网络协议是人们为了方便交流,使得网络内部有差异的成员之间能够彼此通讯,设备之间可以相互理解而制定的一种通信的规范。由于特定的需求,需要对协议的内容进行分析和提取。标准网络协议往往采用特定的格式,找到这些固定的特征可以帮助分析人员分析协议的类型以及格式,从而解析其中的内容。在战场环境下,敌我双方往往都采取了己方所拟定的非标准协议以保障己方的信息安全。为了分析这些专有的协议,基于固定特征的方法可能会因为这些协议的特殊性而失效。为了分析推理这类协议的结构,需要对这类协议的帧格式进行推断,而不同类型的数据帧具有不同的格式。因此在推断帧的格式之前,需要将捕捉到的不同类型的帧分离,找到一种普适的特征表示数据帧中关键字之间的关联关系,并以此作为分离这些数据帧的标准。本文对这几个重点环节进行了深入的分析,具体包括以下几个方面:首先,研究了数据帧中关键字关联关系的表示方法。将未知协议的频繁字段提取出来作为元素,挖掘它们之间的关联关系。针对网络协议的树形结构,提出了一种改进的专门针对类型和格式未知的比特流协议的关联规则挖掘方法。该方法结合了协议帧的位置信息,使得频繁提取的过程更为简洁和准确。该方法相比于传统的基于固定特征的方法,能够有效地适用于专有协议,其应用场景更为灵活;相比于其他使用频繁特征的方法,考虑了协议关键字的位置信息使得之后的聚类过程更准确。针对网络协议的体系结构提出构建了含有协议分层分类信息的关系树,发掘并提取出了频繁字串之间的关联关系,以便更深入地解析。其次,对各层通信协议的内容格式实现了进一步的分析。首先研究未知协议的帧分离方法,使得不同类型的帧分离为不同的簇。使用层次聚类算法,相比其他聚类算法更加适合于协议体系结构,从而获得更好的分离效果;采用杰卡德距离来衡量不同帧之间的相似度,使得帧之间的接近程度可以更加直观地表示,另外该距离度量计算简单而容易实现。采用一种基于字节之间信息熵的接近程度的帧字段的定界方法,它可以进一步解析某一类数据帧的结构,从而可以对未知的网络协议的帧结构进行更深层次的推断。最后,利用在校园网的内网环境中抓取的数据来完成仿真和测试,对提出的针对类型和格式未知的网络协议的关联规则挖掘算法进行验证。通过聚类方法将仿真数据中不同类型的帧进行分离,并进行了验证,还原出了互联网协议的协议体系;同时对某些协议的内容进行解析和推断,本文也检验了字段定界方法并证明了它的可行性。实验表明,本文提出的一系列方法可以对未知的网络协议进行解析,对我方军事情报人员的分析和逆向工作有很大的帮助。