CN111181969B - 一种基于自发流量的物联网设备识别方法 - Google Patents

一种基于自发流量的物联网设备识别方法 Download PDF

Info

Publication number
CN111181969B
CN111181969B CN201911404458.2A CN201911404458A CN111181969B CN 111181969 B CN111181969 B CN 111181969B CN 201911404458 A CN201911404458 A CN 201911404458A CN 111181969 B CN111181969 B CN 111181969B
Authority
CN
China
Prior art keywords
things equipment
data packet
internet
flow
time
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201911404458.2A
Other languages
English (en)
Other versions
CN111181969A (zh
Inventor
马小博
瞿建
黄双双
梁绍一
刘兆丽
李剑锋
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Xian Jiaotong University
Original Assignee
Xian Jiaotong University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Xian Jiaotong University filed Critical Xian Jiaotong University
Priority to CN201911404458.2A priority Critical patent/CN111181969B/zh
Publication of CN111181969A publication Critical patent/CN111181969A/zh
Application granted granted Critical
Publication of CN111181969B publication Critical patent/CN111181969B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/54—Presence management, e.g. monitoring or registration for receipt of user log-on information, or the connection status of the users
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/21—Design or setup of recognition systems or techniques; Extraction of features in feature space; Blind source separation
    • G06F18/214—Generating training patterns; Bootstrap methods, e.g. bagging or boosting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/22—Matching criteria, e.g. proximity measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Evolutionary Computation (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • General Physics & Mathematics (AREA)
  • Artificial Intelligence (AREA)
  • Health & Medical Sciences (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • General Health & Medical Sciences (AREA)
  • Evolutionary Biology (AREA)
  • Biomedical Technology (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Molecular Biology (AREA)
  • Computational Linguistics (AREA)
  • Medical Informatics (AREA)
  • Biophysics (AREA)
  • Computer Hardware Design (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种基于自发流量的物联网设备识别方法。本发明将自发流量的代表性特征匹配到一个时间序列上，并将物联网设备识别问题转化为一个信号处理问题，利用卷积神经网络分析代表性特征匹配的时间序列结果，解决了基于流量分析的物联网设备的识别问题。在网络管理中，本发明不仅能够基于流量分析精确识别物联网设备类型，而且能够精确估计内网后面相同类型物联网设备的接入个数，帮助设备资产自动管理与安全策略配置，对物联网设备安全监管有重大意义。

Description

一种基于自发流量的物联网设备识别方法
技术领域
本发明属于物联网设备识别技术领域，特别涉及一种基于自发流量的物联网设备识别方法。
背景技术
目前，物联网技术由于设备数量众多、种类繁杂、安全功能受限而面临软硬件故障、物理攻击、信息泄露或篡改、非授权访问或恶意控制等安全风险。物联网设备的安全性将影响人们的物联生活，因此，必须妥善处理物联网技术中存在的安全问题。
为解决物联网设备的安全问题，目前常见的解决方案可以分为以下两种：
设立入侵检测系统与升级物联网设备。这两种解决方案在检测实时更新的攻击时效率较低，同时，这对供应商的系统更新要求很高，耗时耗力，无法应对当前飞速发展的物联网市场。除此之外，恶意入侵者也很容易根据物联网市场的当前漏洞开发一些恶意软件，导致物联网系统遭受攻击从而造成安全损失。
发明内容
本发明的目的在于提供一种基于自发流量的物联网设备识别方法，以解决上述问题。
为实现上述目的，本发明采用以下技术方案：
一种基于自发流量的物联网设备识别方法，包括以下步骤：
步骤1：对于目标物联网设备，给定其流量指纹特征向量集合，表示为{f1，f2，…，fm}，其中fi，i＝1，2，…，m为目标物联网设备的第i个流量指纹特征向量；
步骤2：针对目标物联网设备，联网后不对其进行任何用户操作行为，收集目标物联网设备所产生的自发流量数据包序列；
步骤3：对步骤1的m个流量指纹特征向量，对每一个流量指纹特征向量，将其和目标物联网设备所产生的自发流量数据包序列进行匹配，得到一个时间序列，该时间序列由z个元素构成，对应z个时间窗口；
步骤4：将m个流量指纹特征向量在z个时间窗口内的匹配结果构造为z行m列的矩阵；
步骤5：将步骤4所得z行m列矩阵同时输入到两个卷积神经网络A和B进行训练，分别实现两种功能：卷积神经网络A用于判断目标物联网设备是否存在；在卷积神经网络A判断目标物联网设备存在的情况下，卷积神经网络B输出目标物联网设备数目。
进一步的，收集目标物联网设备所产生的自发流量数据包序列具体包括：
收集设备流量和背景流量，设备流量用Te表示，背景流量用Tb表示；通过让设备连接网关，在网关获取目标物联网设备产生的流量，构成Te；捕获用户正常上网、其他目标物联网设备产生的流量，构成Tb。
进一步的，步骤3具体包括：
流量数据包序列表示为<(t1，p1),(t2，p2),…,(tn，pn)>；其中，(tj，pj)，j＝1，2，…，n，表示tj时刻目标物联网设备产生的数据包为pj；每一个fi与<(t1,p1),(t2,p2),…,(tn,pn)>的匹配，得到一个时间序列，表示为<(w1,c1)i,(w2,c2)i,…,(wz,cz)i>；其中，(wk,ck)i表示在<(t1,p1)，(t2,p2)，…，(tn,pn)>的第k个时间窗口wk内(k＝1,2,3,…,z)，fi与<(t1,p1),(t2,p2)，…,(tn,pn)>的成功匹配次数为ck；每个时间窗口的大小设定为Δt，第k个时间窗口wk的时间区间范围wk＝[t1+(k-1)Δt，t1+kΔt)。
进一步的，流量指纹特征向量与流量数据包序列的匹配过程具体包括：
步骤1：流量特征相似度为两特征之间的距离，用d表示；定义特征相似度阈值D，如果d<D，则称两个数据包相似；定义时间阈值T，如果两个数据包到达时间之间的间隔小于T，则称这两个数据包之间时间邻近；
步骤2：流量指纹特征向量fi(i＝1,2,…,m)用
Figure GDA0002759265930000021
描述，其中
Figure GDA0002759265930000022
(r＝1,2,3,…,v)表示fi的第r维特征；
步骤3：对<(t1,p1)，(t2,p2),…,(tn,pn)>中的每一个数据包使用
Figure GDA0002759265930000023
进行匹配；如果数据包pj和
Figure GDA0002759265930000024
之间的相似度d<D，则匹配成功；对于匹配成功的数据包，按照时间顺序输出，形成与
Figure GDA0002759265930000031
匹配成功的数据包子序列；随着r＝1,2,3,…,v的改变，形成v个匹配成功的数据包子序列，这v个匹配成功的数据包子序列的的长度分别记为y1，y2，y3，…，yv；
步骤4：从与
Figure GDA0002759265930000032
匹配成功的v个数据包子序列中，分别每次选取一个数据包进行排列，排列后最终形成y1×y2×y3×…×yv个由v个数据包构成的全匹配数据包序列，所有的全匹配数据包序列构成一个全匹配数据包序列集合；将第u个全匹配数据包序列记作
Figure GDA0002759265930000033
若某个全匹配数据包序列的数据包达到时刻
Figure GDA0002759265930000034
不是按照时间顺序由小到大或者
Figure GDA0002759265930000035
与
Figure GDA0002759265930000036
不满足时间邻近，则从全匹配数据包序列集合中删除该全匹配数据包序列；
步骤5：对全匹配数据包序列集合中的第h个全匹配数据包序列
Figure GDA0002759265930000037
Figure GDA0002759265930000038
计算第一个数据包到达时刻
Figure GDA0002759265930000039
所属时间窗口；若
Figure GDA00027592659300000310
则
Figure GDA00027592659300000311
属于时间窗口wk，同时，给时间窗口wk进行ck＝ck+1操作；
步骤6：对所有的全匹配数据包序列集合中的每个全匹配数据包序列进行步骤5操作，得到<(w1,c1)i，(w2,c2)i，(w3,c3)i，…，(wz，cz)i>。
进一步的，步骤5中，卷积神经网络训练方法包括：
(1)在训练过程中，将设备流量Te和背景流量Tb混合之后作为正样本，背景流量作为负样本；
(2)输入为步骤4中的z行m列矩阵；训练过程中根据本地网络中物联网设备的数量使用不同的函数：卷积神经网络A使用SoftMax和交叉熵损失函数，输出目标物联网设备是否存在；卷积神经网络B使用MSE损失函数，在目标物联网设备存在的情况下，输出目标物联网设备的数量。
与现有技术相比，本发明有以下技术效果：
本发明是站在网络运营商(Internet Service Provider，ISP)的角度进行物联网设备的外网被动探测，即考虑NAT的情况下。一个网络服务提供商为多个子网提供网络服务，在每个子网中，有不同设备的流量，如智能手机和计算机。我们的目标是判断一个子网是否有某个特定的物联网设备，以及有多少设备。如果能在网络管理中能够精确的判别接入设备的种类和个数，就有可能对拥有漏洞的设备“发出警告”。更为珍贵的是，这为检测和减轻网络安全攻击铺平了道路，对网络的安全有着十分重大的意义。本发明站在物联网设备监管的角度，提出了一种给基于自发流量的设备识别方法，能够精确识别设备数量，对于防范网络攻击有重大意义。
本发明能够在网络管理中精确的判别接入设备的种类和个数，物联网设备管理者可以清晰观察和意识到物联网设备的存在状态以及个数，从设备监管角度为防范网络攻击提供设备信息，对网络空间安全有重大意义。同时，相较于其它物联网设备识别解决方案，本发明具有精度高、误报少、算法时间复杂度小，适合于大规模探测等优势。
具体实施方式
以下对本发明进一步说明：
一种基于自发流量的物联网设备识别方法，包括以下步骤：
步骤1：对于目标物联网设备，给定其流量指纹特征向量集合，表示为{f1,f2,…,fm}，其中fi，i＝1,2,…,m为目标物联网设备的第i个流量指纹特征向量；
步骤2：针对目标物联网设备，联网后不对其进行任何用户操作行为，收集目标物联网设备所产生的自发流量数据包序列；
步骤3：对步骤1的m个流量指纹特征向量，对每一个流量指纹特征向量，将其和目标物联网设备所产生的自发流量数据包序列进行匹配，得到一个时间序列，该时间序列由z个元素构成，对应z个时间窗口；
步骤4：将m个流量指纹特征向量在z个时间窗口内的匹配结果构造为z行m列的矩阵；
步骤5：将步骤4所得z行m列矩阵同时输入到两个卷积神经网络A和B进行训练，分别实现两种功能：卷积神经网络A用于判断目标物联网设备是否存在；在卷积神经网络A判断目标物联网设备存在的情况下，卷积神经网络B输出目标物联网设备数目。
收集目标物联网设备所产生的自发流量数据包序列具体包括：
收集设备流量和背景流量，设备流量用Te表示，背景流量用Tb表示；通过让设备连接网关，在网关获取目标物联网设备产生的流量，构成Te；捕获用户正常上网、其他目标物联网设备产生的流量，构成Tb。
步骤3具体包括：
流量数据包序列表示为<(t1,p1),(t2,p2),…,(tn,pn)>；其中，(tj,pj)，j＝1,2,…，n，表示tj时刻目标物联网设备产生的数据包为pj；每一个fi与<(t1,p1),(t2,p2),…,(tn,pn)>的匹配，得到一个时间序列，表示为<(w1,c1)i,(w2,c2)i,…,(wz,cz)i>；其中，(wk,ck)i表示在<(t1,p1)，(t2,p2),…,(tn,pn)>的第k个时间窗口wk内(k＝1，2,3,…，z)，fi与<(t1,p1),(t2,p2),…,(tn,pn)>的成功匹配次数为ck；每个时间窗口的大小设定为Δt，第k个时间窗口wk的时间区间范围wk＝[t1+(k-1)Δt，t1+kΔt)。
流量指纹特征向量与流量数据包序列的匹配过程具体包括：
步骤1：流量特征相似度为两特征之间的距离，用d表示；定义特征相似度阈值D，如果d<D，则称两个数据包相似；定义时间阈值T,如果两个数据包到达时间之间的间隔小于T,则称这两个数据包之间时间邻近；
步骤2：流量指纹特征向量fi(i＝1，2，…,m)用
Figure GDA0002759265930000051
描述，其中
Figure GDA0002759265930000052
(r＝1,2，3，…，v)表示fi的第r维特征；
步骤3：对<(t1，p1)，(t2，p2)，…，(tn,pn)>中的每一个数据包使用
Figure GDA0002759265930000053
进行匹配；如果数据包pj和
Figure GDA0002759265930000054
之间的相似度d<D，则匹配成功；对于匹配成功的数据包，按照时间顺序输出，形成与
Figure GDA0002759265930000055
匹配成功的数据包子序列；随着r＝1,2,3,…,v的改变，形成v个匹配成功的数据包子序列，这v个匹配成功的数据包子序列的的长度分别记为y1，y2，y3，…，yv；
步骤4：从与
Figure GDA0002759265930000056
匹配成功的v个数据包子序列中，分别每次选取一个数据包进行排列，排列后最终形成y1×y2×y3×…×yv个由v个数据包构成的全匹配数据包序列，所有的全匹配数据包序列构成一个全匹配数据包序列集合；将第u个全匹配数据包序列记作
Figure GDA0002759265930000061
若某个全匹配数据包序列的数据包达到时刻
Figure GDA0002759265930000062
不是按照时间顺序由小到大或者
Figure GDA0002759265930000063
与
Figure GDA0002759265930000064
不满足时间邻近，则从全匹配数据包序列集合中删除该全匹配数据包序列；
步骤5：对全匹配数据包序列集合中的第h个全匹配数据包序列
Figure GDA0002759265930000065
Figure GDA0002759265930000066
计算第一个数据包到达时刻
Figure GDA0002759265930000067
所属时间窗口；若
Figure GDA0002759265930000068
则
Figure GDA0002759265930000069
属于时间窗口wk，同时，给时间窗口wk进行ck＝ck+1操作；
步骤6：对所有的全匹配数据包序列集合中的每个全匹配数据包序列进行步骤5操作，得到<(w1,c1)i,(w2,c2)i，(w3,c3)i,…，(wz,cz)i>。
步骤5中，卷积神经网络训练方法包括：
(1)在训练过程中，将设备流量Te和背景流量Tb混合之后作为正样本，背景流量作为负样本；
(2)输入为步骤4中的z行m列矩阵；训练过程中根据本地网络中物联网设备的数量使用不同的函数：卷积神经网络A使用SoftMax和交叉熵损失函数，输出目标物联网设备是否存在；卷积神经网络B使用MSE损失函数，在目标物联网设备存在的情况下，输出目标物联网设备的数量。
实施例：
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。
步骤1：对于目标物联网设备，给定其流量时间序列特征，表示为<f1,f2,f3,…>，其中fi(i＝1,2,3,…)为目标物联网设备的数据包特征向量表示。
步骤2：针对目标物联网设备，联网后不对其进行任何用户操作行为，收集目标物联网设备所产生的自发流量数据包序列。
步骤3：将流量特征序列与数据包序列进行匹配，其具体流程为：
(1)合理评估数据特征相似度，规定序列相似度的取值范围，同时规定数据包时间差的范围。假设时间差和序列特征相似度的取值简化为常数，时间差范围为t≤3，序列特征相似度取值范围为d≤0；
(2)将步骤1中所述的流量特征序列和数据包序列的进行匹配。通过对时间差和特征相似度的判断进行特征序列的逐个对比判断，从数据包的子序列中找到序列特征的映射数据包包括若干时间信息和对应的序列信息。特征距离定义为相似度差距。假设序列特征p1,p2,p3的值为常数，取值为{3，7，2}，同时假设数据包为<(0，1)，(1，3)，(2，3)，(3，7)，(4，1)，(5，2)，(6，1)，(7，7)>。与特征p1匹配成功的数据包子序列为<(1,3)，(2,3)>，与特征p2匹配成功的数据包子序列为<(3,7),(7,7)>，与特征p3匹配的数据包子序列为<(5,2)>，对这三个数据包子序列进行排列得到4个全匹配数据包序列：
<(1,3),(3,7),(5,2)>,<(1,3),(7，7),(5,2)>,<(2,3),(3,7),(5,2)>,<(2,3),(7，7)，(5，2)>，遍历上述四个全匹配数据包序列发现全匹配数据包序列<(1，3)，(7，7)，(5，2)>和<(2，3),(7,7),(5，2)>的数据包的到达时间没有按照时间顺序由小到大，删除<(1，3)，(7，7)，(5,2)>和<(2，3)，(7，7)，(5，2)>，剩余两个全匹配数据包序列满足在时间邻近，则最终得到的全匹配数据包序列为<(1，3)，(3，7)，(5，2)>和<(2，3)，(3，7)，(5，2)>，将两条全匹配数据包序列的第一个数据包到达的时间1，2映射到时间轴上，最终得到的一维时间序列为<0，1，1，0，0，0，0，0>。重复上述过程，直至每个流量指纹特征向量被匹配。
步骤4：将序列匹配结果构造为矩阵；
步骤5：将步骤4中的矩阵输入到卷积神经网络中。如果流量中有多个物联网设备，那么模型的输出为目标物联网设备的数量，若不存在目标物联网设备，则输出为0。然后利用ReLU和MSELOSS函数进行计算。假设模型的输入是一个7乘以10的数组，表示了10个特征序列在7秒内的时间分布。假设目标物联网设备为Mijia Plug，若输出为0，则表示不存在Mijia Plug，若输出为5，则表示该局域网中Mijia Plug的数量为5。
以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.一种基于自发流量的物联网设备识别方法，其特征在于，包括以下步骤：
步骤1：对于目标物联网设备，给定其流量指纹特征向量集合，表示为{f1,f2,…,fm}，其中fi，i＝1,2,…,m为目标物联网设备的第i个流量指纹特征向量；
步骤2：针对目标物联网设备，联网后不对其进行任何用户操作行为，收集目标物联网设备所产生的自发流量数据包序列；
步骤3：对步骤1的m个流量指纹特征向量，对每一个流量指纹特征向量，将其和目标物联网设备所产生的自发流量数据包序列进行匹配，得到一个时间序列，该时间序列由z个元素构成，对应z个时间窗口；
步骤4：将m个流量指纹特征向量在z个时间窗口内的匹配结果构造为z行m列的矩阵；
步骤5：将步骤4所得z行m列矩阵同时输入到两个卷积神经网络A和B进行训练，分别实现两种功能：卷积神经网络A用于判断目标物联网设备是否存在；在卷积神经网络A判断目标物联网设备存在的情况下，卷积神经网络B输出目标物联网设备数目。
2.根据权利要求1所述的一种基于自发流量的物联网设备识别方法，其特征在于，收集目标物联网设备所产生的自发流量数据包序列具体包括：
收集设备流量和背景流量，设备流量用Te表示，背景流量用Tb表示；通过让设备连接网关，在网关获取目标物联网设备产生的流量，构成Te；捕获用户正常上网、其他目标物联网设备产生的流量，构成Tb。
3.根据权利要求1所述的一种基于自发流量的物联网设备识别方法，其特征在于，步骤3具体包括：
流量数据包序列表示为<(t1,p1),(t2,p2),…,(tn,pn)>；其中，(tj,pj)，j＝1,2,…，n，表示tj时刻目标物联网设备产生的数据包为pj；每一个fi与<(t1，p1)，(t2，p2),…，(tn，pn)>的匹配，得到一个时间序列，表示为<(w1，c1)i，(w2，c2)i，…，(wz，cz)i>；其中，(wk，ck)i表示在<(t1，p1)，(t2，p2),…,(tn，pn)>的第k个时间窗口wk内(k＝1，2,3,…，z)，fi与<(t1，p1),(t2,p2),…,(tn,pn)>的成功匹配次数为ck；每个时间窗口的大小设定为Δt，第k个时间窗口wk的时间区间范围wk＝[t1+(k-1)Δt，t1+kΔt)。
4.根据权利要求3所述的一种基于自发流量的物联网设备识别方法，其特征在于，流量指纹特征向量与流量数据包序列的匹配过程具体包括：
步骤1：流量特征相似度为两特征之间的距离，用d表示；定义特征相似度阈值D，如果d<D，则称两个数据包相似；定义时间阈值T,如果两个数据包到达时间之间的间隔小于T,则称这两个数据包之间时间邻近；
步骤2：流量指纹特征向量fi(i＝1,2,…,m)用
Figure FDA0002759265920000021
描述，其中
Figure FDA0002759265920000022
Figure FDA0002759265920000023
表示fi的第r维特征；
步骤3：对<(t1,p1),(t2,p2)，…，(tn，pn)>中的每一个数据包使用
Figure FDA0002759265920000024
进行匹配；如果数据包pj和
Figure FDA0002759265920000025
之间的相似度d<D，则匹配成功；对于匹配成功的数据包，按照时间顺序输出，形成与
Figure FDA0002759265920000026
匹配成功的数据包子序列；随着r＝1,2,3,…,v的改变，形成v个匹配成功的数据包子序列，这v个匹配成功的数据包子序列的的长度分别记为y1，y2，y3，…，yv；
步骤4：从与
Figure FDA0002759265920000027
匹配成功的v个数据包子序列中，分别每次选取一个数据包进行排列，排列后最终形成y1×y2×y3×…×yv个由v个数据包构成的全匹配数据包序列，所有的全匹配数据包序列构成一个全匹配数据包序列集合；将第u个全匹配数据包序列记作
Figure FDA0002759265920000028
若某个全匹配数据包序列的数据包达到时刻
Figure FDA0002759265920000029
不是按照时间顺序由小到大或者
Figure FDA00027592659200000210
与
Figure FDA00027592659200000211
不满足时间邻近，则从全匹配数据包序列集合中删除该全匹配数据包序列；
步骤5：对全匹配数据包序列集合中的第h个全匹配数据包序列
Figure FDA00027592659200000212
Figure FDA00027592659200000213
计算第一个数据包到达时刻
Figure FDA00027592659200000214
所属时间窗口；若
Figure FDA00027592659200000215
则
Figure FDA00027592659200000216
属于时间窗口wk，同时，给时间窗口wk进行ck＝ck+1操作；
步骤6：对所有的全匹配数据包序列集合中的每个全匹配数据包序列进行步骤5操作，得到<(w1,c1)i,(w2,c2)i,(w3,c3)i,…，(wz,cz)i>。
5.根据权利要求1所述的一种基于自发流量的物联网设备识别方法，其特征在于，步骤5中，卷积神经网络训练方法包括：
(1)在训练过程中，将设备流量Te和背景流量Tb混合之后作为正样本，背景流量作为负样本；
(2)输入为步骤4中的z行m列矩阵；训练过程中根据本地网络中物联网设备的数量使用不同的函数：卷积神经网络A使用SoftMax和交叉熵损失函数，输出目标物联网设备是否存在；卷积神经网络B使用MSE损失函数，在目标物联网设备存在的情况下，输出目标物联网设备的数量。
CN201911404458.2A 2019-12-30 2019-12-30 一种基于自发流量的物联网设备识别方法 Active CN111181969B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201911404458.2A CN111181969B (zh) 2019-12-30 2019-12-30 一种基于自发流量的物联网设备识别方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911404458.2A CN111181969B (zh) 2019-12-30 2019-12-30 一种基于自发流量的物联网设备识别方法

Publications (2)

Publication Number Publication Date
CN111181969A CN111181969A (zh) 2020-05-19
CN111181969B true CN111181969B (zh) 2021-03-23

Family

ID=70650610

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911404458.2A Active CN111181969B (zh) 2019-12-30 2019-12-30 一种基于自发流量的物联网设备识别方法

Country Status (1)

Country Link
CN (1) CN111181969B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP4224364A4 (en) * 2020-10-23 2024-04-03 Huawei Technologies Co., Ltd. DEVICE IDENTIFICATION METHOD, APPARATUS AND SYSTEM
CN113726809B (zh) * 2021-09-07 2023-07-18 国网湖南省电力有限公司 基于流量数据的物联网设备识别方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3022582A1 (en) * 2013-07-19 2016-05-25 Consiglio Nazionale Delle Ricerche Method for filtering of interferometric data acquired by synthetic aperture radar (sar)
CN106982209A (zh) * 2017-03-22 2017-07-25 北京匡恩网络科技有限责任公司 工业控制网络接入设备识别方法、装置、以及系统
CN108259637A (zh) * 2017-11-30 2018-07-06 湖北大学 一种基于决策树的nat设备识别方法及装置
CN109471775A (zh) * 2018-11-09 2019-03-15 深信服科技股份有限公司 一种未关机检测方法、装置、设备及可读存储介质
CN110233769A (zh) * 2018-03-06 2019-09-13 华为技术有限公司 一种流量检测方法和流量检测设备
CN110380989A (zh) * 2019-07-26 2019-10-25 东南大学 网络流量指纹特征二阶段多分类的物联网设备识别方法

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10362166B2 (en) * 2017-03-01 2019-07-23 At&T Intellectual Property I, L.P. Facilitating software downloads to internet of things devices via a constrained network
CN109936578A (zh) * 2019-03-21 2019-06-25 西安电子科技大学 一种面向网络中https隧道流量的检测方法
CN110365737A (zh) * 2019-05-30 2019-10-22 广东元一科技实业有限公司 一种物联网设备识别方法
CN110572393A (zh) * 2019-09-09 2019-12-13 河南戎磐网络科技有限公司 一种基于卷积神经网络的恶意软件流量分类方法
CN110493088B (zh) * 2019-09-24 2021-06-01 国家计算机网络与信息安全管理中心 一种基于url的移动互联网流量分类方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3022582A1 (en) * 2013-07-19 2016-05-25 Consiglio Nazionale Delle Ricerche Method for filtering of interferometric data acquired by synthetic aperture radar (sar)
CN106982209A (zh) * 2017-03-22 2017-07-25 北京匡恩网络科技有限责任公司 工业控制网络接入设备识别方法、装置、以及系统
CN108259637A (zh) * 2017-11-30 2018-07-06 湖北大学 一种基于决策树的nat设备识别方法及装置
CN110233769A (zh) * 2018-03-06 2019-09-13 华为技术有限公司 一种流量检测方法和流量检测设备
CN109471775A (zh) * 2018-11-09 2019-03-15 深信服科技股份有限公司 一种未关机检测方法、装置、设备及可读存储介质
CN110380989A (zh) * 2019-07-26 2019-10-25 东南大学 网络流量指纹特征二阶段多分类的物联网设备识别方法

Also Published As

Publication number Publication date
CN111181969A (zh) 2020-05-19

Similar Documents

Publication Publication Date Title
CN110380896B (zh) 基于攻击图的网络安全态势感知系统和方法
CN109600363B (zh) 一种物联网终端网络画像及异常网络访问行为检测方法
Karthick et al. Adaptive network intrusion detection system using a hybrid approach
CN111935170B (zh) 一种网络异常流量检测方法、装置及设备
Ramaki et al. RTECA: Real time episode correlation algorithm for multi-step attack scenarios detection
Gogoi et al. MLH-IDS: a multi-level hybrid intrusion detection method
WO2016082284A1 (zh) 基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法
CN111541661A (zh) 基于因果知识的电力信息网络攻击场景重构方法及系统
CN105553998A (zh) 一种网络攻击异常检测方法
Shamsolmoali et al. Statistical-based filtering system against DDOS attacks in cloud computing
CN114143037B (zh) 一种基于进程行为分析的恶意加密信道检测方法
CN109218321A (zh) 一种网络入侵检测方法及系统
Sudharsan et al. Edge2guard: Botnet attacks detecting offline models for resource-constrained iot devices
CN111181969B (zh) 一种基于自发流量的物联网设备识别方法
CN110768946A (zh) 一种基于布隆过滤器的工控网络入侵检测系统及方法
Juvonen et al. An efficient network log anomaly detection system using random projection dimensionality reduction
Zhao Network intrusion detection system model based on data mining
CN109743339B (zh) 电力厂站的网络安全监测方法和装置、计算机设备
CN110912933B (zh) 一种基于被动测量的设备识别方法
Garcia-Lebron et al. A framework for characterizing the evolution of cyber attacker-victim relation graphs
Krasnov et al. Detecting DDoS attacks using the analysis of network traffic as dynamical system
CN116527307A (zh) 一种基于社区发现的僵尸网络检测算法
CN113709097B (zh) 网络风险感知方法及防御方法
Sapozhnikova et al. Intrusion detection system based on data mining technics for industrial networks
Zhou et al. Research on network security attack detection algorithm in smart grid system

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant