李宏 姚君

中国电子科技集团公司第五十四研究所 河北 050081

0 引言

随着网络速率增加以及网络应用的日益复杂多样，网络环境下每天都可能有海量数据，如何从这些数据中提取隐藏的重要信息，以便从中发现异常，人们将目光投向数据挖掘技术，通过关联分析、序列模式分析等算法，发掘数据间潜在的模式，找出某些容易被忽略的信息，以便于理解和观察的方式返回给用户作为决策依据。Lee首次将数据挖掘算法应用于异常检测研究领域；支持向量机是数据挖掘中的一项新技术，借助最优化方法解决机器学习问题的新工具，也被广泛用于检测过程中。另一种通过模拟自然进化过程搜索最优解的问题求解方法的遗传算法，在检测过程中用于不同目的，使用遗传算法取得分类规则，而将遗传算法用于取得合适的分类规则。数据挖掘方式的优点是数据驱动形式，不需要依靠先前观测的网络行为模式，并且适于处理大量数据的情况，然而该方法中各种挖掘算法太过分散，针对的数据对象差异较大。

协议自动分析技术的实现可以显著减少人工分析的工作量，提高对私有协议的分析效率，并使对网络安全事件的快速自动响应成为可能。在未知协议分析领域，国内外已进行了较为深入的研究。根据分析对象的不同，现有的协议分析技术大致分为两类：报文序列(network trace)分析和指令执行序列(execution trace)分析。

报文序列分析技术以嗅探得到的网络数据流 X为分析对象，其可行性在于以下两点：(1)单个报文样本的数据流为报文格式的一个实例，同一报文格式对应的多个报文样本具有相似性；……