一种用于检测网络隐蔽定时通道的多尺度指纹级联框架

《Computer Communications》：A multi-scale fingerprint cascade framework for detection of network covert timing channels

网络隐蔽通道检测方法研究：提出基于多尺度指纹与图神经网络的四阶段 cascade 检测法，通过短时IPD变化特征提取、GNN相似度优化和双阈值分类策略，实现低延迟（<20ms）、低内存（<2GB）的实时检测，适用于边缘网关安全防护。

　　

赵宏|陈永红|田辉

华侨大学计算机科学与技术学院，中国福建省厦门市，361000

摘要

基于时间的网络隐蔽通道将秘密信息嵌入到普通数据包之间的发送间隔中，这可能给日常通信带来安全风险。为降低这种风险，本文提出了一种四阶段指纹级联检测方法。首先，将数据包到达时间序列转换为指纹序列，并在三个时间尺度上提取短期变化模式。接下来，使用图神经网络（GNN）来细化各段之间的相似性，从而减少误报。最后，应用双阈值级联分类器：使用较宽松的阈值筛选可疑段，然后使用更严格的阈值确认隐蔽流量。在公共数据集上评估了五种类型的隐蔽时间通道。结果表明，在两种实验设置中都实现了高准确率和召回率。此外，平均检测延迟低于20毫秒，内存成本低于2GB，并且支持在标准CPU上进行实时检测。与其他方法相比，在小样本设置中也观察到了具有竞争力的性能，表明细粒度的指纹与级联决策相结合可以平衡检测性能和资源开销，为边缘网关的实时防御提供实用选项。

引言

随着计算机网络的快速发展，设备之间的信息传输变得更加容易和快速，但信息被盗的风险也随之增加。在不同的信息窃取方法中，网络隐蔽通道（NCC）被认为是一种常见的攻击方式。隐蔽通道的概念最早由Lampson在1973年提出[1]，它指的是一种非用于正常通信的通道。在这种攻击中，秘密信息被嵌入到正常流量中，因此传统安全工具可能会被绕过，这对网络安全构成了严重威胁。

随着网络技术的发展，Girling将NCC定义为一种违反网络安全规则并威胁系统安全的通信形式[2]。Singh等人进一步指出，NCC可用于隐藏攻击者的身份、远程控制多个客户端、发起DDoS攻击或在目标主机上安装恶意软件[3]。尽管网络通信受到防火墙等安全工具的监控，但NCC嵌入的信息与正常通信协议的设计不匹配，因此传统工具很难检测到它。从可控通信资源的角度来看，NCC通常分为两种类型：隐蔽存储通道和隐蔽时间通道。在隐蔽存储通道（CSC）[4]中，比特通过可写资源（如协议头部字段、冗余有效载荷比特或可选参数）进行传输；因此，痕迹通常表现为异常的字段分布、不一致的协议语义或偏移的统计特征，检测通常基于内容/字段一致性检查和协议合规性检查。相比之下，隐蔽时间通道（CTC）[5]通过调制数据包时间（例如数据包间延迟（IPD）、突发模式或局部抖动模式）来传输信息，而不改变数据包内容，因此有效载荷和头部看起来是合法的，基于内容或字段规则的检测方法更容易被规避。

目前，CTC检测方法可以分为三类：统计异常分析、机器学习和深度学习。统计异常分析易于实现，使用基本统计指标描述流量行为；然而，通常需要较大的检测窗口，且灵敏度可能有限。在机器学习方法中，使用多个特征和更大的数据集训练分类器，因此可以更可靠地区分隐蔽流量和正常流量。例如，决策树[6]和随机森林[7]可以更准确地识别异常模式，但通常需要大量的训练时间和计算资源。在深度学习方法中，神经网络模型被训练从数据中学习复杂特征，在许多情况下可以实现更好的检测性能。例如，Li等人提出的GAS方法[8]结合了长短期记忆网络（LSTM）和N-gram算法，有效预测了短期流量行为。此外，Darwish等人提出了基于DNN的方法并进行层次统计分析[9]，Al-Eidi等人提出了基于图像处理的SnapCatch方法[10]，这两种方法都报告了良好的检测结果。

最近，Zillien等人提出了一种新的隐蔽通道$?$-$\kappa$libur[11]。在这种通道中，通过引入IPD的模糊性和异常值来破坏原始的时间模式，从而降低现有深度学习检测器的性能。尽管隐蔽流量通常表现出明显的短期变化模式，但此类细粒度特征在之前的研究中尚未得到充分研究。为了解决这个问题，本文提出了一种四阶段指纹级联方法QuadFP-Cascade。通过多尺度指纹提取捕获短期IPD变化，使用GNN细化相似性估计，并应用双阈值级联分类策略，从而实现对不同隐蔽流量的更好泛化能力和在小样本设置中的更高灵敏度。

本文的主要贡献总结如下。

• 1.
  提出了一种多尺度指纹提取方法，用于捕获隐蔽流量中的细粒度变化模式。
• 2.
  使用GNN细化指纹之间的相似性估计，以提高特征可靠性。
• 3.
  设计了一种双阈值级联分类策略，首先提高召回率，然后提高精确度，从而高效检测隐蔽流量。

本文的其余部分组织如下。第2节回顾了隐蔽通道检测的相关工作。第3节详细描述了提出的QuadFP-Cascade方法。第4节报告了在公共数据集上的实验结果和性能分析。第5节总结了本文并讨论了未来的工作。

相关研究进展

相关研究进展

本节概述了我们在实验评估中考虑的CTC类型及其相应的检测方法。还介绍了将用于后续实验性能比较的代表性基线方法。

短期IPD变化模式分析

本节重点关注CTC在短时间尺度上的局部变化模式。虽然某些CTC在全局统计（如均值和方差）上可以接近合法流量，但编码过程通常会引入更频繁或更集中的局部转换（例如，急剧增加/减少或阶段性漂移）。因此，相邻IPD之间的变化率可能表现出一致的结构差异。基于这一观察，检测任务被定义为：

实验与评估

本节的主要目标是评估QPFC在五种典型CTC上的性能，包括IPCTC[12]、LNCTC[13]、TRCTC[14]、Jitterbug[15]和$?$-$\kappa$libur[11]。为了验证QPFC相对于其他基于异常的方法的优势，选择了六个经典基线进行比较，包括GAS[8]、K–S测试[16]、Deviation[5]、一阶熵（EN）[17]、校正条件熵（CCE）[17]和$?$-similarity[5]。QPFC还与$?$-$\kappa$libur上的机器学习方法进行了比较，以验证其优势

结论与未来工作

本文提出了一种基于多尺度指纹和图神经网络（GNN）的隐蔽通道检测方法。该方法命名为QPFC，实现了对CTC的改进检测性能。QPFC利用IPD序列中的短期变化模式，并通过符号化和多尺度SimHash指纹提取捕获细粒度流量特征。进一步使用GNN细化指纹相似性，使提取的特征更加稳定。

CRediT作者贡献声明

赵宏：撰写 – 审稿与编辑，撰写 – 原始草稿，验证，方法论，形式分析，数据整理，概念化。陈永红：监督，资金获取。田辉：监督。

利益冲突声明

作者声明他们没有已知的竞争性财务利益或个人关系可能影响本文所述的工作。

赵宏出生于2000年，中国福建。她于2024年获得莆田学院数据科学与大数据技术学士学位，目前正在华侨大学攻读硕士学位。她的当前研究重点是网络安全和网络隐蔽通道检测。