SpectralCovert

Обнаруживает сетевые скрытые каналы с использованием энтропии Шеннона и коэффициента бимодальности Сарла для выявления эксфильтрации зашифрованных полезных нагрузок ICMP/TCP и утечек на основе таймингов.

1. Скрытые каналы хранения (RFC 792 / RFC 791): Контрабанда зашифрованных данных (AES / ChaCha20) или токенов эксфильтрации внутри легитимных полей заполнения протоколов (например, полезная нагрузка ICMP Echo Request, указатели срочности TCP, поля идентификации IP).
2. Скрытые временны́е каналы (CTC): Байты пакетов вообще не изменяются! Вместо этого бинарные данные передаются путём модуляции межпакетной задержки (IPD) между последовательными пакетами ($T_0$ для бита 0, $T_1$ для бита 1). Полезная нагрузка на 100% безобидна, но ритм утекает конфиденциальные данные.

SpectralCovert обнаруживает оба вектора, используя чистую математическую статистику: информационную энтропию Шеннона, коэффициент бимодальности Сарла и спектральный анализ джиттера — без внешних зависимостей.

📐 Математические основы

1. Информационная энтропия Шеннона ($H$)

Информационная энтропия количественно определяет степень неопределённости или сжимаемости байтовой последовательности:

$$H(X) = - \sum_{i=1}^{n} P(x_i) \log_2 P(x_i)$$

• Теоретический максимум: $8.0 \text{ бит/байт}$ для 256 значений байта.
• Нормализация по длине выборки: Для пакета длиной $N$ абсолютная максимальная энтропия не может превышать $\log_2(N)$ бит. SpectralCovert вычисляет энтропию, нормализованную по длине выборки:

$$H_{norm} = \frac{H(X)}{\min(8.0, \log_2(N))}$$

• Пороги обнаружения:
  • $H_{norm} \ge 0.90$ при доле уникальных байтов $\ge 80%$: высокодостоверная зашифрованная эксфильтрация (AES/ChaCha20).
  • $H_{norm} < 0.85$: естественный язык, структурированные заголовки протоколов или безобидные базовые значения OS ping.

2. Коэффициент бимодальности Сарла ($BC$) для скрытых временны́х каналов

Когда злоумышленник модулирует биты $0$ и $1$ по временам межпакетного прибытия ($\Delta t_i = t_i - t_{i-1}$), естественный сетевой джиттер преобразует дискретные задержки в бимодальное гауссово смешанное распределение.

$$BC = \frac{\gamma^2 + 1}{\kappa}$$

Где:

• $\gamma$ = выборочная асимметрия (3-й стандартизованный момент)
• $\kappa$ = выборочный эксцесс (4-й стандартизованный момент)
• Правило принятия решения: $BC > 0.555$ указывает на мультимодальное/бимодальное распределение с двумя различными пиками кластеров ($T_0$ и $T_1$), что раскрывает скрытый канал передачи бинарных данных!

⚡ Ключевые возможности

• Ноль внешних зависимостей: Полностью построен на стандартной библиотеке Python (socket, struct, math, statistics, argparse, time, random). pip install не требуется.
• Обнаружение двух векторов:
  • Хранение: энтропия полезной нагрузки ICMP/TCP, коэффициент разнообразия байтов и сопоставление с базовыми значениями ОС (Windows abcdef..., Linux последовательный).
  • Тайминг: анализ межпакетной задержки (IPD), коэффициент бимодальности Сарла и квантованная энтропия джиттера.
• Автоматическое восстановление скрытой полезной нагрузки: Автоматически вычисляет порог бимодального разделения и восстанавливает модулированный ASCII-секрет из задержек прибытия пакетов!
• Терминальный спектральный визуализатор: Кроссплатформенные ASCII-гистограммы распределения частот, отображаемые прямо в терминале.
• Скорость менее миллисекунды: Мгновенная математическая проверка, подходящая для встроенных сетевых ответвителей и граничных шлюзов.

🚀 Быстрый старт и использование CLI

1. Запуск встроенного академического бенчмарка

Запускает полный набор проверок, тестирующий безобидные базовые значения против зашифрованной эксфильтрации через ICMP-хранилище и модулированных временны́х каналов:

Предпросмотр вывода бенчмарка:

2. Симуляция скрытого временно́го канала и визуализация модуляции

Симулируйте эксфильтрацию данных с помощью модуляции задержек и исследуйте бимодальное распределение в реальном времени:

3. Анализ произвольных полезных нагрузок

Проверяйте произвольный текст или шестнадцатеричные байтовые последовательности на аномалии энтропии:

🏛️ Академическая значимость и поступление в университеты

Обнаружение скрытых каналов — это ведущая область исследований в области безопасности компьютерных систем (например, Information Security Group в ETH Zurich, Network and System Security в TU Munich и Oxford Cyber Security).

Этот проект демонстрирует владение:

• Теорией информации: энтропия дискретной случайной величины, энтропия Шеннона и метрики, нормализованные по длине.
• Статистической обработкой сигналов: 3-й и 4-й стандартизованные моменты (асимметрия и эксцесс), тестирование бимодальности ($BC$) и моделирование межпакетной задержки.
• Архитектурами сетевых протоколов: RFC 792 (ICMP), кадрирование пакетов, распределения джиттера и защита от скрытой эксфильтрации данных.

📂 Структура проекта

📜 Лицензия и цитирование

Выпущено под лицензией MIT. Создано Çınar (@prox0959).