[发明专利]将未知单协议数据流分离为不同类型的数据帧的方法

说明书

技术领域

本发明涉及一种将未知单协议数据流分离为不同类型的数据帧的方法。

背景技术

在当前信息战场景下，被敌方通过进口器件或特种木马进行窃密的威胁日益严峻，此类窃密其途径通常是通过无线通信方式发送涉密信息，且这种通信所采用的协议均为非常规的专用未知协议，而现有的防范措施基本只针对已知协议，大多采用基于端口映射或静态特征匹配等方法，无法对该类窃密渠道进行监测和检测。本课题针对上述问题，拟提出一种基于数据报指纹关系的未知协议发现方法，为该类窃密渠道的监测手段奠定技术基础。

发明内容

本发明的目的在于克服现有技术的不足，提供一种将未知单协议数据流分离为不同类型的数据帧的方法。

本发明的目的是通过以下技术方案来实现的：将未知单协议数据流分离为不同类型的数据帧的方法，它包括以下步骤：

S1：n-gram的产生：将原始的数据帧切分成长度为n的字节，为特征候选集的拼接做准备；在二进制协议的环境下，将gram定义为字节，n为字节的长度，该步骤能够将原始的数据帧切分成长度为n的字节，为特征候选集的拼接做准备；

S11：利用n-gram技术对数据帧进行分割，输入的是在双方通信中所使用的单协议数据帧，根据齐夫分布，选择曲线图中最接近直线的n值作为所求；

S12：利用Jaccard参数对非频繁字节进行过滤，通过改变不同的阈值得到其最优解对n-gram进行过滤，得到出现次数多于阈值的n-gram集合；

S2：特征候选集的拼接：形成频繁长串，产生特征候选集；

S3：特征选择：将步骤S3中得到的特征候选集作为输入，利用熵值中的互信息作为特征选择算法，根据最大相关-最小冗余的特征选择标准，得到不同类型消息的特征，以此作为特征向量用于步骤S4的聚类中；

S4：聚类：利用聚类算法实现协议消息的识别，将具有相同格式的消息聚在一起。

所述的S1包括以下子步骤：

S101：利用n-gram技术对数据帧进行分割：对n取不同值时分别对原始数据集进行切分，对每个n-gram按其出现的次数进行排序，用x轴表示n-gram的排序，y轴表示对应n-gram出现的次数，两个坐标轴都用对数来表示，产生相应的齐夫分布曲线图；

S102：选择曲线图中最接近直线的n值作为所求的n值得大小；

S103：对产生的n-grams进行筛选，采用Jaccard参数对非频繁字节进行过滤，通过改变不同的阈值得到其最优解对n-gram进行过滤，得到出现次数多于阈值的n-gram集合，其中，Jaccard参数的计算公式如下：