[论文解读] Picking a Needle in a Haystack: Detecting Drones via Network Traffic Analysis.

Savio Sciancalepore, Omar Adel Ibrahim+2 more|arXiv (Cornell University)|Jan 11, 2019

Network Security and Intrusion Detection参考文献 20被引用 5

一句话总结

PiNcH 是一种被动的、低成本的无人机检测系统，通过分析无人机与其遥控器之间的网络流量，利用标准分类算法识别无人机及其运行状态（如飞行或地面停放），特征包括报文到达间隔和数据包大小。该系统无需专用硬件或信号传输即可实现高精度检测。

ABSTRACT

We propose PiNcH, a methodology to detect the presence of a drone and its current status leveraging just the communication traffic exchanged between the drone and its Remote Controller (RC). PiNcH is built applying standard classification algorithms to the eavesdropped traffic, analyzing features such as packets inter-arrival time and size. PiNcH does not require either any special hardware or to transmit any signal. Indeed, it is fully passive and it resorts to cheap and general purpose hardware. To evaluate the effectiveness of our solution, we collected real communication measurements from the 3DR SOLO drone, being the most popular open-source hardware, running the widespread ArduCopter open-source firmware, mounted on-board on a wide range of commercial amateur drones. Then, we test our solution against different publicly available wireless traces. The results prove that PiNcH can efficiently and effectively: (i) identify the presence of the drone in several heterogeneous scenarios; (ii) identify the current state of a powered-on drone, i.e., flying or lying on the ground; (iii) discriminate the movement of the drone; and, finally, (iv) estimate a lower bound on the time required to identify a drone with the requested level of assurance. The quality and viability of our solution do prove that network traffic analysis can be successfully adopted for drone identification and pave the way for future research in the area.

研究动机与目标

• 开发一种仅依赖无人机与遥控器之间通信流量的被动、低成本无人机检测方法。
• 在无需专用硬件的情况下，于多样化的真实无线环境中检测无人机的存在。
• 对已开机的无人机进行运行状态分类，例如判断其是否处于飞行或地面状态。
• 检测无人机的运动状态，并估算在给定置信度下实现检测所需的时间。
• 证明仅通过网络流量分析即可有效支持无人机检测，为未来被动无人机监控研究提供基础。

提出的方法

• PiNcH 使用通用硬件被动监控无人机与遥控器之间的无线通信流量。
• 从捕获的流量中提取报文到达间隔、数据包大小等网络特征。
• 对这些特征应用标准机器学习分类器，以检测和分类无人机行为。
• 系统基于使用 ArduCopter 固件的 3DR SOLO 无人机在真实环境中采集的流量记录进行训练与评估。
• 该方法完全依赖于窃听通信，无需主动信号注入或定制硬件。
• 基于分类结果的置信度要求，估算检测所需时间的下限。

实验结果

研究问题

• RQ1 仅通过网络流量分析，能否在异构无线环境中检测到无人机的存在？
• RQ2 系统能否基于流量模式准确判断已开机无人机是处于飞行状态还是地面停放状态？
• RQ3 系统能否通过流量特征检测到无人机运动状态的变化，例如起飞或降落？
• RQ4 使用此被动方法，为达到特定置信度水平，检测无人机所需的最短时间是多少？
• RQ5 该方法在不同公开可用的无线流量记录和真实场景中的有效性如何？

主要发现

• PiNcH 在多种异构无线场景中均能以高精度成功识别无人机的存在。
• 仅通过网络流量特征，系统即可准确区分处于飞行状态与地面停放状态的无人机。
• 系统能够检测无人机运动状态的变化，例如在悬停与飞行状态之间的转换。
• 该方法可估算在指定置信度下检测无人机所需时间的下限，有助于实际部署规划。
• 该方案在使用现成硬件的情况下表现有效，且无需任何特殊设备或信号传输。
• 结果表明，被动网络流量分析是无人机检测的一种可行且高效的方法，为未来研究开辟了新方向。