CN103237308B - 一种车载自组织网络的分布式入侵检测方法 - Google Patents

Abstract

本发明提供了一种车载自组织网络的分布式入侵检测方法，车辆节点采用改进的朴素贝叶斯分类算法启动本地检测，当检测出异常时，将数据标记为异常并存入本地特征库，其本地响应模块立即采取响应措施，同时，通过联机响应模块向邻居节点发出异常报警并传递异常特征，如果邻居节点也发现异常，则存入本地特征库，其本地响应模块立即采取响应措施，同时，通过联机响应模块向除异常报警来源节点以外的其它邻居节点发出异常报警并传递异常特征，通过这种方式不断传递下去，从而实现整个车载自组织网络的分布式入侵检测，本发明提高了整个车载自组织网络的分析检测能力，具有体系结构简单、复杂度低、学习能力强和智能化程度高的特点。

Description

一种车载自组织网络的分布式入侵检测方法

技术领域

本发明涉及车载自组织网络领域，特别是涉及一种车载自组织网络的入侵检测方法。

背景技术

车载自组织网络以车辆为基本信息单元，通过车与车、车与路边设施的实时信息交互来保证车辆行驶安全、规避道路拥塞和提高出行舒适度。车载自组织网络的安全机制可以分为基于预防的安全机制和基于检测的安全机制。其中基于预防的安全机制主要指密钥管理和认证实现的访问控制，而基于检测的安全机制则主要指入侵检测。通常，基于预防的防御策略对于那些已经加入车载自组织网络的恶意节点是无能为力的。作为基于检测的安全机制，入侵检测技术可以很好地进行补充。资料表明，目前已有较多无线自组织网络入侵检测方面的成果，但是，到目前为止，国内外仅有少量可供参考的车载自组织网络入侵检测方面的成果。Kachirski等人针对无线自组织网络提出一种基于移动安全代理的入侵检测系统，这种系统的前提是被选出的代理节点必须是绝对可信任的。由于迅速的拓扑变化将导致频繁选举代理节点，因此该方案不适用于车载自组织网络。Zhang等人考虑使用统计技术来解决无线自组织网络中的入侵检测问题。但是该方案应用到车载自组织网络也将面临拓扑迅速变化的挑战：很可能在信息搜集和分析决策完成之前，某些恶意节点已经脱离该网络了。Tian等人提出一种依赖于公交车网络（由公交车构成的虚拟移动骨干网）的入侵检测系统，它以公交车为簇头，将整个车载自组织网络划分为若干簇，在每个簇中实现基于合作的入侵检测。这种系统明显的特点是必须依赖于公交车网络的底层结构。综上所述，一方面由于车载自组织网络中节点的高速移动性使得节点间基于合作的检测很难实现，另一方面基于单个节点的检测又很难搜集到足够的信息用于分析决策。因此，迫切需要设计一种既能充分考虑车载自组织网络高速移动、频繁拓扑变化的特点又具有较高检测能力的入侵检测方法。

入侵检测系统是一种对网络传输进行实时监测，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。IETF将一个入侵检测系统分为四个组件：事件产生器，事件分析器，响应单元和事件数据库。事件产生器的目的是从整个计算环境中获得事件，并向系统的其他部分提供此事件。事件分析器分析得到的数据，并产生分析结果。响应单元则是对分析结果做出反应的功能单元，它可以做出切断连接、改变文件属性等强烈反应，也可以只是简单的报警。事件数据库是存放各种中间和最终数据的地方的统称，它可以是复杂的数据库，也可以是简单的文本文件。根据检测对象的不同，入侵检测系统可分为主机型、网络型和分布式。误用检测和异常检测是入侵检测系统最常见的两种分类模型。误用检测是指使用自定义的描述语言生成入侵模式，并解析网络数据等信息，使各信息与入侵模式进行逐一的匹配，从而发现攻击。异常检测是指通过量化分析与统计分析建立正常的使用规则，并将该规则与当前的系统或用户行为进行比较，根据彼此的差异区分攻击行为。除此之外，神经网络、遗传算法、隐马尔可夫、支持向量机、粗糙集以及人工免疫算法等智能方法也被广泛应用于入侵检测。其中基于朴素贝叶斯分类器的入侵检测方法具有分类效果好、鲁棒性强的特点，能够根据少量的训练数据就能估计出必要的参数，但是在直接应用到车载自组织网络时存在一定的局限性，如：没有考虑训练集中未出现过的事件的概率；不能直接处理数据中的连续属性等。

发明内容

本发明所要解决的技术问题是：如何创新地设计一种既能充分考虑车载自组织网络高速移动、频繁拓扑变化的特点又具有较高检测能力的分布式入侵检测方法。

为了解决上述问题，本发明公开了一种车载自组织网络分布式入侵检测方法，其技术方案包括以下各步骤：

步骤1：车载自组织网络中的车辆节点对采集到的原始数据进行预处理，包括无用数据过滤、类型转换和格式统一；

步骤2：车辆节点采用改进的朴素贝叶斯分类算法启动本地检测，所述改进的朴素贝叶斯分类算法包括以下步骤：

（1）利用等宽区间法离散化连续属性：根据指定的区间数K，将连续属性的值域[X _min , X _max ]划分为K个区间，X _min 表示连续属性的最小值，X _max 表示连续属性的最大值，并使每个区间宽度相等，即都等于(X _max － X _min )/K，然后将连续属性值分布在不同区间成为离散值；

（2）建立多项式事件模型：设特征库中有m条记录，每条记录用一个n维特征向量表示X = {x ₁, x ₂, ..., x _n } ^T ，x _n 表示特征向量X的第n个属性，检测结果用一个随机变量y表示，y∈Y，Y = {0, 1}，如果y = 1表示这条记录为异常数据，否则y = 0表示这条记录为正常数据，当出现一条属性值为{a ₁, a ₂, ..., a _n }的新记录时，a _n 表示特征向量X的第n个属性的值，我们得到最可能的目标值为                                                ；

（3）利用朴素贝叶斯分类器得到目标函数，y _INB 是改进的朴素贝叶斯分类器的目标函数值，x _i 表示特征向量X的第i个属性，a _i 表示特征向量X的第i个属性的值；

（4）利用拉普拉斯平滑法，估计不同的P(y)和P(x _i = a _i | y)项的值；

（5）计算出目标函数值并得到检测结果：

如果，则y _INB  = 0表示这条新记录是正常的数据，将该条记录标记为正常，否则y _INB  = 1，表示这条新数据是异常数据，将该条记录标记为异常；

（6）利用半衰期更新法更新特征库：设特征库的容量为1，特征库的1/2固定存储着初始的特征数据，称这块区域为原始特征数据区，剩余1/2的空间采用半衰期更新法对特征库进行更新，在进行检测时，节点将学习到的新的正常特征和新的异常特征存入特征库的剩余空间，当特征库存满即剩余空间为0时，则原始特征数据区除外，存入的特征衰减至原来的1/2，即占整个特征库容量的1/4，此时特征库的剩余空间为1/4；当特征库再次存满时，之前衰减过的特征再次衰减1/2，即占整个特征库容量的1/8，则原始特征数据区除外，未衰减过的特征也衰减至原来的1/2，即占整个特征库容量的1/8，此时特征库的剩余空间为1/4；到进行第r次衰减时，最先开始衰减的特征只占特征库容量的1/2 ^r+1，随后衰减的特征分别占特征库容量的1/2 ^r+1，1/2 ^r ，1/2 ^r-1，...，1/2³，此时特征库的剩余空间为1/4；

步骤3：当检测出异常时，当前节点将数据标记为异常并存入本地特征库，其本地响应模块立即采取响应措施，同时，当前节点通过联机响应模块向邻居节点发出异常报警并传递异常特征；反之，如果检测为正常，则将数据标记为正常并存入本地特征库；

步骤4：邻居节点在收到异常报警和异常特征后立即隔离异常报警来源节点，启动本地检测，如果发现异常，则存入本地特征库，其本地响应模块立即采取响应措施，同时，通过联机响应模块向除异常报警来源节点以外的其它邻居节点发出异常报警并传递异常特征；反之，如果检测正常，则邻居节点不会触发联机响应模块；

步骤5：通过这种方式不断传递下去，从而实现整个车载自组织网络的分布式入侵检测。

与现有技术相比，本发明具有以下优点：

（1）本发明采用了一种适用于车载自组织网络的分布式入侵检测体系结构，车辆节点在本地响应模块的基础上，增加了联机响应模块和异常特征的网络传递功能，实现了分布式网络环境下车辆节点之间的合作检测以及异常特征的联机学习，提高了整个车载自组织网络的分析检测能力，具有体系结构简单、复杂度低、学习能力强和智能化程度高的特点；

（2）本发明采用了一种改进的朴素贝叶斯分类算法用于车辆节点的本地检测，该算法利用等宽区间法将连续属性离散化，引入拉普拉斯平滑从观测到的攻击估计未观测到攻击的概率，利用半衰期更新法不断更新本地特征库，这些措施成功解决了朴素贝叶斯分类算法不能处理数据中连续属性的问题以及可能出现事件概率分配不合理的现象，提高了单个车辆节点分析检测的能力。

附图说明

图1为本发明的车载自组织网络的分布式入侵检测系统的体系结构图。

图2为本发明的改进的朴素贝叶斯分类算法流程图。

具体实施方式

下面结合附图对本发明进行详细说明。

如附图1所示，车载自组织网络的分布式入侵检测系统中每个节点由数据处理、本地检测、特征库、本地响应和联机响应模块组成。

本发明方法按照以下步骤进行：

步骤1：车载自组织网络中的车辆节点对采集到的原始数据进行预处理，包括无用数据过滤、类型转换和格式统一；

步骤2：车辆节点采用改进的朴素贝叶斯分类算法启动本地检测； 如附图2所示，改进的朴素贝叶斯分类算法包括以下步骤：

（1）利用等宽区间法离散化连续属性：由于采集到的数据中有些属性值是连续的，不能直接用于朴素贝叶斯分类器，因此需要采用等宽区间法将数据中的这部分连续属性离散化，等宽区间法是一种简单的无监督学习的离散化方法，其离散过程如下：根据指定的区间数K，将连续属性的值域[X _min , X _max ]划分为K个区间，X _min 表示连续属性的最小值，X _max 表示连续属性的最大值，并使每个区间宽度相等，即都等于(X _max － X _min )/K，然后将连续属性值分布在不同区间成为离散值；

（2）建立多项式事件模型：假设特征库中有m条记录，每条记录用一个n维特征向量表示X = {x ₁, x ₂, ..., x _n } ^T ，x _n 表示特征向量X的第n个属性，检测结果用一个随机变量y表示，y∈Y，Y = {0, 1}，如果y = 1表示这条记录为异常数据，否则y = 0表示这条记录为正常数据，当出现一条属性值为{a ₁, a ₂, ..., a _n }的新记录时，a _n 表示特征向量X的第n个属性的值，我们得到最可能的目标值为；

（3）利用朴素贝叶斯分类器得到目标函数，y _INB 是改进的朴素贝叶斯分类器的目标函数值，x _i 表示特征向量X的第i个属性，a _i 表示特征向量X的第i个属性的值；

（4）利用拉普拉斯平滑法，估计不同的P(y)和P(x _i = a _i | y)项的值；

（5）计算出目标函数值并得到检测结果：

如果，则y _INB  = 0表示这条新记录是正常的数据，将该条记录标记为正常，否则y _INB  = 1，表示这条新数据是异常数据，将该条记录标记为异常；

（6）利用半衰期更新法更新特征库：假设特征库的容量为1，特征库的1/2固定存储着初始的特征数据，我们称这块区域为原始特征数据区，剩余1/2的空间采用半衰期更新法对特征库进行更新，在进行检测时，节点将学习到的新的正常特征和新的异常特征存入特征库的剩余空间，当特征库存满即剩余空间为0时，存入的特征（原始特征数据区除外）衰减至原来的1/2（占整个特征库容量的1/4），此时特征库的剩余空间为1/4。当特征库再次存满时，之前衰减过的特征再次衰减1/2（占整个特征库容量的1/8），未衰减过的特征（原始特征数据区除外）也衰减至原来的1/2（占整个特征库容量的1/8），此时特征库的剩余空间为1/4，到进行第r次衰减时，最先开始衰减的特征只占特征库容量的1/2 ^r+1，随后衰减的特征分别占特征库容量的1/2 ^r+1，1/2 ^r ，1/2 ^r-1，...，1/2³，此时特征库的剩余空间为1/4；

步骤3：当检测出异常时，当前节点将数据标记为异常并存入本地特征库，其本地响应模块立即采取响应措施，同时，当前节点通过联机响应模块向邻居节点发出异常报警并传递异常特征；反之，如果检测为正常，则将数据标记为正常并存入本地特征库；

步骤4：邻居节点在收到异常报警和异常特征后立即隔离异常报警来源节点，启动本地检测，如果发现异常，则存入本地特征库，其本地响应模块立即采取响应措施，同时，通过联机响应模块向除异常报警来源节点以外的其它邻居节点发出异常报警并传递异常特征；反之，如果检测正常，则邻居节点不会触发联机响应模块；

步骤5：通过这种方式不断传递下去，从而实现整个车载自组织网络的分布式入侵检测。

Claims (1)

1.一种车载自组织网络的分布式入侵检测方法，其特征在于，包括以下各个步骤：

步骤1：车载自组织网络中的车辆节点对采集到的原始数据进行预处理，包括无用数据过滤、类型转换和格式统一；

步骤2：车辆节点采用改进的朴素贝叶斯分类算法启动本地检测，所述改进的朴素贝叶斯分类算法包括以下步骤：

（1）利用等宽区间法离散化连续属性：根据指定的区间数K，将连续属性的值域[X _min , X _max ]划分为K个区间，X _min 表示连续属性的最小值，X _max 表示连续属性的最大值，并使每个区间宽度相等，即都等于(X _max － X _min )/K，然后将连续属性值分布在不同区间成为离散值；

（2）建立多项式事件模型：设特征库中有m条记录，每条记录用一个n维特征向量表示X = {x ₁, x ₂, ..., x _n } ^T ，x _n 表示特征向量X的第n个属性，检测结果用一个随机变量y表示，y∈Y，Y = {0, 1}，如果y = 1表示这条记录为异常数据，否则y = 0表示这条记录为正常数据，当出现一条属性值为{a ₁, a ₂, ..., a _n }的新记录时，a _n 表示特征向量X的第n个属性的值，我们得到最可能的目标值为                                                ；

（3）利用朴素贝叶斯分类器得到目标函数，y _INB 是改进的朴素贝叶斯分类器的目标函数值，x _i 表示特征向量X的第i个属性，a _i 表示特征向量X的第i个属性的值；

（4）利用拉普拉斯平滑法，估计不同的P(y)和P(x _i = a _i | y)项的值；

（5）计算出目标函数值并得到检测结果：

如果，则y _INB  = 0表示这条新记录是正常的数据，将该条记录标记为正常，否则y _INB  = 1，表示这条新数据是异常数据，将该条记录标记为异常；

（6）利用半衰期更新法更新特征库：设特征库的容量为1，特征库的1/2固定存储着初始的特征数据，称这块区域为原始特征数据区，剩余1/2的空间采用半衰期更新法对特征库进行更新，在进行检测时，节点将学习到的新的正常特征和新的异常特征存入特征库的剩余空间，当特征库存满即剩余空间为0时，则原始特征数据区除外，存入的特征衰减至原来的1/2，即占整个特征库容量的1/4，此时特征库的剩余空间为1/4；当特征库再次存满时，之前衰减过的特征再次衰减1/2，即占整个特征库容量的1/8，则原始特征数据区除外，未衰减过的特征也衰减至原来的1/2，即占整个特征库容量的1/8，此时特征库的剩余空间为1/4；到进行第r次衰减时，最先开始衰减的特征只占特征库容量的1/2 ^r+1，随后衰减的特征分别占特征库容量的1/2 ^r+1，1/2 ^r ，1/2 ^r-1，...，1/2³，此时特征库的剩余空间为1/4；

步骤3：当检测出异常时，当前节点将数据标记为异常并存入本地特征库，其本地响应模块立即采取响应措施，同时，当前节点通过联机响应模块向邻居节点发出异常报警并传递异常特征；反之，如果检测为正常，则将数据标记为正常并存入本地特征库；

步骤4：邻居节点在收到异常报警和异常特征后立即隔离异常报警来源节点，启动本地检测，如果发现异常，则存入本地特征库，其本地响应模块立即采取响应措施，同时，通过联机响应模块向除异常报警来源节点以外的其它邻居节点发出异常报警并传递异常特征；反之，如果检测正常，则邻居节点不会触发联机响应模块；

步骤5：通过这种方式不断传递下去，从而实现整个车载自组织网络的分布式入侵检测。