CN102932794A - 一种分簇自组织网络中黑洞攻击检测方法 - Google Patents

Abstract

本发明涉及一种分簇自组织网络中黑洞攻击检测方法，该方法包括以下步骤：步骤1：在基站处安放一台监控装置;步骤2：对该基站覆盖范围内的自组织网络中所有簇头区域进行实时监测；步骤3：判断所监控的区域是否存在异常簇头区域，如果存在进入步骤4，否则返回步骤2；步骤4：对异常簇头区域中的终端节点的信用等级进行检测，找到可疑节点组成可疑节点集合S1；步骤5：对S1中节点的流量差值进行检测，找出黑洞攻击节点组成黑洞攻击节点集合S2；步骤6：监控装置发出预警提示。该方法不仅能解决单个恶意节点的攻击，还能有效解决了多个恶意节点之间相互协作配合进行攻击的问题，且能发出报警，利于及时对黑洞攻击进行防御和处理。

Description

一种分簇自组织网络中黑洞攻击检测方法

技术领域

本发明涉及一种自组织网络中黑洞攻击的检测方法，属于无线传感器网络安全领域。

背景技术

自组织网络是由一组带有无线收发装置的移动节点组成的一个多跳的临时性自治系统。它能够在不依赖任何预设基础设施的情况下,以任意的网状拓扑结构实现网络的自动组织和运行,可广泛应用于军事战术通信、应急通信等需要快速部署、动态组网的通信场合,是一个极具有实际应用价值的研究领域。

然而,由于自组织网络的开放媒质、动态拓扑、分布式协作和能力受限等等特点，决定了它很容易受到攻击,特别是针对其路由协议的攻击。“黑洞”就是其中一种常见的攻击方式,它通过对路由协议的欺骗获得对网络数据包的控制,进而进行丢弃,从而实现对自组织网络的攻击。大部分现有的自组织网络路由协议,都没有对这种攻击的防御或处理机制。

目前，一些研究人员已经提出了不同黑洞问题的解决方法，如冗余路由法、节点的信用衡量法、Watchdog方法、下游邻居节点验证法等，但是这些技术方法都是基于单个恶意节点而言的，没有考虑到存在多个恶意节点的情况。

针对多个恶意节点之间相互协作配合情况研究较少，已知的有结合禁止中间节点应答RREQ包和下游邻居节点验证方法提出一种可调的下游邻居节点循环验证方法源：该方法中节点通过对待验证节点的邻节点进行检查来判断源信息的真实性,并且采用递推多跳验证来防止同谋攻击，其中为了不陷入无限循环验证中，引入了一个可调参数变量验证参数，而该参数的确定非常困难，所以该方法也难以有效克服存在多个恶意节点的情况。

发明内容

本发明所要解决的技术问题是提供一种自组织网络中黑洞攻击的检测方法，该方法能够有效检测单个恶意节点或同时多个恶意节点相互配合对自组织网络的攻击。

本发明解决上述技术问题的技术方案如下：一种分簇自组织网络中黑洞攻击检测方法，该方法包括以下步骤：

步骤1：在基站处安放一台监控装置；

步骤2：对该基站覆盖范围内的自组织网络中所有簇头区域进行实时监测；

步骤3：根据簇头节点数据流量的变化判断所监控的区域是否存在异常簇头区域，如果存在则进入步骤4，否则返回步骤2；

步骤4：对异常簇头区域中的终端节点的信用等级进行检测，找到可疑节点组成可疑节点集合S1；

步骤5：对可疑节点集合S1中的可疑节点的流量差值进行检测，找出黑洞攻击节点组成黑洞攻击节点集合S2；

步骤6：监控装置的报警系统发出报警提示。

在上述技术方案的基础上，本发明还可以做如下改进。

进一步，所述步骤2中对簇头区域的监测包括监控装置对簇头节点数据流量的监测和簇头节点对终端节点信用等级的监测。

进一步，所述簇头节点对终端节点信用等级的检测步骤如下：

步骤2.1：设每个簇区域中的终端节点i(i可以取1、2、3…m)的信用等级为Ci，初始化Ci为0；

步骤2.2：实时监测终端节点i的数据转发情况；

步骤2.3：判断终端节点i是否参与数据转发，如果是，进入步骤2.4，否则返回步骤2.2；

步骤2.4：检测终端节点i通过链路传播数据包是否成功，如果是，则终端节点i的信用等级增加，相反终端节点i的信用等级降低。

进一步，所述步骤3中判断所监控的簇头区域是否为异常簇头区域的步骤如下：

步骤3.1：计算在一段时间内各簇头节点数据流量的平均值；

步骤3.2：实时监测各簇头节点的实际数据流量；

步骤3.3：当监测到的簇头节点的实际数据流量在某一时刻出现骤降现象偏离平均值时，记下当前时间为t1，当该现象持续的时间超过预设时间T时，则认为该簇头区域中存在黑洞攻击节点，该簇头区域为异常簇头区域。

其中，T的取值范围为1-10分钟。

进一步，所述步骤4中检测异常簇头区域中终端节点的信用等级，找到可疑节点组成可疑节点集合S1的步骤如下：

步骤4.1：选取异常簇头区域内的最低信用等级Cl和最高信用等级Ch；

步骤4.2：检测异常簇头区域中终端节点i的信用等级Ci；

步骤4.3：判断Ci是否满足Cl<Ci<Ch，若满足则该终端节点为可信节点，否则为可疑节点；

步骤4.4：对异常簇头区域进行循环检测，并将检测到的可疑节点归到可疑节点集合S1中。

进一步，所述步骤5中检测可疑节点集合S1中可疑节点的流量差值，找出黑洞攻击节点组成黑洞攻击节点集合S2的步骤如下：

步骤5.1：检测并记录可疑节点集合S1中的可疑节点的数据输入量和数据输出量；

步骤5.2：将可疑节点的数据输出量减去数据输入量得到该可疑节点的流量差值；

步骤5.3：找出流量差值为负值的可疑节点，并将其归到黑洞攻击节点集合S2中。

本发明的有益效果是：本发明所述一种自组织网络中黑洞攻击的检测方法不仅能解决单个恶意节点对自组织网络的攻击，还能有效解决多个恶意节点之间相互协作配合对自组织网络进行攻击的问题，且监测装置检测到攻击后能立即发出报警，利于及时对黑洞攻击进行防御和处理。

附图说明

图1为本发明涉及的自组织网络中一个基站覆盖范围内系统框图；

图2为本发明所述一种分簇自组织网络中黑洞攻击检测方法总流程图；

图3为本发明所述步骤2中检测簇头区域中终端节点的信用等级的流程图；

图4为本发明所述步骤3中判断所监控的区域是否存在异常簇头区域的流程图；

图5为本发明所述步骤4中找到可疑节点组成可疑节点集合S1流程图；

图6为本发明所述步骤5中找到黑洞攻击节点组成黑洞攻击节点S2的流程图。

附图中，各标号所代表的部件列表如下：

1、基站，2、第一簇头区域，3、第二簇头区域，4、第三簇头区域。

具体实施方式

以下结合附图对本发明的原理和特征进行描述，所举实例只用于解释本发明，并非用于限定本发明的范围。

如图1所示，自组织网络包括一个或一个以上的基站1，每个基站1覆盖范围内有一个或一个以上的簇头区域，图中显示了第一簇头区域2、第二簇头区域3和第三簇头区域4，簇头区域内有一个簇头节点和一个或一个以上的终端节点，如第一簇头区域2内包含终端节点11至终端节点1n，共n个终端节点。

如图2所示，本发明所述一种分簇自组织网络中黑洞攻击检测方法，该方法包括以下步骤：

步骤1：在基站处安放一台监控装置；

步骤2：对该基站覆盖范围内的自组织网络中所有簇头区域进行实时监测；

步骤3：根据簇头节点数据流量的变化判断所监控的区域是否存在异常簇头区域，如果存在则进入步骤4，否则返回步骤2；

步骤4：对异常簇头区域中的终端节点的信用等级进行检测，找到可疑节点组成可疑节点集合S1；

步骤5：对可疑节点集合S1中的可疑节点的流量差值进行检测，找出黑洞攻击节点组成黑洞攻击节点集合S2；

步骤6：监控装置的报警系统发出报警提示。

其中，所述步骤2中对簇头区域的监测包括监控装置对簇头节点数据流量的监测和簇头节点对终端节点信用等级的监测。

图3为所述步骤2中簇头节点检测终端节点信用等级的流程图，具体步骤如下：

步骤2.1：设每个簇区域中的终端节点i(i可以取1、2、3…m)的信用等级为Ci，初始化Ci为0；

步骤2.2：实时监测终端节点i的数据转发情况；

步骤2.3：判断终端节点i是否参与数据转发，如果是，进入步骤2.4，否则返回步骤2.2；

步骤2.4：检测终端节点i通过链路传播数据包是否成功，如果是，则终端节点i的信用等级增加，相反终端节点i的信用等级降低。

图4为所述步骤3中判断所监控的区域是否存在异常簇头区域的流程图，具体步骤如下：

步骤3.1：计算在一段时间内各簇头节点数据流量的平均值；

步骤3.2：实时监测各簇头节点的实际数据流量；

步骤3.3：当监测到的簇头节点的实际数据流量在某一时刻出现骤降现象偏离平均值时，记下当前时间为t1，当该现象持续的时间超过预设时间T时，该簇头区域为异常簇头区域。

其中，T的取值范围为1-10分钟。

图5为本发明所述步骤4中找到可疑节点组成可疑节点集合S1流程图，具体步骤如下：

步骤4.1：选取异常簇头区域内的最低信用等级Cl和最高信用等级Ch；

步骤4.2：检测异常簇头区域中终端节点i的信用等级Ci；

步骤4.3：判断Ci是否满足Cl<Ci<Ch，若满足则该终端节点为可信节点，否则为可疑节点；

步骤4.4：对异常簇头区域进行循环检测，并将检测到的可疑节点归到可疑节点集合S1中。

图6是所述步骤5中找到黑洞攻击节点组成黑洞攻击节点S2的流程图，具体步骤如下：

步骤5.1：检测并记录可疑节点集合S1中的可疑节点的数据输入量和数据输出量；

步骤5.2：将可疑节点的数据输出量减去数据输入量得到该可疑节点的流量差值；

步骤5.3：找出流量差值为负值的可疑节点，并将其归到黑洞攻击节点集合S2中。

其中，正常数据传输情况下，节点的流量差值应该是非负值，因为终端节点除了转发经过它的数据包外，本身还要采集数据进行传输。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种分簇自组织网络中黑洞攻击检测方法，其特征在于，该方法包括以下步骤：

步骤1：在基站处安放一台监控装置；

步骤2：对该基站覆盖范围内的自组织网络中所有簇头区域进行实时监测；

步骤3：根据各簇头区域中簇头节点数据流量的变化判断所监控的区域是否存在异常簇头区域，如果存在则进入步骤4，否则返回步骤2；

步骤4：对异常簇头区域中的终端节点的信用等级进行检测，找到可疑节点组成可疑节点集合S1；

步骤5：对可疑节点集合S1中的可疑节点的流量差值进行检测，找出黑洞攻击节点组成黑洞攻击节点集合S2；

步骤6：监控装置的报警系统发出报警提示。

2.根据权利要求1所述一种分簇自组织网络中黑洞攻击检测方法，其特征在于，所述步骤2中对簇头区域的监测包括监控装置对簇头节点数据流量的监测和簇头节点对终端节点信用等级的监测。

3.根据权利要求2所述一种分簇自组织网络中黑洞攻击检测方法，其特征在于，所述簇头节点对终端节点信用等级的检测步骤如下：

步骤2.1：设每个簇区域中的终端节点i(i可以取1、2、3…m)的信用等级为Ci，初始化Ci为0；

步骤2.2：实时监测终端节点i的数据转发情况；

步骤2.3：判断终端节点i是否参与数据转发，如果是，进入步骤2.4，否则返回步骤2.2；

步骤2.4：检测终端节点i通过链路传播数据包是否成功，如果是，则终端节点i的信用等级增加，相反终端节点i的信用等级降低。

4.根据权利要求1所述一种分簇自组织网络中黑洞攻击检测方法，其特征在于，所述步骤3中判断所监控的簇头区域是否为异常簇头区域的步骤如下：

步骤3.1：计算在一段时间内各簇头节点数据流量的平均值；

步骤3.2：实时监测各簇头节点的实际数据流量；

步骤3.3：当监测到的簇头节点的实际数据流量在某一时刻出现骤降现象偏离平均值时，记下当前时间为t₁，当该现象持续的时间超过预设时间T时，该簇头区域为异常簇头区域；

其中，T的取值范围为1-10分钟。

5.根据权利要求1所述一种分簇自组织网络中黑洞攻击检测方法，其特征在于，所述步骤4中检测异常簇头区域中终端节点的信用等级，找到可疑节点组成可疑节点集合S1的步骤如下：

步骤4.1：选取异常簇头区域内的最低信用等级Cl和最高信用等级Ch；

步骤4.2：检测异常簇头区域中终端节点i的信用等级Ci；

步骤4.3：判断Ci是否满足Cl<Ci<Ch，若满足则该终端节点为可信节点，否则为可疑节点；

步骤4.4：对异常簇头区域进行循环检测，并将检测到的可疑节点归到可疑节点集合S1中。

6.根据权利要求1所述一种分簇自组织网络中黑洞攻击检测方法，其特征在于，所述步骤5中检测可疑节点集合S1中可疑节点的流量差值，找出黑洞攻击节点组成黑洞攻击节点集合S2的步骤如下：

步骤5.1：检测并记录可疑节点集合S1中的可疑节点的数据输入量和数据输出量；

步骤5.2：将可疑节点的数据输出量减去数据输入量得到该可疑节点的流量差值；

步骤5.3：找出流量差值为负值的可疑节点，并将其归到黑洞攻击节点集合S2中。

Images