SpectralCovert

Detecta canais encobertos de rede usando entropia de Shannon e o coeficiente de bimodalidade de Sarle para sinalizar exfiltração de payload ICMP/TCP criptografado e vazamentos baseados em timing.

1. Canais Encobertos de Armazenamento (RFC 792 / RFC 791): Contrabandeiam dados criptografados (AES / ChaCha20) ou tokens de exfiltração dentro de campos legítimos de preenchimento de protocolo (por exemplo, payloads de ICMP Echo Request, ponteiros urgentes TCP, campos de identificação IP).
2. Canais Encobertos de Temporização (CTC): Nunca modificam os bytes do pacote! Em vez disso, transmitem dados binários modulando o Atraso Entre Pacotes (IPD) entre pacotes consecutivos ($T_0$ para o bit 0, $T_1$ para o bit 1). O payload é 100% benigno, mas o ritmo vaza dados confidenciais.

O SpectralCovert detecta ambos os vetores usando estatística matemática pura: Entropia de Informação de Shannon, Coeficiente de Bimodalidade de Sarle e Análise Espectral de Jitter com zero dependências externas.

📐 Fundamentos Matemáticos

1. Entropia de Informação de Shannon ($H$)

A entropia de informação quantifica o grau de incerteza ou compressibilidade em uma sequência de bytes:

$$H(X) = - \sum_{i=1}^{n} P(x_i) \log_2 P(x_i)$$

• Máximo Teórico: $8.0 \text{ bits/byte}$ para 256 valores de byte.
• Normalização pelo Comprimento da Amostra: Para um pacote de comprimento $N$, a entropia máxima absoluta não pode exceder $\log_2(N)$ bits. O SpectralCovert calcula a entropia normalizada pelo comprimento da amostra:

$$H_{norm} = \frac{H(X)}{\min(8.0, \log_2(N))}$$

• Limiares de Detecção:
  • $H_{norm} \ge 0.90$ com Razão de Bytes Únicos $\ge 80%$: Exfiltração criptografada de alta confiança (AES/ChaCha20).
  • $H_{norm} < 0.85$: Linguagem natural, cabeçalhos de protocolo estruturados ou baselines benignos de ping do SO.

2. Coeficiente de Bimodalidade de Sarle ($BC$) para Canais Encobertos de Temporização

Quando um adversário modula os bits $0$ e $1$ nos tempos de chegada entre pacotes ($\Delta t_i = t_i - t_{i-1}$), o jitter natural da rede converte os atrasos discretos em uma distribuição de mistura gaussiana bimodal.

$$BC = \frac{\gamma^2 + 1}{\kappa}$$

Onde:

• $\gamma$ = Assimetria Amostral (3º momento padronizado)
• $\kappa$ = Curtose Amostral (4º momento padronizado)
• Regra de Decisão: $BC > 0.555$ indica uma distribuição multimodal/bimodal com dois picos de agrupamento distintos ($T_0$ e $T_1$), expondo o canal de transmissão binária oculto!

⚡ Principais Recursos

• Zero Dependências Externas: Construído inteiramente com a biblioteca padrão do Python (socket, struct, math, statistics, argparse, time, random). Nenhum pip install necessário.
• Detecção de Vetor Duplo:
  • Armazenamento: Entropia do payload ICMP/TCP, razão de diversidade de bytes e correspondência com baseline do SO (Windows abcdef..., Linux sequencial).
  • Temporização: Análise de atraso entre pacotes (IPD), coeficiente de bimodalidade de Sarle e entropia de jitter quantizada.
• Recuperação Automatizada de Payload Encoberto: Calcula automaticamente o limiar de separação bimodal e reconstrói o segredo ASCII modulado a partir dos atrasos de chegada dos pacotes!
• Visualizador Espectral de Terminal: Histogramas de distribuição de frequência ASCII multiplataforma renderizados diretamente no seu terminal.
• Velocidade Sub-Milissegundo: Verificação matemática instantânea adequada para taps de rede inline e gateways de borda.

🚀 Início Rápido & Uso da CLI

1. Executar Benchmark Acadêmico Integrado

Executa uma suíte completa de validação testando baselines benignos versus exfiltração de armazenamento ICMP criptografada e canais de temporização modulados:

Prévia da Saída do Benchmark:

2. Simular Canal Encoberto de Temporização & Visualizar Modulação

Simule exfiltração de dados usando modulação de atraso e inspecione a distribuição bimodal em tempo real:

3. Analisar Payloads Arbitrários

Inspecione sequências arbitrárias de texto ou bytes hex para anomalias de entropia:

🏛️ Relevância Acadêmica & Admissões Universitárias

A detecção de canais encobertos é um domínio de pesquisa de ponta em segurança de sistemas computacionais (por exemplo, Information Security Group na ETH Zurich, Network and System Security na TU Munich e Oxford Cyber Security).

Este projeto demonstra domínio de:

• Teoria da Informação: Entropia de variável aleatória discreta, entropia de Shannon e métricas normalizadas por comprimento.
• Processamento Estatístico de Sinais: 3º e 4º momentos padronizados (Assimetria e Curtose), teste de bimodalidade ($BC$) e modelagem de Atraso Entre Pacotes.
• Arquiteturas de Protocolos de Rede: RFC 792 (ICMP), enquadramento de pacotes, distribuições de jitter e defesas contra exfiltração furtiva de dados.

📂 Estrutura do Projeto

📜 Licença & Citação

Lançado sob a Licença MIT. Criado por Çınar (@prox0959).