基于信息熵SVM的ICMP隱蔽通道檢測研究.pdf

1、網(wǎng)絡(luò)隱蔽通道技術(shù)是一種被廣泛應(yīng)用的網(wǎng)絡(luò)攻擊技術(shù)，該技術(shù)利用網(wǎng)絡(luò)通信數(shù)據(jù)作為載體進(jìn)行秘密通信。網(wǎng)絡(luò)隱蔽通道中的通信具有隱蔽性，再加上普通的網(wǎng)絡(luò)安全產(chǎn)品自身的局限性，這使得網(wǎng)絡(luò)隱蔽通道中的信息傳遞活動很難被檢測到。網(wǎng)絡(luò)隱蔽通道可以構(gòu)建在TCP/IP模型的各層上(物理層、網(wǎng)絡(luò)層、傳輸層、應(yīng)用層)的很多協(xié)議上，相對于其它層的協(xié)議而言ICMP協(xié)議有著天然的優(yōu)勢：許多網(wǎng)絡(luò)設(shè)備認(rèn)為ICMP流量是良性，對其負(fù)載部分不進(jìn)行檢測，攻擊者可以將生成的任意信息

2、隱藏在ICMP的有效負(fù)載中，構(gòu)成隱蔽通道。關(guān)于ICMP下的隱蔽通道檢測研究就是在這樣的背景下開始的。
　　 本文對ICMP協(xié)議進(jìn)行分析后，提出了使用ICMP協(xié)議構(gòu)建隱蔽通道的方法，并在C++Builder6.0下實(shí)現(xiàn)。針對ICMP隱蔽通道的檢測，目前通常采用標(biāo)準(zhǔn)支持向量機(jī)的方法，但訓(xùn)練時(shí)間過高，不適于大規(guī)模數(shù)據(jù)集的檢測。我們在深入研究ICMP數(shù)據(jù)流熵標(biāo)準(zhǔn)差和熵值分布特性的基礎(chǔ)上，發(fā)現(xiàn)近95％的ICMP數(shù)據(jù)包中不含有隱蔽通道，如果

3、將這些數(shù)據(jù)篩選掉，在獲得較高的分類精度、檢測率的同時(shí)，大大縮減了訓(xùn)練時(shí)間?；谶@樣的思想，我們提出了基于信息熵的訓(xùn)練樣本集縮減策略，并進(jìn)一步構(gòu)造出可用于大規(guī)模數(shù)據(jù)集下ICMP負(fù)載隱蔽通道檢測模型-信息熵支持向量機(jī)模型。
　　 信息熵支持向量機(jī)模型中核函數(shù)的選取問題也是我們的重點(diǎn)研究內(nèi)容之一。針對在求解實(shí)際問題時(shí)使用單一核函數(shù)，SVM的性能很難達(dá)到最優(yōu)，學(xué)習(xí)能力與推廣能力較弱等問題，我們建立了若干選取規(guī)則，分別解決了核函數(shù)的類型及