于設(shè)定的評估闊值，若大于設(shè)定 的評估闊值，則判定所述數(shù)據(jù)流為加密流；若小于等于設(shè)定的評估闊值，則判斷窗口躍遷的 次數(shù)是否達(dá)到設(shè)定的次數(shù)闊值，若是，則判定所述數(shù)據(jù)流量為非加密流，否則調(diào)用選擇模塊 10重新選擇一待測數(shù)據(jù)報文進(jìn)行處理。
[0066] 本發(fā)明第=實施例，本實施例在上述實施例的基礎(chǔ)上提供一個應(yīng)用實例，介紹一 種基于窗口躍遷的協(xié)議不相關(guān)加密流識別方法，為了使本技術(shù)領(lǐng)域的人員更好地理解本申 請實施例中的技術(shù)方案，并使本實施例的目的、特征和優(yōu)點能夠更加明顯易懂，下面結(jié)合附 圖3~5對本申請實施例中技術(shù)方案作進(jìn)一步詳細(xì)的說明。
[0067] 在詳細(xì)描述本實施例之前，首先對本實施例中可能設(shè)及的符號進(jìn)行如下說明：
[0068] WARE :基于加權(quán)累計的自適應(yīng)隨機性評估算法；
[0069]D:設(shè)定的延遲常數(shù)，即窗口大小
[0070]W :預(yù)設(shè)的用于判定是是否為加密流的評估閥值 陽〇7U N:窗口躍遷的次數(shù)閥值
[0072] 參見圖3,為本實施例的基于窗口躍遷的協(xié)議不相關(guān)加密流識別方法的流程如 下：
[0073] 步驟101:對接收到的數(shù)據(jù)報文進(jìn)行基于窗口躍遷的理想識別點試選。
[0074] 具體的，首個理想識別點試選為接收到的數(shù)據(jù)流的第一個數(shù)據(jù)報文，后續(xù)試選W 窗口d為大小進(jìn)行躍遷。
[00巧]運里的理想識別點的試選類似于上述實施例中的待測數(shù)據(jù)報文的選擇，
[0076] 步驟102:在理想識別點對數(shù)據(jù)報文進(jìn)行基于加權(quán)累計的隨機性評估測試。
[0077] 具體的，對理想識別點的數(shù)據(jù)報文實施WARE算法，得出評估測試結(jié)果，并緩存在 數(shù)據(jù)暫存塊中。
[007引步驟103:對比評估測試結(jié)果與設(shè)定閥值。
[0079] 具體的，如果評估測試結(jié)果大于預(yù)設(shè)的評估閥值W，則輸出為陽性，并結(jié)束識別； 如果評估結(jié)果小于等于預(yù)設(shè)的評估閥值W，則進(jìn)一步判斷是否到窗口d的躍遷次數(shù)是否達(dá) 到窗口躍遷的次數(shù)閥值N，如果到達(dá)，則輸出為陰性，并結(jié)束識別，否則繼續(xù)進(jìn)行窗口躍遷， 試選下一個理想識別點執(zhí)行上述步驟。
[0080] 運里，陽性指的是判定為加密流，陰性指的是判定為非加密流。
[0081] 步驟104 :結(jié)束判定并輸出判定結(jié)果。
[0082] 具體的，只要有一次測試顯示識別出加密數(shù)據(jù)，則完成數(shù)據(jù)流的識別，識別結(jié)果為 陽性。若超過窗口躍遷的次數(shù)閥值N后仍未識別出加密數(shù)據(jù)，則識別結(jié)果為陰性。窗口躍 遷的次數(shù)閥值N的設(shè)定由系統(tǒng)處理能力決定。
[0083] 參見圖4,在步驟102中，對理想識別點的數(shù)據(jù)報文實施WARE算法，得出評估測試 結(jié)果的具體流程，如下：
[0084] 步驟201:接收待測數(shù)據(jù)報文。
[00化]步驟202 :單數(shù)據(jù)包累積計數(shù)。
[0086] 具體的，步驟202包括：
[0087] Cl:將該待測數(shù)據(jù)報文的二進(jìn)制序列中的所有0替換為-1，生成新的變形序列。 k
[00蝴 C2 :計算變形序列的前k項和& = !>,. 1《k《n，計算變形序列Tl1的最大偏 移值Z=max[Si,S2,…，SJ，n為待測數(shù)據(jù)報文的二進(jìn)制序列的長度，則初步評估值為

其中，巫（X)為標(biāo)準(zhǔn)正態(tài)分布函數(shù)，
[0089] 步驟203 :讀取歷史數(shù)據(jù)。
[0090] 具體的，從數(shù)據(jù)暫存塊中讀取數(shù)據(jù)流的隨機性評估結(jié)果歷史，對于第一次操作，歷 史評估值為0。
[0091] 步驟204 :加權(quán)綜合評估操作。
[0092] 具體的，將初步評估值與歷史評估值進(jìn)行加權(quán)綜合，得到最終用于判斷所述數(shù)據(jù) 流是否加密的評估值。
[0093] 步驟205 :更新歷史數(shù)據(jù)。
[0094] 具體的，將執(zhí)行完步驟C3時得到的評估值作為歷史評估值保存到數(shù)據(jù)暫存塊中， 替換前一次保存的歷史評估值。
[0095] 步驟205:輸出最終用于判斷所述數(shù)據(jù)流是否加密的評估值。
[0096] 參見圖5,本實施例的基于窗口躍遷的協(xié)議不相關(guān)加密流識別裝置，包含：窗口躍 遷模塊301、隨機性評估模塊302和加密流判定模塊303。
[0097] 其中，窗口躍遷模塊301，用于讀取鏈路流量，W窗口d=DX(1-1)獨立地在鏈路 流量上進(jìn)行躍遷，D為設(shè)定的延遲常數(shù)，躍遷的次數(shù)I為大于1的整數(shù)。
[0098] 隨機性評估模塊302,用于基于加權(quán)累計的自適應(yīng)隨機性評估算法，對鏈路流量進(jìn) 行隨機性評估。
[0099] 加密流判定模塊303,用于判定流量是否為加密流，具體的，如果評估測試結(jié)果大 于預(yù)設(shè)的評估閥值W，則輸出為陽性，并結(jié)束識別；如果評估結(jié)果小于等于預(yù)設(shè)的評估閥值 W，則進(jìn)一步判斷是否到窗口d的躍遷次數(shù)是否達(dá)到窗口躍遷的次數(shù)閥值N，如果到達(dá)，則輸 出為陰性，并結(jié)束識別，否則繼續(xù)進(jìn)行窗口躍遷和判定。
[0100] 通過W上的實施方式的描述可知，本領(lǐng)域的技術(shù)人員可W清楚地了解到本申請可 借助軟件加必需的通用硬件平臺的方式來實現(xiàn)。基于運樣的理解，本申請的技術(shù)方案本質(zhì) 上或者說對現(xiàn)有技術(shù)做出貢獻(xiàn)的部分可WW軟件產(chǎn)品的形式體現(xiàn)出來，該計算機軟件產(chǎn)品 可W存儲在存儲介質(zhì)中，如R0M/RAM、磁碟、光盤等，包括若干指令用W使得一臺網(wǎng)絡(luò)設(shè)備 (可W是服務(wù)器，路由器，路由主控等）執(zhí)行本申請各個實施例或者實施例的某些部分所述 的方法。 陽101] 通過【具體實施方式】的說明，應(yīng)當(dāng)可對本發(fā)明為達(dá)成預(yù)定目的所采取的技術(shù)手段及 功效得W更加深入且具體的了解，然而所附圖示僅是提供參考與說明之用，并非用來對本 發(fā)明加W限制。
【主權(quán)項】
1. 一種加密流的識別方法，其特征在于，包括： 步驟1，基于窗口躍遷在數(shù)據(jù)流中選擇待測數(shù)據(jù)報文； 步驟2,根據(jù)待測數(shù)據(jù)報文計算評估值； 步驟3,基于評估值判斷所述數(shù)據(jù)流是否加密。2. 根據(jù)權(quán)利要求1所述的加密流的識別方法，其特征在于，步驟1具體包括： 設(shè)置一讀取數(shù)據(jù)報文的窗口，所述窗口的長度為相鄰的兩個待測數(shù)據(jù)報文之間間隔的 數(shù)據(jù)報文數(shù)量； 針對接收到的數(shù)據(jù)流，選擇所述數(shù)據(jù)流的首個數(shù)據(jù)報文作為第一個待測數(shù)據(jù)報文，然 后利用所述窗口在數(shù)據(jù)流中的躍遷來依次選擇后續(xù)的待測數(shù)據(jù)報文。3. 根據(jù)權(quán)利要求2所述的加密流的識別方法，其特征在于，每次選擇待測數(shù)據(jù)報文時 對應(yīng)的躍遷的窗口長度均遵循設(shè)定的函數(shù)關(guān)系。4. 根據(jù)權(quán)利要求3所述的加密流的識別方法，其特征在于，所述設(shè)定的函數(shù)關(guān)系為等 差數(shù)列時，設(shè)所述窗口的長度為山滿足如下條件：針對第I次選擇的待測數(shù)據(jù)報文，所需躍 遷的窗口的長度d=DX(1-1)，D為設(shè)定的延遲常數(shù)，I為大于1的整數(shù)。5. 根據(jù)權(quán)利要求1所述的加密流的識別方法，其特征在于，步驟2具體包括：針對每個 待測數(shù)據(jù)報文執(zhí)行基于加權(quán)累計的自適應(yīng)隨機性評估算法WARE,包括如下處理： A1 :將待測數(shù)據(jù)報文的二進(jìn)制序列中的所有0替換為-1，生成變形序列rii; A2 :針對變形序列η1的前k項和1《k《n，計算變形序列η1的最大偏移 值Ζ=max[Si，S2,…，SJ，η為待測數(shù)據(jù)報文的二進(jìn)制序列的長度，則評估值為其中，Φ(X)為標(biāo)準(zhǔn)正態(tài)分布函數(shù)6. 根據(jù)權(quán)利要求5所述的加密流的識別方法，其特征在于，步驟2還包括： A3,將步驟Α2得到的評估值與歷史評估值進(jìn)行加權(quán)綜合，得到最終用于判斷所述數(shù)據(jù) 流是否加密的評估值； 所述歷史評估值的獲取過程包括：將執(zhí)行完步驟A3時得到的評估值作為歷史評估值 進(jìn)行保存，替換前一次保存的歷史評估值。7. 根據(jù)權(quán)利要求1~6中任一項所述的加密流的識別方法，其特征在于，步驟3具體包 括： 判斷所述待測數(shù)據(jù)報文對應(yīng)的評估值是否大于設(shè)定的評估闊值，若是，則判定所述數(shù) 據(jù)流為加密流，否則判定所述數(shù)據(jù)流量為非加密流。8. 根據(jù)權(quán)利要求1~6中任一項所述的加密流的識別方法，其特征在于，步驟3具體包 括： Β1，判斷所述待測數(shù)據(jù)報文對應(yīng)的評估值是否大于設(shè)定的評估闊值，若是，則判定所述 數(shù)據(jù)流為加密流，否則執(zhí)行步驟Β2 ; B2,判斷窗口躍遷的次數(shù)是否達(dá)到設(shè)定的次數(shù)闊值，若是，則判定所述數(shù)據(jù)流量為非加 密流，否則按照步驟1重新選擇一待測數(shù)據(jù)報文執(zhí)行所述方法。9. 一種加密流的識別裝置，其特征在于，包括： 選擇模塊，用于基于窗口躍遷在數(shù)據(jù)流中選擇待測數(shù)據(jù)報文； 計算模塊，用于根據(jù)待測數(shù)據(jù)報文計算評估值； 判斷模塊，用于基于評估值判斷所述數(shù)據(jù)流是否加密。
【專利摘要】本發(fā)明提出了一種加密流的識別方法及裝置，該方法包括：步驟1，基于窗口躍遷在數(shù)據(jù)流中選擇待測數(shù)據(jù)報文；步驟2，根據(jù)待測數(shù)據(jù)報文計算評估值；步驟3，基于評估值判斷所述數(shù)據(jù)流是否加密。該裝置包括：選擇模塊、計算模塊和判斷模塊。本發(fā)明能夠快速、準(zhǔn)確的識別出各種加密的數(shù)據(jù)流，解決了現(xiàn)有技術(shù)中對各種加密流量識別的普適性問題。
【IPC分類】H04L12/24
【公開號】CN105406993
【申請?zhí)枴緾N201510710376
【發(fā)明人】張風(fēng)雨, 白冰, 扈紅超, 張傳浩, 杜飛, 王鵬, 程國振, 朱珂, 王志明
【申請人】中國人民解放軍信息工程大學(xué)
【公開日】2016年3月16日
【申請日】2015年10月28日