[发明专利]采用多维特征向量检测IP ID隐信道的方法

摘要

本发明公开了一种采用多维特征向量检测IP ID隐信道的方法，包括以下步骤：（1）特征提取步骤：分别针对正常和异常的训练样本，连续捕获N个IP数据包，提取IP头部ID域信息，获得相邻数据包ID差值Δid1，Δid2，...，Δidn-1，其中N为检测窗口尺寸；统计Δid1，Δid2，...，Δidn-1的均值E、标准差D和熵值H，得到三维特征矢量；（2）进行SVM分类器训练：采用重复步骤（1）得到的正常的训练样本的三维特征矢量集和异常的训练样本的三维特征矢量集进行SVM分类器训练，得到分类检测模型；（3）根据训练得到的分类模型，SVM分类器对待检测信道的特征矢量进行分类，得到分类结果。该方法检测效率高，采用多维统计特征作为分类依据，提高了检测准确率。

主权项

一种采用多维特征向量检测IP ID隐信道的方法，其特征在于所述方法采用SVM分类器对三维特征向量(E，D，H)分类学习训练，然后检测出隐信道，具体包括以下步骤：（1）特征提取：i）针对正常的训练样本，连续捕获N个IP数据包，提取IP头部ID域信息，获得相邻数据包ID差值Δid1，Δid2，...，Δidn‑1，其中N为检测窗口尺寸；统计Δid1，Δid2，...，Δidn‑1的均值E、标准差D和熵值H，得到三维特征矢量(E，D，H)，其中：E(Δid1，Δid2，...，Δidn‑1)=（Δid1+Δid2+...+Δidn‑1）/(n‑1)； D ( Δ id 1 , Δ id 2 , . . . , Δ id n - 1 ) = 1 n Σ 1 n - 1 ( Δi d i - E ) 2 ; H ( Δ id 1 , Δ id 2 , . . . , Δ id n - 1 ) = - Σ i p i log p i ; 其中pi为Δidi出现的概率；ii）针对异常的训练样本，按照与正常的训练样本相同的特征提取方法提取出异常训练样本的三维特征矢量；（2）SVM分类器训练：采用重复步骤（1）得到的正常的训练样本的三维特征矢量和异常的训练样本的三维特征矢量进行SVM分类器训练，得到分类检测模型；（3）对于待检测的通信信道，按照步骤（1）的方法进行特征提取后，根据训练得到的分类模型，SVM分类器对待检测信道的特征矢量进行分类，得到分类结果，即检测出是否含有隐信道。