ステガナリシス：隠しメッセージの検出

最も基本的なステガナリシスの手法は、疑わしい画像を単純に詳しく観察することです。ピクセルレベルまで拡大し、均一な色の領域を調べると、画像の内容と一致しないブロックアーティファクトやノイズパターンが見つかることがあります。グレースケールへの変換、コントラストの調整、色ヒストグラムの確認によって、特定の領域でステガノグラフィックな埋め込みが行われたことを示す異常を明らかにできる場合があります。

カイ二乗検定は、LSBステガノグラフィに対する古典的な統計検定です。自然画像では、色の値に特徴的な分布があり、隣接する偶数・奇数値のペアはほぼ同じ頻度で現れます。LSBの埋め込みによって奇数値が偶数値に、または偶数値が奇数値に変わるため、これらのペアに検出可能な不均衡が生じます。カイ二乗統計量は、予測されるペア頻度からのずれを測定するもので、埋め込みが検出されると大幅に上昇します。

サンプルペア分析は、埋め込みが行われたかどうかだけでなく、埋め込まれたメッセージの長さも推定する、より高度なLSB検出手法です。隣接するピクセル値のペア間の遷移を数え、埋め込みデータ量によってその数がどのように変化するかをモデル化します。観測されたカウントをモデルに適合させることで、分析者はキャリアの容量のうちどの程度が使用されたかを推定できます。

PSNR（Peak Signal-to-Noise Ratio、ピーク信号対雑音比）やSSIM（Structural Similarity Index、構造的類似度指標）などの画質指標は、疑わしい画像を想定上のクリーンな参照画像、または自然画像の統計モデルと比較します。PSNRが非常に高い場合は変更が最小限であることを示します。一方、画像全体に異常に均一に分布するノイズは、複雑な領域に集中する自然なカメラノイズではなく、体系的なLSB操作を示唆します。

RS分析では、画像のピクセルをグループに分け、LSBを反転したときに滑らかさの指標がどのように変化するかに基づいて、Regular、Singular、Unusableに分類します。自然画像では、Regularグループの割合がSingularグループをわずかに上回ります。LSBの埋め込みによって、これらの割合は予測可能な形で均等化されます。LSBを反転する前後のR値とS値を測定することで、埋め込み率を推定できる堅牢な検出器になります。

ターゲット型ステガナリシスは、特定のステガノグラフィツールやアルゴリズムが持つ固有の統計的特徴を利用して、それらを検出するように設計されています。ブラインド・ステガナリシスはユニバーサル・ステガナリシスとも呼ばれ、使用されたツールを知らずに、あらゆる隠しコンテンツの検出を試みます。ブラインド方式では通常、画像から数百の統計的特徴量を抽出し、既知のクリーン画像とステガノ画像で学習した機械学習分類器を使用します。

現代のステガナリシスでは、クリーン画像とステガノ画像の大規模なデータセットで学習した畳み込みニューラルネットワークを使用します。CNNは、ステガノグラフィックな埋め込みによって生じる微細な二次統計的差異を識別するように学習します。SRNetやYedroudj-Netなどのモデルは、埋め込み率が1ピクセルあたり0.1ビットと低い場合でも、現在のステガノグラフィツールに対して非常に高い検出率を達成しています。埋め込みと検出のいたちごっこは続いています。

StegExposeは、複数の検出アルゴリズムを画像セットに対して実行し、そのスコアを組み合わせるオープンソースの一括ステガナリシスツールです。カイ二乗検定、RS分析、プライマリセット、サンプルペア分析を実装し、統合された確率スコアを出力します。セキュリティチームは、潜在的なデータ外 exfiltrationを検出するため、大規模な画像リポジトリのスキャンに使用します。Steghide、OpenStego、Outguessなどの一般的なツールに対して有効です。

多くのステガノグラフィツールは、統計的な異常以外にも特徴的なアーティファクトを残します。たとえばSteghideは、変更されたWAVファイルの先頭数バイトに特定のパターンを生成します。OpenPuffは、認識可能な方法でファイルヘッダーを変更します。こうしたツールシグネチャを利用すれば、フォレンジックソフトウェアはステガノグラフィが使用されたことだけでなく、どの具体的なツールが使われたかも特定できます。これにより、抽出方法を選びやすくなります。

コンテンツの種類に対して予想外に大きいファイルは、隠しペイロードの存在を示すことがあります。たとえば、同じ寸法のスクリーンショットとして予想されるサイズの2倍あるPNGには、隠しアーカイブが含まれている可能性があります。実際のファイルサイズを、寸法、色深度、圧縮設定に基づく予想サイズと比較することで、詳細なステガナリシスを行う前に疑わしいファイルを特定する迅速なトリアージが可能になります。

デジタルフォレンジック調査では、キャリアファイルそのものだけでなく、ステガノグラフィツールのインストールや使用の痕跡も探します。ステガノグラフィソフトウェアのダウンロードページへのアクセスを示すブラウザー履歴、OpenStegoなどのインストール済みアプリケーション、ステガノグラフィ処理で作成された一時ファイルは、いずれもフォレンジック上の指標になります。Windowsのレジストリエントリには、キャリアや隠しデータの元として使用された最近開いたファイルが記録されている場合があります。

ステガナリシスは、目視検査から高度な機械学習分類器まで多岐にわたります。カイ二乗検定とRS分析は、LSB埋め込みを検出する古典的な統計検出手法です。サンプルペア分析は埋め込み率を推定します。機械学習によるCNNは、最新のツールに対して高い検出率を達成します。StegExposeは複数の検定を組み合わせて一括スキャンを行います。ツールシグネチャやファイルサイズの異常は、純粋な統計分析以外のフォレンジック指標となります。