罗建桢，余顺争，蔡君



基于最大似然概率的协议关键词长度确定方法

罗建桢1，余顺争2，蔡君1

(1. 广东技术师范学院电子与信息学院，广东广州 510665；2. 中山大学电子与信息工程系，广东广州 510006 )

提出非齐次左—右型级联隐马尔可夫模型，用于应用层网络协议报文建模，描述状态之间的转移规律和各状态的内部相位变化规律，刻画报文的字段跳转规律和字段内的马尔可夫性质，基于最大似然概率准则确定协议关键词的长度，推断协议关键词，自动重构协议的报文格式。实验结果表明，所提出方法能有效地识别出协议关键词和重构协议报文格式。

隐马尔可夫模型；协议逆向工程；网络安全；报文格式

1 引言

在网络管理和网络安全领域中，网络协议规范显得尤其重要[1,2]。如网络管理软件需要整合各类协议的规范，以便能够快速高效地识别和解析网络中的各类应用和协议；入侵检测系统(IDS) 和网络防火墙等网络安全设备都需要获取网络应用的协议规范并配置相应的安全规则和安全策略；只有深入了解命令控制协议(C&C)才能有效检测并防御僵尸网络[3]。除此以外，要实现基于不同通信协议的多个系统之间的互操作，则必须清楚各协议的规范，才能设计和开发兼容多系统的平台[4~6]。协议规范还可以与自动化模糊测试结合，以快速高效地发现软件系统中的漏洞[7,8]。

常见的协议规范可以从协议开发者或IETF[9]发布的公开文档中获得，但是一些私有的网络应用或协议的开发者，往往会出于商业机密或者其他原因而拒绝提供有关的协议规范文档。……