CN103297957B - 无线自组网路由查询泛洪攻击的防御方法 - Google Patents

Abstract

本发明公开了一种无线自组网路由查询泛洪攻击的防御方法，包括以下步骤：(1)节点根据优先级缓存路由查询报文；(2)路由查询缓存区满时，根据报文丢弃方法丢弃路由查询报文；(3)节点按照优先级顺序，从路由查询缓存区取出路由查询报文进行处理；(4)每隔设定时间，节点计算邻居节点的优先级；(5)节点更新优先级监测表。该方法在网络中每个节点上进行邻居节点监视和缓存区管理，可以有效的防范多节点联合低速率路由查询泛洪攻击；并且能很好的适应无线自组网的分布特性，易于部署。

Description

无线自组网路由查询泛洪攻击的防御方法

技术领域

本发明属于计算机技术领域，更进一步涉及网络信息安全技术领域的一种防御无线自组网中路由查询泛洪攻击的方法。本发明可以用于采用按需路由协议的无线自组网中，使用基于优先级的缓存区管理技术，对路由查询泛洪攻击进行有效的防御。

背景技术

无线自组网因其多跳通信、动态拓扑、无线信道等特点容易受到攻击，而其网络协议多数根本没有考虑安全问题，因此越来越多的研究者开始关注该类网络的安全路由。在诸多攻击方法中，由一些拥有合法身份的恶意节点发起的内部攻击很难被检测和阻止。其中，针对采用按需路由协议的无线自组网发起的路由查询泛洪攻击，是这类内部攻击的一种典型代表。

在路由查询泛洪攻击中，恶意内部节点利用按需路由协议中每个节点都要转发路由查询报文的特性，以较高的频率广播伪造的路由查询报文，该路由查询报文又被其他节点多次复制、转发而在无线网络中迅速扩散，从而很快充斥大范围的无线网络，导致网络阻塞、甚至瘫痪。

深圳市兆讯达科技实业有限公司拥有的专利技术“无线自组织网络路由查询泛洪攻击的检测方法”(专利申请号：201010250860.2，授权公告号：CN101917733A)。该专利技术公开了一种无线自组网路由查询泛洪攻击的检测方法，该方法通过定时统计节点的邻居节点产生伪造的路由查询报文(即没有路由回复报文的路由查询报文)的速率，而对收到路由回复报文的正常的路由查询报文忽略不计，把伪造的路由查询报文产生速率超过设定阈值的恶意节点加入黑名单，从而将恶意节点从网络中隔离。该专利技术公开的方法存在的不足是：该方法只对邻居节点进行检测，对于多个节点联合发起的低速率路由查询泛洪攻击无法防御。

河源市特灵通通讯有限公司拥有的专利技术“基于数据挖掘的无线Mesh网络入侵的检测方法”(专利申请号：201010513016.4，授权公告号CN101977143A)。该专利技术公开了一种基于数据挖掘的用于无线自组网的针对路由查询报文泛洪攻击的检测方法。该方法通过对设定时间内网络中产生的所有路由查询报文按照源节点进行分类和统计，并对此数据使用KNN算法进行数据挖掘，以将恶意节点和正常节点区分，从而检测出恶意节点。该专利技术存在的不足是：该方法需要一个能得到网络中所有节点行为信息的节点进行检测操作，而无线自组网的分布特性导致该方法在无线自组网中部署难度大。

发明内容

本发明的目的在于克服上述已有技术的不足，提出一种在无线自组网中防御路由查询泛洪攻击的方法。该方法可以有效的防范多节点联合低速率路由查询泛洪攻击；并且能很好的适应无线自组网的分布特性，易于部署。

为实现上述目的，本发明的思路是，在网络中每个节点上进行邻居节点监视和缓存区管理。节点通过邻居节点监视对邻居节点的行为进行监测，决定邻居节点的优先级，并将此优先级信息写入邻居节点发送的路由查询报文；节点通过基于优先级的缓存区管理对报文的处理顺序进行管理，并在缓存区满时丢弃来自恶意节点的报文。本发明对优先级的判断依赖于这样一个事实：正常节点发送的路由查询报文通常都会收到路由回复报文；而恶意节点通过修改路由查询报文的目的为不可达节点而尽最大可能泛洪路由查询报文，收到路由回复报文的数量远远小于发送路由查询报文的数量。因此节点发送路由查询报文的速率和接收路由回复报文的速率之差能反映节点的恶意程度。

本发明的具体实现步骤如下：

(1)缓存路由查询报文：

1a)节点收到路由查询报文后，判断路由查询报文的源节点是不是邻居节点，若是，执行步骤1b)；否则，执行步骤1d)；

1b)收到路由查询报文的节点，在该节点的优先级监测表中查找发送该路由查询报文的邻居节点的优先级，若查找到的优先级为零优先级，则放弃缓存该路由查询报文，执行步骤1a)；若查找到的优先级不是零优先级，执行步骤1c)；

1c)将查找到的优先级信息写入路由查询报文中；

1d)收到路由查询报文的节点，读取路由查询报文中的优先级信息，据此将该路由查询报文缓存到路由查询缓存区中。

(2)丢弃路由查询报文：

当节点的路由查询缓存区满时，根据报文丢弃方法丢弃数个路由查询报文。

(3)处理路由查询报文：

节点从路由查询缓存区中，按照取出顺序取出路由查询报文进行处理。

(4)更新邻居节点的优先级：

4a)节点统计邻居节点发送的路由查询报文数量和邻居节点接收的路由回复报文数量；

4b)每隔设定时间，根据优先级更新方法，节点更新邻居节点的优先级。

(5)更新优先级监测表。

本发明与现有技术相比具有以下优点：

第一，本发明的步骤中采用了将优先级信息附加到路由查询报文上的方法，每个节点对其收到的所有路由查询报文，而不只是邻居节点发送的报文，按照优先级进行处理或丢弃。从而克服了现有技术只能对邻居节点进行监测的不足，使得本发明可以抵御多节点低速率路由查询泛洪攻击。

第二，本发明只需要在网络中每个节点上进行邻居节点监视和缓存区管理，不需要对整个网络的数据进行采集处理。从而克服了现有技术需要对整个网络所有节点行为进行分析的不足，使得本发明具有易于在无线自组网中部署的优点。

附图说明

图1为本发明的整体流程图；

图2为本发明中缓存路由查询报文步骤的流程图；

图3为发生路由查询泛洪攻击，使用本发明方法防御的示意图。

具体实施方式

下面结合附图对本发明作进一步的描述。

在一般的按需路由协议中，数据报文和路由控制报文(包括路由查询报文、路由回复报文等)共用先进先出FIFO缓存区，路由控制报文具有较高优先级。本发明的方法中，节点需要建立独立的针对路由查询报文的基于优先级的缓存区，并以设定速率从该缓存区中取出路由查询报文进行处理。

下面结合附图1对本发明的具体步骤进一步描述如下。

步骤1，缓存路由查询报文。

节点收到路由查询报文后，会先将路由查询报文放入路由查询缓存。

缓存的步骤参照附图2，具体如下：

第一步，节点收到路由查询报文后，判断路由查询报文的源节点是不是邻居节点，如果是的话，执行第二步；否则的话，执行第四步。

第二步，收到路由查询报文的节点，在该节点的优先级监测表中查找路由查询报文的源节点的优先级，若查找到的优先级为零优先级，则放弃缓存该路由查询报文，执行第一步；若查找到的优先级不是零优先级，继续执行第三步。本发明中每个节点都要维护针对邻居节点的优先级监测表和路由查询缓存区：其中优先级监测表包含以下字段：邻居节点的标识符、邻居节点的优先级、邻居节点发送路由查询报文的速率、邻居节点接收路由回复报文的速率。其中路由查询缓存区包括优先级不同的三个队列，三个队列在缓存区中不占用固定大小的存储空间。

第三步，将查找到的优先级写入路由查询报文中。本发明需要对路由查询报文增加一个字段：优先级信息字段，该字段储存路由查询报文的优先级信息。

第四步，收到路由查询报文的节点，读取路由查询报文中的优先级信息，据此缓存路由查询报文。该步骤中拥有高、中、低优先级的路由查询报文分别缓存进拥有高、中、低优先级的队列中。该步骤中，节点对于收到的所有路由查询报文，无论是源节点为邻居节点的路由查询报文，还是源节点为非邻居节点的路由查询报文，都会根据其报文上携带的优先级信息，一并放入缓存，以待下一步处理。

步骤2，丢弃路由查询报文。

当节点的路由查询缓存区满时，根据报文丢弃方法丢弃数个路由查询报文。该报文丢弃方法是依据优先级权重丢弃路由查询报文，从而将来自恶意节点的路由查询报文丢弃。

报文丢弃方法的具体步骤如下：

第一步，在路由查询缓存区中确定路由查询报文的权值，高、中、低优先级的路由查询报文的权值依次为0、1、2。

第二步，在路由查询缓存区中，对发送路由查询报文的各个源节点，按照下式，计算拟丢弃的来自该源节点的报文的数量：

$N_i=\frac{{\mathrm{\ω}}_i}{\mathrm{\ω}}\×N\×\mathrm{\μ}$

其中，N_i表示拟丢弃的源节点为i的路由查询报文的数量，i表示路由查询缓存区中发送路由查询报文的源节点，ω_i表示源节点为i的所有路由查询报文权值之和，ω表示全部路由查询报文的权值之和，N表示路由查询缓存区可容纳的报文总数，μ为预设的位于0到1之间的参数，μ表示路由查询缓存区中要丢弃多少比重的报文。

第三步，在路由查询缓存区中，对发送路由查询报文的各个源节点，按照优先级从低到高的顺序，丢弃N_i个源节点为i的路由查询报文。

步骤三，处理路由查询报文。

节点从路由查询缓存区中，按照取出顺序取出路由查询报文进行处理。

节点从路由查询缓存区中取出路由查询报文时，先从具有最高优先级的队列中提取报文，若具有最高优先级的队列为空，则从具有次优先级的队列中提取报文。这种取出报文的顺序保证了正常节点产生的路由查询报文能被迅速处理。

本发明在使用前需要根据网络的规模和数据传输率设定缓存区报文的取出速度，网络的规模越大、数据传输越频繁，则设定的取出速度较高；反之，网络的规模越小、数据传输越稀少，则设定的取出速度较低。

步骤四，更新邻居节点的优先级。

节点对源节点为邻居节点的路由查询报文和目标节点为邻居节点的路由回复报文进行计数。

每隔设定时间，根据优先级更新方法，节点更新邻居节点的优先级。设定时间是指用户提前设定的节点更新邻居节点优先级和优先级监测表的时间间隔。在本发明中，节点根据邻居节点发送路由查询报文的速率和接收路由回复报文的速率之差判断邻居节点的优先级。

节点更新邻居节点优先级的具体步骤如下：

第一步，节点按照下式，判断邻居节点的优先级：

其中，θ₁表示正常节点的阈值，γ_i表示邻居节点i发送路由查询报文的速率，α_i表示邻居节点i接收路由回复报文的速率，θ₂表示恶意节点的阈值，γ_i、α_i两个参数从优先级监测表中读取。当γ_i-α_i小于等于正常节点阈值θ₁时，节点判断邻居节点i为正常节点，设置邻居节点i为高优先级；当γ_i-α_i大于恶意节点阈值θ₂时，节点判断邻居节点i为恶意节点，设置邻居节点i为零优先级，节点不会转发邻居节点i的路由查询报文；当γ_i-α_i位于θ₁和θ₂之间时，节点判断邻居节点i为可疑节点，根据上式设置邻居节点i为中或低优先级。正常节点的阈值θ₁和恶意节点的阈值θ₂由用户预先进行设置，一般情况下θ₁取值接近于0，节点移动性越强，θ₁可适当的取大点；θ₂一般设置为和缓存区中的报文取出速度一样即可。

第二步，节点将邻居节点的优先级覆盖到优先级监测表相应字段中。

步骤五，更新优先级监测表。

由于本发明需要计算邻居节点(假设为节点A)接收路由回复报文的速率，而路由回复报文可能通过节点A的任一邻居节点转发给节点A，故节点A的邻居节点需要交换发往节点A的路由回复报文的速率。

节点更新优先级监测表的步骤如下：

第一步，节点计算邻居节点发送路由查询报文的速率，覆盖优先级监测表中相应字段。

第二步，节点计算邻居节点接收路由回复报文的速率，用接收路由回复报文的速率覆盖优先级监测表中相应字段，通过一个两跳的广播报文将该速率发送给邻居节点的其他邻居节点。该广播报文包括两个字段：邻居节点标识符和邻居节点接收路由回复报文速率。

第三步，节点收到携带接收路由回复报文速率的广播报文后，首先在广播报文率叠加到优先级监测表中该邻居节点的相应字段。

下面结合附图3对本发明如何防御路由查询泛洪攻击进行进一步的说明。

图3中的圆圈表示节点，线段表示节点相邻，箭头方向表示路由查询报文的泛洪方向。

如果网络中只有节点H以高速率泛洪路由查询报文，则其邻居节点A、B、C会降低节点H的优先级、丢弃节点H产生的报文，甚至停止接收节点H产生的报文，以达到对单节点路由查询泛洪攻击进行防御的目的。

如果网络中节点H和节点D两个节点同时以较低速率泛洪路由查询报文，则在此情况下，虽然节点H和节点D的邻居节点会降低节点H和节点D的优先级，但因为泛洪速率较慢，节点H和节点D的邻居节点缓存区使用率不高，泛洪的报文仍会传播出去。但是，当节点H泛洪的报文和节点D泛洪的报文在节点E汇聚后，节点E的路由查询缓存区迅速被占用，节点E会丢弃具有较低优先级的来自节点H和节点D的报文，从而控制了泛洪报文的进一步传输，有效地减少了多节点联合低速率泛洪攻击带来的危害。

Claims (6)

1.一种无线自组网路由查询泛洪攻击的防御方法，具体步骤如下：

(1)缓存路由查询报文：

1a)节点收到路由查询报文后，判断路由查询报文的源节点是不是邻居节点，若是，执行步骤1b)；否则，执行步骤1d)；

1b)收到路由查询报文的节点，在该节点的优先级监测表中查找发送该路由查询报文的邻居节点的优先级，若查找到的优先级为零优先级，则放弃缓存该路由查询报文，执行步骤1a)；若查找到的优先级不是零优先级，执行步骤1c)；

1c)将查找到的优先级信息写入路由查询报文中；

1d)收到路由查询报文的节点，读取路由查询报文中的优先级信息，据此将该路由查询报文缓存到路由查询缓存区中；

(2)丢弃路由查询报文：

当节点的路由查询缓存区满时，根据报文丢弃方法丢弃数个路由查询报文；

所述的报文丢弃方法如下：

第一步，在路由查询缓存区中确定路由查询报文的权值，高、中、低优先级的路由查询报文的权值依次为0、1、2；

第二步，在路由查询缓存区中，对发送路由查询报文的各个源节点，按照下式，计算拟丢弃的来自该源节点的报文的数量：

$N_i=\frac{{\mathrm{\ω}}_i}{\mathrm{\ω}}\×N\×\mathrm{\μ}$

其中，N_i表示拟丢弃的源节点为i的路由查询报文的数量，i表示路由查询缓存区中发送路由查询报文的源节点，ω_i表示源节点为i的所有路由查询报文权值之和，ω表示全部路由查询报文的权值之和，N表示路由查询缓存区可容纳的报文总数，μ为预设的位于0到1之间的参数；

第三步，在路由查询缓存区中，对发送路由查询报文的各个源节点，按照优先级从低到高的顺序，丢弃N_i个源节点为i的路由查询报文；

(3)处理路由查询报文：

节点从路由查询缓存区中，按照取出顺序取出路由查询报文进行处理；

(4)更新邻居节点的优先级：

4a)节点统计邻居节点发送的路由查询报文数量和邻居节点接收的路由回复报文数量；

4b)每隔设定时间，根据优先级更新方法，节点更新邻居节点的优先级；

(5)更新优先级监测表；

所述更新优先级监测表按如下步骤进行：

第一步，节点计算邻居节点发送路由查询报文的速率，覆盖优先级监测表中相应字段；

第二步，节点计算邻居节点接收路由回复报文的速率，用接收路由回复报文的速率覆盖优先级监测表中相应字段，通过一个两跳的广播报文将该速率发送给邻居节点的其他邻居节点；

第三步，节点收到来自邻居节点的其他邻居节点的携带接收路由回复报文的速率的广播报文后，将该速率叠加到该节点优先级监测表中相应字段。

2.根据权利要求1所述无线自组网路由查询泛洪攻击的防御方法，其特征在于，步骤1b)所述优先级监测表是指节点维护的针对邻居节点的监测表，具体包含以下字段：邻居节点的标识符、邻居节点的优先级、邻居节点发送路由查询报文的速率、邻居节点接收路由回复报文的速率。

3.根据权利要求1所述无线自组网路由查询泛洪攻击的防御方法，其特征在于，步骤1d)所述的路由查询缓存区包括优先级不同的三个队列，三个队列在缓存区中不占用固定大小的存储空间。

4.根据权利要求1所述无线自组网路由查询泛洪攻击的防御方法，其特征在于，步骤(3)中所述的取出顺序是指，先从具有最高优先级的队列中提取报文，若具有最高优先级的队列为空，则从具有次优先级的队列中提取报文。

5.根据权利要求1所述无线自组网路由查询泛洪攻击的防御方法，其特征在于，步骤4b)中所述的设定时间是指，用户提前设定的节点更新邻居节点优先级和优先级监测表的时间间隔。

6.根据权利要求1所述无线自组网路由查询泛洪攻击的防御方法，其特征在于，步骤4b)中所述的优先级更新方法的具体步骤如下：

第一步，节点按照下式，判断邻居节点的优先级：

其中，θ₁表示正常节点的阈值，γ_i表示邻居节点i发送路由查询报文的速率，α_i表示邻居节点i接收路由回复报文的速率，θ₂表示恶意节点的阈值，γ_i、α_i两个参数从优先级监测表中读取；

第二步，节点将邻居节点的优先级覆盖到优先级监测表相应字段中。