Intelligent Forensics in Next-Generation Mobile Networks: Evidence, Methods, and Applications

1. 问题背景 (Problem Statement)

随着无线通信系统向 6G 演进，网络架构变得更加可编程、软件化（如云原生核心网、网络切片、分布式 RAN），并集成了边缘智能和异构设备。这种复杂性带来了新的安全挑战：

• 取证困难：传统的数字取证主要依赖日志、文件和软件工件，但在无线环境中，关键证据往往是短寿命的（ephemeral）、分布式的且异构的（如无线电波形、信道测量、设备侧痕迹、网络遥测）。
• 证据的不确定性：无线证据受校准误差、时间同步不确定性、隐私限制以及对抗性操纵（如信号伪造、信道漂移）的影响严重。
• 现有方法的局限：现有的安全监控和入侵检测系统（IDS）侧重于实时防御，缺乏对事后事故进行**可问责的重建（accountable post-incident reconstruction）**的能力。传统的数字取证方法难以处理无线特有的物理层特征和动态信道环境。

核心问题：如何构建一个以证据为中心的框架，将无线测量视为一等取证工件，在存在不确定性、移动性和资源限制的情况下，实现可验证、可重现且可归责的无线事故重建。

2. 方法论 (Methodology)

论文提出了一套**以证据为中心（Evidence-Centric）**的智能取证框架，将无线取证流程系统化，并引入了人工智能（AI）辅助技术。

2.1 统一分类法 (Unified Taxonomy)

文章将无线取证分为四个层次，详细分析了每层的证据类型、支持的取证主张、局限性及对抗手段：

1. 物理层取证 (Physical-layer Forensics)：
   • 证据：原始基带波形（I/Q 样本）、信道状态信息（CSI）、硬件损伤特征（射频指纹）。
   • 主张：异常频谱活动检测、源关联（设备归属）、时空演化约束。
   • 挑战：信道衰落、校准漂移、对抗性波形操纵。
2. 设备层取证 (Device-layer Forensics)：
   • 证据：基带固件接口、无线电接口层（RIL）执行状态、SIM 卡日志。
   • 主张：协议栈行为归因、硬件身份完整性、基带协议合规性。
   • 挑战：厂商固件不透明、特权隔离、日志绕过。
3. 网络层取证 (Network-layer Forensics)：
   • 证据：数据包踪迹、流记录、控制平面日志、管理遥测。
   • 主张：加密服务识别、流量签名入侵检测、虚拟事件时间线重建。
   • 挑战：加密导致的语义模糊、采样不完整、地址转换。
4. 跨层融合 (Cross-layer Fusion)：
   • 方法：结合空口测量、设备侧工件和基础设施遥测，进行多模态融合。
   • 目标：身份 - 物理绑定、操作溯源验证，解决单层证据不完整的问题。

2.2 取证工作流 (Forensic Workflow)

文章将取证过程系统化为四个阶段，并对比了传统方法与 AI 辅助方法：

1. 取证就绪与按设计保存 (Readiness & Preservation-by-design)：
   • 从被动记录转向自适应保留。利用 AI 进行异常检测触发（如基于 CSI 的无人机检测），动态调整证据采集粒度（置信度感知采样）。
2. 采集 (Acquisition)：
   • 利用专用工具（如修改固件的网卡、诊断接口）获取隐藏测量值。
   • AI 驱动：主动感知（Active Sensing，如利用 RIS 进行挑战 - 响应）、证据重构与超分辨率（利用生成模型补全缺失数据）。
3. 关联与分析 (Correlation & Analysis)：
   • 传统方法：基于规则的关联、信号解缠（盲源分离、匹配滤波）。
   • AI 辅助：多模态融合、因果推断、根因分析（图神经网络）、缺失痕迹插值。强调 AI 应作为“可审计的排序工具”而非最终判决者。
4. 报告与可重现性 (Reporting & Reproducibility)：
   • 强调校准报告和证据包（包含原始数据、分析视图、不确定性信息）。
   • 必须保存计算路径（版本化代码、模型检查点、校准文件），确保第三方可重现分析结果。

3. 核心贡献 (Key Contributions)

1. 提出了统一的无线证据分类法：涵盖了从射频、协议到架构踪迹的完整证据链，明确讨论了证据价值和不确定性来源，填补了现有文献多关注日志而忽视无线电测量的空白。
2. 系统化了无线取证工作流：区分了就绪、采集、关联分析和报告阶段，并明确了 AI 辅助方法在何处可以安全地插入（如自适应采集、不确定性量化），同时保留了传统方法的严谨性。
3. 总结了从信号级识别到跨层关联的分析方法：强调了得出可辩护结论的设计原则，包括溯源性（Provenance）和可重现性（Reproducibility）。
4. 提供了应用案例与评估实践：
   • 异常发现：基于 CSI 的无人机检测、KPI 异常检测。
   • 归因与识别：边缘网络中的服务归因、基于信号的物理层设备指纹。
   • 溯源与定位：基于 RSS/CSI 的定位及置信区域报告、轨迹重建。
   • 真实性与防伪造：物理层标签（Tagging）、RIS 辅助的挑战 - 响应机制、抗重放验证。
   • 时间线重建：跨域遥测关联与无线传感驱动的事件流重建。
5. 识别了开放挑战：包括域偏移（Domain Shift）、资源感知取证、生成式证据的法律效力风险等。

4. 主要结果与发现 (Results & Findings)

• 混合工作流的优势：纯传统方法在动态无线环境中缺乏适应性，而纯 AI 方法存在黑盒和不可解释性风险。最佳实践是混合工作流：利用传统方法确保证据保存逻辑和可解释性，利用 AI 提高在资源受限和加密环境下的检测效率与关联能力。
• 定位与溯源精度：
  • 在室内非视距（NLoS）场景下，通过 CSI 聚合和几何推理，定位误差可控制在米级（如案例中聚合 40 个数据包时中位误差约 1.78 米）。
  • 引入置信区域（Confidence Regions）和不确定性量化（如贝叶斯神经网络）对于生成可被法律采纳的轨迹报告至关重要。
• 真实性验证：
  • 物理层标签（Physical-layer Tags）和 RIS 挑战机制能有效防止重放攻击和伪造，但需要权衡频谱效率。
  • 生成式 AI 可用于增强低分辨率证据（如超分辨率 CSI），但必须明确标记为“衍生证据”而非原始证据，以防法律效力争议。
• 资源感知：AI 驱动的自适应采集（如根据风险动态调整采样率）可在保持高检测精度的同时，显著降低存储和带宽开销（案例中显示可减少 46% 的传输数据量）。

5. 意义与影响 (Significance)

• 理论意义：该论文将无线取证从单纯的“检测”提升到了“可问责重建”的高度，确立了无线测量作为一等取证工件的地位，为 6G 安全研究提供了新的理论框架。
• 实践价值：
  • 为低空经济（无人机）、车联网（V2X）、边缘智能等关键基础设施提供了具体的取证实施指南。
  • 提出的“证据包”标准和可重现性流程，有助于解决当前无线事故调查中证据链断裂、难以复现的痛点。
• 未来导向：指出了生成式 AI 在取证中的双刃剑效应（既可用于增强证据，也可用于伪造），呼吁建立针对生成式证据的法律效力评估标准。

总结：这篇论文不仅综述了现有技术，更构建了一个完整的智能无线取证生态系统，强调在下一代网络中，安全防御必须包含能够应对不确定性、支持事后审计和重建的取证能力，是实现可信、可审计无线系统的基础。