一种基于时间重建与伪迹分析的物联网医疗网络流量法医分析框架

《Forensic Science International: Digital Investigation》：A forensic analysis framework for IoMT network traffic using temporal reconstruction and artefact profiling

　　Cifha Crecil Dias|Vidya Rao
印度卡纳塔克邦曼尼帕尔，曼尼帕尔高等教育学院，曼尼帕尔技术学院，邮编576104

摘要
医疗物联网设备在医疗环境中的快速普及增加了网络攻击的风险，这凸显了进行有效的事后法医分析的必要性。现有研究大多集中在实时入侵检测上，而针对支持医疗物联网网络中攻击重建与溯源的法医方法则相对较少。本文提出了一种针对医疗物联网网络流量的法医分析框架，该框架侧重于可解释的流量级特征、时间行为以及协议级证据。该框架利用医疗物联网网络流量数据集，通过流量元数据分析统计、时间、容量相关及协议指标，无需依赖数据包内容检查或设备特定信息。通过统计特征分析及基于数据包到达时间的时间重建，可以识别正常流量与攻击流量之间的差异，从而重建攻击活动的相对时间线。协议级分析则通过将观察到的异常现象与被利用的网络协议联系起来，为攻击溯源提供支持。此外，还引入了一种轻量级的随机森林模型，作为辅助分类机制，用于在保持可解释性的同时优先处理可疑流量。研究结果表明，仅通过流量级特征就能得出有意义的法医结论，因此该框架适用于对隐私要求较高的医疗环境，也可作为以检测为导向的医疗物联网安全研究的补充。

引言
医疗物联网的快速应用通过实现持续患者监测、远程诊断以及基于数据的临床决策，彻底改变了现代医疗模式（Farahani等人，2018；Bhargava等人，2024）。如今，输液泵、可穿戴传感器以及联网诊断设备等医疗设备 routinely在医院和云基础设施之间交换敏感数据（Wani等人，2024）。虽然这些系统提升了护理效率与质量，但也扩大了医疗环境的网络攻击面，使医疗物联网网络面临各种安全威胁（Sicari等人，2015）。近期发生的多起事件表明，医疗物联网系统容易遭受基于网络的攻击，包括服务拒绝攻击、协议滥用、侦察以及欺骗行为（Razaque等人，2019）。与传统企业网络不同，医疗物联网系统的设备通常功能有限、协议种类多样，且内置的安全控制措施较为薄弱。因此，针对医疗物联网网络的攻击可能会扰乱临床运营、降低设备可用性，甚至危及患者安全（Roman等人，2018）。因此，理解和分析与医疗物联网相关的网络安全事件已成为医疗安全团队的重要任务。

目前，关于医疗物联网安全的多数研究集中在实时入侵检测方面，通常采用机器学习或深度学习模型来判定网络流量是良性还是恶意（Gyamfi等人，2022；Khraisat和Gondal，2019；Gupta等人，2021）。尽管这类方法有助于早期检测，但它们对事后调查的支持十分有限。在实际的法医分析中，调查人员不仅需要确定是否发生了攻击，还需要了解攻击的具体过程、被利用了哪些协议，以及有哪些可观察的特征可用于溯源和报告（Varghese和Rao，2024）。现有的医疗物联网入侵检测研究往往更注重分类准确性，而对攻击的时间行为或决策所用特征的直观性关注不足（Park等人，2020）。数字网络法医分析旨在通过分析事件发生后的网络活动留下的可观察特征来解决这些问题。在医疗物联网环境中，这类特征可能包括流量级统计信息、时间模式、协议使用情况以及异常流量特征。然而，针对医疗物联网网络流量设计的系统性法医分析框架在现有文献中仍然较少。尤其缺乏将基于特征的剖析与时间重建相结合、以支持面向医疗领域的物联网系统事后分析的研究。

在医疗物联网安全领域，区分事件响应与事后网络法医分析非常重要。事件响应活动主要侧重于实时检测、遏制和缓解正在进行的攻击，而事后网络法医分析则旨在在事件发生后重建并解释其发展过程。本文提出的框架通过分析可解释的流量级网络特征，支持对医疗物联网网络攻击的重建、溯源以及结构化报告，从而助力事后法医调查。此处所用的“法医”一词具有技术性调查含义，指的是对网络特征的系统性分析，并不意味着具备独立的法律认可度或可直接用于法庭的证据。

本文通过提出一种强调可解释性、时间行为及协议级证据的医疗物联网网络流量法医分析框架，弥补了这一空白。该框架并非旨在开发新的入侵检测模型，而是着重分析那些能够帮助法医调查人员理解及解释医疗物联网网络攻击的流量级特征。借助最新的医疗物联网流量数据集（Dadkhah等人，2024；加拿大网络安全研究所，2024），该框架分析了流量的统计特征，通过数据包到达时间分析重建攻击时间线，并根据协议存在模式对攻击进行溯源。此外，还采用了一种轻量级机器学习模型作为辅助分类机制，用于优先处理可疑流量，同时不影响法医分析的完整性。

本研究的主要贡献如下：
• 一种法医特征工程方法，用于选择与医疗物联网网络调查相关的可解释流量级特征；
• 一种统计特征分析方法，用于识别正常医疗物联网流量与多种攻击类型之间的差异；
• 一种时间重建方法，通过累计数据包到达时间分析揭示不同的攻击行为特征；
• 一项协议级溯源研究，阐明在不同类型的医疗物联网攻击中具体有哪些网络协议被利用；
• 一种基于机器学习的法医辅助分类组件，可在保持可解释性的同时为分析人员提供决策支持。

由于该研究侧重于事后分析而非实时检测，因此为负责分析医疗物联网相关网络安全事件的调查人员和安全从业者提供了实用见解。研究结果表明，即便没有数据包内容检查或设备特定信息，也能从流量级网络特征中得出有意义的法医结论。

本文结构如下：第1节为相关工作与数据集描述，第2节为局限性及未来工作，第3节为数据集与威胁模型，第4节为法医特征工程，第5节为法医特征分析，第6节讨论时间重建，第7节阐述协议级溯源，第8节介绍机器学习辅助分类，第9节为讨论部分，第10节再次提及局限性及未来工作，最后第11节对研究结果进行简要总结。

相关工作
近年来，针对物联网及医疗物联网系统安全的研究大幅增加，这反映出在关键领域中对连接设备的依赖日益加深。现有研究大致可分为三类：物联网网络的入侵检测方法、网络流量分析方法，以及应用于 cyber-physical 系统的数字法医分析研究。本节将回顾这些领域的相关工作，并指出本文所要填补的空白。

数据集与威胁模型
本节介绍了用于法医分析的数据集，并概述了本研究考虑的威胁模型。其目的是以符合医疗物联网环境事后网络法医分析标准的方式，明确界定分析的范围、假设及限制条件。

法医特征工程
在网络法医分析中，特征工程起着至关重要的作用，因为所选特征直接影响分析的可解释性和证据价值。与通常依赖大量高维或难以理解的特征的入侵检测系统不同，法医分析更注重那些能够被调查人员有效解读，并与可观察的网络行为相对应的特征（Casey，2011；Thakkar和Lohiya，2020）。在医疗物联网背景下……

法医特征分析
本节对从医疗物联网网络流量中提取的流量级特征进行了法医分析。其目标是利用前文定义的法医特征，识别并解释正常流量与各类医疗物联网攻击之间的可观察差异。该分析并非着眼于提升检测性能，而是致力于理解攻击如何通过具有实际意义的统计、时间及协议相关特征表现出来，从而便于事后分析。

医疗物联网攻击的时间重建
时间重建是网络法医分析的核心组成部分，它帮助调查人员了解攻击随时间的发展过程，识别异常活动时段，并将事件与实际影响联系起来。在医疗物联网环境中，由于医疗设备通信具有连续性和时间敏感性，时间分析尤为重要。本节利用从流量中获取的定时特征，对医疗物联网攻击的行为进行时间重建。

协议级溯源
在网络法医分析中，协议级证据具有重要意义，因为不同类型的攻击往往依赖于特定的协议和通信行为。在医疗物联网环境中，由于有多种网络协议支持设备间的通信，分析协议的存在情况有助于调查人员将观察到的流量异常归因于特定的攻击策略。本节探讨了从流量元数据中提取的协议级特征，及其在医疗物联网分析中的价值。

机器学习辅助法医分类
尽管法医分析主要依赖于特征解读和分析人员的专业经验，但在事后分析过程中，自动化技术可以帮助处理大量网络流量。在医疗物联网环境中，由于设备持续通信会产生大量流量日志，仅靠人工检查可能难以应对。本节评估了将轻量级机器学习模型作为法医分类辅助工具的可行性，旨在帮助识别潜在的可疑流量。

讨论
本节探讨了法医分析结果的意义，并分析所提出的框架如何为医疗物联网环境中的事后调查提供支持。与仅关注性能指标不同，本节更加强调可解释性、证据价值及实际应用性，这些都是数字法医分析中的核心问题（Rehman等人，2025；Dadkhah等人，2024）。本研究未分析任何可识别患者身份的数据，所有分析均基于公开可用的网络流量数据集。

局限性及未来工作
虽然所提出的框架证明了基于特征的法医分析在医疗物联网网络流量分析中的有效性，但仍存在若干局限性。认识到这些局限性对于正确解读结果及确定未来研究方向至关重要。首先，该分析是基于流量级网络记录而非原始数据包捕获进行的。尽管基于流量的分析更符合医疗环境中的实际法医分析需求，但它……

结论
本文提出了一种针对医疗物联网网络流量的法医分析框架，该框架强调可解释性、时间重建及协议级证据，以支持事后调查。与那些注重分类准确率的检测导向方法不同，该框架侧重于分析流量级特征，帮助调查人员了解医疗物联网网络攻击的表现形式及其演变过程。通过统计特征分析，本研究……

CRediT作者贡献说明
Cifha Crecil Dias：写作——审稿与编辑，写作——初稿撰写。Vidya Rao：写作——初稿撰写，可视化，验证，软件开发，方法设计，调查分析，形式化分析，数据整理，概念构建。

伦理考量
本研究未涉及人类参与者或可识别患者身份的数据，所有分析均基于公开可用的网络流量数据集。

人工智能工具的使用
在撰写本文的过程中，有限地使用了基于人工智能的工具作为辅助。具体而言，采用了人工智能辅助语言工具来帮助构建文章结构、优化学术写作及进行英语语言编辑。所有技术内容、实验设计、数据分析、结果及解释均由作者亲自完成、验证并确认。作者对内容的准确性、原创性承担全部责任。

利益冲突声明
作者声明以下可能被视为潜在利益冲突的财务利益/个人关系：Vidya Rao获得了曼尼帕尔高等教育学院的资助。其他作者则声明不存在任何可能影响本文研究成果的已知财务利益或个人关系。

致谢
作者感谢加拿大网络安全研究所提供了本研究所分析所使用的CICIoMT2024数据集。同时，也感谢曼尼帕尔技术学院以及曼尼帕尔高等教育学院的网络安全卓越中心，为这项研究提供了必要的研究基础设施和计算资源。