machine-learning - 根据数据包识别应用程序

Question

是否可以通过分析特定应用程序的数据包来识别该应用程序？如果是，数据包的哪些属性可以帮助唯一地识别应用程序？任何帮助将不胜感激。

Answer 1

这个问题的范围非常广泛，如果你想出了一个解决方案，你应该申请专利。您可以根据数据包和协议(protocol)获取应用程序的知识，但规则并非在 100% 的情况下都有效。这些是您需要了解的一些注意事项(不是完整列表，但它们可以给您一个想法):

• 根据 src 或 dst 端口，您可以获得有关两个节点之一中正在运行的应用程序的信息。例如，默认情况下，Web 服务器使用端口 80 或 8080(或使用 HTTPS 的 443)。默认情况下，ssh 使用端口 22。但是，可以将应用程序配置为监听不同的端口。此外，许多不同的应用程序使用 HTTP 通过端口 80、8080、443 进行通信。在后一种情况下，有可能协议(protocol)是 HTTP，但您无法确定它是哪个应用程序。
• 如果通信未加密，您可以通过嗅探数据包有效负载来获取信息。但是，例如，如果通过 SSL 进行通信，则除非实现中间人攻击，否则无法做到这一点。
• 如果您有权访问计算机，则可以使用 netstat 或其他工具根据应用程序正在使用的端口来识别该应用程序。
• 猜测应用程序的其他方式(猜测更多于确定性)是通过分析通信模式。

简而言之，根据网络分析，您可以猜测该应用程序。但是，没有一种方法可以 100% 准确地告诉您。