采用多維特征向量檢測ip id隱信道的方法
【專利摘要】本發(fā)明公開了一種采用多維特征向量檢測IP?ID隱信道的方法，包括以下步驟：（1）特征提取步驟：分別針對正常和異常的訓(xùn)練樣本，連續(xù)捕獲N個IP數(shù)據(jù)包，提取IP頭部ID域信息，獲得相鄰數(shù)據(jù)包ID差值Δid1，Δid2，...，Δidn-1，其中N為檢測窗口尺寸；統(tǒng)計Δid1，Δid2，...，Δidn-1的均值E、標(biāo)準(zhǔn)差D和熵值H，得到三維特征矢量；（2）進(jìn)行SVM分類器訓(xùn)練：采用重復(fù)步驟（1）得到的正常的訓(xùn)練樣本的三維特征矢量集和異常的訓(xùn)練樣本的三維特征矢量集進(jìn)行SVM分類器訓(xùn)練，得到分類檢測模型；（3）根據(jù)訓(xùn)練得到的分類模型，SVM分類器對待檢測信道的特征矢量進(jìn)行分類，得到分類結(jié)果。該方法檢測效率高，采用多維統(tǒng)計特征作為分類依據(jù)，提高了檢測準(zhǔn)確率。
【專利說明】采用多維特征向量檢測IP ID隱信道的方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明屬于信息安全【技術(shù)領(lǐng)域】，具體涉及一種采用多維特征向量檢測IP ID隱信道的方法。
【背景技術(shù)】
[0002]信息隱蔽是一種新的信息安全技術(shù)，近年來得到了迅速的發(fā)展，可廣泛應(yīng)用于數(shù)字信息的版權(quán)保護(hù)、認(rèn)證、機(jī)密信息的隱蔽傳輸?shù)阮I(lǐng)域。信息隱藏技術(shù)是利用載體信息的冗余性，將隱蔽信息嵌入到普通信息之中，通過普通信息的發(fā)送將秘密信息發(fā)送出去。信息隱藏可以穿透訪問控制、防火墻和入侵檢測等網(wǎng)絡(luò)安全設(shè)施，實施不易被察覺的隱藏通信。
[0003]傳統(tǒng)的信息隱藏大多以文本、音頻、圖像作為載體，近年來，基于網(wǎng)絡(luò)協(xié)議的信息隱藏逐漸成為熱點。利用信息隱藏技術(shù)，在TCP/IP協(xié)議中嵌入機(jī)密數(shù)據(jù)，進(jìn)行隱蔽通信的信道稱為隱信道。TCP/IP協(xié)議的各種報文結(jié)構(gòu)通常具有固定格式。這種固定格式在給網(wǎng)際互連帶來方便的同時，也不可避免地引入了冗余。如某些協(xié)議報文中的字段在一般的通信過程中通常不會被利用，但按照TCP/IP協(xié)議的標(biāo)準(zhǔn)它們又不可缺少，這就給隱蔽通信創(chuàng)造了機(jī)會。
[0004]現(xiàn)有的基于TCP/IP協(xié)議的隱信道主要分為存儲型隱信道和時序型隱信道兩種。存儲型隱信道，利用協(xié)議頭部的冗余字段隱藏信息；時序型隱信道，利用數(shù)據(jù)包的時序特征或順序(調(diào)制數(shù)據(jù)包的時間間隔、數(shù)據(jù)包在網(wǎng)絡(luò)中的發(fā)送時間或數(shù)據(jù)包的順序等)，隱藏信息。接下來介紹幾種存儲型隱信道。以Rowland為代表提出了基于TCP/IP頭部域的隱信道(Covert channels in the TCP/IP protocol suite, 1996), C.Abad提出了基于校驗和的隱信道(IP Checksum Covert Channels and Selected Hash Collision, 2001), J.Giffin,R.Greenstadt, P.Litwack, and R.Tibbetts,提出了基于選項域時間戮的隱信道(CovertMessaging Through TCP Timestamps, 2002)。基于 TCP/IP 頭部的存儲型隱信道取得了相當(dāng)?shù)某晒?，如圖1所示為IP數(shù)據(jù)報格式及標(biāo)識(ID)域的位置。
[0005]網(wǎng)絡(luò)隱信道的存在，給國家、單位和個人的信息安全帶來極大的威脅，尤其是網(wǎng)絡(luò)中的病毒有些已經(jīng)開始通過隱信道傳輸，國家、企業(yè)以及個人的信息也開始通過隱信道泄露到對手或網(wǎng)絡(luò)上?，F(xiàn)在網(wǎng)絡(luò)隱信道對網(wǎng)絡(luò)安全的破壞是悄無聲息的，對網(wǎng)絡(luò)信息的安全性和私密性構(gòu)成了極大的威脅。因此，研究網(wǎng)絡(luò)隱信道的檢測技術(shù)勢在必行。
[0006]相對于隱信道的正向研究，其逆向的檢測技術(shù)研究比較少?，F(xiàn)有的隱信道檢測方法大多是針對特定的隱藏算法進(jìn)行分析，其檢測效率低，實用性不強(qiáng)。本發(fā)明因此而來。

【發(fā)明內(nèi)容】

[0007]本發(fā)明的目的在于提供一種采用多維特征向量檢測IP ID隱信道的方法，該方法解決了現(xiàn)有檢測算法檢測效率低、實用性不強(qiáng)等問題，可以實現(xiàn)基于IP協(xié)議隱蔽通信中基于IP ID的隱信道的有效檢測。
[0008]為了解決現(xiàn)有技術(shù)中的這些問題，本發(fā)明提供的技術(shù)方案是:[0009]一種采用多維特征向量檢測IP ID隱信道的方法，其特征在于所述方法采用SVM分類器對三維特征向量(E，D，H)分類學(xué)習(xí)訓(xùn)練，然后檢測出隱信道，具體包括以下步驟:
[0010](I)特征提取:
[0011]i )針對正常的訓(xùn)練樣本，連續(xù)捕獲N個IP數(shù)據(jù)包，提取IP頭部ID域信息，獲得相鄰數(shù)據(jù)包ID差值A(chǔ)id1, Aid2,...，Aidlri，其中N為檢測窗口尺寸；統(tǒng)計Aid1, Aid2,...，Δ Idn^1的均值E、標(biāo)準(zhǔn)差D和熵值H，得到三維特征矢量(E，D，H)，其中:
【權(quán)利要求】
1.一種采用多維特征向量檢測IP ID隱信道的方法，其特征在于所述方法采用SVM分類器對三維特征向量(E，D，H)分類學(xué)習(xí)訓(xùn)練，然后檢測出隱信道，具體包括以下步驟: (1)特征提取: i)針對正常的訓(xùn)練樣本，連續(xù)捕獲N個IP數(shù)據(jù)包，提取IP頭部ID域信息，獲得相鄰數(shù)據(jù)包ID差值A(chǔ)id1, Aid2,...，Aidlri，其中N為檢測窗口尺寸；統(tǒng)計Aid1, Aid2,...，Δ Idn^1的均值E、標(biāo)準(zhǔn)差D和熵值H，得到三維特征矢量(E，D，H)，其中:
2.根據(jù)權(quán)利要求1所述的方法，其特征在于所述方法步驟(1)中連續(xù)捕獲N個IP數(shù)據(jù)包后，去掉包體，獲得包頭中的IP ID值后，將以十六進(jìn)制表示的IP ID值轉(zhuǎn)化為以十進(jìn)制表示的IP ID值，然后計算相鄰數(shù)據(jù)包ID差值。
3.根據(jù)權(quán)利要求1所述的方法，其特征在于所述方法步驟(1)中獲得正常訓(xùn)練樣本的三維特征矢量(E，D，H)，將統(tǒng)計特征三元組信息按照Iibsvm格式要求存儲到文件。
4.根據(jù)權(quán)利要求1所述的方法，其特征在于所述方法步驟(1)中獲得異常訓(xùn)練樣本的三維特征矢量(E’，D’，H’)，將統(tǒng)計特征三元組信息按照Iibsvm格式要求存儲到文件。
5.根據(jù)權(quán)利要求1所述的方法，其特征在于所述方法步驟(2)中SVM分類器進(jìn)行訓(xùn)練前，需要重復(fù)步驟(1)獲取正常訓(xùn)練樣本的三維特征矢量集以及異常訓(xùn)練樣本的三維特征矢量集；然后采用正常訓(xùn)練樣本的三維特征矢量集和異常訓(xùn)練樣本的三維特征矢量集對SVM分類器進(jìn)行訓(xùn)練，獲取分類模型特征庫，從而構(gòu)建分類檢測模型。
【文檔編號】G06K9/62GK103577835SQ201310334587
【公開日】2014年2月12日 申請日期:2013年8月2日 優(yōu)先權(quán)日:2013年8月2日
【發(fā)明者】黃劉生, 沈瑤, 繆海波, 陸瀟榕, 楊威, 陳志立 申請人:中國科學(xué)技術(shù)大學(xué)蘇州研究院