[发明专利]一种基于语义敏感的网络协议识别方法及系统

摘要

本发明涉及一种基于语义敏感的网络协议识别方法及系统。在建模阶段，以特定应用协议的网络数据报文集合作为输入，利用Latent Dirichlet Allocation方法构建所分析协议的关键字模型；在训练阶段，依照协议关键字模型提取数据报文的分类特征信息，以获得的关键字特征向量作为输入，利用有监督机器学习方法对离线训练数据集学习训练，获得所分析协议的分类模型；在分类阶段，依照协议关键字模型提取数据报文的分类特征信息，利用协议分类模型对待测网络数据报文的协议属性做出判别，判断其是否属于目标协议的网络数据报文。本发明能够充分挖掘网络消息报文中潜在的协议语义信息，对多种网络协议进行有效的协议识别。

主权项

一种基于语义敏感的网络协议识别方法，其特征在于，包括建模阶段、训练阶段和分类阶段；在建模阶段，以特定应用协议的网络数据报文集合作为输入，利用Latent Dirichlet Allocation方法构建所分析协议的关键字模型；在训练阶段，依照建模阶段得到的协议关键字模型提取数据报文的分类特征信息，以获得的关键字特征向量作为输入，利用有监督机器学习方法对离线训练数据集学习训练，从而获得所分析协议的分类模型；在分类阶段，依照建模阶段得到的协议关键字模型提取数据报文的分类特征信息，利用训练阶段输出的协议分类模型，对待测网络数据报文的协议属性做出判别，判断其是否属于目标协议的网络数据报文；所述建模阶段包括以下步骤：a)采集属于特定应用协议的网络数据报文，从而将网络数据报文划分为两种类别：一类是属于所要分析的应用协议的数据报文集合；另一类是不属于所要分析应用协议的数据报文集；b)利用n‑gram模型将网络数据报文转化为以n‑gram元素作为基本单元的网络数据报文；所述n‑gram模型是给定序列的n个连续元素的子序列；c)利用基于Latent Dirichlet Allocation方法构建所要分析协议的协议关键字模型；利用Latent Dirichlet Allocation方法构建协议关键字模型的步骤包括：1)为包含有M个数据报文的集合D中的所有n‑gram分配一个随机的关键字索引号这里w(m,i)代表数据报文m中，第i个n‑gram，z(m,i)是该n‑gram的关键字索引号，Nm是数据报文m中n‑gram元素的个数；2)用代表除z(m,i)以外的所有其他n‑gram的关键字索引号，在数值保持不变的情况下，根据后验概率分布为n‑gram w(m,i)通过采样的方法产生一个新的关键字索引号数值z(m,i)；其中α和β是给定的超参数，代表n‑gram字典中元素t分配给关键字k的次数，代表消息报文m中关键字k出现的次数，W代表n‑gram字典中n‑gram元素的个数；3)根据Gibbs采样方法得到的z(m,i)数值，对后验概率分布中的过期数值进行更新；4)对数据集合中的所有的元祖(m,i)都重复上述的采样操作，若达到Gibbs采样收敛条件L，则算法中止，返回最终的关键字索引号否则重复步骤1)至3)；5)利用通过步骤1)至4)得到的关键字索引号构建协议关键字模型其中K代表协议关键字的个数，