一种基于HTTP协议的隐蔽隧道及其检测方法

摘要

隐蔽隧道攻防博弈已有三十多年,现有隐蔽隧道的主要检测方法包括对报文数据与报文结构的检测、基于流量统计的检测和基于机器学习的检测等.随着相关技术的发展,越来越多的隐蔽隧遂通过应用层协议构建.本文首先设计一种基于HTTP协议通信的隐蔽隧道,隧道使用后门程序进行隐蔽通信,并对通信数据进行加密使其具有更高的隐蔽性,实验表明该隧道可以绕过防火墙、360卫士等安全设备.其次,分析该类隧道结构和流量特征并提出一种检测方法,分别对报文结构特征和统计特征提取高区分度的特征.最后,选取机器学习的方法进行检测,实验使用SVM和决策树都可以准确地检测出该类隐蔽隧道,并且具有较低的误报率和漏报率.