CN115603929A - 基于车联网的网络攻击行为检测方法、介质及电子设备 - Google Patents

Abstract

本发明提供一种基于车联网的网络攻击行为检测方法、介质及电子设备，所述基于车联网的网络攻击行为检测方法包括：获取车辆的网络流量数据；选取所述网络流量数据中的字段参数作为网络行为输入量；将所述网络行为输入量输入至预先训练的攻击行为检测模型中进行分类，生成至少一分类结果；响应于所述分类结果中存在网络攻击行为，生成网络入侵应对策略。本发明利用机器学习对网络攻击行为进行识别，在及时发现网络攻击行为的同时，还可以及时制止网络攻击行为，达到保障车联网网络安全的目的。

Description

基于车联网的网络攻击行为检测方法、介质及电子设备

技术领域

本发明属于网络安全的技术领域，涉及一种网络攻击行为检测方法，特别是涉及一种基于车联网的网络攻击行为检测方法、介质及电子设备。

背景技术

随着车联网技术的智能化、网联化进程加快，车联网网络安全问题日益严峻。当前的汽车具备大量外部信息接口：车载诊断系统接口、充电控制接口、无线钥匙接口、导航接口、车辆无线通信接口(蓝牙、WiFi、DSRC即Dedicated Short Range Communication专用短程通信技术、2.5G/3G/4G)等，增大了被入侵的风险。此外，汽车也正成为一个安装有大规模软件的信息系统，被称为“软件集成器”。伴随着汽车信息化水平的提高，经由外部实施的网络攻击让汽车控制系统误操作，已然成为现实。

在车联网网络中，网络攻击往往会以网络嗅探的形式出现，入侵者只希望收集用户的个人信息，所以车主往往很难发现自己的信息正在泄露，更有甚者也可能会采取拒绝服务的攻击形式，使车联网络瘫痪，导致车主对车失去控制，危及车主及车上其他乘客的人身安全，这种情况下车主很难发现问题的根源，导致未能及时做出合理决策来进行补救。

因此，如何提供一种基于车联网的网络攻击行为检测方法、介质及电子设备，以解决现有技术无法及时发现车联网中的网络攻击行为并及时采取应对措施等缺陷，成为本领域技术人员亟待解决的技术问题。

发明内容

鉴于以上所述现有技术的缺点，本发明的目的在于提供一种基于车联网的网络攻击行为检测方法、介质及电子设备，其优势在于，可以及时发现车联网中的网络攻击行为并及时采取应对措施。

本发明的另一目的在于提供一种基于车联网的网络攻击行为检测方法、介质及电子设备，其优势在于，利用机器学习对网络攻击行为进行识别，及时发现并及时制止网络攻击行为，达到保障车联网网络安全的目的。

本发明的另一目的在于提供一种基于车联网的网络攻击行为检测方法、介质及电子设备，其优势在于，通过不同网络攻击行为的判断，针对性地采取应对措施，以在车联网网络受到攻击后将损失降到最小。

本发明的另一目的在于提供一种基于车联网的网络攻击行为检测方法、介质及电子设备，其优势在于，通过网络攻击设备的地址或端口禁用、向车主发出警示和启动备用服务器等多种网络入侵应对策略，针对车联网的网络入侵提供了多方面的补救措施。

为实现上述目的及其他相关目的，本发明一方面提供一种基于车联网的网络攻击行为检测方法，所述基于车联网的网络攻击行为检测方法包括：获取车辆的网络流量数据；选取所述网络流量数据中的字段参数作为网络行为输入量；将所述网络行为输入量输入至预先训练的攻击行为检测模型中进行分类，生成至少一分类结果；响应于所述分类结果中存在网络攻击行为，生成网络入侵应对策略。

为实现上述目的及其他相关目的，本发明另一方面提供一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现所述的基于车联网的网络攻击行为检测方法。

为实现上述目的及其他相关目的，本发明最后一方面提供一种电子设备，包括：处理器及存储器；所述存储器用于存储计算机程序，所述处理器用于执行所述存储器存储的计算机程序，以使所述电子设备执行所述的基于车联网的网络攻击行为检测方法。

附图说明

图1显示为本发明的基于车联网的网络攻击行为检测方法于一实施例中的原理流程图。

图2显示为本发明的基于车联网的网络攻击行为检测方法于一实施例中的输入量选取流程图。

图3显示为本发明的基于车联网的网络攻击行为检测方法于一实施例中的应对策略流程图。

图4显示为本发明的基于车联网的网络攻击行为检测方法于一实施例中的攻击行为判定流程图。

图5显示为本发明的电子设备于一实施例中的结构连接示意图。

元件标号说明

5 电子设备

51 处理器

52 存储器

521 随机存取存储器

522 高速缓存存储器

523 存储系统

524 实用工具

525 程序模块

53 总线

54 外部设备

55 显示器

56 I/O接口

57 网络适配器

S11～S14 步骤

S121～S122 步骤

S141～S143 步骤

S143A～S143B 步骤

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。

需要说明的是，以下实施例中所提供的图示仅以示意方式说明本发明的基本构想，遂图示中仅显示与本发明中有关的组件而非按照实际实施时的组件数目、形状及尺寸绘制，其实际实施时各组件的型态、数量及比例可为一种随意的改变，且其组件布局型态也可能更为复杂。

本发明所述的基于车联网的网络攻击行为检测方法、介质及电子设备利用机器学习对网络攻击行为进行识别，在及时发现网络攻击行为的同时，还可以及时制止网络攻击行为，达到保障车联网网络安全的目的。

车联网的概念源于物联网，即车辆物联网，是以行驶中的车辆为信息感知对象，借助新一代信息通信技术，实现车与X(即车与车、人、路、服务平台)之间的网络连接，提升车辆整体的智能驾驶水平，为用户提供安全、舒适、智能、高效的驾驶感受与交通服务，同时提高交通运行效率，提升社会交通服务的智能化水平。

车联网通过新一代信息通信技术，实现车与云平台、车与车、车与路、车与人、车内等全方位网络链接，主要实现了“三网融合”，即将车内网、车际网和车载移动互联网进行融合。车联网是利用传感技术感知车辆的状态信息，并借助无线通信网络与现代智能信息处理技术实现交通的智能化管理，以及交通信息服务的智能决策和车辆的智能化控制。

以下将结合图1至图5详细阐述本实施例的一种基于车联网的网络攻击行为检测方法、介质及电子设备的原理及实施方式，使本领域技术人员不需要创造性劳动即可理解本实施例的基于车联网的网络攻击行为检测方法、介质及电子设备。

请参阅图1，显示为本发明的基于车联网的网络攻击行为检测方法于一实施例中的原理流程图。如图1所示，所述基于车联网的网络攻击行为检测方法具体包括以下几个步骤：

S11，获取车辆的网络流量数据。

于一实施例中，由所述车辆的网络日志中获取所述网络流量数据；所述网络流量数据用于表征车联网中所接入设备的网络行为。

具体地，通过调用WireShark、QPA等网络流量数据提取工具获取数据。其中，QPA是一种基于进程的抓包软件工具。

S12，选取所述网络流量数据中的字段参数作为网络行为输入量。

于一实施例中，所述网络流量数据中的字段参数包括地址信息、端口信息、报文长度和报文内容中的至少一种。

具体地，所述地址信息包括IP(Internet Protocol，网际互联协议)地址和MAC(Media Access Control Address，媒体存取控制位址)地址。

于实际应用中，针对报文中不同字段，所述网络流量数据中的字段参数还可以进一步包括：各个字段的长度、各个字段的数量以及网络流量的类型等任何可以由网络流量数据中得出的信息。

于一实施例中，根据所述网络流量数据中的不同字段参数在训练所述攻击行为检测模型时的贡献度，选取所述网络流量数据中的字段参数作为网络行为输入量。

请参阅图2，显示为本发明的基于车联网的网络攻击行为检测方法于一实施例中的输入量选取流程图。如图2所示，S12具体包括以下步骤：

S121，响应于所述攻击行为检测模型的检测效果符合期望的效果，则将参与训练的所有字段参数作为所述网络行为输入量。

例如，若期望的效果为检测正确率为94％，利用IP地址信息、端口信息和报文内容三个字段参数训练所述攻击行为检测模型，将待检测的网络流量数据的字段参数输入攻击行为检测模型时，检测正确率为96％，96％>94％，因此，符合期望的效果，则将三个字段参数IP地址信息、端口信息和报文内容作为所述网络行为输入量。

S122，响应于所述攻击行为检测模型的检测效果不符合期望的效果，将贡献度按照由高到低进行排序，保留预设个数的字段参数，并重新选取新的字段参数，与所保留的字段参数一起重新参与所述攻击行为检测模型的训练，直至所述攻击行为检测模型的检测效果符合期望的效果，则将参与训练的所有字段参数作为所述网络行为输入量。

例如，若期望的效果为检测正确率为94％，利用IP地址信息、端口信息和报文长度三个字段参数训练所述攻击行为检测模型，将待检测的网络流量数据的字段参数输入攻击行为检测模型时，检测正确率为82％，82％<94％，因此，不符合期望的效果，则分别统计三个字段参数IP地址信息、端口信息和报文长度在所述攻击行为检测模型中的贡献度，贡献度由高到低排序为：端口信息、报文长度、IP地址信息。

进一步地，预设个数为2，由此，保留贡献度排序的前2个字段参数为端口信息和报文长度，并选取新的字段参数：MAC地址信息、报文内容等。若新增字段参数后，检测正确率为97％，97％>94％，因此，符合期望的效果，则将四个字段参数MAC地址信息、报文内容、端口信息和报文长度作为所述网络行为输入量。

S13，将所述网络行为输入量输入至预先训练的攻击行为检测模型中进行分类，生成至少一分类结果。

于一实施例中，利用机器学习的分类算法，调整所述攻击行为检测模型的训练参数，确定分类性能最优的攻击行为检测模型。

具体地，机器学习的分类算法可以是决策树、随机森林算法、支持向量机或其他可针对网络流量数据实现分类的算法。

于实际应用中，所述报文内容中包含与攻击行为相关的控制指令信息或与攻击行为相关的文件代码块。例如，与攻击行为相关的控制指令信息为拒绝车联网服务，与攻击行为相关的文件代码块为获取车主个人信息的文件代码块。由此，攻击行为检测模型中已知网络攻击行为与指令形式或文件代码块的具体对应关系，通过攻击行为检测模型可以识别出拒绝车联网服务这一网络攻击行为对应的指令形式，也可以识别出获取车主个人信息这一网络攻击行为对应的文件代码。

S14，响应于所述分类结果中存在网络攻击行为，生成网络入侵应对策略。

请参阅图3，显示为本发明的基于车联网的网络攻击行为检测方法于一实施例中的应对策略流程图。如图3所示，S14至少包括以下步骤之一：

S141，禁用所接入设备的地址或端口。

具体地，针对发出网络攻击行为的所接入设备，根据网络攻击行为进程与端口、地址或其他网络信息的对应关系，查找并禁用所接入设备的地址或端口。

S142，发出网络入侵警示信息。

具体地，将所述网络入侵警示信息发送至车载显示屏或与车辆通信的智能终端屏幕上。

S143，针对所述网络攻击行为的特定类型，进行服务器切换。

请参阅图4，显示为本发明的基于车联网的网络攻击行为检测方法于一实施例中的攻击行为判定流程图。如图4所示，S143具体包括以下步骤：

S143A，根据所述报文内容判断所述网络攻击行为是否为拒绝服务类型。

具体地，将已知是拒绝服务类型的网络流量数据的文件代码块与待检测的网络流量数据的文件代码块进行比对，根据待检测的网络流量数据中是否存在执行拒绝服务这一操作相关的文件代码块。

S143B，响应于所述网络攻击行为是拒绝服务类型，接入车内预设的备用服务器。

具体地，响应于待检测的网络流量数据中存在执行拒绝服务这一操作相关的文件代码块，判定所述网络攻击行为是拒绝服务类型，接入车内预设的备用服务器。

进一步地，车辆所用的主服务器释放对外服务IP地址，并通过一个浮动IP对外提供服务，备用服务器接收到所述主用服务器释放对外服务IP地址成功的消息后，自动绑定该对外服务IP地址，并启动服务程序；由此，主服务器释放了对外服务IP地址，备用服务器自动绑定了该对外服务IP，则车辆能够自动连接到备用服务器上，整个服务器系统对外的服务不中断，服务器成功切换。

本发明所述的基于车联网的网络攻击行为检测方法的保护范围不限于本实施例列举的步骤执行顺序，凡是根据本发明的原理所做的现有技术的步骤增减、步骤替换所实现的方案都包括在本发明的保护范围内。

本实施例提供一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现所述基于车联网的网络攻击行为检测方法。

本领域普通技术人员可以理解：实现上述各方法实施例的全部或部分步骤可以通过计算机程序相关的硬件来完成。前述的计算机程序可以存储于一计算机可读存储介质中。该程序在执行时，执行包括上述各方法实施例的步骤；而前述的计算机可读存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的计算机存储介质。

本发明提供一种电子设备，包括：处理器及存储器；所述存储器用于存储计算机程序，所述处理器用于执行所述存储器存储的计算机程序，以使所述电子设备执行所述的基于车联网的网络攻击行为检测方法。

请参阅图5，显示为本发明的电子设备于一实施例中的结构连接示意图。如图5所示，电子设备5以通用计算设备的形式表现。电子设备5的组件可以包括但不限于：一个或者多个处理器51，存储器52，连接不同系统组件(包括处理器51和存储器52)的总线53。

总线53表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器、外围总线、图形加速端口、处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于ISA(Industry Standard Architecture，工业标准体系结构)总线，MCA(MicroChannel Architecture，微通道体系结构)总线，增强型ISA总线、VESA(Video Electronics Standards Association，视频电子标准协会)局域总线以及PCI(Peripheral Component Interconnect，外围组件互连)总线。

电子设备5典型地包括多种计算机系统可读介质。这些介质可以是任何能够被电子设备5访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。

存储器52可以包括易失性存储器形式的计算机系统可读介质，例如RAM(RandomAccess Memory，随机存取存储器)521和/或高速缓存存储器522。电子设备5可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统523可以用于读写不可移动的、非易失性磁介质，通常称为“硬盘驱动器”。可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘读写的光盘驱动器，可移动非易失性光盘例如是CD-ROM(Compact Disc Read-Only Memory，只读光盘)，DVD-ROM(Digital Video Disc，数字视频光盘)或者其它光介质。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线53相连。存储器52可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本发明各实施例的功能。

具有一组(至少一个)程序模块525的程序/实用工具524，可以存储在例如存储器52中，这样的程序模块525包括但不限于操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块525通常执行本发明所描述的实施例中的功能和/或方法。

计算机系统也可以与一个或多个外部设备54(例如键盘、指向设备、显示器55等)通信，还可与一个或者多个使得用户能与该计算机系统交互的设备通信，和/或与使得该计算机系统能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口56进行。并且，计算机系统还可以通过网络适配器57与一个或者多个网络通信，例如LAN(Local Area Network，局域网)，WAN(Wide AreaNetwork，广域网)和/或公共网络，例如因特网。网络适配器57通过总线53与计算机系统的其它模块通信。应当明白，尽管图中未示出，可以结合计算机系统使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID(Redundant Arrays of Independent Disks，磁盘阵列)系统、磁带驱动器以及数据备份存储系统等。

综上所述，本发明所述基于车联网的网络攻击行为检测方法、介质及电子设备可以及时发现车联网中的网络攻击行为并及时采取应对措施。利用机器学习对网络攻击行为进行识别，及时发现并及时制止网络攻击行为，达到保障车联网网络安全的目的。通过不同网络攻击行为的判断，针对性地采取应对措施，以在车联网网络受到攻击后将损失降到最小。通过网络攻击设备的地址或端口禁用、向车主发出警示和启动备用服务器等多种网络入侵应对策略，针对车联网的网络入侵提供了多方面的补救措施。本发明有效克服了现有技术中的种种缺点而具有高度产业利用价值。

上述实施例仅例示性说明本发明的原理及其功效，而非用于限制本发明。任何熟悉此技术的人士皆可在不违背本发明的精神及范畴下，对上述实施例进行修饰或改变。因此，举凡所属技术领域中具有通常知识者在未脱离本发明所揭示的精神与技术思想下所完成的一切等效修饰或改变，仍应由本发明的权利要求所涵盖。

Claims (10)

1.一种基于车联网的网络攻击行为检测方法，其特征在于，所述基于车联网的网络攻击行为检测方法包括：

获取车辆的网络流量数据；

选取所述网络流量数据中的字段参数作为网络行为输入量；

将所述网络行为输入量输入至预先训练的攻击行为检测模型中进行分类，生成至少一分类结果；

响应于所述分类结果中存在网络攻击行为，生成网络入侵应对策略。

2.根据权利要求1所述的基于车联网的网络攻击行为检测方法，所述获取车辆的网络流量数据，包括以下步骤：

由所述车辆的网络日志中获取所述网络流量数据；所述网络流量数据用于表征车联网中所接入设备的网络行为。

3.根据权利要求1所述的基于车联网的网络攻击行为检测方法，所述网络流量数据中的字段参数包括地址信息、端口信息、报文长度和报文内容中的至少一种。

4.根据权利要求3所述的基于车联网的网络攻击行为检测方法，所述选取所述网络流量数据中的字段参数作为网络行为输入量，包括以下步骤：

根据所述网络流量数据中的不同字段参数在训练所述攻击行为检测模型时的贡献度，选取所述网络流量数据中的字段参数作为网络行为输入量。

5.根据权利要求4所述的基于车联网的网络攻击行为检测方法，所述根据所述网络流量数据中的不同字段参数在训练所述攻击行为检测模型时的贡献度，选取所述网络流量数据中的字段参数作为网络行为输入量，包括以下步骤：

响应于所述攻击行为检测模型的检测效果符合期望的效果，则将参与训练的所有字段参数作为所述网络行为输入量；

响应于所述攻击行为检测模型的检测效果不符合期望的效果，将贡献度按照由高到低进行排序，保留预设个数的字段参数，并重新选取新的字段参数，与所保留的字段参数一起重新参与所述攻击行为检测模型的训练，直至所述攻击行为检测模型的检测效果符合期望的效果，则将参与训练的所有字段参数作为所述网络行为输入量。

6.根据权利要求3所述的基于车联网的网络攻击行为检测方法，所述响应于所述分类结果中存在网络攻击行为，生成网络入侵应对策略，至少包括以下步骤之一：

禁用所接入设备的地址或端口；

发出网络入侵警示信息；

针对所述网络攻击行为的特定类型，进行服务器切换。

7.根据权利要求6所述的基于车联网的网络攻击行为检测方法，所述针对所述网络攻击行为的特定类型，进行服务器切换，包括以下步骤：

根据所述报文内容判断所述网络攻击行为是否为拒绝服务类型；

响应于所述网络攻击行为是拒绝服务类型，接入车内预设的备用服务器。

8.根据权利要求1所述的基于车联网的网络攻击行为检测方法，所述将所述网络行为输入量输入至预先训练的攻击行为检测模型中进行分类，生成至少一分类结果，包括以下步骤：

利用机器学习的分类算法，调整所述攻击行为检测模型的训练参数，确定分类性能最优的攻击行为检测模型。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现权利要求1至8中任一项所述的基于车联网的网络攻击行为检测方法。

10.一种电子设备，其特征在于，包括：处理器及存储器；

所述存储器用于存储计算机程序，所述处理器用于执行所述存储器存储的计算机程序，以使所述电子设备执行如权利要求1至8中任一项所述的基于车联网的网络攻击行为检测方法。

Images