状态对应一个字段，状态的持续长度等于字段的长度，即各个字段的长度依次为d₁，d₂，...，d_n，其中任一个字段或者状态都限定在一个报文内，该状态称为隐状态，设定隐状态之间的跳转是一个一阶的马尔可夫过程，即设状态i转移到状态j的概率为a_ij，满足且a_ii＝0，状态i的初始分布概率定义为π_i，观测序列的所有子字符串都是一个状态的可能输出值或观测值key，定义状态的所有输出值key的集合为KEY，在给定状态j的情况下以key为输出值的概率定义为k_j(key)，满足字段长度即状态持续长度不仅与状态有关，还与该分段所包含的key有关，在给定状态j和其输出值key∈KEY的情况下，状态的持续长度为d的概率为l_j，key(d)，满足其中|key|≤d≤D_max，D_max是状态的最大持续长度，|key|是key的长度，因此，隐半马尔可夫模型的模型参数用λ＝{a_ij，π_i，k_j(key)，l_j，key(d)，i，j∈S，key∈KEY}来表示。