IP溯源与定位技术综述

奚源

摘 要：网络IP地址的溯源和定位技术对打击网络犯罪具有重要意义。本文对网络IP地址及IP溯源和定位技术进行了介绍，并针对现有网络IP溯源和定位技术的新发展方法进行了综述，分别对每一类典型算法包括协作式分组溯源系统方案，基于网络时延测量的定位方案，基于路由特征的IP区域城市级定位等算法进行了分析。最后对IP溯源和定位技术在网络犯罪追踪中的作用提出了新的展望。

关键词：IP 溯源 定位 网络犯罪

中图分类号：TP393.08 文献标识码：A 文章编号：1672-3791（2018）11（a）-000-02

随着网络技术的高速发展，网络犯罪已经成为了一种新型犯罪形式，并且犯罪案例正在不断增加。计算机网络犯罪案件属于智能犯罪，其具有自身独特的特点和内在的规律。计算机网络技术和数据库理论已经应用于实际的网络犯罪侦查，发展了用于网络犯罪侦查取证的互联网协议地址的溯源和定位跟踪技术。互联网协议地址（Internet Protocol Address，即IP地址）是指互联网协议提供的一种统一的地址格式，它为互联网上的每一个网络和每一台主机分配了一个逻辑地址。IP地址已经成为侦查网络犯罪的突破口[1]，IP溯源和定位技术在网络犯罪的侦破中显示出了重要意义。

IP溯源是指标识出直接产生攻击流量的主机以及攻击流量经过的网络路径，并且能有效锁定攻击源的真实位置[2]，推断伪造地址发来的攻击报文来自网络中的真实路线，从而对攻击者予以定位。IP定位技术是确定网络中IP设备的地理位置[3]，通过网络能够锁定罪犯所在区域，为抓捕嫌疑犯提供了有力帮助。现今，针对不同的网络环境和设备部署，IP溯源和定位技术已经发展了多种不同算法技术。

1 IP溯源技术

网络追踪溯源是指通过网络确定犯罪者的身份或位置，以及犯罪过程的中间介质，还原犯罪进行路径的技术。IP溯源技术由于其目的在于寻找真正的攻击源，从而隔离攻击流量，因此受到许多研究者的关注。

IP溯源最直接的方法是对网络进行全范围的节点部署，可以获取全局信息、全网络节点部署报文检测。但是涉及开发成本及资源问题，显然这一方法并不可取，而现有的分布式部署方案也并不能得到良好的溯源准确率。电子科技大学的付鹏飞提出了一种协作式分组溯源系统方案[4]，该方法只使用了网络中部署的部分节点。先通过在网络中选取一定比例的节点为信息采集点后，仅在这些节点部署流量采集器。最后通过在服务器上开启若干台虚拟机组网的方式，通过实验验证了该系统可以准确定位攻击源，优于分布式部署方案。

已有的IP溯源技术大多依赖于网络节点的标记和记录，往往具有资源开销大、对网络设备配置要求高等缺点，因而在许多情况下难以实际应用。为了克服现有IP溯源技术的缺陷，华侨大学的陈欣[5]提出了3种改进方案：（1）基于网络流量特征的溯源盲检测算法，利用特征窗口参数选取的混合流量中单数据包溯源盲检测算法，其以数据包环境作为数据包的特征量，并在特征量上进行深度的分析；（2）基于簇匹配的数据包溯源盲检测算法，其为了实现高准确率的特征提取，提出了聚类结果独立性评估模型；（3）提出了簇间距离的判断模型，目的是提高溯源结果正确率。

随着手机网络逐步普及大力发展，移动网络犯罪也在逐步增加中。面对移动数据流量呈现爆炸性增长的情况下，运营商如何对该部分大数据进行挖掘和整理进而促进网络建设和市场运营，监管部门如何对该部分大数据进行查询和追溯进而保证网络安全和信息安全，有必要尽快和大力建设上网记录查询及IP溯源系统[6]。

2 IP定位技术

在IP定位系統和定位算法中，有4个比较关键的因素：测量节点、定位服务器、基础设施和待定位节点。IP地址地理定位旨在准确地确定给定的IP地址的物理空间位置，通常采用基于测量的技术或者基于数据分析的技术。

程远胜等人在思科网络环境下利用思科设备CDP协议，并结合交换机ARP表和桥接表，基于多表映射的方法实现了用户IP定位[7]。之后在其基础上进一步提出了多种设备混合网络中的定位方案。闫子骥等人基于SNMP协议，提出了一种高效的IP定位方法[8]。该方法基于SNMP协议，并结合哈希查找技术，通过对相关网络设备ARP及MAC地址表的一系列计算，实现快速精确的IP定位。

北京交通大学的李威在充分分析和研究了基于IP地址的地理定位技术优缺点的基础上，结合互联网企业的实际情况，设计出了一种基于网络时延测量的定位方案[9]。该方法利用网络相似性、浏览器Cookie信息以及投票机制，对测量结果进行推导，从己知地理位置的IP地址推导出更多的IP地址的地理位置。其为将来建立一个准确性较高的，能够自动更新的IP数据库打下了良好基础。

针对现有基于网络时延的IP区域城市级定位方法在分层架构且连通性较弱的网络环境下，难以获得可靠的定位结果的不足，信息工程大学的赵帆提出了基于路由特征的IP区域城市级定位算法[10]。该算法以某区域内已知位置的IP地址为参考地标，对其拓扑进行探测后，提取仅向单个候选区域或城市转发数据的特定路由器的IP地址作为标识IP及相应城市的标识特征，然后将目标的探测路径与各城市的标识IP相匹配，把目标路径中包含的标识IP对应的区域或城市作为目标的估计位置。实验在对河南省内相邻的7个城市中已知位置的IP进行测试，结果表明与现有典型算法相比，其算法的定位结果具有较高的稳定性和可靠性。

现有的基于数据分析的IP地址地理定位技术，对IP地址之间的关系考虑较少。考虑到IP地址的聚集特性，郭立轩等人提出了一种基于邻近序列的IP地址地理定位方法[11]。首先计算IP地址的邻近序列，并将其转化为对应的经纬度序列，然后建立模型并求解。以IP地址定位库和含有GPS信息的移动流量数据为原始数据，对该方法进行了实验验证。实验结果表明，通过邻近IP序列确实可以确定IP地址的物理空间位置，平均定位误差在20～30km，实现了区县一级的定位。

以上IP定位算法为IP地址地理定位问题提供了新的解决方案，一般为了获得更优的结果，还可以与其他基于测量或者基于数据分析的方法同时使用。

3 结语

IP溯源和定位技术已经在网络犯罪侦查中发挥了越来越重要的作用。IP溯源和定位技术算法正飞速发展与更新，其追踪和定位的精度和速度正在不断增长。但是算法发展瓶颈在于无法获取完整的IP网络信息和设备，因此建立网络犯罪信息和IP定位跟踪技术、电信关联的信息系统迫在眉睫。如果更多的计算机网络专业技术人员和犯罪学研究人员加入到计算机网络犯罪侦查取证的研究队伍中来，将会对网络犯罪侦查起到巨大的推动作用。

参考文献

[1] 谭建伟，韩忠.IP地址在网络犯罪侦查中的应用[J].中国人民公安大学学报：自然科学版，2003，9（6）：33-37.

[2] 达青.浅析IP溯源技术的发展应用[J].科技创新与应用，2014（19）：68.

[3] 王占丰，冯径，邢长友，等.IP定位技术的研究[J].软件学报，2014（7）：1527-1540.

[4] 付鹏飞.协作式分组溯源方法研究[D].成都：电子科技大学，2018.

[5] 陈欣.基于网络流量特征的溯源算法研究[D].泉州：华侨大学，2016.

[6] 田海晖.移动用户上网记录查询及IP溯源系统建设方案浅析[J].电子测试，2017（21）：67-69.

[7] 程远胜，吴政南.基于多表映射实现用户IP定位的研究[J].软件导刊，2009（11）：134-136.

[8] 闫子骥，安计勇.一种高效的IP定位方法[J].安徽电子信息职业技术学院学报，2014（3）：10-14.

[9] 李威.基于IP地址的网络实体地理位置定位技术研究与实现[D].北京：北京交通大学，2012.

[10] 赵帆.基于路径探测与时延测量的IP定位算法研究[D].郑州：解放军信息工程大学，2015.

[11] 郭立轩，卓子寒，何跃鹰，等.基于邻近序列的IP地址地理定位方法[J].计算机科学，2018，45（1）：200-204.