CN107948172B - 一种基于人工智能行为分析的车联网入侵攻击检测方法和系统 - Google Patents

一种基于人工智能行为分析的车联网入侵攻击检测方法和系统 Download PDF

Info

Publication number
CN107948172B
CN107948172B CN201711236177.1A CN201711236177A CN107948172B CN 107948172 B CN107948172 B CN 107948172B CN 201711236177 A CN201711236177 A CN 201711236177A CN 107948172 B CN107948172 B CN 107948172B
Authority
CN
China
Prior art keywords
data
access
internet
vehicle
vehicles
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201711236177.1A
Other languages
English (en)
Other versions
CN107948172A (zh
Inventor
陈乔
何文杰
任翔
梁彧
金红
杨满智
刘长永
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
National Computer Virus Emergency Response Center
Original Assignee
NATIONAL COMPUTER VIRUS EMERGENCY RESPONSE CENTER
Eversec Beijing Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NATIONAL COMPUTER VIRUS EMERGENCY RESPONSE CENTER, Eversec Beijing Technology Co Ltd filed Critical NATIONAL COMPUTER VIRUS EMERGENCY RESPONSE CENTER
Priority to CN201711236177.1A priority Critical patent/CN107948172B/zh
Publication of CN107948172A publication Critical patent/CN107948172A/zh
Application granted granted Critical
Publication of CN107948172B publication Critical patent/CN107948172B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Telephonic Communication Services (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明涉及网络技术领域，公开了一种基于人工智能行为分析的车联网入侵攻击检测方法和系统。所述方法包括：获取上网流量数据，将流量按照通信协议还原，得到上网话单日志；至少根据APN、号段、车联网APP中的一种或多种特征对上述话单日志进行过滤；利用已知的车联网正常访问数据及异常的入侵攻击数据，提取访问参数特征及访问行为特征，并使用人工智能分类器模型进行训练；对实时的车联网访问数据提取访问参数特征及访问行为特征，使用训练好的分类器模型进行判断是否遭遇到入侵攻击，并将入侵攻击行为进行相应处置。本发明的方法及系统能够准确判断外部行为对网联车辆是否进行入侵。

Description

一种基于人工智能行为分析的车联网入侵攻击检测方法和 系统
技术领域
本发明涉及网络技术领域，具体地，涉及一种基于人工智能行为分析的车联网入侵攻击检测方法和系统。
背景技术
根据中国汽车工程协会2017年发布的《智能网联汽车信息安全白皮书》的数据，2015年中国智能驾驶乘用车渗透率已达到15％，预计2019年这一数据将达到50％。智能网联汽车一般由车载传感网、车载智能终端与云端TSP、车主移动APP通过移动网进行通信，通信数据通过公众网传输，因此也给了黑客可乘之机，黑客通过对上述设施的渗透、入侵、攻击，以达到不法目的。
网络安全隐患存在于车联网架构的各个组成部分，对车联网的网络安全防护需要通过云管端多个层次配合实施，由于车联网数据通常使用加密方式传输，在移动网管道侧一般无法识别分析车联网数据的明文，传统的入侵检测方法无法判断数据合法性。
发明内容
针对现有技术的缺陷，本发明所要解决的技术问题是如何准确的判断出车联网是否遭遇外部的入侵。
为解决该问题，一方面，本发明提供了一种基于人工智能行为分析的车联网入侵攻击检测方法，包括步骤：
步骤S1、获取上网流量数据，将流量按照通信协议还原，得到上网话单日志；
步骤S2、根据APN、号段、车联网APP中的一种或多种特征对上述话单日志进行过滤；
步骤S3、利用已知的车联网正常访问数据及异常的入侵攻击数据，提取访问参数特征及访问行为特征，并使用人工智能分类器模型进行训练；
步骤S4、对实时的车联网访问数据提取访问参数特征及访问行为特征，使用训练好的分类器模型进行判断是否遭遇到入侵攻击，并将入侵攻击行为进行相应处置。
进一步地，所述步骤S1具体包括：
通过部署数据流量采集设备获取移动核心网的4G上网流量数据，包括S1-U、S10、S11接口原始流量数据；
将流量按通信协议还原，提取各接口的上网日志，并对各接口日志进行关联合成，从而得到完整的移动上网话单日志。
进一步地，获取的所述移动核心网的数据主要基于车联网移动 APP、车载终端为访问源或访问目的，至少包括：源IP，源端口，目标IP，目标端口，协议，访问时间，MSISDN号码，IMSI，IMEI，LAC， CI，DNS解析记录，CA认证请求响应。
进一步地，获取的所述移动核心网的数据还包括：请求方式，访问域名，URI，访问参数。
进一步地，在步骤S3中，依据的所述访问参数包括：访问频次、根据上述日志数据计算得到的车辆行驶特征、数据流向、数据载荷字节数、DNS解析记录。
进一步地，依据的所述网络行为包括：请求频次、数据流向、请求参数值最大熵值、车辆行驶特征、单位时间内总访问次数，单位时间内访问行为突发程度，单位时间内来访IP最大访问次数占比、指令类型及指令下发的时间、来源、频次的行为特征、访问终端来源、TSP 平台的CA证书认证流程、来自车联网终端的上行请求网络行为特征。
另一方面，还提供了一种基于人工智能行为分析的车联网入侵攻击检测系统，所述系统包括：
数据采集单元，用于采集移动核心网数据并提取和合成车联网相关的数据流量话单；
数据存储单元，用于存储正常访问的数据及入侵攻击的数据；
特征提取单元，根据已知的车联网正常访问数据及异常的入侵攻击数据，提取访问参数特征及访问行为特征；
模型训练单元，用于训练分类器模型，将已知为正常访问及入侵攻击的数据经过特征提取单元提取到的特征输入该训练单元，经过模型评估后得到训练好的分类器模型；
数据检测单元，对实时数据提取特征后的特征进行判断，检测其是否被入侵或攻击，并将检测结果分别保存到数据存储单元当中。
告警单元，当检测到对车辆的网络入侵攻击行为时，向车主或TSP 服务商发送告警，并根据危险级别或车主设置对入侵攻击流量进行过滤处置。
进一步地，所述数据采集单元根据车联网手机APP、车载终端、 TSP三者之间的互访，以及车载终端访问未知目的IP，来采集数据流量话单信息。
进一步地，提取的所述访问参数包括：访问频次、根据上述日志数据计算得到的车辆行驶特征、数据流向、数据载荷字节数、DNS解析记录；提取的所述网络行为包括：请求频次、数据流向、请求参数值最大熵值、车辆行驶特征、单位时间内总访问次数，单位时间内访问行为突发程度，单位时间内来访IP最大访问次数占比、指令类型及指令下发的时间、来源、频次的行为特征、访问终端来源、TSP平台的CA证书认证流程、来自车联网终端的上行请求网络行为特征。
进一步地，所述检测系统部署在移动核心网侧，所述车载终端或者车联网手机APP通过移动基站与TSP平台实现交互。
进一步地，所述数据采集单元以分光方式对经移动核心网传输的数据进行复制读取。
与现有技术相比，本本发明提供了一种在移动网管道侧对与车联网相关的网络流量进行人工智能检测，能够在不需要对车联网流量进行解密的条件下识别发现入侵攻击的行为，并向经营者或车主发送实时告警，从而达到防范车联网入侵攻击，保护车辆和司乘人员人身财产安全的目的。
附图说明
图1是本发明的一个实施例中基于人工智能行为分析的车联网入侵攻击检测方法的流程示意图；
图2为本发明的一个实施例中基于人工智能行为分析的车联网入侵攻击检测系统与外部终端交互的原理图。
图3是本发明的一个实施例中基于人工智能行为分析的车联网入侵攻击检测系统的结构原理图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。显然，所描述的实施例为实施本发明的较佳实施方式，所述描述是以说明本发明的一般原则为目的，并非用以限定本发明的范围。本发明的保护范围应当以权利要求所界定者为准，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。
参照图1所示，本发明实施例所公开的一种基于人工智能行为分析的车联网入侵攻击检测方法，包括如下步骤：
步骤S1、获取上网流量数据，将流量按照通信协议还原，得到上网话单日志；
步骤S2、根据APN(接入点名称)、号段、车联网APP中的一种或多种特征对上述话单日志进行过滤；
步骤S3、利用已知的车联网正常访问数据及异常的入侵攻击数据，提取访问参数特征及访问行为特征，并使用人工智能分类器模型进行训练；
步骤S4、对实时的车联网访问数据提取访问参数特征及访问行为特征，使用训练好的分类器模型进行判断是否遭遇到入侵攻击，并将入侵攻击行为进行相应处置。
具体来说，在步骤S1中，其过程具体为：
步骤S11、通过部署数据流量采集设备获取移动核心网的4G上网流量数据，包括从S1-U、S10、S11接口得到原始流量数据；
步骤S12、将流量按通信协议还原，提取各接口的上网日志，并对各接口日志进行关联合成，从而得到完整的移动上网话单日志。
其中，获取的所述移动核心网的数据主要是基于车联网移动APP、车载终端为访问源或访问目的，所述数据包括：源IP，源端口，目标 IP，目标端口，协议，访问时间(精确到秒)，MSISDN号码(MSISDN 是指主叫用户为呼叫GSM PLMN中的一个移动用户所需拨的号码，作用同于固定网PSTN号码；是在公共电话网交换网络编号计划中，唯一能识别移动用户的号码。)，IMSI(国际移动用户识别码)，IMEI(国际移动设备识别码)，LAC(位置区码)，CI(小区ID)，DNS解析记录， CA认证(数字证书加密认证)请求响应。其中，所述关联合成具体是指按照IMSI、时间戳、IP五元组(源IP地址，源端口，目的IP地址，目的端口和传输层协议)字段对每个会话进行数据关联合成，从而得到完整的上网话单日志。
由于车联网由内置SIM卡的车载Tbox终端、云端TSP、车主手机APP 三种设备或应用联网通信，三者之间的通信通过移动通信网承载。从移动核心网侧采集上述数据，可以识别区分具体的车载终端、TSP平台IP地址、手机APP用户，其中IP层五元组用于标识和关联会话数据， MSISDN、IMSI数据用于区分终端或手机用户，IMEI用于区分终端类型，LAC、CI数据可用于对车载终端进行定位，DNS解析记录可以用于分析记录车载终端或APP通过域名访问TSP时解析的IP地址，CA认证会话可用于鉴定终端与TSP平台通信的保密性。
此外，为了更精确的对数据进行分析和训练，获取的所述移动核心网的数据还包括：请求方式，访问域名，URI(统一资源标识符)，访问参数。
本发明是在移动网管道侧对与车联网相关的网络流量进行采集提取，并不是采用传统的对车联网流量进行解密的方式，并且提取的多种数据进行综合完全能够作为后续训练器训练的数据依据。
现有技术中，已加密的车联网数据无法获取明文，本发明实施例使用的方法是通过分析车联网通信的特征来检测入侵攻击，具体的，所提取的特征包括通信双方的IP五元组特征、域名解析会话特征、终端类型及身份标识特征、通信的时间点、频次、报文大小等行为特征，依靠大量车联网数据通信特征对算法进行训练，从而实现对入侵攻击的异常通信数据进行判断检测。
在步骤S2中，根据APN(Access Point Name,即“接入点名称”)、号段 (可区分运营商)、车联网APP特征对上述话单数据进行过滤，过滤掉与车联网通信无关的数据，得到车联网终端、车联网APP的完整话单数据。
在步骤S3中，分别依据访问参数特征及访问行为特征进行训练XGBOOST分类模型。XGBOOST算法是一种开源的决策树算法，具体来说，是在GBDT(Gradient BoostingDecision Tree,梯度提升决策树) 的基础上对boosting(提升树)算法进行的改进。其核心为损失函数和求解算法的优化。XGBOOST损失函数建模方式是基于极大似然估计，具体到每个样本上，实际上就是典型的二项分布概率建模式；
XGBOOST的求解算法，具体到每颗树来说，就是不断地寻找分割点 (splitpoint)，将样本集进行分割，初始情况下，所有样本都处于一个结点(即根结点)，随着树的分裂过程的展开，样本会分配到分裂开的子结点上。分割点的选择通过枚举训练样本集上的特征值来完成，分割点的选择依据则是减少Loss。
XGBOOST算法可以给预测模型带来能力的提升。XGBOOST算法具有正则化，并行处理，高度的灵活性，缺失值处理，剪枝，内置交叉验证，在已有的模型基础上继续训练的特点。当然，本领域技术人员应当理解的是，对参数及行为特征的训练不限于本发明所指出的XGBOOST算法训练器，还可以采用其它智能训练器。
在本实施例中，所述参数特征包括：访问频次、根据步骤S2输出的日志数据计算得到的车辆行驶特征(路径、速度、方向)、数据流向(APP、TSP平台、车载终端、其他源或目的IP)、数据载荷字节数、 DNS解析记录、CA认证记录。上述的访问参数特征，则是针对多个具体请求参数进行统计计算所得。例如，对某一车载终端的接入位置区编码LAC、CI号对应的GPS位置进行持续记录和计算，可以得到车辆的大致行驶速度、路径和方向，此处参数特征用于后续的网络行为分析。
所述的网络行为特征包括：请求频次、数据流向、请求参数值最大熵值、车辆行驶特征(时间、道路、方向、速度特征)、单位时间内总访问次数，单位时间内访问行为突发程度，单位时间内来访IP最大访问次数占比、指令类型及指令下发的时间、来源、频次等行为特征、访问终端来源(是否来自车主的手机号码)、TSP平台的CA证书认证流程、来自车联网终端的上行请求网络行为特征。
下面来详述通过网络行为特征如何判断访问的异常。
请求频次，正常的车联网网络通信请求频次分布按时间周期、位置、速度呈规律性分布，而异常的入侵攻击行为产生的网络通信请求与正常请求频次分布规律存在显著差异。
数据流向，正常车联网通信的数据流向是在移动APP与车载终端之间、车载终端与TSP平台之间、移动APP与TSP平台之间，超出上述范围的源或目的IP属于异常访问行为，此外，数据流向与指令类型高度相关。
请求参数值最大熵值，正常车联网通信的数据与指令类型呈现相关性，而入侵攻击等异常通信行为可能携带的参数超出正常范围，如上传用户隐私数据等，造成熵值超大。
车辆行驶特征(时间、道路、方向、速度特征)，根据步骤S1、 S2所得到的车辆位置更新数据计算得到车辆的行驶特征，结合车联网通信行为与行驶特征进行关联分析，检测出入侵攻击等异常通信行为 (例如，当高速行驶时收到熄火或开车门指令，如行驶中多次发出开关车门指令、点火熄火等)。
单位时间内总访问次数，车联网通信的单位时间总访问次数呈现与车辆行驶特征呈现关联规律，明显超出规律的访问次数可能为攻击行为。
单位时间内访问行为突发程度，正常车联网通信不存在大量的突发访问，当检测到大量突发访问行为时，视为异常入侵或攻击。
单位时间内来访IP最大访问次数占比，正常车联网通信中，APP、车载终端、TSP三者之间互访的次数占比较为稳定，呈现规律性，明显违背正常规律的，可判定为异常入侵或攻击。
指令类型及指令下发的时间、来源、频次等行为特征，从TSP或 APP向车载终端下发指令的行为呈现规律性，与时间、访问来源、频次等参数高度相关。异常通信行为则表现为随机性。
访问终端来源(是否来自车主的手机号码)，根据步骤S1、S2输出的日志数据中包含访问来源的MSISDN号码，若访问来源为非车主注册的号码，即为异常行为。
TSP平台的CA证书认证流程，部分车联网服务提供车载终端、手机APP到TSP的CA认证服务，通过对CA证书和认证过程中的服务端、客户端验证，识别CA服务流程是否为正常流程。当发现服务端或客户端异常或CA证书异常时，即判定为入侵行为。
来自车联网终端的上行请求网络行为特征，车联网终端上行请求一般为上传行驶数据、车载传感器数据等，其频次、时间、车辆状态、请求类型、请求参数大小呈现规律性。当出现随机性请求时，判定为入侵攻击行为。
在步骤S4中，对实时的车联网访问数据提取访问参数特征及访问行为特征，使用训练好的分类器模型进行判断是否遭遇到入侵攻击，并将入侵攻击行为进行相应处置，处置方式包括将入侵攻击行为进行存储、告警及数据过滤处置。
进一步地，本发明还包括对训练好的模型进行迭代更新，形成新的模型，以不断适应各种网络攻击的模式。
此外，本领域技术人员应理解，实现上述实施例方法中的部分或全部步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，包括上述实施例方法的相应步骤，而所述的存储介质可以是：ROM/RAM、磁碟、光盘、存储卡等。因此，如图2、图3所示，与上述方法相对应的，本发明还同时提供一种基于人工智能行为分析的车联网入侵攻击检测系统，所述检测系统，部署在移动核心网与移动基站之间、移动核心网与TSP平台之间，通过移动基站，分别与车联网手机应用APP及网联车辆(即车载终端)进行交互。
图2所示为本发明实施例中的所述检测系统与采集移动核心网数据的连接关系，以车载终端与TSP之间通信为例，当车载终端向TSP上报数据时，数据会通过移动基站，经过移动核心网各设备，经公网出口传输到TSP平台，当TSP平台向某一车载终端下发指令时，TSP平台通过终端编码(MSISDN)经过公网到移动核心网、无线网寻址到该终端，与之建立通信，此通信过程与普通移动终端与公众互联网服务进行通信的流程相同。所述检测系统在上述通信过程中以分光方式对经移动核心网传输的数据进行复制读取。
所述车联网入侵攻击检测系统包括：
数据采集单元，用于采集移动核心网数据并提取和合成车联网相关的数据流量话单；所述数据采集单元根据车联网手机APP、车载终端、TSP三者之间的互访，以及车载终端访问未知目的IP来确定数据流量话单。
数据存储单元，用于存储正常访问的数据及入侵攻击的数据；
特征提取单元，根据已知的车联网正常访问数据及异常的入侵攻击数据，提取访问参数特征及访问行为特征；
模型训练单元，用于训练分类器模型，将已知为正常访问及入侵攻击的数据经过特征提取单元提取到的特征输入该训练单元，经过模型评估后得到训练好的分类器模型；
数据检测单元，对实时数据提取特征后的特征进行判断，检测其是否被入侵或攻击，并将检测结果分别保存到数据存储单元当中。
所述系统还包括：告警单元，当检测到对车辆的网络入侵攻击行为时，向车主或TSP服务商发送告警，并根据危险级别或车主设置对入侵攻击流量进行过滤处置。
本发明中方法的实施例采用递进的方式描述，对于系统的实施例而言，由于其基本相似于方法的实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
上述说明示出并描述了本发明的若干优选实施例，但如前所述，应当理解本发明并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文所述发明构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围。

Claims (5)

1.一种基于人工智能行为分析的车联网入侵攻击检测方法，其特征在于，所述方法包括步骤：
步骤S1、获取移动核心网的上网流量数据，将流量按照通信协议还原，得到上网话单日志；其中，获取的所述移动核心网的上网流量数据主要在移动网管道侧采集，并基于车联网移动APP、车载终端为访问源或访问目的，至少包括：源IP，源端口，目标IP，目标端口，协议，访问时间，MSISDN号码，IMSI，IMEI，LAC，CI，DNS解析记录，CA认证请求响应；通过部署数据流量采集设备获取经移动核心网的4G上网流量数据，包括S1-U、S10、S11接口原始流量数据；将流量按通信协议还原，提取各接口的上网日志，并对各接口日志进行关联合成，从而得到完整的移动上网话单日志；
步骤S2、根据APN、号段、车联网手机APP中的一种或多种特征对所述完整的移动上网话单日志进行过滤；
步骤S3、利用已知的车联网正常访问数据及异常的入侵攻击数据，提取访问参数特征及访问行为特征，并使用人工智能分类器模型进行训练；
步骤S4、对实时的车联网访问数据提取访问参数特征及访问行为特征，使用训练好的分类器模型进行判断是否遭遇到入侵攻击，并将入侵攻击行为进行相应处置；
依据的所述访问行为特征包括：请求频次、数据流向、请求参数值最大熵值、车辆行驶特征、单位时间内总访问次数，单位时间内访问行为突发程度，单位时间内来访IP最大访问次数占比、指令类型及指令下发的时间、来源、频次的行为特征、访问终端来源、TSP平台的CA证书认证流程、来自车联网终端的上行请求网络行为特征。
2.根据权利要求1所述的方法，其特征在于，获取的所述移动核心网的数据还包括：请求方式，访问域名，URI，访问参数。
3.根据权利要求1所述的方法，其特征在于，在步骤S3中，依据的所述访问参数包括：访问频次、根据上述日志数据计算得到的车辆行驶特征、数据流向、数据载荷字节数、DNS解析记录。
4.一种基于人工智能行为分析的车联网入侵攻击检测系统，其特征在于，所述检测系统部署在移动核心网侧，车载终端或者车联网手机APP通过移动基站与TSP平台实现交互，所述系统包括：
数据采集单元，用于采集移动核心网的上网流量数据并提取和合成车联网相关的数据流量话单；其中，获取的所述移动核心网的上网流量数据主要基于车联网移动APP、车载终端为访问源或访问目的，至少包括：源IP，源端口，目标IP，目标端口，协议，访问时间，MSISDN号码，IMSI，IMEI，LAC，CI，DNS解析记录，CA认证请求响应；通过部署数据流量采集设备获取经移动核心网的4G上网流量数据，包括S1-U、S10、S11接口原始流量数据；将流量按通信协议还原，提取各接口的上网日志，并对各接口日志进行关联合成，从而得到完整的移动上网话单日志；所述数据采集单元根据车联网手机APP、车载终端、TSP三者之间的互访，以及车载终端访问未知目的IP，来采集数据流量话单信息；
数据存储单元，用于存储正常访问的数据及入侵攻击的数据；
特征提取单元，根据已知的车联网正常访问数据及异常的入侵攻击数据，提取访问参数特征及访问行为特征；
模型训练单元，用于训练分类器模型，将已知为正常访问及入侵攻击的数据经过特征提取单元提取到的特征输入该模型训练单元，经过模型评估后得到训练好的分类器模型；
数据检测单元，对实时数据提取特征后的特征进行判断，检测其是否被入侵或攻击，并将检测结果分别保存到数据存储单元当中；
告警单元，当检测到对车辆的网络入侵攻击行为时，向车主或TSP服务商发送告警，并根据危险级别或车主设置对入侵攻击流量进行过滤处置。
5.根据权利要求4所述的系统，其特征在于，所述数据采集单元以分光方式对经移动核心网传输的数据进行复制读取。
CN201711236177.1A 2017-11-30 2017-11-30 一种基于人工智能行为分析的车联网入侵攻击检测方法和系统 Active CN107948172B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201711236177.1A CN107948172B (zh) 2017-11-30 2017-11-30 一种基于人工智能行为分析的车联网入侵攻击检测方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201711236177.1A CN107948172B (zh) 2017-11-30 2017-11-30 一种基于人工智能行为分析的车联网入侵攻击检测方法和系统

Publications (2)

Publication Number Publication Date
CN107948172A CN107948172A (zh) 2018-04-20
CN107948172B true CN107948172B (zh) 2021-05-25

Family

ID=61946902

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201711236177.1A Active CN107948172B (zh) 2017-11-30 2017-11-30 一种基于人工智能行为分析的车联网入侵攻击检测方法和系统

Country Status (1)

Country Link
CN (1) CN107948172B (zh)

Families Citing this family (28)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108809989B (zh) * 2018-06-14 2021-04-23 北京中油瑞飞信息技术有限责任公司 一种僵尸网络的检测方法及装置
CN109121116B (zh) * 2018-07-09 2021-05-28 深圳大学 车辆ids检测辅助方法、装置、终端及存储介质
CN109002861B (zh) * 2018-08-10 2021-11-09 深圳前海微众银行股份有限公司 联邦建模方法、设备及存储介质
CN109189696B (zh) * 2018-08-12 2020-11-24 华中科技大学 一种ssd缓存系统及缓存方法
CN109039762B (zh) * 2018-08-27 2021-09-07 深圳市元征科技股份有限公司 一种从日志文件中提取出有效通信数据的方法及系统
CN109241736B (zh) * 2018-10-11 2021-03-23 浙江工业大学 一种针对车联网执行器攻击和传感器攻击的估计方法
US20200216027A1 (en) * 2019-01-04 2020-07-09 Byton North America Corporation Detecting vehicle intrusion using command pattern models
US11400944B2 (en) 2019-01-04 2022-08-02 Byton North America Corporation Detecting and diagnosing anomalous driving behavior using driving behavior models
CN109918900B (zh) * 2019-01-28 2022-08-16 锦图计算技术(深圳)有限公司 传感器攻击检测方法、装置、设备及计算机可读存储介质
JP2020128965A (ja) * 2019-02-12 2020-08-27 トヨタ自動車株式会社 情報処理装置、車載装置、情報処理システム、及び、広告配信方法
JP7131428B2 (ja) * 2019-02-22 2022-09-06 日本電信電話株式会社 通信端末装置、通信制御方法及び通信制御プログラム
CN110213222B (zh) * 2019-03-08 2021-12-10 东华大学 基于机器学习的网络入侵检测方法
CN110149345B (zh) * 2019-06-11 2020-07-28 北京航空航天大学 一种基于报文序列预测的车载网络入侵检测方法
CN110362061A (zh) * 2019-07-08 2019-10-22 北京六方领安网络科技有限公司 工业控制设备的外挂型安全检测装置及安全检测方法
CN110662220B (zh) * 2019-11-15 2021-04-30 江南大学 基于时空相关性和信息熵的无线传感器网络异常检测方法
CN110730195B (zh) * 2019-12-18 2020-03-31 腾讯科技（深圳）有限公司 一种数据处理方法、装置以及计算机可读存储介质
CN113347134B (zh) * 2020-02-18 2022-07-19 国家计算机网络与信息安全管理中心浙江分中心 针对车联网tsp平台的攻击检测方法及系统
CN111444523A (zh) * 2020-03-26 2020-07-24 国网信通亿力科技有限责任公司 人工智能建模与服务管理平台
CN111724615A (zh) * 2020-06-18 2020-09-29 北京百度网讯科技有限公司 用于控制车辆的方法、装置、设备以及存储介质
CN111800421B (zh) * 2020-07-06 2021-08-24 东北大学 一种基于隐马尔科夫模型的车联网入侵检测系统
CN111885060B (zh) * 2020-07-23 2021-08-03 上海交通大学 面向车联网的无损式信息安全漏洞检测系统和方法
CN111970309B (zh) * 2020-10-20 2021-02-02 南京理工大学 基于Spark车联网组合深度学习入侵检测方法及系统
CN112953938B (zh) * 2021-02-20 2023-04-28 百度在线网络技术（北京）有限公司 网络攻击防御方法、装置、电子设备及可读存储介质
CN114422623B (zh) * 2022-01-17 2022-11-18 山西省信息通信网络技术保障中心 一种基于指令序列的车联网异常流量识别方法及装置
CN114710372B (zh) * 2022-06-08 2022-09-06 湖南师范大学 基于增量学习的车载can网络入侵检测系统及方法
CN115150182B (zh) * 2022-07-25 2023-07-25 国网湖南省电力有限公司 基于流量分析的信息系统网络攻击检测方法
WO2024065093A1 (zh) * 2022-09-26 2024-04-04 华为技术有限公司 一种入侵检测方法、装置和系统
CN116108438B (zh) * 2023-04-10 2023-06-23 中国工商银行股份有限公司 攻击检测方法、装置、设备、介质和程序产品

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105897715A (zh) * 2016-04-12 2016-08-24 成都景博信息技术有限公司 车联网数据智能处理方法

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102271090B (zh) * 2011-09-06 2013-09-25 电子科技大学 基于传输层特征的流量分类方法及装置
CN103036874B (zh) * 2012-11-28 2015-10-28 大连理工大学 针对车联网数据采集中预防数据注入攻击的保护方法
WO2014149827A1 (en) * 2013-03-15 2014-09-25 REMTCS Inc. Artificial neural network interface and methods of training the same for various use cases
CN106790153B (zh) * 2016-12-29 2019-06-28 北京天融信网络安全技术有限公司 一种车联网安全控制系统及其方法
CN107241352B (zh) * 2017-07-17 2020-01-21 浙江鹏信信息科技股份有限公司 一种网络安全事件分类与预测方法及系统
CN107154950B (zh) * 2017-07-24 2021-05-04 深信服科技股份有限公司 一种日志流异常检测的方法及系统

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105897715A (zh) * 2016-04-12 2016-08-24 成都景博信息技术有限公司 车联网数据智能处理方法

Also Published As

Publication number Publication date
CN107948172A (zh) 2018-04-20

Similar Documents

Publication Publication Date Title
CN107948172B (zh) 一种基于人工智能行为分析的车联网入侵攻击检测方法和系统
CN109951500B (zh) 网络攻击检测方法及装置
CN111800412B (zh) 高级可持续威胁溯源方法、系统、计算机设备及存储介质
CN110958271A (zh) 一种车载外部网络入侵检测系统
CN100399750C (zh) 便于在网络上识别计算机的系统与方法
CN107360118B (zh) 一种高级持续威胁攻击防护方法及装置
CN108924759B (zh) 识别移动发生器的方法、装置及系统
CN114598525A (zh) 一种针对网络攻击的ip自动封禁的方法和装置
CN108183888A (zh) 一种基于随机森林算法的社会工程学入侵攻击路径检测方法
US11240136B2 (en) Determining attributes using captured network probe data in a wireless communications system
CN113572757B (zh) 服务器访问风险监测方法及装置
KR102414334B1 (ko) 자율협력주행 도로인프라 위협탐지 방법 및 장치
CN113938295B (zh) 一种网联汽车通信数据异常传输行为检测方法、系统、电子设备及可读介质
CN111970233A (zh) 一种网络违规外联场景的分析识别方法
CN107172622A (zh) 伪基站短信的识别和分析方法、装置及系统
CN113836564A (zh) 一种基于区块链的网联汽车信息安全系统
CN114339767A (zh) 一种信令检测方法、装置、电子设备及存储介质
CN101576947A (zh) 文件防护处理方法、装置及系统
CN110198288B (zh) 一种异常节点的处理方法及设备
CN112528325B (zh) 一种数据信息的安全处理方法及系统
CN116471592A (zh) 网联汽车网络通信过程分析方法及其相关设备
CN107342986B (zh) 一种诈骗电话预警系统及预警方法
CN115442159A (zh) 一种基于家用路由的风险管控方法、系统和存储介质
KR100977827B1 (ko) 악성 웹 서버 시스템의 접속탐지 장치 및 방법
CN115396218A (zh) 基于流量分析的企业api安全管控方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
TA01 Transfer of patent application right
TA01 Transfer of patent application right

Effective date of registration: 20181220

Address after: Room 5002, 5th floor, Building 27, 25 North Third Ring West Road, Haidian District, Beijing, 100191

Applicant after: Heng Jia Jia (Beijing) Technology Co., Ltd.

Applicant after: National Computer Virus Emergency Response Center

Address before: Room 5002, 5th floor, Building 27, 25 North Third Ring West Road, Haidian District, Beijing, 100191

Applicant before: Heng Jia Jia (Beijing) Technology Co., Ltd.

GR01 Patent grant
GR01 Patent grant