Steganaliz: Gizli İletileri Algılama

En temel steganaliz tekniği, şüpheli bir görüntüye yakından bakmaktır. Piksel düzeyine yakınlaştırmak ve tekdüze renkli bölgeleri incelemek, görüntü içeriğiyle uyumsuz blok bozulmalarını veya gürültü örüntülerini ortaya çıkarabilir. Görüntüyü gri tonlamaya dönüştürmek, karşıtlığı ayarlamak ve renk histogramlarını incelemek, belirli bölgelere steganografik gömme yapıldığını düşündüren anomalileri açığa çıkarabilir.

Ki-kare sınaması, LSB steganografisi için klasik bir istatistiksel sınamadır. Doğal görüntülerde, birbirini izleyen çift-tek değer çiftlerinin benzer sıklıkta görüldüğü karakteristik renk değeri dağılımları bulunur. LSB gömme, tek değerleri çift değerlere veya çift değerleri tek değerlere dönüştürerek bu çiftlerde tespit edilebilir dengesizlikler oluşturur. Ki-kare istatistiği, beklenen çift sıklıklarından sapmayı ölçer ve gömme tespit edildiğinde önemli ölçüde yükselir.

Örnek çifti analizi, yalnızca gömmenin gerçekleşip gerçekleşmediğini değil, gömülü mesajın uzunluğunu da tahmin eden daha gelişmiş bir LSB tespit yöntemidir. Komşu piksel değer çiftleri arasındaki geçişleri sayar ve bu sayıların farklı miktarlardaki gömülü verilerle nasıl değiştiğini modeller. Bir analist, gözlemlenen sayıları modele uydurarak taşıyıcı kapasitesinin ne kadarının kullanıldığını tahmin edebilir.

PSNR (Tepe Sinyal-Gürültü Oranı) ve SSIM (Yapısal Benzerlik İndeksi) gibi görüntü kalitesi ölçütleri, şüpheli bir görüntüyü varsayılan temiz bir referansla veya doğal görüntülerin istatistiksel modeliyle karşılaştırır. Çok yüksek PSNR, değişikliğin en az düzeyde olduğunu düşündürür; görüntü genelinde karmaşık bölgelerde yoğunlaşmak yerine olağandışı biçimde eşit dağılan gürültü, doğal kamera gürültüsünden ziyade sistematik LSB manipülasyonuna işaret eder.

RS analizi, görüntü piksellerini gruplara ayırır ve LSB'ler tersine çevrildiğinde pürüzsüzlük ölçütlerinin nasıl değiştiğine göre bu grupları Düzenli, Tekil veya Kullanılamaz olarak sınıflandırır. Doğal görüntülerde Düzenli grupların oranı, Tekil grupların oranını biraz aşar. LSB gömme, bu oranları öngörülebilir biçimde birbirine yaklaştırır. LSB'ler tersine çevrilmeden önce ve sonra R ile S değerlerinin ölçülmesi, gömme oranını tahmin eden sağlam bir tespit yöntemi sağlar.

Hedefli steganaliz, belirli bir steganografi aracının veya algoritmasının kendine özgü istatistiksel izinden yararlanarak onu tespit etmek üzere tasarlanır. Evrensel steganaliz olarak da adlandırılan kör steganaliz ise hangi aracın kullanıldığını bilmeden herhangi bir gizli içeriği tespit etmeye çalışır. Kör yöntemler genellikle görüntüden yüzlerce istatistiksel özellik çıkarır ve bilinen temiz görüntüler ile steganografik görüntüler üzerinde eğitilmiş makine öğrenmesi sınıflandırıcılarını kullanır.

Modern steganaliz, büyük temiz ve steganografik görüntü veri kümeleri üzerinde eğitilmiş evrişimli sinir ağlarını (CNN) kullanır. CNN, steganografik gömmenin neden olduğu ince ikinci dereceden istatistiksel farklılıkları belirlemeyi öğrenir. SRNet ve Yedroudj-Net gibi modeller, piksel başına 0,1 bit gibi düşük gömme oranlarında bile güncel steganografi araçlarına karşı çok yüksek tespit oranlarına ulaşır. Gömme ve tespit arasındaki silahlanma yarışı sürmektedir.

StegExpose, bir görüntü kümesine birden çok tespit algoritması uygulayan ve puanları birleştiren açık kaynaklı bir toplu steganaliz aracıdır. Ki-kare sınamasını, RS analizini, birincil kümeleri ve örnek çifti analizini uygular ve birleştirilmiş bir olasılık puanı üretir. Güvenlik ekipleri, olası veri dışarı aktarımını tespit etmek için büyük görüntü depolarını taramak üzere bu aracı kullanır. Steghide, OpenStego ve Outguess gibi yaygın araçlara karşı etkilidir.

Birçok steganografi aracı, istatistiksel anomalilerin yanı sıra kendine özgü izler bırakır. Örneğin Steghide, değiştirilmiş WAV dosyalarının ilk birkaç baytında belirli bir örüntü oluşturur. OpenPuff, dosya üstbilgisini tanınabilir bir biçimde değiştirir. Bu araç imzaları, adli bilişim yazılımlarının yalnızca steganografi kullanıldığını değil, hangi özel aracın kullanıldığını da belirlemesini sağlar; bu da veri çıkarma girişimini yönlendirmeye yardımcı olur.

İçerik türlerine göre beklenenden büyük dosyalar, gizli bir veri yükünün göstergesi olabilir. Boyutlarına göre beklenen dosya boyutunun iki katı olan bir PNG ekran görüntüsü, gizli bir arşiv içerebilir. Gerçek dosya boyutlarını piksel boyutları, renk derinliği ve sıkıştırma ayarlarına göre beklenen boyutlarla karşılaştırmak, ayrıntılı steganaliz yapmadan önce şüpheli dosyaları belirlemek için hızlı bir ön inceleme yöntemi sağlar.

Dijital adli bilişim incelemeleri, yalnızca taşıyıcı dosyaların kendisini değil, steganografi aracının yüklenmiş veya kullanılmış olduğuna dair işaretleri de arar. Steganografi yazılımı indirme sayfalarının ziyaret edildiğini gösteren tarayıcı geçmişi, OpenStego gibi yüklü uygulamalar ve steganografik işlemlerden kalan geçici dosyaların tümü adli bilişim göstergesi olabilir. Windows kayıt defteri girdileri, taşıyıcı veya gizli veri kaynağı olarak kullanılan yakın zamanda açılmış dosyaları kayıt altına alabilir.

Steganaliz, görsel incelemeden gelişmiş makine öğrenmesi sınıflandırıcılarına kadar uzanır. Ki-kare ve RS analizi, LSB gömme için kullanılan klasik istatistiksel tespit yöntemleridir. Örnek çifti analizi, gömme oranını tahmin eder. Makine öğrenmesi kullanan CNN'ler, modern araçlara karşı yüksek tespit oranlarına ulaşır. StegExpose, toplu tarama için birden çok sınamayı birleştirir. Araç imzaları ve dosya boyutu anormallikleri, salt istatistiksel analizin ötesinde ek adli bilişim göstergeleri sağlar.