30、基于模型的隐蔽定时信道：自动建模与规避

基于模型的隐蔽定时信道：自动建模与规避

1. 引言

隐蔽信道是一种“可被进程利用，以违反系统安全策略的方式传输信息的通信信道”。它主要分为隐蔽存储信道和隐蔽定时信道。隐蔽存储信道通过操纵存储位置（如磁盘、内存、数据包头部等）的内容来传输信息；而隐蔽定时信道则通过操纵事件的时间或顺序（如磁盘访问、内存访问、数据包到达等）来传输信息。本文聚焦于隐蔽定时信道。

随着高性能计算机和高速网络的发展，隐蔽定时信道的容量不断增加。过去在 20 世纪 70 年代研究的隐蔽定时信道每秒只能传输几位信息，而现代计算机中的隐蔽定时信道每秒能传输数兆位信息。为了防范隐蔽定时信道，研究人员提出了各种检测和干扰方法。干扰隐蔽定时信道主要是操纵流量，以减缓或停止其信息传输；检测则主要通过统计测试来区分隐蔽流量和合法流量。不过，现有的大多数隐蔽定时信道在时间行为上与正常流量有较大偏差，相对容易被检测到。

本文介绍了基于模型的隐蔽定时信道，它通过对合法流量的统计特性进行建模和模仿来逃避检测。我们设计并开发了一个构建基于模型的隐蔽定时信道的框架，该框架由过滤器、分析器、编码器和发送器四个主要组件组成。过滤器用于分析合法网络流量的特征，分析器将观察到的流量行为拟合到一个模型中，编码器和发送器则利用该模型生成隐蔽流量，并使其与合法网络流量相融合。该框架轻量级，模型拟合带来的开销可忽略不计。通过在局域网和广域网环境中进行的一系列实验，验证了该框架的有效性。实验结果表明，基于模型的隐蔽定时信道在容量损失较小的情况下，显著提高了抗检测能力。

2. 相关工作

为了防范隐蔽定时信道，研究人员提出了不同的解决方案来检测和干扰隐蔽流量。干扰隐蔽定时信道会给流量增加随机延迟，这虽然会降低隐蔽