CN103561030A - 一种无线自组织网络入侵检测方法和设备 - Google Patents

Abstract

本发明提供了一种无线自组织网络入侵检测方法和设备，获取监视节点收集的被监视节点的行为信息，所述监视节点为网络中各个区域的簇头；根据所述行为信息判断被监视节点的行为是否合法，如果是，正常结束，如果否，发出告警。通过监视节点收集被监视节点的行为信息，负责入侵检测的计算，因而，不需要所有节点参与入侵检测的计算，从而能够在保证入侵检测信息收集完整全面的基础上，大大减少节点资源的消耗，提高检测效率。并且，不需要提取正常网络运行时的数据进行分类训练就能够实时检测入侵行为，从而更利于入侵检测的实施。

Description

一种无线自组织网络入侵检测方法和设备

技术领域

本发明涉及网络安全技术领域，更具体地说，涉及一种无线自组织网络入侵检测方法和设备。

背景技术

与传统的无线网络不同，无线自组织网络是通过移动节点间的相互协作和自我组织，来实现网络的连接和数据的传递，因而不依赖于任何固定的基础设施和管理中心。

而与传统的无线网络相同的是无线自组织网络也面临很多的安全威胁。目前为止，基于密钥的分配与认证以及路由安全算法的无线网络安全保障方案，仅能在无线自组织网络中发挥一定的安全防范作用，这是因为无线自组织网络中的节点可以任意移动，当网络处于敌对环境时，节点就可能会被截获而泄露密钥，敌方节点即可持密钥冒充合法节点加入网络进行攻击，此时，由于攻击者拥有合法的密钥，加密和认证技术都已失效，因而，只有通过入侵检测才能发现并清除入侵者，因此，入侵检测已经成为无线自组织网络中一道非常重要的防火墙。

但是，无线自组织网络由于节点自组织无中心管理节点，因而使得入侵检测方案的设计成为一个难点。现有技术中提出的基于agent的分布式协作入侵检测方案，agent运行与网络中的每个节点上，具有数据收集、本地检测、合作检测、本地入侵响应、全局入侵响应和安全通信六大功能模块。在收集和检测本地节点的数据后，判断本地节点是否已发生入侵行为，如果是，则直接告警；如果只是怀疑有入侵行为，则本地节点激发多节点的协作检测，进一步判断是否已发生入侵行为，如果确定有入侵行为，则激发全网的入侵响应。但是，由于该方案中agent运行于网络中的每个节点上，因此，过于占用网络资源，检测效率低，不利于入侵检测方案的有力实施。

发明内容

有鉴于此，本发明提供了一种无线自组织网络入侵检测方法和设备，以解决现有技术中过于占用网络资源和检测效率低的问题。

为实现上述目的，本发明提供如下技术方案：

一种无线自组织网络入侵检测方法，包括：

获取监视节点收集的被监视节点的行为信息，所述监视节点为网络中各个区域的簇头；

根据所述行为信息判断被监视节点的行为是否合法，如果是，正常结束，如果否，发出告警。

优选的，在第一预设时间内，第一节点先向第一区域内的其他节点发送告示报文，则第一节点为监视节点，其他节点为被监视节点。

优选的，判断被监视节点的行为是否合法的过程，包括：

判断被监视节点的行为是否符合路由协议规范。

优选的，判断被监视节点的行为是否合法的过程，还包括：

根据被监视节点接收的报文，判断被监视节点转发或产生的回答报文是否符合路由协议规范。

优选的，判断被监视节点的行为是否合法的过程，还包括：

根据被监视节点发送的报文，判断被监视节点是否为报文的源节点或判断被监视节点是否在报文的地址列表中。

优选的，判断被监视节点的行为是否合法的过程，还包括：

当被监视节点是中间节点时，根据被监视节点转发的报文，判断相邻区域的监视节点是否收到所述报文。

一种无线自组织网络入侵检测设备，包括：

检测模块，用于获取监视节点收集的被监视节点的行为信息；

判断模块，用于根据被监视节点的行为信息，判断被监视节点的行为是否合法。

处理模块，用于根据判断结果进行处理，判断结果为合法时，正常结束，判断结果为不合法时，发出告警。

优选的，所述检测模块还包括：

分析模块，用于获取监视节点记录的被监视节点的入侵次数和类型。

优选的，所述无线自组织网络入侵检测设备是根据路由协议形成的有限状态机。

优选的，所述路由协议为动态源路由协议，所述动态源路由协议中的报文包括：路由查询报文、路由回答报文、路由出错报文和数据报文。

与现有技术相比，本发明所提供的技术方案具有以下优点：

本发明所提供的无线自组织网络入侵检测方法和设备，通过监视节点收集被监视节点的行为信息，即采用每个区域的簇头作为监视节点，负责入侵检测的计算，因而，不需要所有节点参与入侵检测的计算，从而能够在保证入侵检测信息收集完整全面的基础上，大大减少节点资源的消耗，提高检测效率。并且，本发明提供的无线自组织网络入侵检测方法和设备，不需要提取正常网络运行时的数据进行分类训练就能够实时检测入侵行为，从而更利于入侵检测的实施。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的监视节点、被监视节点以及监视区域分布示意图；

图2是本发明实施例提供的被监视节点收到路由查询报文后的入侵检测流程示意图；

图3是本发明实施例提供的被监视节点收到路由回答报文、路由出错或数据报文后的入侵检测流程示意图；

图4是本发明实施例提供的被监视节点发送报文后的入侵检测流程示意图。

具体实施方式

正如背景技术所述，现有的无线自组织网络入侵检测方案过于占用网络资源、检测效率低。发明人研究发现，造成这种问题的原因主要是，现有技术中agent运行于网络中的每个节点上，即每个节点都负责信息的收集和入侵的计算。

基于此，本发明提供了一种无线自组织网络入侵检测方法，以克服现有技术存在的上述问题，包括：

获取监视节点收集的被监视节点的行为信息，所述监视节点为网络中各个区域的簇头；根据所述行为信息判断被监视节点的行为是否合法，如果是，正常结束，如果否，发出告警。

本发明还提供了一种无线自组织网络入侵检测设备，包括：

检测模块，用于获取监视节点收集的被监视节点的行为信息；

判断模块，用于根据被监视节点的行为信息，判断被监视节点的行为是否合法。

处理模块，用于根据判断结果进行处理，判断结果为合法时，正常结束，判断结果为不合法时，发出告警。

本发明所提供的无线自组织网络入侵检测方法和设备，通过监视节点收集被监视节点的行为信息，即采用每个区域的簇头作为监视节点，负责入侵检测的计算，因而，不需要所有节点参与入侵检测的计算，从而能够在保证入侵检测信息收集完整全面的基础上，大大减少节点资源的消耗，提高检测效率。并且，本发明提供的无线自组织网络入侵检测方法和设备，不需要提取正常网络运行时的数据进行分类训练就能够实时检测入侵行为，从而更利于入侵检测的实施。

以上是本发明的核心思想，为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明的具体实施方式做详细的说明。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是本发明还可以采用其他不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本发明内涵的情况下做类似推广，因此本发明不受下面公开的具体实施例的限制。

其次，本发明结合示意图进行详细描述，在详述本发明实施例时，为便于说明，表示器件结构的剖面图会不依一般比例作局部放大，而且所述示意图只是示例，其在此不应限制本发明保护的范围。此外，在实际制作中应包含长度、宽度及深度的三维空间尺寸。

本发明实施例提供了一种无线自组织网络入侵检测方法，具体包括以下步骤：

步骤101：获取监视节点收集的被监视节点的行为信息，所述监视节点为网络中各个区域的簇头。

在无线自组织网络中，节点的资源是非常有限的，因此，为了更好地利用资源，本发明将整个网络分为了若干个区域，并通过自由竞争的方法，选出每个区域的一个簇头作为监视节点，即监视节点为网络中每个区域的簇头，被监视节点为每个区域内的其他节点。通过获取监视节点收集的被监视节点的行为信息，检测每个区域的入侵行为。监视节点B、被监视节点A以及监视区域的分布示意图，如图1所示。

本实施例中，选出监视节点的过程是公平而随机的，所谓公平是指，每个节点都能有机会成为监视节点，且每个监视节点的服务时间是相同的，监视节点的服务时间到期后，就要周期性地、随机地选举新的监视节点，以保证入侵检测的安全性。当监视节点成为入侵节点时，虽然在其作为监视节点的期间不会被发现，但是，当其服务时间到期选出新的监视节点之后，就会被发现，从而可以阻止入侵行为的发生，保证网络的安全性。

最初时，整个网络没有监视节点，每个区域需在一定时间内选出一个监视节点。在第一预设时间内，任一节点都可以自动以广播的形式发送一份告示报文。在第一预设时间内，如果第一节点（第一区域内的任一节点）先向第一区域内的其他节点发送告示报文，则第一节点即为第一区域的监视节点，收到所述告示报文的其他节点即为第一区域的被监视节点。其中，报文只能在一跳范围内传播，不能被转发。并且，在监视节点的服务时间到期之前，成为被监视节点的其他节点，不能再发送告示报文。

由此可知，各个区域选出监视节点的过程为：在第一预设时间内，第一节点先向第一区域内的其他节点发送告示报文，则第一节点为监视节点，第一区域内的其他节点为被监视节点。如果两个节点同时收到了对方发送的告示报文，则比较这两个节点的ID，ID较小的节点作为监视节点，ID较大的节点作为被监视节点，其中，节点的ID位于告示报文中。

由于无线自组织网络中的节点可以任意移动，监视节点和被监视节点都可能离开原来的区域，因此，当任一节点在第一预设时间内未接收到告示报文时，这一节点就可以发送告示报文，所述节点即为监视节点。成为监视节点后，在第二预设时间内，监视节点需周期性地向监视区域内的被监视节点发送告示报文，以维持其监视节点的地位，所述第二预设时间即为监视节点的服务时间。当监视节点的服务时间到期后，就需重新选出一个监视节点，为了保证公平和随机性，所述监视节点将不能作为下一次的监视节点，除非整个区域只有这一个节点。监视节点的服务时间到期后，监视节点停止发送告示报文，在第一预设时间内，其他节点中的任一节点都可以发送告示报文，确定其监视节点的地位。

由于通信是双向的，监视节点能够发送报文，也能够接收报文，因此，监视节点能够接收报文传播范围内，即被监视区域内，被监视节点发送或转发的报文，因而，监视节点可以通过接收被监视节点发送或转发的报文，收集被监视节点的包括报文的路径信息以及报文固定内容是否被更改等行为信息，来监视被监视区域内所有被监视节点的行为。

步骤102：根据所述行为信息判断被监视节点的行为是否合法，如果是，正常结束，如果否，发出告警。

根据监视节点收集的行为信息判断被监视节点的行为是否合法，判断被监视节点的行为是否合法，包括：判断被监视节点的行为是否符合路由协议规范，如果符合，正常结束，停止对所述被监视节点的监视，如果不符合，则认为被监视节点的行为是入侵行为，发出告警。其中，被监视节点按照路由协议的规范正常的接收和转发报文，则认为所述行为是合法行为；被监视节点的行为不符合路由协议规范，例如，接收报文后不进行转发，则认为被监视节点的行为不合法。

判断被监视节点的行为是否合法的方法，还包括：根据被监视节点接收的报文，判断被监视节点转发或产生的回答报文是否符合路由协议规范；根据被监视节点发送的报文，判断被监视节点是否为报文的源节点或判断被监视节点是否在报文的地址列表中；当被监视节点是中间节点时，根据被监视节点转发的报文，判断相邻区域的监视节点是否收到所述报文。

本实施例中所述路由协议为动态源路由协议（The dynamic source routingprotocol，简称DSR协议），当然，在其他实施例中也可以为其他路由协议，本发明并不仅限于此。在DSR路由协议中，节点可能收到并处理的报文包括：路由查询报文、路由回答报文、路由出错报文和数据报文。

以监视节点B和被监视节点A为例，按照被监视节点A接收或发送报文以及接收到的报文类型的不同，详细描述本实施例提供的入侵检测方法。

被监视节点A接收到路由查询报文后的入侵检测流程如图2所示。

被监视节点A接收到报文后，进入步骤S21：由状态1转入状态2。

被监视节点A收到的是路由查询报文，进入步骤S22：由状态2转入状态3。

被监视节点A在状态3时，按照以下四种情况分别进入S231-S234这四个步骤：

一、被监视节点A产生了路由回答报文，则进入步骤S231：由状态3转入状态4，按照路由协议规范对路由回答报文进行检查，如果合法，则进入步骤S2310：被监视节点A由状态4转入终止状态7，正常结束，停止对被监视节点A的监视，如果不合法，如报文有些字段被非法修改了，则进入步骤S2311：发出非法修改告警。

二、被监视节点A收到的是重复的路由查询报文，即所述路由查询报文之前收到过，则进入步骤S232：直接由状态3转入终止状态7。

三、被监视节点A转发了路由查询报文，则进入步骤S233：由状态3转入状态5，按照路由协议规范对转发的路由查询报文进行检查，如果合法，则进入步骤S2330：被监视节点A由状态5转入终止状态7，正常结束，如果不合法，例如修改了一些不能变化的字段，则进入步骤S2331：发出非法修改告警。

四、被监视节点A超出一定时间没有动作，被监视节点A可能离开了监视区域，则进入步骤S234：向相邻的监视节点查询是否收到被监视节点A的报文，并由状态3转入状态6，如果相邻的监视节点未收到报文，说明被监视节点A不参与路由转发，则进入步骤S2340：发出抛弃报文告警，如果相邻的监视节点收到报文，则进入步骤S2341：由状态6转入状态8，如果收到的是路由查询报文，则进入步骤S2342：将所述路由查询报文发送到监视节点B，由状态8转入状态5，进行后续的检测判断，如果接收到的是路由回答报文，则由状态8转入状态4，进行后续的检测判断。

被监视节点A收到路由回答报文、路由出错或数据报文后的入侵检测流程如图3所示。

被监视节点A接收到报文后，进入步骤S31：由状态1转入状态2。

被监视节点A收到的是路由回答、路由出错或数据报文，进入步骤S32：由状态2转入状态3。

被监视节点A在状态3时，按照以下三种情况分为进入S331-S333这三个步骤：

一、被监视节点A是报文的目标节点，则进入步骤S331：直接进入终止状态7。

二、被监视节点A转发了报文，则进入步骤S332：由状态3转入状态4，按照路由协议规范对报文进行检查，如果合法，则进入步骤S3320：由状态4转入终止状态7，正常结束，如果不合法，则进入步骤S3321：发出非法修改告警。由于在DSR路由协议中，节点对路由回答报文、路由出错、数据报文这三种报文只能原样转发不能进行修改，因此，只要比对转发前后的报文是否相同，如果不同，则发出非法修改告警。

三、被监视节点A超出一定时间没有动作，进入步骤S333：向相邻的监视节点查询是否收到被监视节点A的报文，并由状态3转入状态5，如果相邻的监视节点未收到报文，则进入步骤S3330：发出抛弃报文告警，如果相邻的监视节点收到报文，则进入步骤S3331：将所述报文发送到监视节点B，由状态5转入状态4，进行后续的检测判断。

被监视节点A发出报文后，入侵检测的流程如图4所示。

被监视节点A发出报文后，进入步骤S41：由状态1转入状态2。

被监视节点A在状态2时，按照以下三种情况分别进入S421-S423这三个步骤：

一、被监视节点A是报文的源节点，则进入步骤S421：由状态2转入终止状态7。

二、被监视节点A是中间节点，所述中间节点，是指被监视节点A只是转发了报文。在接收报文时，被监视节点A并不在监视节点B的监视区域内，而是在转发时才移动进入监视节点B的监视范围内，所以监视节点B只有被监视节点A转发报文的状态，进入步骤S422：向相邻的监视节点查询，如果相邻的监视节点收到所述报文，则由状态2转入状态3，进入步骤S4220：将所述报文发送到监视节点B，由状态3转入终止状态7；如果相邻的监视节点未收到报文，说明没有节点发送过此报文，是被监视节点A编造了此报文，则进入步骤S4221：发出编造告警。

三、被监视节点A不在报文地址列表中，就是说被监视节点A与报文没有任何关系，但它又发出该报文，即被监视节点A假冒其它节点发送了这份报文，进入步骤S423：发出假冒告警，其中，所述报文地址列表位于报文中，包含源地址、目标地址和路由中间节点地址。

本实施例中，将整个网络分为若干个区域，并以每个区域的簇头作为监视节点，来负责入侵检测的计算，因而，不需要所有节点参与入侵检测的计算，从而能够在保证入侵检测信息收集完整全面的基础上，大大减少节点资源的消耗，提高检测效率。

本实施例提供了一种无线自组织网络入侵检测设备，包括：检测模块、判断模块和处理模块，其中，检测模块，用于获取监视节点收集的被监视节点的行为信息，所述监视节点为网络中每个区域的簇头，监视节点收集监视区域内被监视节点的行为信息；判断模块，用于根据被监视节点的行为信息，判断被监视节点的行为是否合法，所述被监视节点的行为信息包括接收和发送或转发的报文等；处理模块，用于根据判断结果进行处理，当判断结果为合法时，正常结束，停止对被监视节点的监视，当判断结果为不合法时，认为被监视节点的行为是入侵行为，发出告警。

本实施例中，所述检测模块还包括：分析模块，用于获取监视节点记录的被监视节点的入侵次数和类型。

本实施例中，所述无线自组织网络入侵检测设备，是基于有限状态机的检测设备，即所述检测设备是根据网络的路由协议规范形成的有限状态机，本实施例中所述路由协议为动态源路由协议（The dynamic source routingprotocol，简称DSR协议），当然，在其他实施例中也可以为其他路由协议，本发明并不仅限于此。在DSR路由协议中，节点可能收到并处理的报文包括：路由查询报文、路由回答报文、路由出错报文和数据报文。

本实施例提供的无线自组织网络入侵检测设备，利用有限状态机判断被监视节点的行为是否为入侵行为，由于所述有限状态机是按照路由协议形成的，因而，不需要提取正常网络运行时的数据进行分类训练就能够实时检测入侵行为，更利于入侵检测的实施。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种无线自组织网络入侵检测方法，其特征在于，包括：

获取监视节点收集的被监视节点的行为信息，所述监视节点为网络中各个区域的簇头；

根据所述行为信息判断被监视节点的行为是否合法，如果是，正常结束，如果否，发出告警。

2.根据权利要求1所述的无线自组织网络入侵检测方法，其特征在于，在第一预设时间内，第一节点先向第一区域内的其他节点发送告示报文，则第一节点为监视节点，其他节点为被监视节点。

3.根据权利要求1所述的无线自组织网络入侵检测方法，其特征在于，判断被监视节点的行为是否合法的过程，包括：

判断被监视节点的行为是否符合路由协议规范。

4.根据权利要求3所述的无线自组织网络入侵检测方法，其特征在于，判断被监视节点的行为是否合法的过程，还包括：

根据被监视节点接收的报文，判断被监视节点转发或产生的回答报文是否符合路由协议规范。

5.根据权利要求3所述的无线自组织网络入侵检测方法，其特征在于，判断被监视节点的行为是否合法的过程，还包括：

根据被监视节点发送的报文，判断被监视节点是否为报文的源节点或判断被监视节点是否在报文的地址列表中。

6.根据权利要求3所述的无线自组织网络入侵检测方法，其特征在于，判断被监视节点的行为是否合法的过程，还包括：

当被监视节点是中间节点时，根据被监视节点转发的报文，判断相邻区域的监视节点是否收到所述报文。

7.一种无线自组织网络入侵检测设备，其特征在于，包括：

检测模块，用于获取监视节点收集的被监视节点的行为信息；

判断模块，用于根据被监视节点的行为信息，判断被监视节点的行为是否合法；

处理模块，用于根据判断结果进行处理，判断结果为合法时，正常结束，判断结果为不合法时，发出告警。

8.根据权利要求7所述的无线自组织网络入侵检测设备，其特征在于，所述检测模块还包括：

分析模块，用于获取监视节点记录的被监视节点的入侵次数和类型。

9.根据权利要求8所述的无线自组织网络入侵检测设备，其特征在于，所述无线自组织网络入侵检测设备是根据路由协议形成的有限状态机。

10.根据权利要求7所述的无线自组织网络入侵检测设备，其特征在于，所述路由协议为动态源路由协议，所述动态源路由协议中的报文包括：路由查询报文、路由回答报文、路由出错报文和数据报文。

Images