一種基于比特流特征識別的無線信道入侵檢測方法

張 余，陳 勇，柳永祥

(國防科技大學第六十三研究所，江蘇 南京 210007)

0 引言

隨著信息對抗技術的發展，無線攻擊技術逐漸從常規無線干擾攻擊向無線入侵攻擊方向發展。尤其是美國等西方軍事強國充分利用無線信道的開放性，大力研發“離線攻擊”的新一代網電攻擊手段，對無線通信網絡安全造成了巨大威脅。這些新型無線攻擊手段以各類無線信道為攻擊切入點，以特定系統為攻擊目標，綜合利用信號盲識別分析、信道密碼破譯、協議漏洞挖掘、信號假冒欺騙、系統后門預置等攻擊技術，實現前端無線入侵和后端網絡攻擊，無線信道攻擊與防護成為未來網電空間對抗的焦點。

比特流特征是無線電通信設備的固有特性，當無線電通信設備使用的技術體制和總體方案確定后，無線電通信設備的比特流特征將不會因所處的電磁環境變化、任務使命、無線電通信設備使用對象以及無線電通信設備使用者的操作技能等外界因素的變化而變化，也不會因為供電能力和設備老化等內在因素的變化而變化。由于比特流結構直接決定了收發雙方能否建立正常通信，實現信息的正確解調，比特流結構的變化將對收發雙方的正常通信造成直接的影響。對于入侵攻擊方而言，只需對其信號的比特流結構稍作修改就能夠擾亂被攻擊方的正常通信，從而實現以較小的代價達到“癱網”、“破網”等目的。因此，比特層面的攻擊與檢測成為未來信息化條件下網電攻擊和防護的重點之一，比特層也成為無線信道層面的最后防線。因此，本文針對比特層的入侵攻擊，研究提出了基于比特流特征識別的無線信道入侵方法，并對其性能進行了仿真驗證。

1 基于比特流特征的無線信道入侵檢測原理

基于比特流特征的無線信道入侵檢測主要是在射頻特征和調制特征沒有檢測出入侵攻擊行為后，根據射頻特征和調制特征的檢測識別結果，對解調后的比特流結構進行分析，提取信號的比特流特征信息，并通過與特征庫進行對比分析，及時發現未知信號，實現對入侵攻擊行為的檢測，其原理如圖1所示。

圖1 基于比特流特征的入侵檢測原理圖

基于比特流特征的無線信道入侵檢測主要包括幀同步檢測、幀同步碼提取、比特流特征提取和身份識別等過程。幀同步位置檢測主要是基于射頻特征識別和調制特征識別的結果，從特征庫里查找幀同步方法、相關碼等信息，然后利用相關特性實施幀同步起始位置的檢測。如跳頻系統中的同步信息是利用相關碼調制而成，具有很強的相關性，可利用其相關特征實現幀同步起始位置的檢測；幀同步碼提取是在完成幀同步起始位置檢測后，利用幀同步的特性提取幀同步碼；在完成幀同步提取后，利用提取出的幀同步碼來與解調得到的比特流進行相關處理，根據相關處理結果確定其同步信息還是數據信息，從而完成比特流特征的提取，最后根據比特流特征提取結果和特征庫完成用戶身份的識別。如識別結果為非法用戶，則結束識別，發出遭受入侵預警；如識別結果非合法用戶，則將比特流提交給信息層，信息層再利用相關技術對其實施檢測識別。

2 比特流特征分析

在數字通信中，為了使接收到的比特信息能夠被理解，通常在數據比特信息前插入一段能夠標識數據比特信息起始位置和截止位置的同步信息，正是這些同步信息的插入，賦予了毫無規律、特征的比特一些固有特性。因此，比特流結構主要由用于標識數據比特信息起始位置和截止位置的同步信息(即幀同步碼)決定，通過對幀同步信息的結構分析，有助于比特流結構的檢測與識別。雖然采用不同的幀同步機制生成的比特流結構有所不同，但其檢測與識別的思路基本一致。因此，在此以集中插入同步幀為例進行分析。采用集中插入法來實現同步的信號的比特流主要包括信息碼組和同步碼組，如圖2所示[1]。

圖2 采用集中插入同步法的比特流結構示意圖

為了使接收端能夠容易地捕獲到幀同步碼組，幀同步碼的自相關特性必須具有尖銳的單峰。而信息碼組的自相關特性不具有尖銳的單峰，且幀同步碼與信息碼組件的互相關值很小，也不具有尖銳的單峰。

設有一個幀同步碼組，它包含N個碼元{x1,x2,…,xN}，則其局部自相關函數為：

(1≤i≤N,j為整數)

(1)

式中，N為幀同步碼組中的碼元數目；當1≤i≤N時，xi=-1或xi=+1。當1N，xi=0。顯然可見，當j=0時:

(2)

由于幀同步碼組的自相關性很好，具有尖銳的單峰,因此，其自相關函數僅在R(0)處出現峰值，其他處的R(j)值均很小，遠小于N，則可以用求自相關函數的方法尋找峰值，從而發現此碼組并確定其位置。

設信息碼組包含M個碼元{y1,y2,…,yM}，由于其自相關性很差，自相關函數值在0～N間隨機分布，沒有尖銳的單峰，通過求自相關函數無法發現信息碼組。幀同步碼組與信息碼組的互相關函數為：

(1≤i≤K,j為整數)

(3)

式中，K=min(N,M)。由于幀同步碼組與信息碼組的互相關特性好，互相關值很小，因此，可以對接收到的比特流做自相關計算。若計算結果小于N，則等待接受下一個碼元后再計算，直到相關函數值等于或接近于同步碼組的長度N時，就認為捕捉到同步。然后用幀同步碼組與接收到的比特流做互相關計算，當互相關值出現尖銳的單峰時，則認為是比特流中的碼元為幀同步碼元，否則認為是信息碼組。

3 基于相關分析的比特流特征提取方法

跳頻系統因其抗干擾、抗衰落、抗截獲能力強，兼有多址組網應用等諸多優點，在軍事通信領域中得到了廣泛的應用，隨之也成為主要攻擊對象[2]。由于現有超短波跳頻通信系統大多采用傳統的快發慢收搜索的跳頻同步方式，因此本文主要以采用快發慢收搜索的TOD同步方式的跳頻系統為例，介紹比特流特征提取方法。

跳頻初始同步在多個同步頻率上重復發送同步信息，而數據跳頻率偽隨機跳變，同步跳和數據跳的射頻頻率跳變圖案具有明顯的特征差異[3]。采用快發慢收搜索的TOD同步方式的跳頻系統在傳輸同步信息時，采用k個不相關、長度為l的相關碼(即同步基準相關碼)去對每跳的TOD信息編碼而成，將同步基準相關碼記為s(n)，其碼長為k×l，碼周期為P0。合法接收端已知合法發送端采用的同步基準相關碼相關信息，可根據基準相關碼和TOD信息生成規則，生成TOD信息，假設TOD信息需要用Q跳來傳輸，則生成的TOD信息可表示為：

TODn=T(m)，1≤m≤k×l，1≤j≤Q

(4)

假設經解調后獲得的比特流為x(m)。首先用長度為k×l的滑動窗對比特流進行截取，獲得第i次滑動截取的序列yi=yi(j)=x(m)，i≤m≤i+k×l，1≤j≤k×l，1≤i≤W-k×l，1≤i≤W,W為整個比特流的長度，且至少包括兩個周期的比特長度。然后將截取的序列yi與TOD信息TOD1進行相關運算，計算出第i次滑動的相關值Ri,1，即：

(5)

式中，“⊙”代表邏輯同或運算。

如相關值Ri,1超過預設的門限值，則認為找到同步碼字，且將第i個比特位置作為同步信息的起始位置，并對比特流進行分段，獲得分段跳頻序列zv，其分段長度等于同步跳長度P0。即第v段跳頻序列可表示為：

zv={zv(j)，1≤j≤P0}

(6)

式中，zv(j)=x((v-1)P0+i+j)，1≤j≤P0。

將每段跳頻序列zv(j)與TOD信息TODn逐個進行相關運算，獲得第v段跳頻序列與第n跳TOD同步信息的相關值Rv,n，即：

(7)

若計算出的相關值Rv,n超過預設的門限值Tr(主要由相關碼碼長和接收機信噪比決定，當信噪比一定時，若Tr太大，其漏檢概率較大，若Tr太小，錯檢概率較大)，且連續多段的相關值都超過預設的門限值Tr，則認為此段跳頻比特流為第n跳同步跳；若計算出的相關值Rv,n超過預設的門限值Tr，且僅有一段的相關值超過預設的門限值Tr，則認為此段比特流為勤務跳；若計算出的相關值Rv小于預設的門限值Tr，則認為此段跳頻序列為數據跳，從而完成信號幀結構的提取。

在完成幀結構提取(即比特流特征提取)后，基于特征庫提供的先驗知識，通過分析對比方法即可識別出接收到的信號是非法用戶發送的信號還是合法信號。

4 檢測方法性能分析

4.1 仿真模型

為驗證基于比特流特征識別的無線信道入侵檢測技術的性能，構建了比特流結構特征提取與識別的仿真模型，如圖3所示。

圖3 比特流結構特征檢測與識別仿真模型

比特流結構特征提取與識別仿真模型包括發送模塊和檢測模塊，發送模塊主要模擬慢跳快搜索跳頻系統的發送端，包括組幀、PN碼發生器、調制、混頻等子模塊，主要通過修改不同的幀結構、調制方式和射頻特征來模擬不同的發送設備，并通過調制、上變頻后將信號發送出去。接收檢測端主要用于接收無線電信號，并通過下變頻、解調、同步檢測和比特流特征識別等模塊的處理，提取比特流特征信息，并將其與合法設備的比特流特征進行對比來分析其比特流檢測性能。

4.2 仿真結果

為驗證基于相關分析的比特流特征的入侵檢測性能，利用Matlab仿真軟件分析了慢發快搜索跳頻系統的比特流檢測性能。誤檢率是衡量比特流特征檢測主要指標。在開展仿真驗證和分析前，首先對誤檢率進行定義。一幀周期內只要有一跳數據跳、同步跳或勤務跳識別錯誤，則認為此幀檢測有錯，因此，誤檢率可定義為幀檢測有錯的幀數與接收到的幀數的比值。

圖4給出了在檢測門限設置為0.9Rp時，信噪比對檢測性能的影響曲線，Rp為擴頻碼的自相關峰值。從中可以看出，對于同一種調制方式的模擬電臺，其信噪比增加到一定值后，誤檢率將從1逐漸減小，并在信噪比達到一定值后誤檢率減少至0，隨后信噪比對其的影響甚微。如，對于采用BPSK調制的模擬的無線電設備，當信噪比大于1 dB時，誤檢率從1逐漸減小，當信噪比大于5 dB后，誤檢率為0，信噪比的增大對其影響甚微。此外，不同調制方式對系統的誤碼率性能影響有所不同，從而導致信噪比對誤檢率的影響也有所不同。

圖4 檢測門限為0.9Rp時信噪比對誤檢率的影響曲線

圖5給出了檢測門限為0.8Rp時，信噪比對檢測性能的影響曲線。當采用BPSK調制時，信噪比大于3 dB時，基于相關分析法的比特流特征檢測方法的誤檢率幾乎為0，基本能夠準確地檢測出比特流特征；當采用QPSK時，信噪比大于6 dB時，其誤檢率才能達到0。而與圖4的趨勢一樣，16QAM的誤檢性能相對較差，只有信噪比大于12dB時，其誤檢率才接近于0。對比圖4和圖5可知，檢測門限對誤檢性能有一定的影響，當檢測門限較大時，其對信噪比要求較高，當檢測門限較小時，其對信噪比的要求較低。

圖5 檢測門限為0.8Rp時信噪比對誤檢率的影響曲線

為進一步比較分析檢測門限對檢測性能的影響，圖6給出了采用BPSK調制時，不同信噪比下，檢測門限對檢測性能的影響曲線。由此可知，在同一信噪比情況下，門限值越大，其誤檢率越高，而在相同門限值時，不同信噪比情況下，其檢測性能不一致。當信噪比較小時，可選擇較低門限對其進行判決，當信噪比較高時，可選擇較高門限對其進行判決。

圖6 采用BPSK調制時不同檢測門限對檢測性能的影響曲線

圖7給出了采用BPSK調制時，歸一化的檢測判決門限值和信噪比對比特流檢測性能的影響曲線，可根據大量的樣本計算和評估，為不同信噪比條件下設置一個最佳的檢測門限，從而使得誤檢率最小。具體而言就是，比特流特征檢測可根據信噪比估計結果，結合大量樣本計算和評估結果，選擇最佳的檢測門限。

圖7 采用BPSK調制時，檢測門限與信噪比對檢測性能的影響關系

5 結束語

針對無線通信防護中射頻前端和調制域的入侵檢測失效時缺乏有效的無線信道入侵檢測手段的問題，本文提出了一種基于比特流特征識別的無線信道入侵檢測方法，理論分析與仿真結果證明，信噪比、調制方式和檢測門限等因素對檢測性能都有所影響。在信噪比相同時，采用BPSK調制比采用16QAM調制誤檢率小；在調制方式相同時，信噪比越高，其誤檢率越小，當信噪比上升到一定程度時，其誤檢率接近于0；檢測門限將受信噪比和調制方式的影響，并將此影響作用于檢測性能上。因此，對于現有系統而言，只要接收機能夠正確對信號進行解調提取，提出的算法就能夠正確區別其比特流特征，正確地判別出信號的合法性，從而實現無線信道入侵行為的檢測甄別。■