CN115001827A - 一种云端结合IoT僵尸网络检测原型系统及方法 - Google Patents

一种云端结合IoT僵尸网络检测原型系统及方法 Download PDF

Info

Publication number
CN115001827A
CN115001827A CN202210627178.3A CN202210627178A CN115001827A CN 115001827 A CN115001827 A CN 115001827A CN 202210627178 A CN202210627178 A CN 202210627178A CN 115001827 A CN115001827 A CN 115001827A
Authority
CN
China
Prior art keywords
flow
nodes
similarity
similarity relation
node
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202210627178.3A
Other languages
English (en)
Other versions
CN115001827B (zh
Inventor
牛伟纳
吴昊
张小松
胡佳
代天赐
朱宇坤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
University of Electronic Science and Technology of China
Original Assignee
University of Electronic Science and Technology of China
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by University of Electronic Science and Technology of China filed Critical University of Electronic Science and Technology of China
Priority to CN202210627178.3A priority Critical patent/CN115001827B/zh
Publication of CN115001827A publication Critical patent/CN115001827A/zh
Application granted granted Critical
Publication of CN115001827B publication Critical patent/CN115001827B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/144—Detection or countermeasures against botnets
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明公开了一种云端结合IoT僵尸网络检测原型系统及方法，属于僵尸网络检测技术领域，主旨在于解决IoT设备无法承受较大的算力和存储开销的问题。主要方案包括先通过端系统，对流量进行监听、采集、过滤后存储，并加入阻塞队列；时刻监听着阻塞队列，当阻塞队列存在未被消费的信息时，对该信息进行流特征化处理，并将流特征消息发布给MQTT服务器；MQTT服务器接收到端系统的信息后，通过特定的主题过滤器定位到云系统后，将消息发送给云系统；云系统进行处理先得到以主机为节点的网络流簇和一组相似性关系；再根据主机节点的特征信息和相似性关系构建出流相似性关系图；然后对流相似性关系图中的主机节点进行检测，识别出图中存在的僵尸主机节点。

Description

一种云端结合IoT僵尸网络检测原型系统及方法
技术领域
本发明涉及僵尸网络检测技术领域，提供了一种云端结合IoT僵尸网络检 测原型系统及方法。
背景技术
物联网作为传统互联网和移动网络的延申，通过射频识别、红外感应器、 全球定位系统、激光扫描器等信息采集装置，按照约定的通信协议，把任何信 息设备与互联网连接起来，进行信息交换和通信，以实现对物品的智能化识 别、定位、跟踪、监控和管理。而大多数物联网设备都采取弱安全防护措施， 存在着极大的安全隐患。
僵尸网络是指攻击者通过对目标主机进行恶意软件感染、传播而最终所劫 持的主机群体，攻击者可以通过下达恶意命令的方式控制僵尸网络完成其攻击 行为。相比于传统网络，IoT网络具有更自由的开放性和更丰富的设备异构 性，再加上IoT设备本身多采用较弱的安全防御保护机制，僵尸程序的攻击者 逐渐将入侵视角向IoT领域转移。
IoT僵尸网络检测的工作还处于发展时期，大部分的研究工作都着重关注 于检测在被IoT僵尸程序入侵后的主机在通信时所产生的异常流量。在文献 《an ensembleintrusion detection technique based on proposed statistical flow features forprotecting network traffic of internet of things》中提出了AdaBoost集 成学习的方法来对多检测模型综合的检测思路。该方法存在缺点：所构建的数 据集流量是通过Raspberry Pi作为基础的IoT设备所产生的良性流量和数据集 UNSW-UB15恶意部分混合而生成的，并不是纯粹的IoT网络流量。
文献《Botcatcher：botnet detection system based on deep learning》利用深度 学习的方法提出了BotCatcher僵尸网络检测系统，具体其从网络流量的时间特 征维度和空间特征维度依次使用了CNN网络和LSTM网络来进行模型训 练，对两种维度得到的特征嵌入进行串联后利用Softmax输出最终的二维向量 的形式来进行概率表达。该方法具有对流量数据自动进行特征选择的优势，但 是存在训练过程缓慢的实际问题。
文献《A blockchain-based privacypreserving botnet detector forinternet of things》 了区块链架构的IoT僵尸网络检测系统，但其本质还是对基于社群的僵尸网 络检测算法PeerHunter的封装。PeerHunter与以前倾向于对于僵尸主机发生恶意行为时的异常流量进行检测不同，该工作着重点是对于于僵尸群体的检测。 但是文章提出的的区块链结构只是为了解决系统设计中的拜占庭容错问题。
发明内容
针对上述现有技术问题，本发明的目的在于提供一种云端结合IoT僵尸网 络检测原型系统，该系统能够解决IoT设备无法承受较大的算力和存储开销的 问题，在IoT设备的端系统仅仅只进行进行流量捕获、流特征提取等工作，而 高算力的业务如图数据挖掘，深度学习检测等放在端系统，因此保证了业务数 据在系统传输时高效轻量；该系统能够获得主机节点的特征信息、相似性关系 和流相似性关系图，因此能检测出具体的IoT僵尸主机；同时该系统采用 MQTT协议，并使用MQTTBroker作为云系统和端系统的中介角色来实现信息 的交互，实现两个系统的异步耦合，而且对IoT终端设备的异构性进行了屏 蔽，因此能便于业务的扩展。
为了达到上述目的，本发明采用如下技术方案：
一种云端结合IoT僵尸网络检测原型系统，包括以下器件：
端系统：执行流数据捕获部分，通过Argus流量捕获工具，对受控网络主 机通信的流量数据进行处理，实现流量数据的捕获和过滤，得到流数据；再利 用Argus工具的流量数据分析的手段，对流数据进行分析，得到流数据的低维 特征，并将最终的低维的流特征消息发布给MQTT服务器；
具体的通过监听网络驱动程序来产生流量数据副本，在内核态的操作系统 缓冲区中通过用户定制的白名单筛选过滤流量，在用户态通过调用Argus底层 的libpcap库将内核态流量数据拷贝到应用程序中。
MQTT服务器：负责端系统和云系统之间消息传输；
云系统：包括流相似性关系提取模块，流相似性关系图构建模块，GCN僵 尸节点检测模块，
流量采集、过滤模块：负责接口流量监听、白名单过滤、将过滤后的流量 以.argus格式存储并加入阻塞队列；
流特征化处理模块：监听着阻塞队列，当阻塞队列存在未被消费的信息 时，对该信息进行流特征化处理，并将流特征消息发布给MQTT服务器；
MQTT通信模块：采取C/S架构即发布/订阅的设计模式，MQTT作为服 务器实现客户端的端系统和云系统的通信；
流相似性关系提取模块：获取来自端系统的流特征信息后，将同一主机节 点下相似性流量汇聚成簇形成网络流簇，再对不同主机节点具有相似的网络流 簇进行整合，遍历所有节点，得到多个相似性关系；
流相似性关系图构建模块：对受控的网络环境中的主机信息和流信息进行 图数据结构表达，根据主机节点的特征信息和流相似性关系建立流相似性关系 的无向图；
GCN僵尸节点检测模块：利用GCN网络对输入流相似的无向关系图的节 点进行分类，实现对僵尸节点的检测。
整个系统启动时，首先通过端系统的流量采集、过滤模块对受控网络的流 量进行监听、采集、过滤后存储，并加入阻塞队列；流特征化处理模块时刻监 听着阻塞队列，当阻塞队列存在未被消费的信息时，对该信息进行流特征化处 理，并流特征消息发布给MQTT服务器；MQTT服务器接收到端系统的信息 后，通过特定的主题过滤器定位到云系统后，将消息发送给云系统；云系统的 流相似性关系提取模块获取来自端系统的信息后，进行处理得到以主机为节点 的网络流簇和相应特征信息及一组相似性关系；流相似性关系图构建模块根据 主机节点的特征信息和流相似性关系构建出流相似性关系图；GCN僵尸节点检 测模块对流相似性关系图中的主机节点进行检测，识别出图中存在的僵尸主机 节点。
上述技术方案中，其中流相似性关系图构建模块具体实现步骤如下：
首先对相似性关系图节点特征信息建模，基于全部的流特征信息，设置一 个Node类来对节点的特征信息进行描述，其中每一个节点以独立的IP地址 进行划分即主机节点，遍历访问受控网络中的每一条流特征，对每一条流信息 进行汇总处理，最终得到受控网络内部的结点特征集合V＝{vi}；
相似性关系无向图定义为G＝(V，e)，其中V表示受控网络中的主机集 合，e表示相似关系边集合，使用邻接矩阵的方式来对表示结点之间边的连接 关系，再对流相似性关系图的节点构建边的连接关系，进行如下处理：如果结 点和结点之间有一个相似性关系，对应边权重加1，如果节点之间没有相似性 关系，对应边权重为0，遍历得到的相似性关系，最后得到用邻接矩阵表示的 流相似性关系的无向图。
上述技术方案中，GCN僵尸节点检测模块：具体实现步骤如下：
GCN僵尸结点检测模块以流相似性关系无向图的邻接矩阵作为输入，利 用GCN网络对图中的结点进行分类，以最终实现对于僵尸结点的检测。
其中通过特定的主题过滤是指：
端系统和云系统均以客户端的身份和MQTT服务器建立连接，并且云系 统在MQTT服务端订阅主题“IoT_INFO/FLOW_FEATURE”。当端系统完成了 对流量的低维特征表示处理后，将特征消息以主题 “IoT_INFO/FLOW_FEATURE”向MQTT服务器发布，当MQTT服务器接受到消息后，通过主题过滤器定位到云系统对该主题的订阅关系，最终将该消息 向云系统进行路由。
其中主机节点的特征信息通过以下手段获取：
流特征化处理后得到主机IP地址，目的地址，协议等一些信息，选取主 机IP地址为参照节点后，与其相关的网络流的其他特征(目的地址，协议等) 就可以看作主机的节点信息。
本发明还提供了一种云端结合IoT僵尸网络检测方法，分成三个部分端系 统、云系统和MQTTBroker，该方法主要包括以下步骤：
S1：启动云系统和端系统及MQTTBroker，首先通过端系统的流量采集、 过滤模块对受控网络的流量进行监听、采集、过滤后存储，并加入阻塞队列
S2：流特征化处理模块时刻监听着阻塞队列，当阻塞队列存在未被消费的 信息时，对该信息进行流特征化处理得到流特征消息，并将流特征消息发布给 MQTT服务器；
S3：MQTT服务器接收到端系统的流特征消息后，通过特定的主题过滤器 定位到云系统后，将消息发送给云系统；
S4：云系统的流相似性关系提取模块获取来自端系统的流特征信息后，将 同一主机节点下相似性流量汇聚成簇形成网络流簇，不同主机节点具有一个相 同的网络流簇，则可认为存在一条相似性关系，遍历所有节点，得到多个相似 性关系；
S5：流相似性关系图构建模块首先对相似性关系图节点特征信息建模，基 于全部的流特征信息，设置一个Node类来对节点的特征信息进行描述，其中 每一个节点以独立的IP地址进行划分即主机节点。遍历访问受控网络中的每 一条流特征，对每一条流信息进行汇总处理，最终得到受控网络内部的结点特 征集合V＝{vi}；相似性关系无向图定义为G＝(V，e)，其中V表示受控网 络中的主机集合，e表示相似关系边集合，使用邻接矩阵的方式来对表示结点 之间边的连接关系，再对流相似性关系图的节点构建边的连接关系，进行如下处理：如果结点和结点之间有一个相似性关系，对应边权重加1，如果节点之 间没有相似性关系，对应边权重为0，遍历得到的相似性关系，最后得到用邻 接矩阵表示的流相似性关系的无向图；
S6：GCN僵尸结点检测模块以流相似性关系无向图的邻接矩阵作为输 入，利用GCN网络对图中的结点进行分类，以最终实现对于僵尸结点的检 测。
本发明同现有技术相比，其有益效果表现在：
一、端系统只执行对受控网络的流量捕获和基本的特征处理，而将一些高 消耗的业务放在云系统，大大降低了端系统IoT设备的开销；
二、本发明利用MQTT通信模块，实现了端系统和云系统数据通信的异步 耦合，并且屏蔽了IoT终端设备的异构性，便于业务的拓展；
三、针对目前大多数基于流量行为的IoT僵尸网络往往只是从流数据的 是否存在恶意进行检出，并没有以主机检测为目的的现状，提出了对于受控的 IoT网络环境中僵尸主机结点的检测；
四、提出了利用流量相似性行为对受控网络中结点的数据进行图数据建模 的方法，并在流相似性关系图上采取了GCN网络实现了对于僵尸结点的检 测。
附图说明
图1是本发明的总体架构图；
图2-6是实验功能测试图。
具体实施方式
下面将结合附图及具体实施方式对本发明作进一步的描述。
一种云端结合IoT僵尸网络检测原型系统，包括以下器件：
端系统：执行流数据捕获部分，通过Argus流量捕获工具，对受控网络主 机通信的流量数据进行处理，实现流量数据的捕获和过滤，得到流数据；再利 用Argus工具的流量数据分析的手段，对流数据进行分析，得到流数据的低维 特征，并将最终的低维的流特征消息发布给MQTT服务器；
具体的通过监听网络驱动程序来产生流量数据副本，在内核态的操作系统 缓冲区中通过用户定制的白名单筛选过滤流量，在用户态通过调用Argus底层 的libpcap库将内核态流量数据拷贝到应用程序中。
MQTT服务器：负责端系统和云系统之间消息传输；
云系统：包括流相似性关系提取模块，流相似性关系图构建模块，GCN僵 尸节点检测模块；
流量采集、过滤模块：负责接口流量监听、白名单过滤、将过滤后的流量 以.argus格式存储并加入阻塞队列；
流特征化处理模块：监听着阻塞队列，当阻塞队列存在未被消费的信息 时，对该信息进行流特征化处理，并将流特征消息发布给MQTT服务器；
MQTT通信模块：采取C/S架构即发布/订阅的设计模式，MQTT作为服 务器实现客户端的端系统和云系统的通信；
流相似性关系提取模块：获取来自端系统的流特征信息后，将同一主机节 点下相似性流量汇聚成簇形成网络流簇，再对不同主机节点具有相似的网络流 簇进行整合，遍历所有节点，得到多个相似性关系；
流相似性关系图构建模块：对受控的网络环境中的主机信息和流信息进行 图数据结构表达，根据主机节点的特征信息和流相似性关系建立流相似性关系 的无向图；
GCN僵尸节点检测模块：利用GCN网络对输入流相似的无向关系图的节 点进行分类，实现对僵尸节点的检测。
整个系统启动时，首先通过端系统的流量采集、过滤模块对受控网络的流 量进行监听、采集、过滤后存储，并加入阻塞队列；流特征化处理模块时刻监 听着阻塞队列，当阻塞队列存在未被消费的信息时，对该信息进行流特征化处 理，并流特征消息发布给MQTT服务器；MQTT服务器接收到端系统的信息 后，通过特定的主题过滤器定位到云系统后，将消息发送给云系统；云系统的 流相似性关系提取模块获取来自端系统的信息后，进行处理得到以主机为节点 的网络流簇和相应特征信息及一组相似性关系；流相似性关系图构建模块根据 主机节点的特征信息和流相似性关系构建出流相似性关系图；GCN僵尸节点检 测模块对流相似性关系图中的主机节点进行检测，识别出图中存在的僵尸主机 节点。
上述技术方案中，其中流相似性关系图构建模块具体实现步骤如下：
首先对相似性关系图节点特征信息建模，基于全部的流特征信息，设置一 个Node类来对节点的特征信息进行描述，其中每一个节点以独立的IP地址 进行划分即主机节点，遍历访问受控网络中的每一条流特征，对每一条流信息 进行汇总处理，最终得到受控网络内部的结点特征集合V＝{vi}；
相似性关系无向图定义为G＝(V，e)，其中V表示受控网络中的主机集 合，e表示相似关系边集合，使用邻接矩阵的方式来对表示结点之间边的连接 关系，再对流相似性关系图的节点构建边的连接关系，进行如下处理：如果结 点和结点之间有一个相似性关系，对应边权重加1，如果节点之间没有相似性 关系，对应边权重为0，遍历得到的相似性关系，最后得到用邻接矩阵表示的 流相似性关系的无向图。
上述技术方案中，GCN僵尸节点检测模块：具体实现步骤如下：
GCN僵尸结点检测模块以流相似性关系无向图的邻接矩阵作为输入，利 用GCN网络对图中的结点进行分类，以最终实现对于僵尸结点的检测。
其中通过特定的主题过滤是指：
端系统和云系统均以客户端的身份和MQTT服务器建立连接，并且云系 统在MQTT服务端订阅主题“IoT_INFO/FLOW_FEATURE”。当端系统完成了 对流量的低维特征表示处理后，将特征消息以主题 “IoT_INFO/FLOW_FEATURE”向MQTT服务器发布，当MQTT服务器接受到消息后，通过主题过滤器定位到云系统对该主题的订阅关系，最终将该消息 向云系统进行路由。其中主机节点的特征信息通过以下手段获取：
流特征化处理后得到主机IP地址，目的地址，协议等一些信息，选取主机 IP地址为参照节点后，与其相关的网络流的其他特征(目的地址，协议等)就 可以看作主机的节点信息。
本发明还提供了一种云端结合IoT僵尸网络检测方法，分成三个部分端系 统、云系统和MQTTBroker，该方法主要包括以下步骤：
S1：启动云系统和端系统及MQTTBroker，首先通过端系统的流量采集、 过滤模块对受控网络的流量进行监听、采集、过滤后存储，并加入阻塞队列
S2：流特征化处理模块时刻监听着阻塞队列，当阻塞队列存在未被消费的 信息时，对该信息进行流特征化处理得到流特征消息，并将流特征消息发布给 MQTT服务器；
S3：MQTT服务器接收到端系统的流特征消息后，通过特定的主题过滤器 定位到云系统后，将消息发送给云系统；
S4：云系统的流相似性关系提取模块获取来自端系统的流特征信息后，将 同一主机节点下相似性流量汇聚成簇形成网络流簇，不同主机节点具有一个相 同的网络流簇，则可认为存在一条相似性关系，遍历所有节点，得到多个相似 性关系；
S5：流相似性关系图构建模块首先对相似性关系图节点特征信息建模，基 于全部的流特征信息，设置一个Node类来对节点的特征信息进行描述，其中 每一个节点以独立的IP地址进行划分即主机节点。遍历访问受控网络中的每 一条流特征，对每一条流信息进行汇总处理，最终得到受控网络内部的结点特 征集合V＝{vi}；相似性关系无向图定义为G＝(V，e)，其中V表示受控网 络中的主机集合，e表示相似关系边集合，使用邻接矩阵的方式来对表示结点 之间边的连接关系，再对流相似性关系图的节点构建边的连接关系，进行如下处理：如果结点和结点之间有一个相似性关系，对应边权重加1，如果节点之 间没有相似性关系，对应边权重为0，遍历得到的相似性关系，最后得到用邻 接矩阵表示的流相似性关系的无向图；
S6：GCN僵尸结点检测模块以流相似性关系无向图的邻接矩阵作为输 入，利用GCN网络对图中的结点进行分类，以最终实现对于僵尸结点的检 测。
实验环境搭建：MQTT服务器部署在本实验室服务器上，端系统和云系统 分别部署在PC1和PC2上，具体设备详情如表1和表2所示。
Figure BDA0003675585450000091
表1
Figure BDA0003675585450000092
表2
下面对系统的核心功能进行测试：
1.连接功能测试：为了测试云系统和端系统与MQTT服务器之间的连接 及TOPIC订阅功能。本工作将MQTT服务器部署在实验室服务器上，并将 端系统和云系统独立部署在两台终端设备，以作为MQTT客户端与服务器建 立连接。测试结果如图所示5-1，在启动MQTT服务器后，两个MQTT客户 端成功与服务器在4119端口建立MQTT连接，同时云端系统作为消息消费 者成功订阅“Topic：IoT_INFO/FLOW_FEATURE”。如图2所示
2.端系统功能测试：端系统利用了Argus流量分析工具来对端设备流量 进行采集，并利用Argus客户端来实现对所采集的流量进行流特征化处理工 作以获取低维的流特征数据，将数据放入阻塞队列中。如图3，在设计实现 中，当端系统启动后，ARGUS_WATCHER组件会对阻塞队列进行监听，当发 现Argus客户端产出数据流信息后，端系统会将其中的流特征信息进行解 析。图4展示了端系统解析Argus文件中的流特征信息后，将网络流信息向 MQTT服务器发布，而在云系统一侧也成功的接收到了端系统所采集到的流特 征信息。
3.多端设备连接测试：在IoT环境下可能存在多个设备，因此PC1通过 多线程的方式来模拟多个端系统在线设备同时接入MQTT服务器的场景， PC2设置云系统来进行流特征信息接收。如图5，TestProducer中一个线程代 表着一个尝试接入到云系统的在线端设备。在连接实验中共启动512线程， 全部测试线程均成功与服务器建立MQTT连接。在多设备的连接成功建立 后，进一步测试了多设备能否正常与云系统进行流信息的交换情况，如下图6。

Claims (5)

1.一种云端结合IoT僵尸网络检测原型系统，其特征在于，包括以下器件：
端系统：执行流数据捕获部分，通过Argus流量捕获工具，对受控网络主机通信的流量数据进行处理，实现流量数据的捕获和过滤，得到流数据；再利用Argus工具的流量数据分析的手段，对流数据进行分析，得到流数据的低维特征，并将最终的低维的流特征消息发布给MQTT服务器；
MQTT服务器：负责端系统和云系统之间消息传输；
云系统：具体实现包括流相似性关系提取模块，流相似性关系图构建模块，GCN僵尸节点检测模块；流量采集、过滤模块：负责接口流量监听、白名单过滤、将过滤后的流量以.argus格式存储并加入阻塞队列；
流特征化处理模块：监听着阻塞队列，当阻塞队列存在未被消费的信息时，对该信息进行流特征化处理，并将流特征消息发布给MQTT服务器；
MQTT通信模块：采取C/S架构即发布/订阅的设计模式，MQTT作为服务器实现客户端的端系统和云系统的通信；
流相似性关系提取模块：获取来自端系统的流特征信息后，将同一主机节点下相似性流量汇聚成簇形成网络流簇，再对不同主机节点具有相似的网络流簇进行整合，遍历所有节点，得到多个相似性关系；
流相似性关系图构建模块：对受控的网络环境中的主机信息和流信息进行图数据结构表达，根据主机节点的特征信息和流相似性关系建立流相似性关系的无向图；
GCN僵尸节点检测模块：利用GCN网络对输入流相似的无向关系图的节点进行分类，实现对僵尸节点的检测。
2.根据权利要求1所述的一种云端结合IoT僵尸网络检测原型系统，其特征在于，其中流相似性关系提取模块具体实现步骤如下：
获取来自端系统的流特征信息后，将同一主机节点下相似性流量，即在相同主机节点下，流部分特征相同的流量，汇聚成簇形成网络流簇，不同主机节点具有一个相同的网络流簇，则可认为存在一条相似性关系，遍历所有节点，得到多个相似性关系。
3.根据权利要求1所述的一种云端结合IoT僵尸网络检测原型系统，其特征在于，其中流相似性关系图构建模块具体实现步骤如下：
首先对相似性关系图节点特征信息建模，基于全部的流特征信息，设置一个Node类来对节点的特征信息进行描述，其中每一个节点以独立的IP地址进行划分即主机节点，遍历访问受控网络中的每一条流特征，对每一条流信息进行汇总处理，最终得到受控网络内部的结点特征集合V＝{vi}；
相似性关系无向图定义为G＝(V，e)，其中V表示受控网络中的主机集合，e表示相似关系边集合，使用邻接矩阵的方式来对表示结点之间边的连接关系，再对流相似性关系图的节点构建边的连接关系，进行如下处理：如果结点和结点之间有一个相似性关系，对应边权重加1，如果节点之间没有相似性关系，对应边权重为0，遍历得到的相似性关系，最后得到用邻接矩阵表示的流相似性关系的无向图。
4.根据权利要求1所述的一种云端结合IoT僵尸网络检测原型系统，其特征在于，GCN僵尸节点检测模块具体实现步骤如下：
GCN僵尸结点检测模块以流相似性关系无向图的邻接矩阵作为输入，利用GCN网络对图中的结点进行分类，以最终实现对于僵尸结点的检测。
5.一种云端结合IoT僵尸网络检测方法，其特征在于，分成三个部分端系统、云系统和MQTTBroker，该方法主要包括以下步骤：
S1：启动云系统和端系统及MQTTBroker，首先通过端系统的流量采集、过滤模块对受控网络的流量进行监听、采集、过滤后存储，并加入阻塞队列
S2：流特征化处理模块时刻监听着阻塞队列，当阻塞队列存在未被消费的信息时，对该信息进行流特征化处理得到流特征消息，并将流特征消息发布给MQTT服务器；
S3：MQTT服务器接收到端系统的流特征消息后，通过特定的主题过滤器定位到云系统后，将消息发送给云系统；
S4：云系统的流相似性关系提取模块获取来自端系统的流特征信息后，将同一主机节点下相似性流量汇聚成簇形成网络流簇，不同主机节点具有一个相同的网络流簇，则可认为存在一条相似性关系，遍历所有节点，得到多个相似性关系；
S5：流相似性关系图构建模块首先对相似性关系图节点特征信息建模，基于全部的流特征信息，设置一个Node类来对节点的特征信息进行描述，其中每一个节点以独立的IP地址进行划分即主机节点，遍历访问受控网络中的每一条流特征，对每一条流信息进行汇总处理，最终得到受控网络内部的结点特征集合V＝{vi}；相似性关系无向图定义为G＝(V，e)，其中V表示受控网络中的主机集合，e表示相似关系边集合，使用邻接矩阵的方式来对表示结点之间边的连接关系，再对流相似性关系图的节点构建边的连接关系，进行如下处理：如果结点和结点之间有一个相似性关系，对应边权重加1，如果节点之间没有相似性关系，对应边权重为0，遍历得到的相似性关系，最后得到用邻接矩阵表示的流相似性关系的无向图；
S6：GCN僵尸结点检测模块以流相似性关系无向图的邻接矩阵作为输入，利用GCN网络对图中的结点进行分类，以最终实现对于僵尸结点的检测。
CN202210627178.3A 2022-06-02 2022-06-02 一种云端结合IoT僵尸网络检测原型系统及方法 Active CN115001827B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210627178.3A CN115001827B (zh) 2022-06-02 2022-06-02 一种云端结合IoT僵尸网络检测原型系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210627178.3A CN115001827B (zh) 2022-06-02 2022-06-02 一种云端结合IoT僵尸网络检测原型系统及方法

Publications (2)

Publication Number Publication Date
CN115001827A true CN115001827A (zh) 2022-09-02
CN115001827B CN115001827B (zh) 2023-03-24

Family

ID=83031134

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210627178.3A Active CN115001827B (zh) 2022-06-02 2022-06-02 一种云端结合IoT僵尸网络检测原型系统及方法

Country Status (1)

Country Link
CN (1) CN115001827B (zh)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103297433A (zh) * 2013-05-29 2013-09-11 中国科学院计算技术研究所 基于网络数据流的http僵尸网络检测方法及系统
CN103747003A (zh) * 2014-01-16 2014-04-23 南京邮电大学 对等僵尸网络核心节点检测方法及检测装置
CN109104438A (zh) * 2018-10-22 2018-12-28 杭州安恒信息技术股份有限公司 一种窄带物联网中的僵尸网络预警方法及装置
CN113271303A (zh) * 2021-05-13 2021-08-17 国家计算机网络与信息安全管理中心 一种基于行为相似性分析的僵尸网络检测方法及系统
CN113992349A (zh) * 2021-09-23 2022-01-28 云南财经大学 恶意流量识别方法、装置、设备和存储介质
CN114513325A (zh) * 2021-12-21 2022-05-17 中国人民解放军战略支援部队信息工程大学 基于saw社区发现的非结构化p2p僵尸网络检测方法及装置

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103297433A (zh) * 2013-05-29 2013-09-11 中国科学院计算技术研究所 基于网络数据流的http僵尸网络检测方法及系统
CN103747003A (zh) * 2014-01-16 2014-04-23 南京邮电大学 对等僵尸网络核心节点检测方法及检测装置
CN109104438A (zh) * 2018-10-22 2018-12-28 杭州安恒信息技术股份有限公司 一种窄带物联网中的僵尸网络预警方法及装置
CN113271303A (zh) * 2021-05-13 2021-08-17 国家计算机网络与信息安全管理中心 一种基于行为相似性分析的僵尸网络检测方法及系统
CN113992349A (zh) * 2021-09-23 2022-01-28 云南财经大学 恶意流量识别方法、装置、设备和存储介质
CN114513325A (zh) * 2021-12-21 2022-05-17 中国人民解放军战略支援部队信息工程大学 基于saw社区发现的非结构化p2p僵尸网络检测方法及装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
FAISAL HUSSAIN; E.T.: "A Two-Fold Machine Learning Approach to Prevent and Detect IoT Botnet Attacks", 《 IEEE ACCESS ( VOLUME: 9)》 *
刘鹏程: "软件定义物联网环境下的DDoS攻击检测与防御方法研究", 《CNKI中国优秀硕士学位论文全文数据库》 *

Also Published As

Publication number Publication date
CN115001827B (zh) 2023-03-24

Similar Documents

Publication Publication Date Title
CN111935170B (zh) 一种网络异常流量检测方法、装置及设备
Aljawarneh et al. Anomaly-based intrusion detection system through feature selection analysis and building hybrid efficient model
US20230089187A1 (en) Detecting abnormal packet traffic using fingerprints for plural protocol types
CN111510433B (zh) 一种基于雾计算平台的物联网恶意流量检测方法
KR101703446B1 (ko) DoS 공격의 탐지가 가능한 네트워크 및 이의 제어 방법과, 상기 네트워크에 포함되는 게이트웨이 및 관리 서버
Miller et al. The role of machine learning in botnet detection
CN112738015A (zh) 一种基于可解释卷积神经网络cnn与图检测的多步攻击检测方法
CN103607399A (zh) 基于暗网的专用ip网络安全监测系统及方法
CN111614627A (zh) 一种面向sdn的跨平面协作ddos检测与防御方法与系统
Brahmi et al. Towards a multiagent-based distributed intrusion detection system using data mining approaches
CN113271318B (zh) 网络威胁感知系统及方法
CN102130920A (zh) 一种僵尸网络的发现方法及其系统
CN113965341A (zh) 一种基于软件定义网络的入侵检测系统
CN110912887B (zh) 一种基于Bro的APT监测系统和方法
Zhao Network intrusion detection system model based on data mining
CN107360190B (zh) 基于序列模式识别的木马通信行为检测方法
Teng et al. A cooperative intrusion detection model for cloud computing networks
Miller et al. The impact of different botnet flow feature subsets on prediction accuracy using supervised and unsupervised learning methods
CN113382010A (zh) 基于协同入侵检测的大规模网络安全防御系统
CN115001827B (zh) 一种云端结合IoT僵尸网络检测原型系统及方法
CN112235242A (zh) 一种c&c信道检测方法及系统
CN109922083A (zh) 一种网络协议流量控制系统
CN115208690A (zh) 一种基于数据分类分级的筛查处理系统
Abou Haidar et al. High perception intrusion detection system using neural networks
CN113283594A (zh) 一种基于类脑计算的入侵检测系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant