CN113301044A - 一种面向追踪溯源的扩频网络信标生成方法 - Google Patents

Abstract

本发明公开了一种面向追踪溯源的扩频网络信标生成方法，其具体步骤包括，将待发送的原始网络信标进行扩频，得到扩频后的网络信标；将扩频后的网络信标植入关键业务网络的网络关口；在网络信标检测端，选择相应的网络信标检测方法，检测相应的网络流量中是否出现植入网络的具有指定特征的网络信标，随后将检测得到的扩频后的网络信标对其进行解扩，得到恢复出的网络信标，计算恢复出的网络信标与待发送的原始网络信标的相关性，当该相关性超过相关性阈值时，判断该网络数据流中存在数据流关联信息。本发明对现有的基于网络信标的流量追踪溯源技术存在的网络信标隐蔽性较差、抗干扰性较差等问题进行了改进，有效提高了追踪溯源效果。

Description

一种面向追踪溯源的扩频网络信标生成方法

技术领域

本发明涉及网络安全领域，尤其涉及一种面向追踪溯源的扩频网络信标生成方法。

背景技术

随着互联网技术的不断发展，传统的网络安全防护措施受到了很大的冲击。网络攻击者会综合运用链路加密、数据混淆、中转跳变等手段，对企业网、电信网、省网等关键业务网及网络基础设施造成严重安全威胁。攻击手段的综合运用，同样使得传统的被动式追踪溯源难度极大。

现有的网络追踪溯源技术至少存在如下问题：

1、现有的基于传统被动式的追踪溯源技术，面对未知攻击难以进行有效感知，难以实现高效稳定的追踪溯源。

2、现有的基于网络信标的流量追踪溯源技术，网络信标的隐蔽性较差，难以实现无感信标的植入检测；同时，其网络信标传输的可靠性会随着网络攻击、垃圾包的添加而降低，无法进行有效追踪。

发明内容

为了克服现有的追踪溯源技术手段面对未知攻击难以进行有效感知、现有的基于网络信标的流量追踪溯源技术存在的网络信标隐蔽性较差、抗干扰性较差等问题，本发明公开了一种面向追踪溯源的扩频网络信标生成方法，有效提高了网络信标传输的隐蔽性及抗干扰性。

本发明首先利用网络信标技术，在企业网、电信网、省网、国际网等关键业务网络的关口植入网络信标，若在信标检测端检测到对应的网络信标，则可以通过网络信标数据流进行攻击路径追踪还原。结合综合情报分析、蜜罐仿真诱捕，对攻击主体进行溯源定性，实现对攻击者的追踪和定位，并对溯源结果进行态势感知及展示。网络信标检测识别的准确率会随着网络环境的变化而不断变化。为了提高基于网络信标的流量追踪溯源的可靠性，引入具有良好的保密性及抗干扰能力的扩频技术，对原始网络信标进行扩频处理，随后将扩频后的信标植入到关键业务网的关口，并通过网络进行传输。

扩频技术是用于移动通信系统中的一种提高系统可靠性的方法，采用扩频技术后，将发送信号的带宽扩展至原信号的数十倍乃至上千倍，从而使发送信号具有类似于噪声的功率谱密度，发送信号中的有效信息难以被其他通信系统所检测，在移动通信系统对应的接收端，可以有效降低解调信号的信噪比门限，在更低的接收信噪比下即可完成扩频信号的解调检测，提高了系统的可靠性，从而也提升了通信系统的抗高斯白噪声干扰的性能。对网络信标进行扩频处理后，能够获得扩频增益进而形成具有较好隐蔽性及抗干扰性的网络信标信息，可以解决网络信标在传输过程中受到外部干扰导致信标检测及追踪溯源的结果较差的问题。

本发明公开了一种面向追踪溯源的扩频网络信标生成方法，其具体步骤包括，

S1，将待发送的原始网络信标进行扩频，得到扩频后的网络信标。将扩频后的网络信标植入企业网、电信网、省网、国际网等关键业务网络的网络关口。网络信标植入方法，包括基于多层协议的网络信标植入方法、基于流速率特征的网络信标植入方法、基于流内分组间隔特征的网络信标植入方法及基于流时间时隙分割特征的网络信标植入方法。基于多层协议植入的网络信标植入方法，在关键业务网络的网络层、传输层、应用层选择IP报头、TCP报头、DNS等字段进行网络信标植入。

步骤S1中所述的网络信标扩频的具体步骤包括：

S11，根据待植入网络信标的关键业务网络的复杂程度以及其对伪随机序列自相关性的要求，选取符合该关键业务网络要求的用于扩频的伪随机序列，利用伪随机序列发生器生成该用于扩频的伪随机序列。

用于网络信标扩频的伪随机序列包括m序列、M序列、Gold序列、CAZAC序列。不同的伪随机序列具有不同的随机分布特征，网络信标检测端利用参与扩频的伪随机序列的随机分布特征，对植入网络的具有指定该特征的网络信标进行检测。m序列是最长线性移位寄存器序列，M序列可以在m序列基础上增加全零检测电路生成。Gold序列可以在m序列基础上利用优选对产生。CAZAC序列是模值恒为1的复值序列，可以根据序列表达式进行构造。CAZAC序列包括Zadoff-chu序列、Frank序列、Chirp序列、Golomb多相序列等，其中，Zadoff-chu序列的表达式为：

其中，z[n]表示Zadoff-chu序列中的第n位的数值，N为该序列的长度，q表示任意整数，K为序列权值，K∈{1,2,...,N-1}，且K与N互质；

S12，将待发送的原始网络信标与生成的伪随机序列相乘，得到扩频后的网络信标。

S2，在网络信标检测端，首先根据网络信标植入方法，选择相应的网络信标检测方法，依托关键业务网络的网络关口或路由节点，检测相应的网络流量中是否出现植入网络的具有指定特征的网络信标，检测得到扩频后的网络信标，随后将检测得到的扩频后的网络信标，利用步骤S1中网络信标扩频所使用的伪随机序列对其进行解扩，将检测得到的扩频后的网络信标与该伪随机序列相乘，得到恢复出的网络信标，计算恢复出的网络信标与待发送的原始网络信标的相关性，当该相关性超过相关性阈值时，判断该网络数据流中存在数据流关联信息，当该相关性未超过相关性阈值时，判断该网络数据流中不存在数据流关联信息。所述的所植入的具有指定特征的网络信标，具体是指植入网络的具有用于扩频的伪随机序列的随机分布特征的网络信标。

本发明的有益效果为：

1、本发明所述的一种面向追踪溯源的扩频网络信标生成方法，对进入企业网、电信网、省网、国际网等网络关口的网络数据流进行网络信标植入，可以改进现有的基于威胁情报追踪溯源技术存在不能覆盖完整攻击链路、对未知攻击技术手段难以感知等问题，提高追踪溯源效果。

2、本发明所述的一种面向追踪溯源的扩频网络信标生成方法，对植入网关的网络信标进行扩频，利用扩频技术具有较强的隐蔽性及抗干扰性等特点，可以改进现有的基于网络信标的流量追踪溯源技术存在的网络信标隐蔽性较差、抗干扰性较差等问题，提高了网络信标传输的隐蔽性和抗干扰性。

附图说明

图1为本发明方法的示意图；

图2为本发明方法的流程图如所示；

图3为m序列的生成框图；

图4为M序列的生成框图；

图5为Gold序列的生成框图；

图6为使用伪随机序列进行网络信标扩频的流程图；

图7为网络信标解扩的流程图。

具体实施方式

为了更好的了解本发明内容，这里给出一个实施例。

本发明方法的示意图如图1所示。本发明公开了一种面向追踪溯源的扩频网络信标生成方法，本方法的流程图如图2所示，系统主要包括信标扩频、植入信标、网络传输、信标检测、信标解扩、流量分析、追踪溯源。本发明方法的具体步骤包括：

S1，将待发送的原始网络信标进行扩频，得到扩频后的网络信标。将扩频后的网络信标植入企业网、电信网、省网、国际网等关键业务网络的网络关口。网络信标植入方法，包括基于多层协议的网络信标植入方法、基于流速率特征的网络信标植入方法、基于流内分组间隔特征的网络信标植入方法及基于流时间时隙分割特征的网络信标植入方法。基于多层协议植入的网络信标植入方法，在关键业务网络的网络层、传输层、应用层选择IP报头、TCP报头、DNS等字段进行网络信标植入。

步骤S1中所述的网络信标扩频的具体步骤包括：

S11，根据待植入网络信标的关键业务网络的复杂程度以及其对伪随机序列自相关性的要求，选取符合该关键业务网络要求的用于扩频的伪随机序列，利用伪随机序列发生器生成该用于扩频的伪随机序列。

用于网络信标扩频的伪随机序列包括m序列、M序列、Gold序列、CAZAC序列。不同的伪随机序列具有不同的随机分布特征，网络信标检测端利用参与扩频的伪随机序列的随机分布特征，对植入网络的具有指定该特征的网络信标进行检测。m序列是最长线性移位寄存器序列，m序列的生成框图如图3所示。M序列可以在m序列基础上增加全零检测电路生成，M序列的生成框图如图4所示。Gold序列可以在m序列基础上利用优选对产生，Gold序列的生成框图如图5所示。CAZAC序列是模值恒为1的复值序列，可以根据序列表达式进行构造。CAZAC序列包括Zadoff-chu序列、Frank序列、Chirp序列、Golomb多相序列等，其中，Zadoff-chu序列的表达式为：

其中，z[n]表示Zadoff-chu序列中的第n位的数值，N为该序列的长度，q表示任意整数，K为序列权值，K∈{1,2,...,N-1}，且K与N互质；

S12，将待发送的原始网络信标与生成的伪随机序列相乘，得到扩频后的网络信标。

S2，在网络信标检测端，首先根据网络信标植入方法，选择相应的网络信标检测方法，依托关键业务网络的网络关口或路由节点，检测相应的网络流量中是否出现植入网络的具有指定特征的网络信标，检测得到扩频后的网络信标，随后将检测得到的扩频后的网络信标，利用步骤S1中网络信标扩频所使用的伪随机序列对其进行解扩，将检测得到的扩频后的网络信标与该伪随机序列相乘，得到恢复出的网络信标，计算恢复出的网络信标与待发送的原始网络信标的相关性，当该相关性超过相关性阈值时，判断该网络数据流中存在数据流关联信息，当该相关性未超过相关性阈值时，判断该网络数据流中不存在数据流关联信息。所述的所植入的具有指定特征的网络信标，具体是指植入网络的具有用于扩频的伪随机序列的随机分布特征的网络信标。

本实施例公开了一种面向追踪溯源的扩频网络信标生成方法，其步骤包括，步骤1：

首先根据实际情况和需求，选择合适的伪随机序列进行网络信标扩频。使用伪随机序列进行网络信标扩频的流程如图6所示。

步骤2：

将扩频后的网络信标植入到数据流中，植入信标方式可以选择基于多层协议的网络信标植入或选择现有的网络信标植入技术植入企业网、电信网、省网、国际网等网络关口。

步骤3：

将植入扩频信标后的网络数据流在网络中进行传输。

步骤4：

网络信标检测依托网络关口或路由节点的部署，探测关口流量中是否出现植入的具有指定特征的网络信标。网络信标检测方式应与所选取的植入方式对应，选择基于多层协议的网络信标检测方式或基于网络信标的检测方式得到扩频后的网络信标。

步骤5：

对经过网络信标检测得到的扩频后的网络信标进行信标解扩，获取原始网络信标。网络信标解扩的流程如图7所示。

步骤6：

根据恢复出的网络信标，判断流数据的关联性，并对网络数据流进行流量分析。

步骤7：

结合数据流分析结果，进行攻击路径追踪还原。通过综合情报分析、蜜罐仿真诱捕、攻击主体溯源定性，并对溯源结果进行态势感知及展示。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (7)

1.一种面向追踪溯源的扩频网络信标生成方法，其特征在于，其具体步骤包括，

S1，将待发送的原始网络信标进行扩频，得到扩频后的网络信标；将扩频后的网络信标植入企业网、电信网、省网、国际网关键业务网络的网络关口；

S2，在网络信标检测端，首先根据网络信标植入方法，选择相应的网络信标检测方法，依托关键业务网络的网络关口或路由节点，检测相应的网络流量中是否出现植入网络的具有指定特征的网络信标，检测得到扩频后的网络信标，随后将检测得到的扩频后的网络信标，利用步骤S1中网络信标扩频所使用的伪随机序列对其进行解扩，将检测得到的扩频后的网络信标与该伪随机序列相乘，得到恢复出的网络信标，计算恢复出的网络信标与待发送的原始网络信标的相关性，当该相关性超过相关性阈值时，判断该网络数据流中存在数据流关联信息，当该相关性未超过相关性阈值时，判断该网络数据流中不存在数据流关联信息。

2.如权利要求1所述的面向追踪溯源的扩频网络信标生成方法，其特征在于，步骤S1中所述的网络信标扩频的具体步骤包括：

S11，根据待植入网络信标的关键业务网络的复杂程度以及其对伪随机序列自相关性的要求，选取符合该关键业务网络要求的用于扩频的伪随机序列，利用伪随机序列发生器生成该用于扩频的伪随机序列；

S12，将待发送的原始网络信标与生成的伪随机序列相乘，得到扩频后的网络信标。

3.如权利要求2所述的面向追踪溯源的扩频网络信标生成方法，其特征在于，用于网络信标扩频的伪随机序列包括m序列、M序列、Gold序列、CAZAC序列。

4.如权利要求3所述的面向追踪溯源的扩频网络信标生成方法，其特征在于，所述的CAZAC序列是模值恒为1的复值序列，根据序列表达式进行构造；CAZAC序列包括Zadoff-chu序列、Frank序列、Chirp序列、Golomb多相序列，其中，Zadoff-chu序列的表达式为：

其中，z[n]表示Zadoff-chu序列中的第n位的数值，N为该序列的长度，q表示任意整数，K为序列权值，K∈{1,2,...,N-1}，且K与N互质。

5.如权利要求1所述的面向追踪溯源的扩频网络信标生成方法，其特征在于，所述的网络信标植入方法，包括基于多层协议的网络信标植入方法、基于流速率特征的网络信标植入方法、基于流内分组间隔特征的网络信标植入方法及基于流时间时隙分割特征的网络信标植入方法。

6.如权利要求5所述的面向追踪溯源的扩频网络信标生成方法，其特征在于，所述的基于多层协议植入的网络信标植入方法，在关键业务网络的网络层、传输层、应用层选择IP报头、TCP报头、DNS字段进行网络信标植入。

7.如权利要求1所述的面向追踪溯源的扩频网络信标生成方法，其特征在于，步骤S2所述的所植入的具有指定特征的网络信标，具体是指植入网络的具有用于扩频的伪随机序列的随机分布特征的网络信标。

Images