Explainable Rule Mining of IPv6 Extension-Header Presence Patterns from Paired-Vantage Captures

📄 arXiv: 2610.08090v1 📥 PDF

作者: Priyanka Sinha, Nikolaos Kekatos, Stylianos Basagiannis, Antonio Anastasio Bruto da Costa, Alexios Lekidis, Pabitra Mitra, Tom Nianios, Elpiniki Papageorgiou

分类: cs.CR, cs.LG, cs.NI

发布日期: 2026-10-06

备注: 6 pages, 1 figure, 2 tables. Accepted at the 2026 IEEE International Conference on Cyber Security and Resilience (IEEE CSR 2026)

💡 一句话要点

提出可解释规则挖掘方法以分析IPv6扩展头行为

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: IPv6扩展头 规则挖掘 网络分析 可解释性 数据挖掘 网络安全 流量分析

📋 核心要点

  1. IPv6扩展头在网络传输中常被丢弃，导致对其行为的分析面临挑战。
  2. 提出可解释的规则挖掘方法，通过负控制协议和EH保留测量来恢复EH行为规则。
  3. 实验结果表明，主导的分片EH信号并未在网络时间结构中显现，验证了挖掘结果的有效性。

📝 摘要（中文）

IPv6扩展头（EHs）如分片、段路由和现场遥测在网络中至关重要，但常常在传输中被丢弃。本文探讨是否可以通过可解释的挖掘方法恢复EH行为的可读规则，并提出了两个可重用工具：一个负控制协议用于诊断挖掘的网络规则是否反映真实的跨包动态，另一个是基于发送者条件的EH保留测量。通过对JAMES配对视角数据集应用可解释的时间逻辑规则挖掘器，发现了一个可移植的分片EH规则，该规则显示为包内共现而非时间模式，表明时间逻辑机制在此主导规则上并未发挥作用。我们的主要结果是一个诚实的、受控的负发现，验证了网络时间结构并未携带主导的分片EH信号。

🔬 方法详解

问题定义：本文旨在解决IPv6扩展头在网络传输中被丢弃的问题，现有方法难以准确捕捉其行为特征，导致对EH的分析不够全面。

核心思路：通过引入可解释的规则挖掘方法，结合负控制协议和EH保留测量，旨在恢复EH行为的可读规则，从而提高对EH动态的理解。

技术框架：整体架构包括数据采集、规则挖掘和验证三个主要模块。数据采集使用JAMES配对视角数据集，规则挖掘采用可解释的时间逻辑方法，验证阶段则通过负控制协议进行。

关键创新：本研究的创新在于提出了负控制协议，能够有效区分真实的跨包动态与包内共现，提供了更为准确的EH行为分析框架。

关键设计：在参数设置上，采用了适应性阈值来优化规则挖掘过程，损失函数设计上则注重于提高可解释性，确保挖掘出的规则能够被人类理解。实验中还使用了决策树和大型语言模型作为基线进行对比。

🖼️ 关键图片

img_0
img_1
img_2

📊 实验亮点

实验结果显示，主导的分片EH信号未在网络时间结构中显现，验证了挖掘结果的有效性。通过与决策树和大型语言模型的对比，证明了所提出方法的准确性和可靠性，为EH行为分析提供了新的视角。

🎯 应用场景

该研究具有广泛的应用潜力，尤其在网络安全、流量分析和网络性能优化等领域。通过准确理解IPv6扩展头的行为，可以帮助网络工程师优化网络配置，提高数据传输的可靠性和效率，未来可能对网络协议的设计和实施产生深远影响。

📄 摘要（原文）

IPv6 extension headers (EHs), such as fragmentation, segment routing, and in-situ telemetry, are operationally important yetwidely dropped in transit, and characterising their behaviour from packet captures is a recurring measurement problem. We ask whetheran explainable miner can recover human-readable rules of EH behaviour, and we contribute two reusable tools: a negative-control protocol that diagnoses whether a mined "temporal" network rule reflects genuine cross-packet dynamics or mere within-packetco-occurrence, and a sender-conditioned, per-family EH-retention measurement. Applying an interpretable temporal-logic rule miner to the JAMES paired-vantage dataset, we recover a portable Fragment-EH rule that the protocol reveals to be a within-packet,near-definitional co-occurrence rather than a temporal pattern, so the temporal-logic machinery does no work for this dominant rule;the retention measurement independently recovers the expected within-window ordering of EH observability. Our main result istherefore an honest, controlled negative finding, corroborated by executed decision-tree and large-language-model baselines: on theevaluated JAMES traces network-temporal structure does not carry the dominant Fragment-EH signal, and we supply the controls thatestablish when it would, validated on a synthetic positive control containing a genuine cross-packet dependency.