CN105847250B - VoIP流媒体多维度信息隐写实时检测方法 - Google Patents

Abstract

本发明公开了一种VoIP流媒体多维度信息隐写实时检测方法，包括以下步骤：高效捕获和快速识别VoIP流；重现和缓存VoIP流；利用隐写检测算法实现对上述缓存的VoIP流媒体信息隐写的检测。针对VoIP流信息隐写的实时性，动态性显著特点，本专利创新地提出了一种VoIP通信流快速捕获，准确识别的方法，即将包头域匹配规则，包相似性分析和DFI技术相结合，从而高效、完整且准确地捕获VoIP信息流。

Description

VoIP流媒体多维度信息隐写实时检测方法

技术领域

本发明涉及信息安全领域，具体地，涉及一种VoIP流媒体多维度信息隐写实时检测方法。

背景技术

最近几年基于VoIP流媒体的信息隐藏逐渐兴起。其原因是动态的流媒体在作为隐藏载体方面具有其独特的优势，主要表现在：

(1)流媒体为信息隐藏提供了更为庞大的载体空间。流媒体是一种难能可贵的“多通道”载体。除此以外，具有时间上连续性的流媒体可以提供的载体流量也是静态的存储型媒体所无法比拟的。

(2) 流媒体为信息隐藏提供了更为安全的存在环境，其一，流媒体的流量识别仍然是一个非常富有挑战性的研究任务；其二，流媒体的瞬时性使得攻击者在流媒体即时传输的过程中难以有足够的时间来检测隐蔽通信的存在；其三，载密流媒体样本不易为攻击者所获取，从而最大程度上避免了遭受“离线攻击”的可能，为隐蔽通信提供了更为安全的保护。

因此开展流媒体隐写检测相关理论和方法的研究亦成为热点，但是这些成功的检测方法针对的大多是图像或音频等存储型多媒体文件为载体。与图像这类仅通过对像素点进行机密信息嵌入的静态载体不同，流媒体作为信息隐藏载体时可在多个分属不同范畴的信息空间进行机密信息的嵌入。特别是由于流媒体存在的即时性和交互的实时性，已有的基于存储型媒体的隐写检测理论及方法不能直接应用于流媒体，因此流媒体在线隐写检测方法的研究是信息安全领域亟待解决的问题之一；进一步分析可知，由于VoIP流媒体的信息隐藏具有多维度特点，基于单一特定方法的隐写检测模型无法应对其多维度隐藏。

发明内容

本发明的目的在于，针对上述问题，提出一种VoIP流媒体多维度信息隐写实时检测方法，以实现高效、完整且准确地捕获VoIP信息流的优点。

为实现上述目的，本发明采用的技术方案是：

一种VoIP流媒体多维度信息隐写实时检测方法，包括以下步骤：

S1：高效捕获和快速识别VoIP流；

S2：重现和缓存VoIP流；

S3：利用隐写检测算法实现对上述缓存的VoIP流媒体信息隐写的检测。

优选的，所述S1高效捕获和快速识别VoIP流具体包括：

S101：利用网络探针获取VoIP流，在底层对数据包进行硬件过滤与分类，即在内核中植入NPF(Netgroup Packet Filter)与底层网卡驱动NDIS直接交互，捕获VoIP流；

S102：从捕获的VoIP流中获取UDP数据包，按照UDP和RTP协议规则匹配，过滤掉不符合协议规则的数据包，初步识别出UDP数据包内的RTP包；

S103：采用包相似性分析规则进一步确认RTP包；

S104：利用DFI（Deep Flow Inspection）技术的流量识别方法，准确的判别VoIP流。

优选的，S101中利用网络探针获取VoIP流具体为：

将网络接口适配器配置为混杂模式，将接收的数据过滤后传送到应用层分析处理，首先开启所要监听的网络接口适配器，其后检测链路状态并获取子网掩码，将过滤器配置为“ip and udp”，并植入NPF，NPF读取网络包执行过滤，滤掉占网络流量很大部分的TCP长流和广播包，后将UDP 包从内核缓冲区传送到用户层缓冲区，用户层通过回调函数通知应用层UDP包到达，并由用户层对UDP包进行进一步处理。

优选的，所述S2中重现和缓存VoIP流包括：

S201：将经过确认的RTP流按五元组建立哈希索引，即为每个VoIP流分配一个流ID，并将分配的流ID放入流重组阵列(Flow Reconstruction Array)中，从而为每个VoIP流单独分配一段缓冲区域；

S202:设计长度为300个RTP包的滑动窗口，将缓冲区域内充满窗口的VoIP流送往隐写检测模块进行分析。

优选的，所述S3利用隐写检测算法实现对上述缓存的VoIP流媒体信息隐写的检测具体包括，

对低速率语音编码中的QIM隐写，采用基于码字分布不均衡性和相关性隐码特性的融合特征方法进行检测；

对高速率PCM语音编码中的LSB隐写，采用RS和直方图频域矩特征的融合方法进行检测；

对RTP 协议存储型隐写，采用序列统计联合矩方法进行检测；

对RTCP游程协作隐写，通过统计两个RTCP包间RTP包的数目来描述RTCP的游程特征进行检测。

优选的，该方法的隐写检测对象包括，G.729 语音流、G.723.1 语音流、G.711 语音流、以及RTP/ RTCP时戳序列。

本发明的技术方案具有以下有益效果：

一、针对VoIP流信息隐写的实时性，动态性显著特点，本专利创新地提出了一种VoIP 通信流快速捕获，准确识别的方法，即将包头域匹配规则，包相似性分析和DFI技术相结合，从而高效、完整且准确地捕获VoIP信息流。

二、对VoIP流信息按五元组(源IP地址、目的IP地址、源端口、目的端口和协议)建立静态哈希表进行高效管理，对缓存的VoIP流采用滑动窗口机制实时检测。

三、重点针对VoIP流的多维载体空间隐写特征，将最新的隐写检测方法在不同维度集成在一起，即：对低速率语音编码中的QIM 隐写检测算法；高速率PCM语音编码中的低潜入率LSB隐写算法；RTP 协议存储型隐写算法；RTCP游程协作隐写检测算法，这些算法均采用融合特征或同一维度采用不同检测算法达到快速准确检测。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

图1为网络流量捕获流程流程图；

图2为VoIP 通信流快速识别重构缓存流流程图；

图3为隐写检测方法集成结构框图。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

本技术方案的隐写检测对象包括，G.729 语音流、G.723.1 语音流、G.711 语音流、以及RTP/ RTCP时戳序列。

一种VoIP流媒体多维度信息隐写实时检测方法，包括以下步骤：

S1：高效捕获和快速识别VoIP流；

S2：重现和缓存VoIP流；

S3：利用隐写检测算法实现对上述缓存的VoIP流媒体信息隐写的检测。

其中，S1高效捕获和快速识别VoIP流具体包括：

S101：利用网络探针获取VoIP流，在底层对数据包进行硬件过滤与分类，即在内核中植入NPF与底层网卡驱动NDIS直接交互，捕获VoIP流；

S102：从捕获的VoIP流中获取UDP数据包，按照UDP和RTP协议规则匹配，因为VoIP是通过流媒体实时通信协议（RTP协议）传输数据和信息,RTP工作于UDP（User DatagramProtocol)之上，VoIP 流媒体的主要载荷在UDP 包中，过滤掉不符合协议规则的数据包，初步识别出UDP数据包内RTP包；

S103：采用包相似性分析规则进一步确认RTP包流量；

S104：利用DFI技术的流量识别方法，准确的判别VoIP流。

S101中利用网络探针获取VoIP流具体为：

将网络接口适配器配置为混杂模式，将接收的数据过滤后传送到应用层分析处理，首先开启所要监听的网络接口适配器，其后检测链路状态并获取子网掩码，将过滤器配置为“ip and udp”，并植入NPF，NPF读取网络包执行过滤，滤掉占网络流量很大部分的TCP长流和广播包，后将UDP 包从内核缓冲区传送到用户层缓冲区，用户层通过回调函数通知应用层UDP包到达，并由用户层对UDP包进行进一步处理。

S2中重现和缓存VoIP流包括：

S201：将经过确认的RTP流按五元组建立哈希索引，即为每个VoIP流分配一个流ID，并将分配的流ID放入流重组阵列中，从而为每个VoIP流单独分配一段缓冲区域；

S202:设计长度为300个RTP包的滑动窗口，将缓冲区域内充满窗口的VoIP流送往隐写检测模块进行分析。

S3利用隐写检测算法实现对上述缓存的VoIP流媒体信息隐写的检测具体包括，

对低速率语音编码中的QIM隐写，采用基于码字分布不均衡性和相关性隐码特性的融合特征方法进行检测；

对高速率PCM语音编码中的LSB隐写，采用RS和直方图频域矩特征的融合方法进行检测；

对RTP 协议存储型隐写，采用序列统计联合矩方法进行检测；

对RTCP游程协作隐写，通过统计两个RTCP包间RTP包的数目来描述RTCP的游程特征进行检测。

图1为网络中RTP包网络流量快速捕获流程图。具体步骤如下：

对VoIP通信流进行快速流量捕获，即采用网络探针捕获网络中与VoIP通信流相关的UDP包并进一步分析。

网络探针方法将网络接口适配器（即网卡）配置为混杂模式（Promiscuous），将数据过滤后传送到应用层分析处理。首先开启所要监听的网络适配器，其后检测链路状态并获取子网掩码，将过滤器配置为“ip and udp”，并植入NPF，NPF读取网络包执行过滤，滤掉占网络流量很大部分的TCP 长流和广播包，后将UDP 包从内核缓冲区传送到用户层缓冲区，用户层通过回调函数通知应用层包到达并由其进行进一步处理。可见不再依赖用户层进行包过滤，以快速捕获UDP包。

图2为VoIP 通信流快速识别重构缓存流程图。具体如下：

将捕获的UDP流，按照UDP和RTP协议规则解析，从中过滤掉不符合协议规则的数据包，初步识别出RTP包流量。

主要的协议规则匹配依据如下所示。

①UDP端口号。UDP端口号用于指明用于双向通信的端口，通常的UDP端口都是偶数端口，其加1的奇数端口通常用于其配套使用的RTCP协议端口。

②UDP包的长度域。是负载数据加上UDP包头域的总长度。UDP包头长度为8字节，RTP固定包长度为12字节，RTP包的贡献源标识符(Contributing Source Identifiers,CSRC)长度为4字节。因此，UDP包长度域值必须大于CC*4+12+8。

③RTP包的Version域。此域用于指明当前RTP协议的版本，此域值应当为2。

采用包相似性分析规则，即通过对连续多个包的观察，依据多个包的相似性进一步确认RTP包，设置为5个连续数据包，如果都满足所述的匹配和检测，可以判定其为VoIP流。

包相似性分析规则具体是：将通过匹配判断的流按五元组(源IP地址、目的IP地址、源端口、目的端口和协议)进行建立哈希索引，并缓存起来，已确认后续多个包属于同一个VoIP 流。

①PT域。载荷类型域(Payload Type)用于指明当前通信的压缩语音编码格式。对于VoIP流，PT域必须是一个定值。

②SSRC域。同步源标识符(Synchronization Source Identifier, SSRC)域用于标识此RTP流的来源。每个RTP流都有一个唯一的SSRC，是一个定值。

③序列号和时间戳域。在RTP包中，序列号(Sequence Number)被用于标识语音帧的发送顺序。时间戳(Timestamp)用于写入当前包的发送时间。

④游程长度。试验后设置为5个连续数据包，如果都满足之前的匹配和游程检测，可以判定其为VoIP流。

利用DFI技术的流量识别方法，更准确的判别VoIP流。

①建立的会话个数：

VoIP一次会话对应一个连接。

②上下行流量特征：

VoIP的上下行流量差异不大,而其他流上下行流量分配差距很大。

③包时间间隔特征：

由于网络电话要求实时性较高,其包的间隔相对其他网络应用的间隔相对要小,有着较为明显的分布特征。

如当某个流被判定为VoIP 流，按五元组(源IP地址、目的IP地址、源端口、目的端口和协议)进行建立哈希索引，即分配一个流ID，放入基于生成的静态哈希表，以流ID对应其哈希表的键值，为每一个流建立一个唯一的表项。每个表项含有流标识、下一表项指针、状态、数据包计数、流队列指针和活动时间。流标识利用五元组用于指明一个唯一的流。下一表项指针指向同一键值的下一个流的表项。每一个流分配一组队列缓存和数据包计数。活动时间用于标识该流最后一个数据包到达的时间，若某个流某个timeout时间后没有新数据到达，便可认为该流已经终止，从而释放该表项。为每个流单独分配的缓冲区域，设计长度为300个包的滑动窗口，充满窗口的流被送往隐写检测模块进行分析。

图3为隐写检测方法集成图。

图3为多维载体空间的检测模型设计，将单一算法融合成为一套多算法多载体空间的联合检测模型。其主要特点有以下几点：

①模块化：

本模型设计将复杂的独立的隐写分析算法，分解成为载体子空间划分、特征提取、融合判别等各个子模块，明确了模块的功能和接口，使大多数模块相互重复利用，节省了运算时间，满足了检测的实时性。

②并发性：

利用多线程或分布式任务分发，各子模块可以并发运作，大大能提高数据的处理能力。例如各子空间可以并行独立的处理数据、各特征可以并发提取、多载体同时处理等等。

③可扩展性：

模块化定义和并发式设计很容易加入新模块。新的隐写算法的部署只需简便地抽象出算法对应的载体子空间、归纳出其特征提取器和判决器，因而，该模型为VoIP的多维度隐写检测开启了新的里程碑，为多维度检测系统的开发奠定了理论基础。

最后应说明的是：以上所述仅为本发明的优选实施例而已，并不用于限制本发明，尽管参照前述实施例对本发明进行了详细的说明，对于本领域的技术人员来说，其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (3)

1.一种VoIP流媒体多维度信息隐写实时检测方法，其特征在于，包括以下步骤：

S1：高效捕获和快速识别VoIP流；

所述S1高效捕获和快速识别VoIP流具体包括：

S101：利用网络探针获取VoIP流，在底层对数据包进行硬件过滤与分类，即在内核中植入NPF与底层网卡驱动NDIS直接交互，捕获VoIP流；

S102：从VoIP流捕获中获取UDP数据包，然后按照UDP和RTP协议规则匹配，过滤掉不符合协议规则的数据包，初步识别出UDP数据包中的RTP包；

S103：采用包相似性分析规则进一步确认RTP包；

S104：利用DFI技术的流量识别方法，准确的判别VoIP流；

S2：重现和缓存VoIP流；

所述S2中重现和缓存VoIP流包括：

S201：将经过确认的RTP流按五元组建立哈希索引，即为每个VoIP流分配一个流ID，并将分配的流ID放入流重组阵列中，从而为每个VoIP流单独分配一段缓冲区域；

S202:设计长度为300个RTP包的滑动窗口，将缓冲区域内充满窗口的VoIP流送往隐写检测模块进行分析；

S3：利用隐写检测算法实现对上述缓存的VoIP流媒体信息隐写的检测；

所述S3利用隐写检测算法实现对上述缓存的VoIP流媒体信息隐写的检测具体包括，

对低速率语音编码中的QIM隐写，采用基于码字分布不均衡性和相关性隐码特性的融合特征方法进行检测；

对高速率PCM语音编码中的LSB隐写，采用RS和直方图频域矩特征的融合方法进行检测；

对RTP协议存储型隐写，采用序列统计联合矩方法进行检测；

对RTCP游程协作隐写，通过统计两个RTCP包间RTP包的数目来描述RTCP的游程特征进行检测。

2.根据权利要求1所述的VoIP流媒体多维度信息隐写实时检测方法，其特征在于，S101中利用网络探针获取VoIP流具体为：

将网络接口适配器配置为混杂模式，将接收的数据过滤后传送到应用层分析处理，首先开启所要监听的网络接口适配器，其后检测链路状态并获取子网掩码，将过滤器配置为“ip and udp”，并植入NPF，NPF读取网络包执行过滤，滤掉占网络流量很大部分的TCP长流和广播包，后将UDP包从内核缓冲区传送到用户层缓冲区，用户层通过回调函数通知应用层UDP包到达，并由用户层对UDP包进行进一步处理。

3.根据权利要求1或2所述的VoIP流媒体多维度信息隐写实时检测方法，其特征在于，该方法的隐写检测对象包括，G.729语音流、G.723.1语音流、G.711语音流、以及RTP/RTCP时戳序列。