CN112804232B - 一种基于喷泉码网络信标的追踪溯源方法与装置 - Google Patents

Abstract

本发明公开了一种基于喷泉码网络信标的追踪溯源方法与装置，属于计算机网络安全技术领域。所述方法包括：将原始网络信标进行喷泉码编码，对企业网、电信网、省网、国际网等目标网络关口的网络数据流进行喷泉码编码网络信标植入；检测网络关口数据流，从中获取编码网络信标；对编码网络信标进行喷泉码译码，获取译码后网络信标，对比译码后网络信标与原始网络信标，获取流关联信息，并据此进行攻击路径追踪还原。本发明通过对原始网络信标进行喷泉码编码，解决现有技术中由于网络环境会影响网络信标的传输可靠性和检测识别准确率而导致的网络信标流量追踪溯源可靠性低的问题。

Description

一种基于喷泉码网络信标的追踪溯源方法与装置

技术领域

本发明涉及属于计算机网络安全技术领域，特别是涉及一种基于喷泉码网络信标的追踪溯源方法与装置。

背景技术

随着社会的进步和互联网的发展和应用，信息安全受到了越来越高的重视。传统的网络安全防护措施不能有效保护信息内容，网络攻击者对企业网、电信网、省网、国际网以及网络基础设施造成了严重威胁，攻击者能够轻易通过IP报文等方式获取源地址、目的地址和用户身份等信息*如何从网络数据流中发现攻击者的源地址、目的地址等基本信息，其本质是研究流量追踪溯源技术。目前常用的流量追踪溯源方法是以网络信标为主节点进行溯源，在企业网、电信网、省网、国际网等目标网络关口植入网络信标，若在信标检测端检测到对应的网络信标，则可以根据网络信标检测结果还原攻击路径。结合综合情报分析、蜜罐仿真诱捕，对攻击主体进行溯源定性，实现对攻击者的追踪和定位，并对溯源结果进行态势感知及展示。

但本申请发明人在实现本申请实施例中发明技术方案的过程中在实现本发明过程中，发现上述技术至少存在如下技术问题：

1、单独的基于网络信标的流量追踪溯源技术，网络信标传输的可靠性会随着网络攻击、垃圾包的添加而降低，无法进行有效追踪。

2、单独的基于网络信标的流量追踪溯源技术，网络信标的检测只验证网络信标的存在性，无法对信标传输过程中产生的错误进行纠错。

3、现有的用于网络信标的编码技术，其编译码性能会随着网络环境的变化受到较大限制，网络信标检测识别的准确率会随着网络环境的变化而不断变化。

发明内容

有鉴于此，本发明提供的一种基于喷泉码网络信标的追踪溯源方法与装置，本发明通过对原始网络信标进行喷泉码编码，主要目的在于解决现有技术中由于网络环境会影响网络信标的传输可靠性和检测识别准确率而导致的网络信标流量追踪溯源可靠性低的问题。

根据本发明一个方面，提供了一种基于喷泉码网络信标的追踪溯源方法，该方法包括步骤：

S1网络信标编码，将原始网络信标进行喷泉码编码，获得编码网络信标；所述喷泉码编码方式为LT码编码或Raptor码编码；

S2网络信标植入，将所述编码网络信标植入目标网络关口；

S3网络信标译码，检测所述目标网络关口数据流，从中获取所述编码网络信标；对所述编码网络信标进行喷泉码译码，当所述喷泉码编码方式为LT码编码时所述喷泉码译码方式为LT码译码，当所述喷泉码编码方式为Raptor码编码时所述喷泉码译码方式为Raptor码译码；获取译码后网络信标；

S4数据比对，对比所述译码后网络信标与所述原始网络信标，获取流关联信息；根据所述流关联信息进行攻击路径追踪还原。

作为本发明的进一步改进，所述Raptor码编码步骤包括：

S121选取纠错编码方式对所述原始网络信标进行编码，获得预编码网络信标；所述纠错编码方式为LDPC码或汉明码；

S122对所述预编码网络信标进行所述LT编码，获得所述编码网络信标。

作为本发明的进一步改进，所述LT码译码步骤包括：

S311从所述编码网络信标中选取第一数据包，所述第一数据包编码时隙对应的度d为1，恢复出所述第一数据包对应的第一译码数据包；

S312将所述第一译码数据包与所述编码网络信标中所有与所述第一数据包相关联的数据包进行异或运算；

S313重复步骤S311与步骤S312，直至完成所述编码网络信标中所有编码时隙的数据包，获取所述译码后网络信标。

作为本发明的进一步改进，所述Raptor码译码步骤包括：

S321将所述编码网络信标进行所述LT码译码，获取预译码信标；

S322根据所述纠错编码方式，对所述预译码信标进行纠错译码，获取译码后网络信标；其中当所述纠错编码方式为LDPC码时，所述纠错译码方式为LDPC纠错译码；当所述纠错编码方式为汉明码时，所述纠错译码方式为汉明纠错译码。

根据本发明另一个方面，提供了一种基于喷泉码网络信标的追踪溯源装置，该装置包括：

网络信标编码模块：将原始网络信标进行喷泉码编码，获得编码网络信标；所述喷泉码编码方式为LT码编码或Raptor码编码；

网络信标植入模块：将所述编码网络信标植入目标网络关口；

网络信标译码模块：检测所述目标网络关口数据流，从中获取所述编码网络信标；对所述编码网络信标进行喷泉码译码，当所述喷泉码编码方式为LT码编码时所述喷泉码译码方式为LT码译码，当所述喷泉码编码方式为Raptor码编码时所述喷泉码译码方式为Raptor码译码；获取译码后网络信标；

数据比对模块：对比所述译码后网络信标与所述原始网络信标，获取流关联信息；根据所述流关联信息进行攻击路径追踪还原。

作为本发明的进一步改进，所述Raptor码编码包括：

预编码：选取纠错编码方式对所述原始网络信标进行编码，获得预编码网络信标；所述纠错编码方式为LDPC码或汉明码；

再编码：对所述预编码网络信标进行所述LT编码，获得所述编码网络信标。

籍由上述技术方案，本发明提供的有益效果如下：

(1)对企业网、电信网、省网、国际网等目标网络关口的网络数据流进行网络信标植入，可以改进现有的基于威胁情报追踪溯源技术存在不能覆盖完整攻击链路、对未知攻击技术手段难以感知等问题，提高追踪溯源效果。

(2)通过对植入网关的网络信标进行喷泉码编码，利用喷泉码无码速率、良好的纠错性能、编译码性能受环境变化影响较小等特点，可以提高网络信标传输的可靠性。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了本发明实施例提供的一种基于喷泉码网络信标的追踪溯源方法的总体流程图；

图2示出了本发明实施例提供的一种基于喷泉码网络信标的追踪溯源方法的LT编码流程图；

图3示出了本发明实施例提供的一种基于喷泉码网络信标的追踪溯源方法的Raptor编码流程图；

图4示出了本发明实施例提供的一种基于喷泉码网络信标的追踪溯源方法的LT译码流程图；

图5示出了本发明实施例提供的一种基于喷泉码网络信标的追踪溯源方法的Raptor译码流程图；

图6示出了本发明实施例提供的一种基于喷泉码网络信标的追踪溯源装置的示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

可以理解的是，本发明的说明书和权利要求书及附图中的方法与装置中的相关特征可以相互参考。另外，本发明的说明书和权利要求书及附图中的“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。

首先，在对本发明实施例进行描述的过程中出现的部分名词或者术语适用于如下解释：

网络信标：网络信标技术通过为数据流添加特殊标记来追踪网络流，是一种主动的流量分析方法。和传统方法相比，具有追踪时间短、数据分析量少、计算和通信成本低等特点，可有效地追踪网络攻击的来源。

喷泉码：喷泉码是一类抹除码，也称为无码率抹除码。这种编码的发送端随机编码，由k个原始分组生成任意数量的编码分组，源节点在不知道这些数据包是否被成功接收的情况下，持续发送数据包。而接收端只要收到k(1+ε)个编码分组的任意子集(ε＞0)，就可通过译码以高概率成功地恢复全部原始分组。

LT码：LT码是第一种实际实现的喷泉码。LT码独特的码率无关性，特别适合无线通信中的广播、多播业务。

Raptor码：Raptor码提出采用两步编码的方式。首先对原始信息用一个分组码进行预编码，然后采用一个弱化的LT码对数据进行编码并发送。所谓弱化的LT码是指它生成的编码包没有高连接度包，无法完全译出原始数据。Raptor码译码时，首先用BP算法对数据进行正常译码。由于弱化LT码能以很高的概率恢复出绝大多数的数据包，因此剩下未被译码的数据包所占的比例就被控制在一个很小的范围以内，这些未被译码的数据不再通过高连接度的编码包来保证覆盖和恢复，而是利用预编码的纠错能力进行恢复。通过联合优化弱化LT码和预编码的码率和参数，Raptor可以获得更低的编译码复杂度，而在相同译码开销下能实现更高的译码成功率。

本发明要解决的核心技术问题为，现有技术中由于网络环境会影响网络信标的传输可靠性和检测识别准确率而导致的网络信标流量追踪溯源可靠性低的问题。

针对上述技术问题，本发明提出一种用于追踪溯源的喷泉码网络信标生成方法与装置，通过对植入网关的网络信标进行喷泉码编码，利用喷泉码无码速率、良好的纠错性能、编译码性能受环境变化影响较小等特点，可以提高网络信标传输的可靠性和检测识别准确率。

实施例1

请参考图1，其示出了本发明实施例提供的一种基于喷泉码网络信标的追踪溯源方法的总体流程图。

如图1所示，本发明实施例方法主要包括以下步骤：

S1网络信标编码，将原始网络信标进行喷泉码编码，获得编码网络信标；所述喷泉码编码方式为LT码编码或Raptor码编码。

首先将待发送的原始网络信标由喷泉码编码器进行编码，喷泉码编码器根据实际情况和需求，分为LT码编码、Raptor码编码两种方式。

一：选用LT码的编码

图2示出了本发明实施例提供的一种基于喷泉码网络信标的追踪溯源方法的LT编码流程图；如图2所示，LT编码主要包括以下步骤：

S111选取合适的度分布函数，随机得到每个编码时隙对应的度d，其中d为正整数；本实施例中使用一种常用的良好度分布函数：鲁棒孤波分布；在本发明的实施过程中也可以根据需要采用其他合适的度分布函数。鲁棒孤波分布函数表达式为：

d＝1，2，...，k；d为随机正整数，表示原始网络信标每个编码时隙对应的度值；

其中，

S112根据每个编码时隙对应的度d，从待发送的网络信标数据包中随机选取d个不重复的数据包；

S113将选出的d个数据包进行异或运算，得到该时隙对应的编码信标；

S114重复步骤S112与S113，直至完成对所有网络信标的编码。

二：选用Raptor码的编码

图3示出了本发明实施例提供的一种基于喷泉码网络信标的追踪溯源方法的Raptor编码流程图；如图3所示，Raptor编码主要包括以下步骤：

S211选取传统的纠错编码方式如LDPC码、汉明码等对原始网络信标进行编码，获得预编码信标；

S212将预编码的信标进行LT编码，得到Raptor编码后的网络信标。

S2网络信标植入，将所述编码网络信标植入目标网络关口；

得到的编码后网络信标采用基于多层协议植入或采用现有的网络信标植入技术植入企业网、电信网、省网、国际网等目标网络关口。基于多层协议的网络信标植入方式主要在网络层、传输层、应用层选择合适的字段进行网络信标植入。采用现有的网络信标植入技术，其方式包括基于流速率特征、基于流内分组间隔特征及基于流时间时隙分割特征植入。植入信标后的网络数据流在网络中进行传输。

S3网络信标译码，检测所述目标网络关口数据流，从中获取所述编码网络信标；对所述编码网络信标进行喷泉码译码，当喷泉码编码方式为LT码编码时喷泉码译码方式为LT码译码，当喷泉码编码方式为Raptor码编码时喷泉码译码方式为Raptor码译码；获取译码后信标；

网络信标检测依托网络关口或路由节点的部署，探测关口流量中是否出现植入的具有指定特征的网络信标。网络信标检测方式应与所选取的植入方式对应，选择基于多层协议的网络信标检测方式或基于网络信标的检测方式得到编码后的网络信标。随后将得到的编码后的网络信标送入喷泉码译码器进行译码，恢复出原始的网络信标。喷泉码译码器根据选择的喷泉码类型不同，分为LT码译码、Raptor码译码两种方式。

一：选用LT码的译码

图4示出了本发明实施例提供的一种基于喷泉码网络信标的追踪溯源方法的LT译码流程图；如图4所示，LT译码主要包括以下步骤：

S311选取一个度d＝1的数据包，恢复出该数据包对应的原始数据包；

S312将恢复出的该数据包与所有与其相关联的编码数据包进行异或运算，并删除与该数据包的关联信息；

S313不断重复步骤S311与步骤S312，直至所有原始网络信标信息恢复。

二：选用Raptor码的译码

图5示出了本发明实施例提供的一种基于喷泉码网络信标的追踪溯源方法的Raptor译码流程图；如图5所示，Raptor译码主要包括以下步骤：

S321将接收到的编码后的网络信标进行LT码译码；

S322根据选取的传统纠错编码方式，将经过LT译码后的网络信标进行对应的纠错译码，得到经过Raptor码译码后的原始网络信标。

S4数据比对，对比所述译码后信标与所述原始信标，获取流关联信息；根据所述流关联信息进行攻击路径追踪还原。

通过对比恢复出的网络信标与发送的原始网络信标的相关性，判断该数据流中是否存在流关联信息，若在信标检测端检测到对应的网络信标，则可根据网络信标检测结果还原攻击路径，通过综合情报分析、蜜罐仿真诱捕、攻击主体溯源定性，并对溯源结果进行态势感知及展示。

实施例2

进一步的，作为对上述实施例所示方法的实现，本发明另一实施例还提供了一种基于喷泉码网络信标的追踪溯源装置。该装置实施例与前述方法实施例对应，为便于阅读，本装置实施例不再对前述方法实施例中的细节内容进行逐一赘述，但应当明确，本实施例中的装置能够对应实现前述方法实施例中的全部内容。图6示出了本发明实施例提供的一种基于喷泉码网络信标的追踪溯源装置的示意图。如图6所示，在该实施例的装置中，具有以下模块：

1、网络信标编码模块：将原始网络信标进行喷泉码编码，获得编码网络信标；所述喷泉码编码方式为LT码编码或Raptor码编码；

网络信标编码模块对应于实施例1中的S1网络信标编码步骤。

首先将待发送的原始网络信标由喷泉码编码器进行编码，喷泉码编码器根据实际情况和需求，分为LT码编码、Raptor码编码两种方式。

一：选用LT码的编码

选取度分布函数：选取合适的度分布函数，随机得到每个编码时隙对应的度d，其中d为正整数；常用的良好度分布为鲁棒孤波分布，鲁棒孤波分布函数表达式为：

d＝1，2，...，k；d为随机正整数，表示原始网络信标每个编码时隙对应的度值；

其中，

LT码编码：根据每个编码时隙对应的度d，从待发送的网络信标数据包中随机选取d个不重复的数据包；将选出的d个数据包进行异或运算，得到该时隙对应的编码信标；重复上述步骤，直至完成对所有网络信标的编码。

二：选用Raptor码的编码

预编码：选取传统的纠错编码方式如LDPC码、汉明码等对原始网络信标进行编码，获得预编码信标；

再编码：将预编码的信标进行LT编码，得到Raptor编码后的网络信标。

2、网络信标植入模块：将所述编码网络信标植入目标网络关口；网络信标植入模块对应于实施例1中的S2网络信标植入步骤。

3、网络信标译码模块：检测所述目标网络关口数据流，从中获取所述编码网络信标；对所述编码网络信标进行喷泉码译码，当所述喷泉码编码方式为LT码编码时所述喷泉码译码方式为LT码译码，当所述喷泉码编码方式为Raptor码编码时所述喷泉码译码方式为Raptor码译码；获取译码后网络信标；网络信标译码模块对应于实施例1中的S3网络信标译码步骤。

4、数据比对模块：对比所述译码后网络信标与所述原始网络信标，获取流关联信息；根据所述流关联信息进行攻击路径追踪还原；数据比对模块对应于实施例1中的S4数据比对步骤。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本发明并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

Claims (6)

1.一种基于喷泉码网络信标的追踪溯源方法，其特征在于，包括：

S1网络信标编码，将原始网络信标进行喷泉码编码，获得编码网络信标；所述喷泉码编码方式为LT码编码或Raptor码编码；

S2网络信标植入，将所述编码网络信标植入目标网络关口；

S3网络信标译码，检测所述目标网络关口数据流，从中获取所述编码网络信标；对所述编码网络信标进行喷泉码译码，当所述喷泉码编码方式为LT码编码时所述喷泉码译码方式为LT码译码，当所述喷泉码编码方式为Raptor码编码时所述喷泉码译码方式为Raptor码译码；获取译码后网络信标；

S4数据比对，对比所述译码后网络信标与所述原始网络信标，获取流关联信息；根据所述流关联信息进行攻击路径追踪还原。

2.如权利要求1所述的一种基于喷泉码网络信标的追踪溯源方法，其特征在于，所述Raptor码编码步骤包括：

S121选取纠错编码方式对所述原始网络信标进行编码，获得预编码网络信标；所述纠错编码方式为LDPC码或汉明码；

S122对所述预编码网络信标进行所述LT编码，获得所述编码网络信标。

3.如权利要求2所述的一种基于喷泉码网络信标的追踪溯源方法，其特征在于，所述LT码译码步骤包括：

S311从所述编码网络信标中选取第一数据包，所述第一数据包编码时隙对应的度d为1，恢复出所述第一数据包对应的第一译码数据包；

S312将所述第一译码数据包与所述编码网络信标中所有与所述第一数据包相关联的数据包进行异或运算；

S313重复步骤S311与步骤S312，直至完成所述编码网络信标中所有编码时隙的数据包，获取所述译码后网络信标。

4.如权利要求3所述的一种基于喷泉码网络信标的追踪溯源方法，其特征在于，所述Raptor码译码步骤包括：

S321将所述编码网络信标进行所述LT码译码，获取预译码信标；

S322根据所述纠错编码方式，对所述预译码信标进行纠错译码，获取译码后网络信标；其中当所述纠错编码方式为LDPC码时，所述纠错译码方式为LDPC纠错译码；当所述纠错编码方式为汉明码时，所述纠错译码方式为汉明纠错译码。

5.一种基于喷泉码网络信标的追踪溯源装置，其特征在于，包括：

网络信标编码模块：将原始网络信标进行喷泉码编码，获得编码网络信标；所述喷泉码编码方式为LT码编码或Raptor码编码；

网络信标植入模块：将所述编码网络信标植入目标网络关口；

网络信标译码模块：检测所述目标网络关口数据流，从中获取所述编码网络信标；对所述编码网络信标进行喷泉码译码，当所述喷泉码编码方式为LT码编码时所述喷泉码译码方式为LT码译码，当所述喷泉码编码方式为Raptor码编码时所述喷泉码译码方式为Raptor码译码；获取译码后网络信标；

数据比对模块：对比所述译码后网络信标与所述原始网络信标，获取流关联信息；根据所述流关联信息进行攻击路径追踪还原。

6.如权利要求5所述的一种基于喷泉码网络信标的追踪溯源装置，其特征在于，所述Raptor码编码包括：

预编码：选取纠错编码方式对所述原始网络信标进行编码，获得预编码网络信标；所述纠错编码方式为LDPC码或汉明码；

再编码：对所述预编码网络信标进行所述LT编码，获得所述编码网络信标。

Images