朱賀軍，祝烈煌

（1．北京億賽通網(wǎng)絡(luò)安全技術(shù)有限公司，北京100085；2．北京理工大學(xué)計(jì)算機(jī)學(xué)院，北京100081）

1 概述

網(wǎng)絡(luò)改變了人們的通信方式，使人們的生活發(fā)生了翻天覆地的變化，所有用戶都在使用網(wǎng)絡(luò)中的各種應(yīng)用，每天都會(huì)產(chǎn)生數(shù)以億計(jì)的數(shù)據(jù)流，而這些看似正常的流量中可能隱藏著各種惡意攻擊行為。因此，分類識(shí)別網(wǎng)絡(luò)流量與網(wǎng)絡(luò)行為對(duì)規(guī)范網(wǎng)絡(luò)應(yīng)用、凈化網(wǎng)絡(luò)環(huán)境以及保護(hù)網(wǎng)絡(luò)用戶的隱私安全都具有重大意義［1］。目前，加密網(wǎng)絡(luò)流量經(jīng)常采用動(dòng)態(tài)IP（Internet Protocol）、動(dòng)態(tài)端口以及偽造端口等方式［2］使數(shù)據(jù)包載荷不斷升級(jí)，而且數(shù)據(jù)量成幾何級(jí)數(shù)增長。鑒于此，本文針對(duì)大規(guī)模加密數(shù)據(jù)提出一種高效的網(wǎng)絡(luò)行為自動(dòng)識(shí)別方法。以Twitter加密數(shù)據(jù)為研究對(duì)象，通過分析大量的Twitter加密網(wǎng)絡(luò)行為，建立基于相關(guān)系數(shù)的數(shù)學(xué)模型，實(shí)現(xiàn)對(duì)海量Twitter加密網(wǎng)絡(luò)行為的快速在線判別。

2 研究現(xiàn)狀

傳統(tǒng)流量識(shí)別方法包括基于深度報(bào)文檢測(cè)的識(shí)別方法［3］和基于深度流檢測(cè)的識(shí)別方法［4］。在加密流量識(shí)別上，傳統(tǒng)識(shí)別方法面臨以下問題：

（1）基于深度報(bào)文檢測(cè)的識(shí)別方法依賴于對(duì)報(bào)文頭部或載荷內(nèi)容的匹配分析。加密流量的報(bào)文載荷為密文數(shù)據(jù)，不具備可供匹配的內(nèi)容特征字段，傳統(tǒng)的深度報(bào)文檢測(cè)算法難以直接使用。盡管部分常用的加密協(xié)議具有固定的通信端口，可通過特定的端口信息識(shí)別，但隨著隨機(jī)端口和私有協(xié)議的廣泛應(yīng)用，這種檢測(cè)方法的準(zhǔn)確率嚴(yán)重下降。而且基于載荷信息識(shí)別對(duì)于加密應(yīng)用模式匹配難度大，易受版本升級(jí)的影響［5－6］。

（2）基于深度流檢測(cè)的識(shí)別方法依賴于單條數(shù)據(jù)流自身或從屬于同一業(yè)務(wù)的多個(gè)數(shù)據(jù)流間的流量統(tǒng)計(jì)特性［7－8］。對(duì)于加密流量來說，僅針對(duì)單條數(shù)據(jù)進(jìn)行深度流檢測(cè)，往往難于突破。對(duì)于同一業(yè)務(wù)的多個(gè)數(shù)據(jù)流間的流量統(tǒng)計(jì)，文獻(xiàn)［9］提出一種針對(duì)加密流量的識(shí)別法，該方法是一種基于數(shù)據(jù)包頭部特征集和流量統(tǒng)計(jì)特征集的機(jī)器學(xué)習(xí)法，在識(shí)別過程中不依賴IP地址、端口和載荷信息，因此可以有效地識(shí)別加密的網(wǎng)絡(luò)流量，文中以SSH（Secure Shell）和Skype加密流為測(cè)試對(duì)象，結(jié)果表明該方法識(shí)別加密流量準(zhǔn)確率高，但計(jì)算開銷大、實(shí)現(xiàn)復(fù)雜度高，無法滿足在線實(shí)時(shí)識(shí)別的要求。

文獻(xiàn)［10］提出一種主要用來區(qū)分端口號(hào)同為80的超文本傳輸協(xié)議（Hyper Text Transfer Protocol，HTTP）流量和非HTTP流量的分類法。該方法根據(jù)載荷前4個(gè)數(shù)據(jù)包的大小特征對(duì)流量進(jìn)行初始判斷，將可能性最小的數(shù)據(jù)流排除，然后根據(jù)特征碼標(biāo)記的統(tǒng)計(jì)結(jié)果對(duì)比之前建立的瀑布決策樹，對(duì)剩下的數(shù)據(jù)包再次進(jìn)行分類判斷。該方法實(shí)時(shí)性好，既可用于在線識(shí)別系統(tǒng)，也可以與防火墻系統(tǒng)相結(jié)合進(jìn)行流量的監(jiān)控、過濾等相關(guān)工作，但是該方法的缺點(diǎn)是只針對(duì)80端口的流量進(jìn)行了分類識(shí)別，無法識(shí)別其他端口的流量，而且決策樹的建立規(guī)則也需要進(jìn)一步的改進(jìn)。

文獻(xiàn)［11］提出傳輸層流量統(tǒng)計(jì)分析與主機(jī)行為相結(jié)合的網(wǎng)絡(luò)電話（Voice over Internet Protocol，VoIP）流量識(shí)別法。將網(wǎng)絡(luò)中檢測(cè)出的主機(jī)IP地址與端口號(hào)作為主機(jī)行為，以此區(qū)分VoIP流量和傳統(tǒng)流量。

綜上所述，對(duì)于加密的網(wǎng)絡(luò)流量，基于IP、端口、載荷以及機(jī)器學(xué)習(xí)等方法，均無法有效及時(shí)地識(shí)別加密網(wǎng)絡(luò)行為。本文以Twitter加密數(shù)據(jù)為例，提出一種新的加密網(wǎng)絡(luò)行為自動(dòng)識(shí)別方法，對(duì)大量的Twitter數(shù)據(jù)進(jìn)行實(shí)驗(yàn)分析，提取出能夠表征該加密網(wǎng)絡(luò)行為的特征，并構(gòu)建該加密網(wǎng)絡(luò)行為的模型庫及參考樣本，實(shí)現(xiàn)加密網(wǎng)絡(luò)行為在線快速自動(dòng)識(shí)別，解決了因加密協(xié)議頻繁升級(jí)帶來的開發(fā)工作量巨大和在線識(shí)別效率低下的問題。

3 基本原理

加密是把明文轉(zhuǎn)換成不可辨識(shí)的密文的過程，使非授權(quán)人無法識(shí)別和篡改。為了達(dá)到在密文中隱藏明文和密鑰信息的目的，在設(shè)計(jì)加密算法時(shí)，會(huì)盡力消除密文中所包含的所有特征信息，根據(jù)密文難以獲取明文及密鑰信息，能夠抵御各種暴力破解和密碼分析攻擊。對(duì)于加密流量來說，雖然對(duì)明文和密鑰進(jìn)行嚴(yán)格地隱藏，但是經(jīng)過多次對(duì)同一類網(wǎng)絡(luò)協(xié)議的網(wǎng)絡(luò)行為進(jìn)行研究和分析，發(fā)現(xiàn)對(duì)于同一類網(wǎng)絡(luò)協(xié)議的網(wǎng)絡(luò)行為（如Twitter的聊天、Twitter的圖片、Twitter的語音、Twitter的視頻、Facebook的聊天、Facebook的圖片、Facebook的語音、Facebook的視頻等）有相似的統(tǒng)計(jì)特征或其他外在特征。本文依據(jù)加密網(wǎng)絡(luò)數(shù)據(jù)流量的這些統(tǒng)計(jì)特征，通過構(gòu)建具體行為樣本庫，將實(shí)時(shí)采集的網(wǎng)絡(luò)數(shù)據(jù)向樣本庫投影，投影值是依據(jù)相關(guān)系數(shù)進(jìn)行計(jì)算。相關(guān)系數(shù)值的大小反映了2個(gè)隨機(jī)變量之間的相似程度。

本文經(jīng)過對(duì)Twitter數(shù)據(jù)大量研究分析表明［12］，明文和密文從外在形式上保持一致，密文包的大小反映明文內(nèi)容的多少，不同的網(wǎng)絡(luò)行為動(dòng)作，其特征不同，對(duì)于某一具體網(wǎng)絡(luò)協(xié)議的網(wǎng)絡(luò)動(dòng)作行為，例如發(fā)送消息，客戶端和服務(wù)器之間的交互模式相對(duì)固定，在交互過程中，反映交互雙方負(fù)載流量也保持了某種趨勢(shì)，該趨勢(shì)不會(huì)因?yàn)榘姹静煌l(fā)生變化。

如圖1所示，有2次是真Twitter消息，1次是偽Twitter消息，若需辨別真?zhèn)?，則可選擇其中一次真Twitter消息數(shù)據(jù)作為參考樣本，將其他2個(gè)消息與之相比對(duì)，通過計(jì)算相關(guān)系數(shù)并給出對(duì)應(yīng)結(jié)果。相關(guān)系數(shù)反映了2個(gè)隨機(jī)向量間的相關(guān)程度，計(jì)算公式［13］如下：

其中，X＝［x1，x2，…，xN］表示樣本數(shù)據(jù)；Y＝［y1，y2，…，yN］表示新采集數(shù)據(jù)。相關(guān)系數(shù)ρ＞0表示正相關(guān)，ρ＜0表示負(fù)相關(guān)，ρ＝0表示無關(guān)。ρ的絕對(duì)值越大表示相關(guān)程度越高。

圖1 消息交互過程中的流量記錄

根據(jù)式（1）可知，2個(gè)真Twitter消息之間的相關(guān)系數(shù)為0．888 1，另外一個(gè)真Twitter消息和一個(gè)假Twitter消息之間的相關(guān)系數(shù)為0．605 8，由此可以說明2個(gè)真Twitter消息是強(qiáng)相關(guān)的，這樣就可以通過相關(guān)系數(shù)實(shí)時(shí)計(jì)算并依據(jù)設(shè)定的閾值來在線判斷Twitter加密協(xié)議的網(wǎng)絡(luò)行為。因此，本文以Twitter的登錄、聊天、音頻、圖片以及視頻等消息為樣板，通過大量的數(shù)據(jù)分析，建立相應(yīng)的模型庫及參考樣本，且設(shè)定閾值為0．8，若大于設(shè)定閾值，判斷為真，否則為假。

4 加密網(wǎng)絡(luò)行為自動(dòng)識(shí)別模型

綜上所述，結(jié)合數(shù)據(jù)包大小及特點(diǎn)［14］，同時(shí)對(duì)Twitter，F(xiàn)acebook等加密網(wǎng)絡(luò)行為進(jìn)行分析，將基于相關(guān)系數(shù)的加密網(wǎng)絡(luò)行為識(shí)別分成2類情形進(jìn)行分析，即音頻／消息類和視頻／圖片類，如圖2所示，設(shè)計(jì)加密網(wǎng)絡(luò)行為自動(dòng)識(shí)別方法的總體流程，主要包括實(shí)時(shí)數(shù)據(jù)采集、根據(jù)域名“twitter．com”等進(jìn)行分類篩選、與模型庫及參考樣本實(shí)時(shí)進(jìn)行相關(guān)系數(shù)計(jì)算、在線分類判別以及判定加密網(wǎng)絡(luò)行為輸出等。通過觀測(cè)與分析大量數(shù)據(jù)，構(gòu)建參考樣本X＝［x1，x2，…，xN］。采用滑動(dòng)窗口方式采集與參考樣本相同長度的測(cè)量數(shù)據(jù)集Y＝［y1，y2，…，yN］，采用滑動(dòng)窗口的數(shù)據(jù)采集方式如圖3所示，247為歷史數(shù)據(jù)，199為新采集數(shù)據(jù)。

圖3 數(shù)據(jù)采集方式

根據(jù)式（1）計(jì)算X和Y的相關(guān)系數(shù)，并結(jié)合ρ的大小和正負(fù)進(jìn)行在線行為判別。對(duì)于音頻類，與發(fā)送消息一樣，直接計(jì)算參考樣本與測(cè)試數(shù)據(jù)的正相關(guān)系數(shù)。對(duì)于視頻／圖片類，如果參考樣本和采集數(shù)據(jù)集中有一個(gè)常量數(shù)組，且參考樣本和測(cè)量數(shù)據(jù)不完全一樣，如式（2）所示。如果參考樣本和測(cè)量數(shù)據(jù)一樣，則可以直接判斷為加密流量。

因?yàn)閰⒖紭颖竞筒杉瘮?shù)據(jù)集其中一個(gè)為常量數(shù)組，并且參考樣本和測(cè)量數(shù)據(jù)不完全一樣，所以不能依據(jù)相關(guān)系數(shù)進(jìn)行直接判斷。為此，需要對(duì)數(shù)據(jù)進(jìn)行預(yù)處理，預(yù)處理方式針對(duì)特定位置并使其值微小波動(dòng)，例如，改變上述變量的第2個(gè)和最后一個(gè)數(shù)值，得到如下形式：

經(jīng)數(shù)據(jù)實(shí)驗(yàn)證明，上述微小波動(dòng)不影響判別結(jié)果。當(dāng)參考樣本和采集數(shù)據(jù)值完全一樣，直接給出判斷。采用上述處理方式和處理流程對(duì)預(yù)處理后的數(shù)據(jù)進(jìn)行識(shí)別。

5 Twitter加密網(wǎng)絡(luò)行為自動(dòng)識(shí)別實(shí)驗(yàn)

分析對(duì)象：Android版本的Twitter加密網(wǎng)絡(luò)行為。Twitter加密網(wǎng)絡(luò)行為包括文字消息和上傳圖片，發(fā)送文字消息時(shí)，從安全套接層（Secure Sockets Layer，SSL）的交互過程中可以獲取的域名為：“api．twitter．com”，在上傳圖片時(shí)的域名為 “upload．twitter．com”。

5．1 模型庫構(gòu)建

經(jīng)過大量研究分析，Twitter加密網(wǎng)絡(luò)行為可歸納為2種情況，即發(fā)送音頻／消息類和視頻／圖片類。因此，需要建立2個(gè)參考樣本。參考樣本1為音頻／消息類的參考樣本，圖4表示為參考樣本1的數(shù)據(jù)包大小分布，即：X＝［199，407，135，183，167，199，519，135，199，327，135，199，407，151］。

圖4 參考樣本1的數(shù)據(jù)包分布

包的大小分布X中帶有下劃線的數(shù)字表示對(duì)于同一個(gè)抓包環(huán)境，Twitter網(wǎng)絡(luò)行為不同時(shí)其值不同。考慮到樣本需要具有普適性，選取最后9個(gè)變量作為其中一個(gè)參考樣本，其數(shù)據(jù)包大小分布為：X1＝［199，519，135，199，327，135，199，407，151］。

參考樣本2為視頻／圖片類參考樣本，如圖5所示，其數(shù)據(jù)包大小分布為：X2＝［231，103，551，935，119］。

圖5 參考樣本2的數(shù)據(jù)包分布

5．2 實(shí)時(shí)數(shù)據(jù)采集

Twitter發(fā)送消息時(shí)新采集的數(shù)據(jù)，如圖6所示，采用滑動(dòng)窗口方式不斷地獲取與參考樣本相同長度的測(cè)量數(shù)據(jù)，即：Y＝［199，551，135，199，183，135，199，279，151］。

圖6 Twitter發(fā)送消息時(shí)新采集的數(shù)據(jù)

5．3 相關(guān)系數(shù)計(jì)算

根據(jù)式（1）可計(jì)算出參考樣本X1與測(cè)試數(shù)據(jù)Y的相關(guān)系數(shù)為0．888 1，參考樣本X2與測(cè)試數(shù)據(jù)Y的相關(guān)系數(shù)分別為：－0．440 9，－0．115 9，－0．594 5，－0．365 7。其絕對(duì)值越大表示相關(guān)程度越高，值為正表示正相關(guān)，值為負(fù)表示負(fù)相關(guān)。因?yàn)?．1節(jié)實(shí)時(shí)采集的新數(shù)據(jù)與參考樣本X1的相關(guān)系數(shù)大于0．8，所以該行為屬于Twitter發(fā)送消息類加密數(shù)據(jù)。

5．4 算法實(shí)現(xiàn)

圖7表示Twitter行為識(shí)別算法的實(shí)現(xiàn)。目前，依據(jù)相關(guān)系數(shù)值的大小決定分類，相關(guān)系數(shù)值大小根據(jù)經(jīng)驗(yàn)值測(cè)定，本文相關(guān)系數(shù)參考值取0．8，大于0．8判為相關(guān)的加密網(wǎng)絡(luò)行為，如：登錄、聊天、音頻、圖片以及視頻等。由5．3節(jié)相關(guān)系數(shù)的計(jì)算可知，X1與Y相關(guān)性較強(qiáng)，而X2與Y相關(guān)程度較弱。同理，當(dāng)樣本庫中有圖片或視頻的參考樣本，根據(jù)相關(guān)系數(shù)值的大小決定該動(dòng)作屬于哪一類行為。

圖7 Twitter行為識(shí)別算法的實(shí)現(xiàn)流程

5．5 性能分析

本文以Twitter加密數(shù)據(jù)為研究對(duì)象，實(shí)時(shí)采集網(wǎng)上的877MB數(shù)據(jù)進(jìn)行模擬發(fā)包測(cè)試，經(jīng)過域名“twitter．com”過濾后數(shù)據(jù)包大小為686MB，相關(guān)系數(shù)閾值大小選取為0．8，參考樣本的維數(shù)一般選取在3～40之間，維數(shù)小于3無法表示其數(shù)字特征，在實(shí)施方面，交互數(shù)據(jù)維數(shù)一般小于40，本文的參考樣本維數(shù)推薦選取為9。使用5．1節(jié)中的X1（維數(shù)為9）作為參考樣本進(jìn)行測(cè)試，相關(guān)系數(shù)總計(jì)運(yùn)算1 957 916次，輸出相關(guān)記錄1 958次，總耗時(shí)4．8 s，在線識(shí)別率為99．80%，漏檢4次，漏檢率為0．20%。使用較大維數(shù)（維數(shù)為40）作為參考樣本進(jìn)行測(cè)試，相關(guān)系數(shù)總計(jì)運(yùn)算1 957 885次，輸出相關(guān)記錄1 957次，總耗時(shí)6 s，在線識(shí)別率為99．75%，漏檢5次，漏檢率為0．26%。實(shí)際測(cè)試結(jié)果表明，該方法具有較高的識(shí)別效率。

6 結(jié)束語

本文以Twitter為例，分析研究了大量Twitter的登錄、聊天、音頻、圖片以及視頻等加密網(wǎng)絡(luò)行為，提取出能夠表征Twitter加密網(wǎng)絡(luò)行為的特征，并構(gòu)建其加密網(wǎng)絡(luò)行為的模型庫及參考樣本。該方法實(shí)現(xiàn)了加密網(wǎng)絡(luò)行為在線快速自動(dòng)識(shí)別，并且解決了因加密協(xié)議頻繁升級(jí)帶來的開發(fā)工作量大和在線識(shí)別效率低的問題。同時(shí)經(jīng)過實(shí)驗(yàn)驗(yàn)證，結(jié)果表明該方法高效可靠，并已在實(shí)際項(xiàng)目中得到應(yīng)用，其行為識(shí)別準(zhǔn)確率在96%以上。此外，加密數(shù)據(jù)包中的版本信息通常隱含在登錄數(shù)據(jù)包中，根據(jù)密文及流量大小來判斷版本信息是今后研究的重點(diǎn)。

［1］李 堯，郝 文．加密網(wǎng)絡(luò)流量類型識(shí)別研究［J］．計(jì)算機(jī)應(yīng)用，2009，29（6）：1662－1664．

［2］萬月亮，朱賀軍，劉宏志．流特征的Skype流量識(shí)別［J］．智能系統(tǒng)學(xué)報(bào)，2010，5（2）：139－143．

［3］于 強(qiáng)，霍紅衛(wèi)．一組提高存儲(chǔ)效率的深度包檢測(cè)算法［J］．軟件學(xué)報(bào)，2011，22（1）：149－163．

［4］徐 鵬，林 森．基于C4．5決策樹的流量分類方法［J］．軟件學(xué)報(bào)，2009，20（10）：2692－2704．

［5］Calladoa A，Kelnerb J，Sadokb D，et al．Better Network Traffic Identification Through the Independent Combina－tion of Techniques［J］．Journal of Network and Com－puter Applications，2010，33（4）：433－446．

［6］陳 偉，胡 磊，楊 龍．基于載荷特征的加密流量快速識(shí)別方法［J］．計(jì)算機(jī)工程，2012，38（12）：22－25．

［7］張 波．基于流特征的加密流量識(shí)別技術(shù)研究［D］．哈爾濱：哈爾濱工業(yè)大學(xué)，2012．

［8］葉春明，李 志，鄭科棟，等．一種基于用戶行為狀態(tài)特征的流量識(shí)別方法［J］．計(jì)算機(jī)應(yīng)用研究，2015，32（2）：560－564．

［9］Alshammari R，Zincir－Heywood A N．Can Encrypted Traffic Be Identified Without Port Numbers，IP Address－es and Payload Inspection？［J］．Computer Networks，2011，55（6）：1326－1350．

［10］Dainotti A， Gargiulo F， Kuncheva L，et al．Identification of Traffic Flows Hiding Behind TCP Port 80［C］／／Proceedings of ICC’10．Washington D．C．，USA：IEEE Press，2010：1－6．

［11］Li Bing，Jin Zhigang，Ma Maode．VoIP Traffic Identification Based on Host and Flow Behavior Analysis［C］／／Proceedings of WiCOM’10．Washington D．C．，USA：IEEE Press，2010：1－4．

［12］謝希仁．計(jì)算機(jī)網(wǎng)絡(luò)［M］．6版．北京：電子工業(yè)出版社，2013．

［13］王玉孝，柳 金，姜炳麟，等．概率論、隨機(jī)過程與數(shù)理統(tǒng)計(jì)［M］．北京：北京郵電大學(xué)出版社，2010．

［14］李 寅，周井泉．一種基于平均數(shù)據(jù)包長度的可變權(quán)值調(diào)度算法［J］．計(jì)算機(jī)技術(shù)與發(fā)展，2012，22（9）：116－118．