网络隐蔽通道技术是一种被广泛应用的网络攻击技术,该技术利用网络通信数据作为载体进行秘密通信。网络隐蔽通道中的通信具有隐蔽性,再加上普通的网络安全产品自身的局限性,这使得网络隐蔽通道中的信息传递活动很难被检测到。网络隐蔽通道可以构建在TCP/IP模型的各层上(物理层、网络层、传输层、应用层)的很多协议上,相对于其它层的协议而言ICMP协议有着天然的优势:许多网络设备认为ICMP流量是良性,对其负载部分不进行检测,攻击者可以将生成的任意信息隐藏在ICMP的有效负载中,构成隐蔽通道。关于ICMP下的隐蔽通道检测研究就是在这样的背景下开始的。本文对ICMP协议进行分析后,提出了使用ICMP协议构建隐蔽通道的方法,并在C++Builder 6.0下实现。针对ICMP隐蔽通道的检测,目前通常采用标准支持向量机的方法,但训练时间过高,不适于大规模数据集的检测。我们在深入研究ICMP数据流熵标准差和熵值分布特性的基础上,发现近95%的ICMP数据包中不含有隐蔽通道,如果将这些数据筛选掉,在获得较高的分类精度、检测率的同时,大大缩减了训练时间。基于这样的思想,我们提出了基于信息熵的训练样本集缩减策略,并进一步构造出可用于大规模数据集下ICMP负载隐蔽通道检测模型—信息熵支持向量机模型。信息熵支持向量机模型中核函数的选取问题也是我们的重点研究内容之一。针对在求解实际问题时使用单一核函数,SVM的性能很难达到最优,学习能力与推广能力较弱等问题,我们建立了若干选取规则,分别解决了核函数的类型及核参数选取的问题,提出了不同于传统意义的核函数的选取方法,并构造出一种有效的混合核函数。通过本文的工作,希望能够对今后大规模数据集下的其他类型的网络隐蔽通道的检测研究,提供新的参考。