CN110120836A

CN110120836A - 一种多域光网络串扰攻击检测节点确定及定位方法

Info

Publication number: CN110120836A
Application number: CN201910231838.4A
Authority: CN
Inventors: 吴启武; 姜灵芝; 李芳�; 刘雪玥
Original assignee: Engineering University of Chinese Peoples Armed Police Force
Current assignee: Engineering University of Chinese Peoples Armed Police Force
Priority date: 2019-03-26
Filing date: 2019-03-26
Publication date: 2019-08-13
Anticipated expiration: 2039-03-26
Also published as: CN110120836B

Abstract

本发明公开了一种多域光网络串扰攻击检测节点确定及定位方法，针对多域光网络中串扰攻击检测与攻击源定位的不确定问题，采用分布式PCE架构，使用数据采集、数据分析以及基于灰理论的监测点放置策略，实现了串扰攻击的实时检测。同时，以串扰攻击检测和分布式PCE搜集告警信息为前提，结合分布式定位方法的思想，实现了串扰攻击源的准确定位。本发明提供的检测与定位方法不仅具有监测器件少和分布式定位的特点，而且具有较好的鲁棒性、实时性和可扩展性；与典型的检测与定位方法相比，其在同一网络环境下的定位准确率更高。

Description

一种多域光网络串扰攻击检测节点确定及定位方法

技术领域

本发明涉及多域光网络攻击检测节点确定及定位方法，具体涉及一种多域光网络串扰攻击检测节点确定及定位方法。

背景技术

随着网络用户的迅速增加以及多种网络应用的涌现，具有大容量、高速率、灵活性和可伸缩性的光网络满足了持续增长的网络传输需求，同时光网络的透明性给恶意用户提供了可乘之机。因此，能否实时检测与准确定位多域光网络串扰攻击，成为目前亟待解决的主要问题。

对于多域光网络来说，实时检测与准确定位串扰攻击是一项非常具有挑战的任务。为了准确定位多域光网络中的串扰攻击，现有技术还提出了有效的路由策略，并开发出可行的路由算法，但它们仅适用于攻击不超过一次的光网络中。现有技术还提出了将参数检测法和综合监测器件检测法联合，对光网络中的串扰攻击进行检测，但该方法中由于检测节点的确定没有考虑到实时性，因此无法对串扰攻击进行实时检测，从而不能对串扰攻击进行准确定位。

因此，现有技术在面临多域光网络串扰攻击的检测与定位的研究时，检测节点在确定时没有考虑到多域光网络的实时性，导致串扰攻击检测不具有实时性，从而使得串扰攻击定位的准确率低。

发明内容

本发明的目的在于提供一种多域光网络串扰攻击检测节点确定及定位方法，用以解决现有技术中的针对多域光网络串扰攻击的检测节点确定方法没有考虑到多域光网络的实时性，导致串扰攻击检测不具有实时性，从而使得串扰攻击定位的准确率低等问题。

为了实现上述任务，本发明采用以下技术方案：

一种多域光网络串扰攻击检测节点确定方法，按照以下步骤执行：

步骤1、获得多域光网络中的源节点以及目的节点；

利用链路搜索算法找到从源节点到目的节点之间的多条链路，每条链路包括至少一个中间节点，获得多个中间节点；

步骤2、对所有中间节点进行攻击功率值提取后，获得每个中间节点的攻击功率值；

步骤3、将每个中间节点的攻击功率值输入至实时灰理论模型中进行计算，获得每个中间节点的特征功率值；

其中，所述的实时灰理论模型是将原G(1,1)灰理论模型中的常数项a和b替换为时间函数a(t)和b(t)后获得的模型，其中t表示时间；

步骤4、判断每个中间节点的特征功率值是否满足节点特征功率值的限制条件以及守恒条件，将特征功率值满足节点特征功率值的限制条件以及守恒条件的中间节点作为监测节点，获得至少一个中间监测节点；

步骤5、在所述的多域光网络中找到至少一个频繁交互边界节点作为边界监测节点；

将所述的中间监测节点以及边界监测节点作为检测节点，获得多个检测节点。

进一步地，所述的步骤1中采用Dijkstra链路搜索算法找到从串扰攻击源节点到目的节点之间的所有链路。

进一步地，所述的步骤2中采用基于传染病动力学模型的方法对所有中间节点进行攻击功率值提取后，获得每个中间节点的攻击功率值。

一种多域光网络串扰攻击定位方法，按照以下步骤执行：

步骤A、采用权利要求1-3任一项权利要求所述的多域光网络串扰攻击检测节点确定方法获得多个检测节点，在所述的检测节点上放置多个监测器件，对多域光网络进行串扰攻击检测，获得每个节点的串扰攻击检测结果，所述的串扰攻击检测结果包括告警状态以及安全状态；

步骤B、若存在任一节点的告警状态为告警，则将告警状态为告警的节点作为告警节点执行步骤C；否则当前网络未收到串扰攻击；

步骤C、若所述的告警节点没有上游节点，则告警节点为攻击源节点；否则对所述的告警节点的上游节点的安全状态进行检测；

步骤D、若所述的上游节点的安全状态为受到串扰攻击，则将所述的上游节点作为告警节点，返回步骤C；

若所述的上游节点的安全状态为没有受到串扰攻击，则所述的告警节点为攻击源节点。

进一步地，所述的步骤A中监测器件包括依次连接的光交叉连接器以及光功率合路器，还包括光功率计以及光频谱分析仪，所述的光功率合路器分别与光功率计以及光频谱分析仪连接。

本发明与现有技术相比具有以下技术特点:

1、本发明提供的一种多域光网络串扰攻击检测节点确定及定位方法利用灰色线性回归组合模型，它克服了原线性回归模型中没有指数增长趋势和原灰理论模型中没有线性因素的不足，将原模型中的常数项a，b替换为时间函数a(t)，b(t)，使其具有运算简单、不受分布规律变化趋势的影响，使得监测器件放置方法具有实时性，从而使得检测方法也具有了实时性，提高了定位方法的准确性；

2、本发明提供的一种多域光网络串扰攻击定位方法是应用在分布式PCE架构的多域光网络中，每个域都有一个PCE负责该域的路径计算和安全响应处理，同时，由于串扰攻击检测方法能够对多域光网络进行实时的监测检测，因此能够对串扰攻击源进行准确定位。

附图说明

图1为本发明提供的一种多域光网络串扰攻击监测器件放置方法的流程图；

图2为本发明的一个实施例中提供的网络拓扑结构图；

图3为本发明的一个实施例中提供的监测器件结构图；

图4为本发明的一个实施例中提供的串扰攻击定位示意图；

图5为本发明的一个实施例中提供的不同定位方法的准确率比较结果图。

图中标号表示：Tx₂-第二信号输入端，Tx₅-第五信号输入端，Tx₆-第六信号输入端，Tx₇-第七信号输入端，SA₁-第一节点，SA₂-第二节点，SA₃-第三节点，SA ₅-第五节点，SA₆-第六节点，SA₇-第七节点，OXC₃-第三光交叉连接器，OXC₅-第五光交叉连接器，OXC₆-第六光交叉连接器，OXC₇-第七光交叉连接器，EDFA₁-第一中继节点。

具体实施方式

多域光网络：多域光网络存在多个域，每个域内存在多条链路，每个域存在一个PCE负责该域内节点的拓扑结构以及进行域内和域间的链路计算，在多域光网络中，为了使各PCE间能够正常通信和相互协作，需要在PCE和与其通信的网络实体间设计通信协议、标准接口和消息格式。

中间节点：在链路中除了源节点和目的节点以外的所有节点均为中间节点。

频繁交互边界节点：各域与邻域信息交互频繁的边界节点，由于在多域光网络中各域之间存在隐私保护，各域仅边界节点有邻域的抽象拓扑信息，且域间的信息传输量远大于域内，因此，边界节点受到攻击的几率增大。

灰理论模型：灰理论的主要思想和原理与研究光网络中的大功率串扰攻击所面临的攻击点不确定、攻击传播导致的攻击信息复杂性有着非常大的相似性，通过少量的、不完全的信息，建立灰色微分预测模型，用原始数据组成原始序列(0)，经累加生成法生成序列(1)，它可以弱化原始数据的随机性，使其呈现出较为明显的特征规律，对生成变换后的序列(1)建立微分方程型的模型即为灰理论模型。

节点特征功率值的限制条件以及守恒条件：对于多域光网络中的一个节点的特征功率值，当其满足限制条件(该节点的特征功率值大于等于20dB)以及守恒条件(输入该节点功率值等于输出该节点的功率值)时，则该节点受到串扰攻击。

光功率计：通过它检测攻击功率超过20dB的波长信号，当攻击功率大于20dB时，则表明该信号所通过的节点受到攻击，否则，该节点没有受到攻击。在本申请中把攻击功率超过20dB的信号都视为源攻击信号，在进行检测与定位时，主要是找到源攻击发生的节点。

光频谱分析仪：利用眼图情况来判断信号的受攻击情况，眼图越模糊，信号通过的节点受到攻击的可能性越大。

实施例一

在本实施例中公开了一种多域光网络串扰攻击监测器件放置方法。

在本实施例中，利用灰色建模所需数据量少的特点，采用时间序列数据，对整个多域光网络进行监测检测。在多域光网络中的串扰攻击传播存在攻击功率累加和串扰攻击传播延迟的情况，在本实施例中，利用灰理论模型与攻击特征值进行结合，以使监测节点的放置方法具有实时性，从而进行实时的串扰攻击检测的目的。

方法按照以下步骤执行：

步骤1、获得多域光网络中的源节点以及目的节点，利用链路搜索算法找到从源节点到目的节点之间的多条链路，获得链路集合；其中每条链路包括至少一个中间节点，获得多个中间节点；

在本实施例中，给定如图2所示的多域光网络G，其中源节点为s₂、s₁₂，目的节点为d₆、d₉、d₁₄。

在对多域光网络中的路径进行搜索时，可以采用Dijkstra的路径搜索方法，也可以采用Floyd的路径搜索方法。

可选地，所述的步骤1中采用Dijkstra链路搜索算法找到从串扰攻击源节点到目的节点之间的所有链路。

在本实施例中，应用Dijkstra算法找到多域光网络G中源节点和目的节点所在的域，从而得到链路集合Ω＝{Ω₁，Ω₂，Ω₃，Ω₄，Ω₅}，其中第一链路Ω₁＝{s₂,n₁,n₇,d₆}，第二链路Ω₂＝{s₂,n₄,n₅,d₆}，第三链路Ω₃＝{s₁₂,n₇,d₆}，第四链路Ω₄＝{s₁₂,n₈,d₉}以及第五链路Ω₅＝{s₁₂,n₁₃,d₁₄}。

在这些链路集合中，除了源节点和目的节点以外的所有节点均为中间节点。

可选地，所述的步骤2中采用基于传染病动力学模型的方法对所有中间节点进行攻击特征提取后，获得每个中间节点的攻击特征。

在本实施例中，利用传染病动力学中的SIS模型，建立多域光网络大功率串扰攻击传播模型，利用该串扰攻击传播模型提取多域光网络中各个中间节点的攻击功率值。

其中，所述的实时灰理论模型是将原G(1,1)灰理论模型中的常数项a和b替换为时间函数a(t)和b(t)后的模型，t表示时间；

在本实施例中，获得所有中间节点的攻击功率值组成一个序列：

x⁽⁰⁾＝(x⁽⁰⁾(1),x⁽⁰⁾(2),…,x⁽⁰⁾(n))

其中，1,2，……，n代表从1开始到n个中间节点，x⁽⁰⁾(1)表示第一个中间节点的攻击功率值，x⁽⁰⁾(n)表示第n个中间节点的攻击功率值，n为正整数。

将上式进行一次迭代后，得到：

x⁽¹⁾＝(x⁽¹⁾(1),x⁽¹⁾(2),…,x⁽¹⁾(n))

其中，

其中，x⁽¹⁾(1)表示第一个中间节点迭代一次后的攻击功率值，

x⁽¹⁾(n)表示第n个中间节点迭代一次后的攻击功率值。

将上式代入至灰理论模型中，为了达到实时检测的目的，将原

G(1,1)灰理论模型中的常数项a，b替换为函数a(t)，b(t)，可得到：

其中，表示第t时刻的第1个中间节点的特征功率值，a与b均为常数。

将上式用线性回归方程和指数方程进行拟合累加，获得：

其中，C₁、C₂和C₃为常数，z为常数参数。

在本实施例中利用灰色线性回归组合模型，它克服了原线性回归模型中没有指数增长趋势和原灰理论模型中没有线性因素的不足，将原模型中的常数项a，b替换为时间函数a(t)，b(t)，使其具有运算简单、不受分布规律变化趋势的影响，提高了检测方法的实时性。

在本实施例中，在判断每个中间节点的特征功率值是否满足监测节点条件时，采用了[李芳，吴启武.基于传染病动力学的多域光网络串扰攻击传播模型[J].电子技术应用,2018,44(11):86-89.]中的限制条件和守恒条件，若满足限制条件以及守恒条件，则将这个中间节点作为中间检测节点。

在本实施例中，对链路集合中的第一链路Ω₁＝{s₂,n₁,n₇,d₆}，第二链路Ω₂＝{s₂,n₄,n₅,d₆}，第三链路Ω₃＝{s₁₂,n₇,d₆}，第四链路Ω₄＝{s₁₂,n₈,d₉}以及第五链路Ω₅＝{s₁₂,n₁₃,d₁₄}中所有中间节点进行特征功率值计算，并且判断是否满足限制条件和守恒条件，其中，第一链路Ω₁中的中间节点n₁，第二链路Ω₂中的中间节点n₅，第四链路Ω₄中的中间节点n₈以及第五链路Ω₅中的中间节点n₁₃，这四个节点满足监测点设置条件。

在所有的边界监测节点以及中间监测节点上设置监测器件。

在本实施例中，对如图2所示的多域光网络在寻找频繁交互边界节点时，发现三个域之间信息交互频繁的边界节点n₁₁应设置为边界监测节点，其能对路径集合Ω₃进行监测。

因此在本实施例中，在边界监测节点以及中间监测节点上设置监测器件，即在该多域光网络设置五处监测点，便能够实现串扰攻击检测的目的。

本发明提供的检测方法不仅具有监测器件少和分布式定位的特点，而且具有较好的鲁棒性、实时性和可扩展性。

可选地，所述的步骤5中监测器件包括依次连接的光交叉连接器以及光功率合路器，还包括光功率计以及光频谱分析仪，所述的光功率合路器分别与光功率计以及光频谱分析仪连接。

在本实施例中，如图3所示，以光交叉连接器OXC节点为例的串扰攻击监测器件。当两个或多个波长相同或波长不同的信号通过OXC进行信号交换后，经光功率合路器，送到光功率计和光频谱分析仪两个监测设备中进行信号检测，其检测的主要依据是：

(1)对于光功率计来说，主要是通过它检测攻击功率超过20dB的波长信号。设i为串扰攻击发生的起点，j为串扰攻击发生的终点，c_ij为节点i至节点j累加的攻击功率值。当c_ij≥20dB时，则表明该信号所通过的节点受到攻击，否则，该节点没有受到攻击。在本实施例中把攻击功率超过20dB的信号都视为源攻击信号，在进行检测与定位时，主要是找到源攻击发生的节点。

(2)对于光频谱分析仪OSA来说，主要是利用眼图情况来判断信号的受攻击情况。眼图能够对单个波长光通道进行采样监测，在理想的线性信道监测到的眼图是对称的。定义眼图的垂直张开度为R_⊥＝u₁/u₂，当R_⊥越大，则表示该信道的光信噪比OSNR(OpticalSignal Noise Ratio)越高；当R_⊥越小，则该表示该信道的OSNR越低。定义眼图的水平张开度R_＝＝m₁/m₂，R_＝的大小由该波长信道是否有定时抖动决定。由于系统噪声的影响，“0”、“1”符号会向相对的方向发生不同程度的偏移，从而可以判断信号质量的好坏。

在本实施例中，对如图2所示的多域光网络，在该多域光网络设置五处如图3所示的监测器件。

实施例二

在本实施例中公开了一种多域光网络串扰攻击定位方法，按照以下步骤执行：

步骤A、采用实施例一中的多域光网络串扰攻击监测器件放置方法在待定位的多域光网络中设置多个监测器件，对多域光网络进行串扰攻击检测，获得每个节点的串扰攻击检测结果，所述的串扰攻击检测结果包括告警状态以及安全状态；

在本步骤中，串扰攻击检测结果包括告警状态以及安全状态，其中告警状态参量为X。当X＝1时，表示节点发出告警信息；当X＝0时，表示节点未发出告警信息。同时，假设网络中节点的安全状态参量为Y，当Y＝1时，表示节点受到串扰攻击；当Y＝0时，表示节点未受到串扰攻击。

若所述的上游节点的安全状态为没有收到串扰攻击，则所述的告警节点为攻击源节点。

在本实施例中，以3层网络节点为例，若发现底层节点告警信息状态参量X＝1时，则对进入该节点的上游节点B进行检测，否则，该节点未发出告警信息，不需要对节点B进行检测；在对节点B进行检测的过程中，若节点B的安全状态参量Y＝1时，则对B的上游节点B’进行检测，否则，节点B未受到串扰攻击；当发现节点B’的安全状态参量Y’＝1时，若B’存在上游节点，则对B’的上游节点B”进行检测，否则，当Y’＝0或B’不存在上游节点时，节点B为源攻击节点；当发现节点B”的安全状态参量Y”＝1时，B”即为源攻击节点，否则，节点B’为源攻击节点。

在本实施例中，对如图4所示的多域光网络的攻击进行定位，设定在第二信号输入端Tx₂的A₁点和第七信号输入端Tx₇的A₂点两处注入大功率串扰攻击信号。当网络中检测到串扰攻击并发出告警信息后，PCE通过控制平面对告警信息进行搜集时发现在第三节点SA₃处发出攻击告警信息，其具体串扰攻击源定位步骤如下：

Step1：当第三节点SA₃处发出告警信息，则对进入第六光交换器OXC₆的两条光路进行检测。

Step2：发现第一中继节点EDFA₁和第七光交换器OXC₇都存在串扰攻击的条件，继续对进入第一中继节点EDFA₁和第七光交换器OXC₇的光路进行检测。

Step3：发现第七节点SA₇处的眼图受影响较小，说明源攻击不是由第六信号输入端Tx₆引起的，则第七信号输入端Tx₇为一个源攻击的输入端。

Step4：通过对第六节点SA₆的检测，发现其眼图较为清晰，则表明攻击不是由第五信号输入端Tx₅引起，同时排除了第五光交换器OXC₅为源攻击节点的嫌疑。

Step5：通过对第五节点SA₅的检测，可以排除第三光交换器OXC₃为源攻击节点的嫌疑。

Step6：通过对第一节点SA₁和第二节点SA₂的检测，发现第二节点SA₂比第一节点SA₁处受到的影响大，则说明第二信号输入端Tx₂为另一个源攻击的输入端。

通过上述分析可知，由第三节点SA₃发出的告警信息，经过监测检测和定位方法，最终找到串扰攻击源的输入端为第二信号输入端Tx₂和第七信号输入端Tx₇，与原设定一致。因此，该方法能够达到准确定位串扰攻击源的目的。

本发明提供的一种多域光网络串扰攻击定位方法是应用在分布式PCE架构的多域光网络中，每个域都有一个PCE负责该域的路径计算和安全响应处理，同时，由于串扰攻击检测方法能够对多域光网络进行实时的监测检测，因此能够对串扰攻击源进行准确定位。

实施例三

本文采用VPI光网络仿真软件来验证多域光网络串扰攻击检测方法和定位方法的有效性和可靠性，并通过对比本发明提出的基于分布式PCE的多域光网络串扰攻击检测与定位方法(G-DL)、现有技术1提出的基于BER的串扰攻击检测与定位方法(S-DL)和现有技术2提出的基于参数比较和综合监测器件的串扰攻击检测与定位方法(L-DL)进行比较分析。

如图5所示为G-DL方法、S-DL方法和L-DL方法三种串扰攻击检测与定位方法准确率的比较。由图5可知，当多域光网络中出现串扰攻击时，三种检测与定位方法都能达到串扰攻击检测与定位的目的。但就准确率来说，本发明提供G-DL方法准确率最高，L-DL方法次之，S-DL方法所用的时间最长，准确率最低。由于本发明提供的G-DL方法是在基于灰理论的GMPS上提出来的，具有所用数据量少，实时性好的特点，因此，在串扰攻击检测与定位实验中，能够实现快速、准确的攻击检测与定位。

针对多域光网络中串扰攻击检测与攻击源定位的不确定问题，在本发明提供的实施例中采用分布式PCE架构，使用数据采集、数据分析以及基于灰理论的监测点放置策略模块，实现了串扰攻击的实时检测。同时，以串扰攻击检测和分布式PCE搜集告警信息为前提，结合分布式定位方法的思想，实现了串扰攻击源的准确定位。本发明所提的方法不仅具有监测器件少和分布式定位的特点，而且具有较好的鲁棒性、实时性和可扩展性；与典型的检测与定位方法相比，其在同一网络环境下的定位准确率更高。

本发明提供的一种多域光网络串扰攻击检测及定位方法在对待串扰攻击时能够得到较好的适用，那么，将其应用于多域以及多层多域光网络的其它攻击时，经过一定调整和反复实验，也能得到较好的适用。

Claims

1.一种多域光网络串扰攻击检测节点确定方法，其特征在于，按照以下步骤执行：

步骤1、获得多域光网络中的源节点以及目的节点；

2.如权利要求1所述的多域光网络串扰攻击检测节点确定方法，其特征在于，所述的步骤1中采用Dijkstra链路搜索算法找到从串扰攻击源节点到目的节点之间的所有链路。

3.如权利要求2所述的多域光网络串扰攻击检测节点确定方法，其特征在于，所述的步骤2中采用基于传染病动力学模型的方法对所有中间节点进行攻击功率值提取后，获得每个中间节点的攻击功率值。

4.一种多域光网络串扰攻击定位方法，其特征在于，按照以下步骤执行：

5.如权利要求4所述的多域光网络串扰攻击定位方法，其特征在于，所述的步骤A中监测器件包括依次连接的光交叉连接器以及光功率合路器，还包括光功率计以及光频谱分析仪，所述的光功率合路器分别与光功率计以及光频谱分析仪连接。