基于行为分析的网络通信监控技术研究

论文摘要

随着以计算机和网络通信为代表的信息技术的迅猛发展,现代政府部门、军事军工、金融机构和商业组织等对网络安全的要求也越来越高。在当前窃密程序种类千变万化、攻击手段层出不穷的情形下,建立健全合理的安全体系,开发出行之有效的安全监控系统是信息保密工作中的重点。本文深入研究了正常应用与恶意程序在网络通信中的行为特征,突破传统的基于特征码识别恶意程序的分析思路,提出基于网络行为的新型分析方法。首先讨论了传统的基于特征码匹配的恶意程序监控方法,指出其在复杂多变的网络环境的下低适应性和在高速网络环境下的低性能缺陷；然后讨论了基于行为分析的系统对象模型和设计思路,在深入理解网络协议的基础上,本系统建立了数据包(Packet)、连接(Connection)、簇(Cluster)、节点(Node)、会话(Session)等网络对象模型,并在对象模型基础上对网络数据流进行了深入的行为分析,给出一系列的上层行为事件；最后,本文详述了基于行为分析的网络通信监控系统的具体实现,并给出了实际环境测试和实验结果分析。实验结果表明,该监控系统能准确和高效地识别出受外部控制的、危险的网络连接,也能识别出大多数正常的网络通信连接,并能在高速的网络环境下实现实时处理,具备良好的应用效果。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 研究背景和意义
• 1.2 国内外研究现状
• 1.3 主要研究工作和创新点
• 1.3.1 主要研究工作
• 1.3.2 本课题的创新点
• 1.4 本文组织结构
• 第二章 网络通信监控技术
• 2.1 网络通信监控技术介绍
• 2.2 网络通信监控技术分类
• 2.3 本章小结
• 第三章 数理统计与行为特征提取
• 3.1 数理统计方法
• 3.1.1 数理统计
• 3.1.2 数理统计常用算法
• 3.2 聚类分析
• 3.2.1 相关术语
• 3.2.2 参数设置
• 3.2.3 时序分簇算法
• 3.3 包簇统计与行为特征提取
• 3.3.1 行为特征提取思想
• 3.3.2 行为特征提取方法
• 3.4 本章小结
• 第四章 行为分析系统模型与关键技术
• 4.1 事件驱动工作机制
• 4.1.1 事件驱动工作机制实现
• 4.1.2 分层事件驱动机制
• 4.2 数据流连接重组与网络原子事件生成
• 4.2.1 数据流连接重组
• 4.2.2 网络原子事件生成
• 4.3 分析机网络对象建模
• 4.3.1 网络范围管理器对象
• 4.3.2 数据包对象
• 4.3.3 网络连接对象
• 4.3.4 数据包簇对象
• 4.3.5 网络会话对象
• 4.3.6 网络节点对象
• 4.4 上层协议分析
• 4.5 分析机无用数据包过滤
• 4.5.1 连接状态信息包过滤
• 4.5.2 安全协议数据包过滤
• 4.5.3 非内外网交互数据包过滤
• 4.5.4 网络心跳数据包过滤
• 4.6 行为分析规则设定
• 4.6.1 连接控制命令行为分析
• 4.6.2 会话控制命令行为分析
• 4.6.3 反向连接行为分析
• 4.6.4 主机异常信息外发行为分析
• 4.6.5 下载器程序行为分析
• 4.6.6 数据流传送行为分析
• 4.6.7 P2P通信行为分析
• 4.6.8 即时通信软件登陆行为分析
• 4.7 高级事件关联分析
• 4.8 本章小结
• 第五章 基于行为分析的网络通信监控系统实现
• 5.1 系统网络拓扑架构
• 5.2 数据采集子系统
• 5.3 数据预处理子系统
• 5.4 事件驱动机制实现
• 5.5 上层协议分析实现
• 5.6 数据流行为分析实现
• 5.6.1 网络连接管理器功能与实现
• 5.6.2 网段管理器功能与实现
• 5.6.3 包簇管理器功能与实现
• 5.6.4 会话管理器功能与实现
• 5.6.5 节点管理器功能与实现
• 5.6.6 规则管理器功能与实现
• 5.7 系统部署与测试
• 5.7.1 测试环境搭建
• 5.7.2 软件系统安装
• 5.8 功能测试与数据分析
• 5.8.1 单元测试与数据分析
• 5.8.2 集成测试与数据分析
• 5.9 性能测试
• 5.10 实验结果统计与结论
• 第六章 总结与展望
• 6.1 全文总结
• 6.2 未来展望
• 参考文献
• 致谢
• 研究成果及发表的学术论文
• 作者及导师简介
• 附录