CN108306893A - 一种自组网络的分布式入侵检测方法和系统 - Google Patents

Abstract

一种自组网络的分布式入侵检测方法和系统，自组网络中的节点被分簇后选取出簇头节点，所有簇头节点上配置区块链系统形成区块链网络，该方法包括：日志更新的节点向其簇头节点发送包含节点本地已格式化的日志信息记录的交易请求；簇头节点验证交易合法后在区块链网络中广播该交易；各簇头节点共识验证该交易，通过后该交易被打包记录到区块链中形成共享日志数据；各簇头节点结合本地信息和共享日志数据分别执行入侵检测。由于对日志信息记录进行了共识验证和记录，保证了检测数据的真实性和可靠性，为无中心弱信任的自组网络提供了全局可靠的共享信息记录以及安全审计数据，以支持全局的决策和响应，进而使入侵检测更准确。

Description

一种自组网络的分布式入侵检测方法和系统

技术领域

本发明涉及网络安全技术领域，具体涉及一种自组网络的分布式入侵检测方法和系统。

背景技术

近年来，自组网络得到了飞速的发展，其具有快速组网、易于布置和不依赖固定的基础设施等特点，在军事通信、移动网络、紧急服务等方面得到了广泛的应用，出现了诸如无线传感网络、车联网等自组网络。但随着自组网络的快速发展，网络安全也变得越来越重要。入侵检测系统IDS(Intrusion Detection System)是继防火墙后保护系统安全的第二道防线，它通过收集并分析网络日志和审计数据来检测自组网络中是否存在违反安全策略的操作和发起攻击的恶意节点，并通知管理员以及全网用户，进而做出适当的应对措施。

目前，一般的入侵检测系统可以分为三类：基于网络的入侵检测系统、基于主机的入侵检测系统和分布式的入侵检测系统。其中，基于网络的入侵检测系统和基于主机的入侵检测系统在网络规模比较大时，数据类型比较复杂，同时，孤立的入侵检测系统容易造成决策错误，效率较低，且缺乏从全局来检测入侵和响应入侵的能力。因此，分布式的入侵检测系统得到更广泛的研究和应用，然而，现有的分布式入侵检测方法大多是在每个网络节点上设置收集信息的检测部件，并将收集的信息发送到中央处理节点来进行分析和处理，其依赖于中央处理节点，处理能力和检测能力受到限制，且不适用于无中央处理节点的场景。

申请号为200810041454.8的发明专利提出了一种无线自组织网络入侵检测方法，该方法通过选举出簇头作为代理来实施入侵检测，保证了入侵检测效率的同时也节省了资源，但该方法假设了代理节点必须是可信任的，而没有考虑代理节点的不可信情况，存在一定的安全隐患，且簇头间的信息不能进行全局共享。

综上，现有的分布式入侵检测方法没有考虑不可信节点恶意传播虚假报告信息来干扰入侵检测系统而导致检测结果错误的情况，缺少对收集到的信息的监控和审计手段，这样，在无中心弱信任的自组网络中，无法保证检测数据的真实性和可靠性，且无法进行全局信息的共享，入侵检测的准确性不高。

发明内容

本申请提供一种自组网络的分布式入侵检测方法和系统，以能够在无中心弱信任的自组网络中提供全局可靠的共享信息记录，支持全局的决策和响应，保证共享检测数据的真实性和可靠性，提高入侵检测的准确性。

根据第一方面，一种实施例中提供一种自组网络的分布式入侵检测方法，所述自组网络中包括多个节点，多个节点被分为至少一个簇，每个簇选取一个用于作为网关负责簇内节点和其它簇节点之间通信的簇头节点，在自组网络中的所有簇头节点上配置区块链系统，形成区块链网络，所述方法包括：

当有节点的日志被更新时，所述日志被更新的节点向其所属簇的簇头节点发送请求区块链系统验证和记录的交易请求，所述交易中包含节点本地按照区块链的交易格式已格式化的日志信息记录；

簇头节点接收到请求节点发送的交易后，根据所述日志信息记录验证所述交易的合法性；

验证通过后，簇头节点将所述交易在区块链网络中进行广播；

区块链网络中的各簇头节点根据所述交易中的日志信息记录进行共识验证；

共识验证通过后，所述交易信息被打包记录到区块链网络中，形成共享日志数据；

当各簇头节点进行入侵检测时，结合本地信息和区块链网络中的共享日志数据分别执行入侵检测。

根据第二方面，一种实施例中提供一种自组网络的分布式入侵检测系统，所述自组网络包括多个节点，多个节点被分为至少一个簇，每个簇具有一个用于作为网关负责簇内节点和其它簇节点之间通信的簇头节点，所有簇头节点经配置区块链系统形成区块链网络；所述系统包括：

数据采集模块，设置在各个节点上，用于在节点本地采集各类用于入侵检测的原始数据；

数据处理模块，设置在各个节点上，用于对所述原始数据进行过滤并格式化为区块链的交易格式，得到格式化的日志信息记录；

交易请求模块，设置在各个节点上，用于在节点的日志被更新时，向节点所属簇的簇头节点发送请求区块链系统验证和记录的交易请求，所述交易中包含所述簇内节点本地按照区块链的交易格式已格式化的日志信息记录；

分布式共识模块，设置在各个簇头节点上，用于接收交易请求模块发送的交易，并根据所述日志信息记录验证所述交易的合法性，在验证通过后，将所述交易在区块链网络中进行广播；还用于接收区块链网络中广播的交易，并根据所述广播的交易中的日志信息记录对所述广播的交易进行共识验证；

分布式记录模块，用于在共识验证通过后，将交易信息打包记录到区块链网络中，形成共享日志数据；

入侵检测模块，设置在各个簇头节点上，用于在各簇头节点进行入侵检测时，结合各簇头节点的本地信息和区块链网络中的共享日志数据分别执行入侵检测。

依据上述实施例的自组网络分布式入侵检测方法和系统，自组网络中的节点被分为至少一簇后选取出每一簇的簇头节点作为入侵检测的代理，再在所有簇头节点上配置区块链系统，形成区块链网络；当有节点的日志被更新时，簇头节点会接收到该请求节点发送的包含已格式化的日志信息记录的交易，对该交易验证通过后在区块链网络中进行广播，这时，区块链网络中的各簇头节点会根据该交易中的日志信息记录进行共识验证，只有在共识验证通过后才会记录该日志信息记录，从而避免了不可信节点的恶意干扰行为，而且，该日志信息记录被打包记录到区块链中，形成了共享日志数据，进而能够使区块链网络中的所有簇头节点都能结合本地信息和该共享日志数据分别进行入侵检测，为无中心弱信任的自组网络提供了全局可靠的共享信息记录，能够支持全局的决策和响应，保证了共享检测数据的真实性和可靠性，使得入侵检测更加准确。

附图说明

图1为自组网络的初始化流程图；

图2为一种实施例中对自组网络分簇并选举簇头节点后形成的网络拓扑图；

图3为另一种实施例中对自组网络分簇并选举簇头节点后形成的网络拓扑图；

图4为本发明实施例中区块链配置的结构示意图；

图5为本发明实施例中自组网络的网络拓扑图；

图6为本发明实施例中自组网络的分布式入侵检测系统的结构示意图；

图7为本发明实施例中自组网络的分布式入侵检测方法的流程图；

图8为本发明实施例中区块链网络记录交易的结构示意图；

图9为本发明一种具体实施例中自组网络的分布式入侵检测系统；

图10为一种具体实施例中入侵检测与决策响应的流程图。

具体实施方式

下面通过具体实施方式结合附图对本发明作进一步详细说明。

区块链(Blockchain)技术作为去中心化的分布式账本技术，具有可追溯、不可篡改和附有时序的数据结构，其分布式共识维护了多方之间的信任。

在本发明实施例中，将自组网络中的多个节点分为至少一簇后选取出每一簇的簇头节点作为入侵检测的代理，再在所有簇头节点上配置区块链系统，形成区块链网络；当有节点的日志被更新时，该节点向其所属簇的簇头节点发送请求区块链系统验证和记录的交易请求，簇头节点接收到该请求节点发送的包含已格式化的日志信息记录的交易，对该交易验证通过后在区块链网络中进行广播；区块链网络中的各簇头节点根据该日志信息记录进行共识验证，在共识验证通过后记录该日志信息记录到区块链中形成共享日志数据；当各簇头节点进行入侵检测时，结合本地信息和区块链网络中的共享日志数据在本簇内进行入侵检测。

图1为自组网络的初始化流程图，如图1所示，包括：

步骤S11：节点分簇并确定簇头节点。

多个节点可组建成自组网络，在自组网络组建期间，可以对自组网络中的节点进行分簇。图2为一种实施例中对自组网络分簇并选举簇头节点后形成的网络拓扑图，如图2所示，在自组网络组建期间，采用层次化分簇的通信方法将自组网络中的节点分为至少一个簇，对于每一个簇内的节点，可通过簇头选举算法选取相对性能优越的节点作为簇头节点，该簇头节点将作为网关负责簇内节点和其余簇的节点之间的通信，即成为簇内节点和其余簇的节点之间进行通信的代理。

在某些自组网络场景中可能存在一些控制中心或审计机构，例如无人机自组网中的地面控制站。图3示出了另一种实施例中对自组网络分簇并选举簇头节点后形成的网络拓扑图，如图3所示，在对自组网络中的节点进行层次化分簇后选举出每一个簇的簇头节点，簇内节点除通过簇头节点和其余簇的节点进行通信外，还可能通过作为网关的簇头节点来与控制中心或审计机构进行通信。

步骤S12：所有簇头节点上配置区块链系统。

对自组网络中的节点进行分簇，从每一簇内的节点中选举出簇头节点后，在所有的簇头节点上构建区块链系统，并对该区块链系统进行配置。图4为本发明实施例中区块链配置的结构示意图，如图4所示，区块链上存储必要的初始化关键信息和参数，即初始化配置信息。具体的，在区块链上创始区块(Block 0)中可存放原始已验证的用户成员ID、用户公钥、簇头节点信息、加密算法和簇头选举算法等的相关信息和参数，这些初始化配置信息均存储在区块链中，充分利用了区块链不可篡改的特点，保证了初始化配置信息的可靠性，使初始化配置信息更加安全可靠，同时也为这些初始化配置信息的共享提供了条件。

基于上述的自组网络的初始化流程，图5示出了本发明实施例中自组网络的网络拓扑图，如图5所示，该自组网络包括区块链网络1和簇内节点2，其中的区块链网络1为在所有簇头节点11上配置区块链系统而形成的封闭的联盟链，类似于Hyperledger Fabric的架构。在一些应用场景下，比如图3所示的网络拓扑图，区块链网络1中还可能存在控制中心12或者审计机构12。区块链网络1中的区块链系统可以包括分布式共识模块、分布式记录模块和密钥系统模块，其中的分布式共识模块可用于提高数据的真实性，分布式记录模块可用于提供可追责和不可篡改的审计数据来源，密钥系统模块中包含了所使用的加密方案和数字签名技术，可用于保障数据的机密性和完整性。基于此，簇内节点2可通过向区块链网络1发送服务请求来请求区块链网络1的相关服务，区块链网络1则可通过加密的应答消息返回执行请求的结果。

基于图5所示的自组网络的网络拓扑图，图6示出了本发明实施例中自组网络的分布式入侵检测系统的结构示意图，如图6所示，包括：数据采集模块61、数据处理模块62、交易请求模块63、分布式共识模块64、分布式记录模块65和入侵检测模块66。

其中，数据采集模块61设置在各个节点上，用于在节点本地采集各类用于入侵检测的原始数据；数据处理模块62设置在各个节点上，用于对数据采集模块61采集到的原始数据进行过滤并格式化为区块链的交易格式，得到格式化的日志信息记录；交易请求模块63设置在各个节点上，用于在节点的日志被更新时，向节点所属簇的簇头节点发送请求区块链系统验证和记录的交易请求，该交易中包含该簇内节点本地按照区块链的交易格式已格式化的日志信息记录；分布式共识模块64设置在各个簇头节点上，用于接收交易请求模块63发送的交易，并根据日志信息记录验证该交易的合法性，在验证通过后，将该交易在区块链网络中进行广播；分布式共识模块64还用于接收区块链网络中广播的交易，并根据区块链网络中广播的交易中的日志信息记录对该广播的交易进行共识验证；分布式记录模块65用于在共识验证通过后，将交易信息打包记录到区块链网络中，形成共享日志数据；入侵检测模块66设置在各个簇头节点上，用于在各簇头节点进行入侵检测时，结合各簇头节点的本地信息和区块链网络中的共享日志数据分别进行入侵检测。

在一具体实施例中，该自组网络的分布式入侵检测系统还包括规则库，该规则库中包含了与各类异常匹配的规则，入侵检测模块66可基于该规则库实施快速的异常检测。

基于图5所示的自组网络的网络拓扑图和图6所示的自组网络的分布式入侵检测系统，图7示出了本发明实施例中自组网络的分布式入侵检测方法的流程图，如图7所示，该方法可以包括以下步骤：

步骤S21：采集信息并处理。

簇内节点和各簇头节点通过设置在其上的数据采集模块在本地采集各类用于入侵检测的原始数据信息，然后通过设置在其上的数据处理模块对采集的信息进行预处理，过滤掉无用的信息，提取出关键的信息并进行归类，然后对其进行统一的格式转换，转换为区块链中的交易格式，并利用区块链系统中的密钥系统模块附上时间戳和该节点的签名，生成该节点的格式化的日志信息记录。

步骤S22：发送交易以请求验证和记录。

当有节点的日志被更新时，该节点(即请求节点)通过设置在其上的交易请求模块向其所属簇的簇头节点发送请求区块链系统验证和记录的交易请求，该交易请求中包含该日志被更新的节点的格式化的日志信息记录。比如，在图5中，簇头节点11是簇内节点2所在簇的簇头节点，当簇内节点2的日志有了更新时，簇内节点2会向其所在簇的簇头节点11发送包含本地已格式化的日志信息记录的交易，请求区块链验证和记录。

实际应用中，簇内节点2在发送交易请求后会等待区块链网络1的答复验证，以确定上传的日志信息记录是否被正确记录，如果簇内节点2在超出预定时间内未接收到区块链网络1的答复验证，这时，簇内节点2可选择重新发送交易请求。具体的，区块链网络1可以通过加密的验证答复消息返回答复验证给簇内节点2，以保证数据的机密性。

步骤S23：验证交易的合法性。

簇头节点通过设置在其上的分布式共识模块接收到请求节点发送的交易后，根据该请求节点的日志信息记录验证交易的合法性。比如，图5中的簇头节点11接收到簇内节点2发送的交易后，簇头节点11根据该交易中簇内节点2的日志信息记录来验证该交易的合法性，即验证该日志信息记录中的签名是否正确、格式是否合法和/或内容是否认同等。若验证通过，则执行步骤S25，否则，执行步骤S24。

步骤S24：发送交易不合法的验证结果给簇内节点。

步骤S25：广播交易。

若簇头节点13验证该交易合法，即该交易验证通过后，簇头节点13会将该交易在区块链网络1中进行广播。

步骤S26：共识验证。

该交易在区块链网络1中进行广播之后，区块链网络1中的各簇头节点通过分布式共识模块根据该交易中的日志信息记录进行共识验证，即由区块链网络1中的所有簇头节点协商确认是否将该交易记录到区块链上。如果共识验证通过，即确认记录该交易到区块链上，则执行步骤S28，否则，执行步骤S27。

步骤S27：发送交易未被记录的验证结果至簇内节点。

在共识验证未通过时，区块链网络1向簇内节点2返回交易未被记录的验证结果，以告知簇内节点2该交易未被执行。

步骤S28：记录交易并答复。

在共识验证通过时，分布式记录模块将该交易打包记录到区块链网络1中，形成共享日志数据，同时，区块链网络1通过发送共识验证通过的验证结果给初始的请求节点(即簇内节点2)，以答复请求节点其交易已被执行，即日志信息记录已被区块链网络1记录。图8示出了区块链网络记录交易的结构示意图，如图8所示，在共识验证通过时，该交易被打包记录到区块链网络1中的一个区块(例如区块Block 1)中，然后连接到上一个区块(例如区块Block 0)，这时，区块链网络1中的所有簇头节点上都会有该日志信息记录。

步骤S29：入侵检测。

区块链网络1获得共享日志数据以后，当各簇头节点进行入侵检测时，通过设置在其上的入侵检测模块，结合本地信息和区块链网络1中的共享日志数据分别进行入侵检测，即将这些数据与规则库中的规则进行匹配，根据相应的检测算法执行入侵检测。在实际应用中，各簇头节点可以定期对区块链网络1中的共享日志数据进行入侵检测，而各簇头节点进行入侵检测的时间可以是异步的，且各簇头节点检测的时间间隔和检测算法与方案也可以各不相同，这样可以充分发挥各类检测算法的优势，使入侵检测的检测结果更加准确。

实际应用中，当簇头节点在进行入侵检测中发现异常时，可进行进一步的检测和决策。具体的，图9示出了本发明一种具体实施例中自组网络的分布式入侵检测系统，如图9所示，与图6不同的是，该系统还包括响应模块67，该响应模块67结合入侵检测模块66可以实施恶意行为的发现到排除，其他模块的功能则与图6一一类同，此处不再赘述。基于图9所示的系统，在图7所示方法的基础上，当簇头节点在进行入侵检测中发现异常时，可按照图10所示的流程进行进一步的检测和决策；具体的，图10为一种具体实施例中入侵检测与决策响应的流程图，如图10所示，可以包括以下步骤：

SA1：发送异常检测结果事务。

区块链网络1中的某簇头节点在进行入侵检测中发现异常时，该簇头节点上的入侵检测模块将会向区块链网络1发送异常检测结果事务，并请求区块链网络1对该异常检测结果事务进行验证和记录，其中的异常检测结果事务中包括该簇头节点的签名，其格式为区块链的交易格式。

当区块链网络1中的其它簇的簇头节点上的入侵检测模块发现区块链网络1的异常检测结果事务后，将各自执行步骤SA2。

SA2：执行入侵检测。

当区块链网络1中的其它簇的簇头节点上的入侵检测模块发现区块链网络1的异常检测结果事务后，在其所属簇内进行入侵检测，如果同样地检测出异常，这时，检测出异常的簇头节点会向区块链网络1发送异常检测结果事务，请求区块链网络1进行共识后记录该异常的检测结果事务，该异常检测结果事务中附有检测出异常的簇头节点的签名。

SA3：判断异常检测结果事务的次数是否超过设定阈值。

区块链网络1对异常检测结果事务的次数进行统计，当判断异常检测结果事务的次数超过设定阈值时，执行步骤SA4，否则，继续进行统计判断。

SA4：实施响应措施。

当区块链网络1上报告的异常检测结果事务的次数超过设定阈值时，响应模块触发区块链上的智能合约，实施初始设定的响应措施，使整个网络和系统回归安全状态。在该过程中，充分利用了可编程的智能合约来自动进行异常检测和响应，使得入侵检测更民主化和智能化。

或者，当区块链网络1上报告的异常检测结果事务的次数超过设定阈值时，响应模块触发至少一个检测出异常的簇头节点的交易请求模块向区块链网络1发送决策响应事务，以请求区块链网络1对该决策响应事务进行共识验证和记录，该决策响应事务中包括该簇头节点提议的响应方案；分布式共识模块对该决策响应事务进行共识验证，得到全局统一的决策响应方案，分布式记录模块将共识验证后得到的全局统一的决策响应方案记录到区块链中，区块链网络1中的各簇头节点都将遵守该全局统一的决策响应方案，此时，响应模块执行该全局统一的决策响应方案，从而使整个网络和系统回归安全状态，其中对于网络中存在的某个异常，只唯一对应了一个全局统一的决策响应方案，不存在有多个不同的响应方案同时被共识验证通过。

实际应用中，在一些存在控制中心或者审计机构的场景下，这些控制中心或审计机构可作为区块链网络中的成员，这时，可以设定控制中心拥有最大的权限，使其在共识过程中具有最高的投票权，从而可提升共识的可靠性；另外，控制中心或审计机构的加入可以方便对自组网络中的所有节点的控制和操作进行实时的监控和审计。

本实施例提供的自组网络的分布式入侵检测方法和系统，将自组网络中的节点分簇后选取出簇头节点作为入侵检测的代理，再在所有簇头节点上配置区块链系统，形成区块链网络。首先，当有节点的日志被更新时，簇头节点会接收到该节点发送的包含已格式化的日志信息记录的交易，该交易中包含时间戳和该请求节点的签名，利用区块链不可篡改、不可否认、附带时序和分布式的特性形成了可追责和可审计的格式化网络日志数据账本，能够帮助定位可疑节点的身份，保证了区块链网络上的初始化信息和日志记录信息的可靠性、时序性、可追责和可审计。接着，区块链网络会对含有日志信息记录的交易进行广播、共识验证和记录，形成共享日志数据，通过区块链网络中的所有簇头节点的共识验证和记录保证了全局网络日志信息的共享，同时避免了不可信节点的恶意干扰行为，提升了用于入侵检测的数据的真实性和可靠性。然后，区块链网络中的所有簇头节点都可以结合本地信息和共享日志数据在本簇内进行入侵检测，这样，通过共享使得各簇头节点能够采用自身的检测算法进行入侵检测，从而充分发挥了各类入侵检测算法的功效，提高了入侵检测的准确率和及时性。进一步的，通过利用区块链技术中的分布式共识来在无中心弱信任的自组网络中建立信任，为无中心弱信任的自组网络提供了全局可靠的共享信息记录，从而能够支持全局的决策和响应，使得入侵检测更加准确。

本领域技术人员可以理解，上述实施方式中各种方法的全部或部分功能可以通过硬件的方式实现，也可以通过计算机程序的方式实现。当上述实施方式中全部或部分功能通过计算机程序的方式实现时，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：只读存储器、随机存储器、磁盘、光盘、硬盘等，通过计算机执行该程序以实现上述功能。例如，将程序存储在设备的存储器中，当通过处理器执行存储器中程序，即可实现上述全部或部分功能。另外，当上述实施方式中全部或部分功能通过计算机程序的方式实现时，该程序也可以存储在服务器、另一计算机、磁盘、光盘、闪存盘或移动硬盘等存储介质中，通过下载或复制保存到本地设备的存储器中，或对本地设备的系统进行版本更新，当通过处理器执行存储器中的程序时，即可实现上述实施方式中全部或部分功能。

以上应用了具体个例对本发明进行阐述，只是用于帮助理解本发明，并不用以限制本发明。对于本发明所属技术领域的技术人员，依据本发明的思想，还可以做出若干简单推演、变形或替换。

Claims (10)

1.一种自组网络的分布式入侵检测方法，所述自组网络中包括多个节点，多个节点被分为至少一个簇，每个簇选取一个用于作为网关负责簇内节点和其它簇节点之间通信的簇头节点，在自组网络中的所有簇头节点上配置区块链系统，形成区块链网络，其特征在于，所述方法包括：

当有节点的日志被更新时，所述日志被更新的节点向其所属簇的簇头节点发送请求区块链系统验证和记录的交易请求，所述交易中包含节点本地按照区块链的交易格式已格式化的日志信息记录；

簇头节点接收到请求节点发送的交易后，根据所述日志信息记录验证所述交易的合法性；

验证通过后，簇头节点将所述交易在区块链网络中进行广播；

区块链网络中的各簇头节点根据所述交易中的日志信息记录进行共识验证；

共识验证通过后，所述交易被打包记录到区块链网络中，形成共享日志数据；

当各簇头节点进行入侵检测时，结合本地信息和区块链网络中的共享日志数据分别执行入侵检测。

2.如权利要求1所述的方法，其特征在于，所述日志被更新的节点发送交易请求后等待区块链网络的答复验证，并在超出预定时间内未接收到区块链网络的答复验证时，重新发送交易请求。

3.如权利要求1所述的方法，其特征在于，簇头节点在进行入侵检测中发现异常时向区块链网络发送异常检测结果事务，请求区块链网络验证和记录，所述异常检测结果事务的格式为区块链的交易格式。

4.如权利要求3所述的方法，其特征在于，当其它簇的簇头节点发现区块链网络的异常检测结果事务后，各自进行入侵检测，当发现异常时同样向区块链网络发送异常的检测结果事务，请求区块链网络进行共识记录。

5.如权利要求4所述的方法，其特征在于，当区块链网络中记录的异常检测结果事务的次数超过设定阈值时，触发区块链上的智能合约，实施初始设定的响应措施。

6.如权利要求4所述的方法，其特征在于，当区块链网络中记录的异常检测结果事务的次数超过设定阈值时，至少一个检测出异常的簇头节点向区块链网络发送决策响应事务，并请求区块链网络对所述决策响应事务进行共识验证和记录，所述决策响应事务中包括该簇头节点提议的响应方案，区块链网络在进行共识记录后执行全局统一的决策响应方案。

7.一种自组网络的分布式入侵检测系统，所述自组网络包括多个节点，多个节点被分为至少一个簇，每个簇具有一个用于作为网关负责簇内节点和其它簇节点之间通信的簇头节点，所有簇头节点经配置区块链系统形成区块链网络；其特征在于，所述系统包括：

数据采集模块，设置在各个节点上，用于在节点本地采集各类用于入侵检测的原始数据；

数据处理模块，设置在各个节点上，用于对所述原始数据进行过滤并格式化为区块链的交易格式，得到格式化的日志信息记录；

交易请求模块，设置在各个节点上，用于在节点的日志被更新时，向节点所属簇的簇头节点发送请求区块链系统验证和记录的交易请求，所述交易中包含所述簇内节点本地按照区块链的交易格式已格式化的日志信息记录；

分布式共识模块，设置在各个簇头节点上，用于接收交易请求模块发送的交易，并根据所述日志信息记录验证所述交易的合法性，在验证通过后，将所述交易在区块链网络中进行广播；还用于接收区块链网络中广播的交易，并根据所述广播的交易中的日志信息记录对所述广播的交易进行共识验证；

分布式记录模块，用于在共识验证通过后，将交易信息打包记录到区块链网络中，形成共享日志数据；

入侵检测模块，设置在各个簇头节点上，用于在各簇头节点进行入侵检测时，结合各簇头节点的本地信息和区块链网络中的共享日志数据分别进行入侵检测。

8.如权利要求7所述的系统，其特征在于，所述入侵检测模块还用于在簇头节点进行入侵检测中发现异常时，向区块链网络发送异常检测结果事务，请求区块链网络验证和记录；

当其它簇头节点上的入侵检测模块发现区块链网络的异常检测结果事务后，分别执行入侵检测，并在发现异常时向区块链网络发送异常的检测结果事务，请求区块链网络进行共识记录。

9.如权利要求8所述的系统，其特征在于，还包括响应模块，所述响应模块用于当区块链网络记录的异常检测结果事务的次数超过设定阈值时，触发区块链上的智能合约，实施初始设定的响应措施。

10.如权利要求8所述的系统，其特征在于，还包括响应模块，所述响应模块用于当区块链网络记录的异常检测结果事务的次数超过设定阈值时，触发至少一个检测出异常的簇头节点的交易请求模块向区块链网络发送决策响应事务，所述决策响应事务中包括所述簇头节点提议的响应方案，分布式共识模块对所述决策响应事务进行共识验证，得到全局统一的决策响应方案，分布式记录模块将共识验证后得出的全局统一的决策响应方案记录到区块链中，所述响应模块执行所述全局统一的决策响应方案。