CN104753617B - 基于神经网络的时序型隐信道检测方法 - Google Patents

Abstract

本发明公开了一种基于神经网络的时序型隐信道检测方法，通过数据包之间的时间间隔，由此得出时间间隔序列的三个特征值：变异系数、相似度以及熵值。将变异系数、相似度、熵值和信道类型所组成的四维特征向量作为神经网络的训练样本进行训练。待神经网络收敛后，便可用神经网络进行检测，进而判断通信信道中是否含有隐信道以及所属的类型。

Description

基于神经网络的时序型隐信道检测方法

技术领域

本发明属于信息安全技术领域，主要是利用神经网络对时序型隐信道进行检测。

背景技术

信道隐藏近些年新兴起的一项信息安全技术，它主要是利用网络中正常的通信信道来传递隐秘信息。它的主要特点就是隐蔽性高，能轻而易举通过防火墙、控制访问等网络安全设施，从而给网络信息安全带来了极大的威胁。

信道隐藏根据其实现的方式分为两种，一种是存储型隐信道，另一种是时序型隐信道。其中存储型隐信道主要是利用协议的冗余字段来传输隐秘信息，而时序型隐信道是通过变换网络数据包的发送速率和发送时间来传输隐秘信息。

Handl等人提出了一些具有代表性的时序型隐信道，例如PadiiPsk等人在1978年提出了ON-OFF隐信道（PadliPsky MA，Snow DW,and Karger PA. Limitations of End-to-End EneryPtion in Secure ComPuter Networks. Teeh. ReP. ESD-TR-78-158, MitreCorporation , 1978），即在通信双方约定的时间间隔收到数据包表示“1”，没收到表示“0”。以及Cabuk等人在2004年提出了IPCTC隐信道（CabukS, Brodley C, Shields C . IPCovert timing channels: Design and deteetion. In Proeeedings of the 2004 ACMConference on ComPuter and Communications Security.）,通过控制数据包之间的时间间隔传输隐秘信息（时间间隔大于约定的值表示“1”，小于则表示“0”）。

时序型隐信道通过调制包的发送速率和发送时间来传送信息的方式更具有隐蔽性。相对于日益发展的存储性隐信道，时序型隐信道的研究和应用相对比较少。同时由于网络环境的复杂性和多变性，所以针对时序型隐信道的检测也就比较困难，其对网络信息安全的潜在威胁也相对较大。

现有的时序型隐信道检测方法主要有KS检测算法、基于-相似度的检测算法以及熵检测算法。这些检测算法主要是利用统计学的方法分析异常数据和正常数据的特性差异，并没有分析异常数据固有的特性，所以这些检测方法有其自身的局限性，无法区分检测到的隐信道类型，同时只能对特定的隐信道进行检测，其通用性较差。

发明内容

本发明主要解决的技术问题是提供一种基于神经网络的时序型隐信道检测方法，具有可靠性能高、效率更高、通用性更强等优点，同时够识别所检测到的隐信道类型，在信息安全技术的应用及普及上有着广泛的市场前景。

为解决上述技术问题，本发明采用的一个技术方案是：

提供一种基于神经网络的时序型隐信道检测方法，其步骤包括：

（1）预处理：

使用网络抓包工具获取并记录已知隐信道的产生的时隙数据，由每一种信道获取N份数据，这里N是每一种信道的训练样本的数量;

通过编程提取每一份样本中的时隙数据，并计算变异系数、-相似度以及熵值;

把每一份训练样本所产生的变异系数、-相似度以及熵值以及所属信道类型组成一个四维向量，所有训练样本对应的四维特征向量就是神经网络的训练样本,其中信道类型就是期望输出;

（2）样本训练：

神经网络读取训练样本中的特征向量，不断地根据期望输出和实际输出的误差调整神经元之间的权值和神经元的阀值，最终使得实际输出与期望输出的误差平小于预先设定的误差，达到收敛状态；

（3）隐信道检测：

利用网络抓包工具抓取待检测信道上的数据包，记录数据包到达的时间间隔，分别计算时序数据的变异系数、-相似度以及熵值；

训练好的神经网络程序读取待检测信道所产生的时隙数据对应的三维特征向量，进过神经网络的多层处理得到信道所属的类型。

在本发明一个较佳实施例中，所述预处理的具体步骤包括：

(1.1)提取隐信道样本的N个时隙数据序列，计算时隙数据序列的三个特征值：变异系数、-相似度以及熵值；

①变异系数：记时隙数据序列的均值为，方差记为，其中，，易知标准差，变异系数记为，变异系数定义为标准差与均值的比值，故其表达式为：

①

②-相似度：对时隙数据序列进行排序得到新的时隙数据序列，对于每一个计算它与前一个时序数据的差值，然后除以，即，对于指定ε的值，为满足条件的的个数，则-相似度定义为：

②

③熵值:

③

式中是出现的概率；

(1.2)重复步骤(1.1)次，得到个隐信道样本的特征向量，每个三维特征向量加上个特征值，组成新的四维特征向量，其中代表所属信道类型，即是期望输出，这个四维特征向量就是神经网络的训练样本。

在本发明一个较佳实施例中，所述样本训练的具体步骤包括：

（2.1）设定预定误差的值，并读取训练样本中的特征向量，得到神经网络实际输出，计算实际输出与期望输出之间的误差；

（2.2）判断神经网络实际输出与期望输出的误差是否小于预定误差，如果是则跳到步骤（2.4），否则进行步骤（2.3）;

（2.3）通过期望输出与实际输出的误差，进行反向调节神经元的阀值与神经元之间的权值，然后再次读取特征向量进行训练得到实际输出与期望输出的误差，跳转到步骤（2.2）；

（2.4）当神经网络的期望输出与实际输出小于预定误差时，代表神经网络已经达到收敛状态，训练完成。

在本发明一个较佳实施例中，所述隐信道检测的具体步骤包括：

（3.1）利用网络抓包工具抓取并记录隐信道和正常信道所产生的时隙数据，每条信道有N个时隙数据样本，并设置每个时隙数据样本容量；

（3.2）利用公式①、②、③分别计算每个时隙数据样本的三个特征值：变异系数、-相似度以及熵值，将这三个特征值和样本所属信道类型组成一个四维特征向量并保存在样本记录中，形成了含有N个特征向量的训练样本；

（3.3）神经网络不断读取样本记录中训练样本的时隙数据，根据期望输出与实际输出的误差调整权值和阀值，最终使得实际输出与期望输出的误差平小于预先设定的误差，达到收敛状态；

（3.4）使用网络抓包工具得到待检测信道的时隙数据若干个并将时隙数据记录在抓取记录中，并用公式①、②、③计算其对应的三维特征向量并记录在测试记录中；

（3.5）神经网络程序从测试记录中读取三维特征向量，最后得到信道所属的类型并保存在类型记录中。

在本发明一个较佳实施例中，所述隐信道包括ON-OFF隐信道和IPCTC隐信道。

本发明的有益效果是：本发明提供的时序隐信道检测方法不再局限于信道时隙数据的某一特征，而是参考多个特征进行判断。使得检测方法具有更高的准确率和通用性，同时由于其具有自主学习的能力，所以相对于其他传统的检测算法，它能够适应各种复杂的网络环境。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图，其中：

图1是ON-OFF隐信道、IPCTC隐信道和正常信道三种信道的变异系数对比；

图2是ON-OFF隐信道、IPCTC隐信道和正常信道三种信道的ε-相似度对比；

图3是ON-OFF隐信道、IPCTC隐信道和正常信道三种信道的熵值对比；

图4基于神经网络的时序型隐信道检测方法流程图。

具体实施方式

下面将对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

请参阅图1-4，本发明实施例包括：

一种基于神经网络的时序型隐信道检测方法，其步骤包括：

⑴处理

⑴用网络抓包工具获取并记录已知隐信道产生的时隙数据，由每一种信道获取N份数据，这里N是每一种信道的训练样本的数量。

⑵通过编程提取每一份样本中的时隙数据，并用公式①、②、③分别计算它的三个特征值：变异系数、-相似度以及熵值。

⑶把每一份训练样本所产生的变异系数、-相似度以及熵值以及所属信道类型组成一个四维向量，所有训练样本对应的四维特征向量就是神经网络的训练样本。其中信道类型就是期望输出。

所述预处理的具体步骤包括：

(1.1)提取隐信道样本的N个时隙数据序列，计算时隙数据序列的三个特征值：变异系数、ε-相似度以及熵值；

①变异系数：记时隙数据序列的均值为，方差记为，其中，，易知标准差，变异系数记为，变异系数定义为标准差与均值的比值，故其表达式为：

①

②-相似度：对时隙数据序列进行排序得到新的时隙数据序列，对于每一个计算它与前一个时序数据的差值，然后除以。即，对于指定ε的值，为满足条件的的个数，则-相似度定义为：

②

③熵值:

③

式中是出现的概率；

(1.2)重复步骤(1.1)次，得到个隐信道样本的特征向量，每个三维特征向量加上个特征值，组成新的四维特征向量，其中代表所属信道类型，即是期望输出，这个四维特征向量就是神经网络的训练样本。

㈡样本训练

神经网络读取训练样本中的特征向量，不断地根据期望输出和实际输出的误差调整神经元之间的权值和神经元的阀值，最终使得实际输出与期望输出的误差平小于预先设定的误差（取预先设定的误差值为0.000001），达到收敛状态。

所述样本训练的具体步骤包括：

（2.1）设定预定误差的值，并读取训练样本中的特征向量，得到神经网络实际输出，计算实际输出与期望输出之间的误差；

（2.2）判断神经网络实际输出与期望输出的误差是否小于预定误差，如果是则跳到步骤（2.4），否则进行步骤（2.3）;

（2.3）通过期望输出与实际输出的误差，进行反向调节神经元的阀值与神经元之间的权值，然后再次读取特征向量进行训练得到实际输出与期望输出的误差，跳转到步骤（2.2）；

（2.4）当神经网络的期望输出与实际输出小于预定误差时，代表神经网络已经达到收敛状态，训练完成。

㈢隐信道检测

⑴使用网络抓包工具抓取待检测信道上的数据包个，通过数据包到达的时间戳计算数据包之间的时间间隙并记录在文本文件中。

⑵从文本文件中读取时隙数据,利用公式①、②、③分别计算出待检测时隙数据对应的三个特征值：变异系数、-相似度以及熵值。

⑶训练好的神经网络程序读取待检测信道所产生的时隙数据对应的三维特征向量，进过神经网络的多层处理（输入加权求和、与阀值比较、进行非线性运算），最后得到信道所属的类型。

我们利用隐信道生成程序随机生成ON-OFF隐信道、IPCTC隐信道或正常信道，使用本发明提供的基于神经网络的时序型隐信道检测方法进行检测。并通过虚警率、漏报率以及正确判断信道所属类型概率的辨别率三个指标来查看检测效果。

下面是具体案例的实施过程：

（1）利用WINCAP抓取并记录ON-OFF隐信道、IPCTC隐信道以及正常信道所产生的时序数据。每条信道有N个时隙数据样本。每个时隙数据样本容量为500。

（2）利用公式①、②、③分别计算每个时隙数据样本的三个特征值：变异系数、-相似度以及熵值。将这三个特征值和样本所属信道类型组成一个四维特征向量放在train.txt中，形成了含有3*N个特征向量的训练样本。

（3）神经网络程序不断读取训练样本train.txt中的时隙数据，根据期望输出与实际输出的误差不断调整权值和阀值，最终使得实际输出与期望输出的误差平小于预先设定的误差，达到收敛状态（这里我们预先设定的误差为0.00001）。

（4）使用WINPCAP抓取待检测信道的时隙数据1000个并记录在receiver.txt中，并用公式①、②、③计算其对应的三维特征向量并记录在test.txt中；

（5）神经网络程序从test.txt中读取三维特征向量，最后得到信道所属的类型并放在out.txt中。

在本发明中，我们使用的神经网络算法是BP（Back Propagation）神经网络，一种按误差逆传播算法训练的多层前馈网络。在相对于其他种类的神经网络，BP神经网络有更强的非线性映射能力，理论上它能以任意精度逼近任何非线性连续函数。同时BP网络有较强的容错能力，当部分神经元出错时并部分影响它的训练效果。为了提高神经网络识别的精确性，我们采用非线性函数作为激活函数，因为在逼近高次曲线时，形函数精度比线性函数要高得多。即：

。

表1反应的是训练样本的大小对检测结果的影响，从实验结果可以看出当有足够的训练样本时（前提是训练样本是正确的且具有代表性），对隐信道的检测率会达到97%以上，同时由于其能够进行自主学习，所以对于变化复杂的网络环境也有更强的适应能力，能够保持较好的检测率。

表1 训练样本的大小对检测结果的影响。

本发明基于神经网络的时序型隐信道检测方法的有益效果是：本发明提供的时序隐信道检测方法不再局限于信道时隙数据的某一特征，而是参考多个特征进行判断。使得检测方法具有更高的准确率和通用性，同时由于其具有自主学习的能力，所以相对于其他传统的检测算法，它能够适应各种复杂的网络环境。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书内容所作的等效结构或等效流程变换，或直接或间接运用在其它相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (4)

1.一种基于神经网络的时序型隐信道检测方法，其特征在于，步骤包括：

（1）预处理：

使用网络抓包工具获取并记录已知隐信道产生的时隙数据，由每一种隐信道获取N份训练样本，其中，时隙数据是指数据包到达的时间间隔;

通过编程提取每一份训练样本中的时隙数据，并计算变异系数（C）、-相似度（R）以及熵值（H）;

把每一份训练样本所产生的变异系数（C）、-相似度（R）以及熵值（H）以及所属信道类型组成一个四维向量，所有训练样本对应的四维特征向量就是神经网络的训练样本,其中信道类型就是期望输出;

（2）样本训练：

神经网络读取训练样本中的特征向量，不断地根据期望输出和实际输出的误差调整神经元之间的权值和神经元的阈值，最终使得实际输出与期望输出的误差小于预先设定的误差，达到收敛状态；

（3）隐信道检测：

利用抓包软件抓取待检测信道上的数据包，记录数据包到达的时间间隔，分别计算时隙数据的变异系数（C）、-相似度（R）以及熵值（H）；

训练好的神经网络程序读取待检测信道所产生的时隙数据对应的三维特征向量，经过神经网络的多层处理得到信道所属的类型；

所述预处理的具体步骤包括：

(1.1)提取隐信道训练样本的N个时隙数据序列，计算时隙数据序列的三个特征值：变异系数（C）、-相似度（R）以及熵值（H）；

①变异系数：记时隙数据序列的均值为，方差记为，其中，，易知标准差，变异系数记为，变异系数定义为标准差与均值的比值，故公式的表达式为：

①

其中，n为时隙数据序列的个数，n和i均为正整数；

②-相似度：对时隙数据序列进行排序得到新的时隙数据序列，对于每一个计算它与前一个时序数据的差值，然后除以，即，对于指定ε的值，为满足条件的的个数，则-相似度公式的表达式为：

②

③熵值公式的表达式为:

③

式中,是出现的概率，i=1,2…n；

(1.2)重复步骤(1.1)次，得到个隐信道训练样本的特征向量，每个三维特征向量加上个特征值，组成新的四维特征向量，其中代表所属信道类型，即是期望输出，这个四维特征向量就是神经网络的训练样本。

2.根据权利要求1所述的基于神经网络的时序型隐信道检测方法，其特征在于，所述样本训练的具体步骤包括：

（2.1）设定预定误差的值，并读取训练样本中的特征向量，得到神经网络实际输出，计算实际输出与期望输出之间的误差；

（2.2）判断神经网络实际输出与期望输出的误差是否小于预定误差，如果是则跳到步骤（2.4），否则进行步骤（2.3）;

（2.3）通过期望输出与实际输出的误差，进行反向调节神经元的阈值与神经元之间的权值，然后再次读取特征向量进行训练得到实际输出与期望输出的误差，跳转到步骤（2.2）；

（2.4）当神经网络的期望输出与实际输出小于预定误差时，代表神经网络已经达到收敛状态，训练完成。

3.根据权利要求1所述的基于神经网络的时序型隐信道检测方法，其特征在于，所述隐信道检测的具体步骤包括：

（3.1）利用网络抓包工具抓取并记录隐信道和正常信道所产生的时隙数据，每条信道有N个时隙数据样本，并设置每个时隙数据样本容量；

（3.2）利用公式①、②、③分别计算每个时隙数据样本的三个特征值：变异系数（C）、-相似度（R）以及熵值（H），将这三个特征值和样本所属信道类型组成一个四维特征向量并保存在样本记录中，形成了含有N个特征向量的训练样本；

（3.3）神经网络程序不断读取样本记录中训练样本的时隙数据，根据期望输出与实际输出的误差调整权值和阈值，最终使得实际输出与期望输出的误差小于预先设定的误差，达到收敛状态；

（3.4）使用网络抓包工具抓取待检测信道的时隙数据若干个并将时隙数据记录在抓取记录中，并用公式①、②、③计算其对应的三维特征向量并记录在测试记录中；

（3.5）神经网络程序从测试记录中读取三维特征向量，最后得到信道所属的类型并保存在类型记录中。

4.根据权利要求1所述的基于神经网络的时序型隐信道检测方法，其特征在于，所述隐信道包括ON-OFF隐信道和IPCTC隐信道。