自組織網絡中的入侵檢測方法與設備的製作方法

2023-06-30 06:46:21 1

專利名稱：自組織網絡中的入侵檢測方法與設備的製作方法
技術領域：
本發明涉及無線網絡領域，尤其涉及自組織網絡中的入侵檢測方法與設備。

背景技術：
自組織(Ad Hoc)網絡與固定有線網絡的差別，導致入侵檢測系統(IntrusionDetection System，IDS)在Ad hoc網絡中面臨著不同的問題。其一，Ad hoc網絡無固定基礎設施，導致IDS不能很好的統計數據。在任何時間，統計的數據局限於特定無線傳輸範圍內的通信活動，這要求IDS能基於部分的、本地的信息進行。其二，Ad hoc網絡的通信鏈路具有低速率、有限帶寬、高誤碼、電源能量受限等特徵，斷鏈在無線傳輸中是非常常見的，這就要求IDS的實現需要考慮這些因素。其三，Ad hoc網絡中，正常與異常活動沒有明顯的差別。如被入侵的節點發送了錯誤的路由信息與由於節點移動導致的路由傳輸出錯，這兩種現象很難區別。此外，Ad hoc網絡所處的外部環境對其網絡特性和行為也有很大的影響。
對入侵檢測系統的要求，首先是正確性，其次是實時性。然而，隨著網絡的高速提升，入侵檢測系統面臨的一個主要問題是檢測速度低、負荷大，來不及處理網絡中傳輸的海量數據，因此，檢測速度已成為入侵檢測系統實時性的一個重要指標。由於實際檢測中，有些特徵沒有包含或者包含極少的系統狀態信息，所以，特徵選擇，即去除冗餘特徵、保留能夠反映系統狀態的重要特徵是提高檢測速度的一種有效方法。圖1是特徵選擇的一般流程。
現有Ad Hoc網絡中的入侵檢測系統採用的是一種基於信息增益及遺傳算法的特徵選擇方法。首先基於特徵之間的信息增益進行特徵分組及篩選，然後針對經過篩選而精簡的特徵子集採用遺傳算法進行隨機搜索，並採用感知器模型的分類錯誤率作為評價指標，其流程如圖2所示。但是，採用該方法並不能得到最高的檢測率和最低的誤檢率，如表1和表2所示(說明特徵子集(1，15，11)代表表4中的總控制發送Total control transmit，上層包吞吐量Upper layerpacket throughput，來自於目標的總回復Total relies from target這三個特徵，來觀察及測試網絡是否異常。其他特徵子集類似)。
基於以上分析，如何在保證檢測正確性的前提下開發出檢測速度快的輕量級入侵檢測系統，是急需解決的問題。
表1現有技術各特徵子集的分類正確率 表2現有技術各特徵子集的檢測率和誤檢率

發明內容
本發明實施例提供一種自組織網絡中的入侵檢測方法，能夠在保證檢測正確性的前提下提高檢測速度。
為解決上述技術問題，本發明採用如下技術方案 一種自組織網絡中的入侵檢測方法，包括 接收數據並獲取所述數據的特徵，並將所述特徵組成原始特徵集合； 基於信息增益，將所述原始特徵集合中的特徵進行分組，得到各個特徵分組； 基於支持向量機的最小分類誤差判決準則，採用支持向量機從所述各個特徵分組中篩選最優特徵子集； 對所述最優特徵子集進行分析，判斷是否被入侵。
本發明實施例還提供一種自組織網絡中的入侵檢測設備，能夠在保證檢測正確性的前提下提高檢測速度。
為解決上述技術問題，本發明採用如下技術方案 一種自組織網絡中的入侵檢測設備，包括 特徵分組單元，用於接收數據並獲取所述數據的特徵，將所述特徵組成原始特徵集合，並基於信息增益，將所述原始特徵集合中的特徵進行分組，並將得到的各個特徵分組發送給最優特徵子集篩選單元； 最優特徵子集篩選單元，用於接收所述特徵分組單元發送的所述各個特徵分組，並基於支持向量機的最小分類誤差判決準則，採用支持向量機從所述各個特徵分組中篩選最優特徵子集，並將所述最優特徵子集發送給檢測單元； 檢測單元，用於對所述最優特徵子集進行分析，判斷是否被入侵。
通過採用所述的入侵檢測方法與設備，由於能夠基於信息增益將原始特徵集合進行特徵分組，並基於支持向量機的最小分類誤差判決準則，採用支持向量機篩選最優特徵子集，進而採用最優特徵子集進行入侵檢測，所以能夠在保證檢測正確性的前提下提高檢測速度。



顯而易見地，下面描述的附圖僅僅是本發明的一些實施例，對於本領域普通技術人員來講，在不付出創造性勞動性的前提下，還可以根據這些附圖獲得其他的附圖。
圖1為現有技術中特徵選擇的一般流程圖； 圖2為現有技術中基於信息增益及遺傳算法的特徵選擇方法流程圖； 圖3為本發明實施例1自組織網絡中的入侵檢測方法流程圖； 圖4為本發明實施例1自組織網絡中的入侵檢測方法另一流程圖； 圖5為本發明實施例1自組織網絡中的入侵檢測方法另一流程圖； 圖6為本發明實施例2自組織網絡中的入侵檢測設備結構圖； 圖7為本發明實施例2自組織網絡入侵檢測設備中的特徵分組單元的結構圖； 圖8為本發明實施例2自組織網絡入侵檢測設備中的最優特徵子集篩選單元的結構圖。

具體實施例方式 本發明實施例提供一種自組織網絡中的入侵檢測方法與設備，能夠在保證檢測正確率的前提下提高檢測速度。
下面結合附圖對本發明進行詳細描述。所描述的實施例僅僅是本發明一部分實施例，而不是全部的實施例。基於本發明中的實施例，本領域普通技術人員在沒有作出創造性勞動前提下所獲得的所有其他實施例，都屬於本發明保護的範圍。
實施例1 如圖3所示，本發明實施例Ad Hoc網絡中的入侵檢測方法包括 S31、接收數據並獲取所述數據的特徵，並將所述特徵組成原始特徵集合； S32、基於信息增益，將所述原始特徵集合中的特徵進行分組，得到各個特徵分組； S33、基於支持向量機的最小分類誤差判決準則，採用支持向量機從所述各個特徵分組中篩選最優特徵子集； S34、對所述最優特徵子集進行分析，判斷是否被入侵。
例如，自組織網絡被入侵的狀況包括節點是否被截獲、敵方節點可持密鑰是否冒充合法節點加入了網絡等。可選的，步驟S34可以參考現有技術中，通過遺傳算法選擇得到特徵子集，判斷是否被入侵的過程，在此不在贅述。
通過採用所述的入侵檢測方法，由於能夠基於信息增益將原始特徵集合進行特徵分組，並基於支持向量機的的最小分類誤差判決準則，採用支持向量機篩選最優特徵子集，進而採用最優特徵子集進行入侵檢測，所以能夠在保證檢測正確性的前提下提高檢測速度。
特徵分組是進行特徵選擇及降維的有效方法之一，其主要思想是基於特定的相似性度量，對特徵進行分組，使得分在同一組的特徵具有很強的相似性，而不同組的特徵具有較大的差異，從而在一定程度上消除特徵冗餘，實現降維。
在本實施例中，如步驟S32所述，採用信息增益作為特徵之間的相似性度量(簡稱相似度)，下面首先給出信息增益的定義。
令X為隨機變量，則X的信息熵定義為 通過觀測隨機變量Y，隨機變量X的信息熵變為 式(2)中，P(xi)代表隨機變量X的先驗概率，P(xi|yj)代表觀測到隨機變量Y後隨機變量X的後驗概率。引入隨機變量Y的信息後，隨機變量X的信息熵H(X|Y)≤H(X)，即引入Y後，X的不確定程度會變小或保持不變。若Y與X不相關，則H(X|Y)＝H(X)；若Y與X相關，則H(X|Y)＜H(X)，而差值H(X)-H(X|Y)越大，Y與X的相關性越強。因此，信息增益IG(X|Y)為H(X)與H(X|Y)的差值，反映了Y與X的相關程度，IG(X|Y)越大，則變量Y與X的相關性越強，如式(3)所示 IG(X|Y)＝H(X)-H(X|Y)(3) 而且，信息增益具有對稱性，即IG(X|Y)＝IG(Y|X)。另外，信息增益的歸一化表達式如式(4)所示，同理有SU(X，Y)＝SU(Y，X)。
如果樣本是離散的，則任意兩特徵的信息增益定義如下 式(5)中，xnk，n＝1，...，N，k＝1，...，p，表示第k個特徵的第n個樣本。
在上述相似度和信息增益定義的基礎上，就可以基於特徵之間的相似度進行特徵分組。如圖4所示，本實施例中，步驟S 32可以包括 S321、根據式(5)，計算所述原始特徵集合中任意兩個特徵之間的信息增益，形成特徵相似度矩陣(即信息增益)SU； S322、查找密度最大的特徵，並在所述原始特徵集合中搜索與所述密度最大的特徵之間的信息增益大於指定閾值的其它特徵； 其中，所述查找密度最大的特徵具體為針對所述原始特徵集合中的每個特徵，分別統計與該特徵的相似度大於指定閾值的其它特徵的個數；基於所述其它特徵的個數，查找密度最大(即與該特徵的相似度大於指定閾值的其它特徵的個數最大)的特徵。
S323、將搜索到的其它特徵與所述密度最大的特徵組成一個特徵分組； S324、將所述特徵分組從所述原始特徵集合中剔除，並將所述原始特徵集合中的剩餘特徵組成一個新的原始特徵集合； S325、判斷所述新的原始特徵集合是否為空或者是否只有一個特徵，若為否，則返回步驟S321；若為空，則結束特徵分組；若只有一個特徵，則將該特徵單獨組成一個特徵分組，並結束特徵分組。
通過採用圖4所示的流程，採用信息增益作為特徵之間的相似性度量(簡稱相似度)，並採用基於密度的分組方法進行特徵分組，從而實現了原始特徵集合的精簡。
進一步地，在得到上述各個特徵分組後，本實施例中的步驟S33基於支持向量機算法對上述各個特徵分組進行處理，從而得到所述最優特徵子集。下面首先對支持向量機算法進行簡單介紹。
支持向量機(support vector machine，SVM)的基本功能是處理兩類問題，其原理是用一個由一定數量的支持向量決定的超平面來分類數據，用於各種分類和預測，使錯誤的檢測率減小到最小。支持向量是一個訓練數據的子集，該子集被用於定義二類數據的邊界。在無法用支持向量機分離二類問題的情況下，則用核函數將輸入數據映射到高維特徵空間，然後在高維特徵空間解決這個分類問題，例如，在高維特徵空間中，可以用線性超平面來分離。
數學上，線性邊界可表示為 wTx+b＝0 (6) 用訓練數據估計一個函數fRN→{±1}，用x∈A，y＝1表示A類點，用x∈B，y＝-1表示B類點，且(xi，yi)∈Rn×{±1}。如果訓練數據是線性可分的，那麼就存在一對(w，b)∈Rn×R使得 wTx+b≥+1(x∈A)(7) wTx+b≤-1(x∈B)(8) 其決策函數 fw，b(x)＝sign(wTx+b) (9) 式中w為權重向量，b為偏離值.不等式約束(7)和(8)可合併成 y(wTx+b)≥1(x∈A∪B) (10) 此時，分類間隔為2/||w||，使間隔最大即等價於使||w||2最小。滿足式(6)且使||w||2/2最小的分類面就稱為最優分類面，所以，優化問題也就轉化滿足式(11) minΦ(w)＝||w||2/2 (11) 約束條件y(wTx+b)≥1 基於上述對支持向量機算法的分析，如圖5所示，本實施例步驟S33可以包括 S331、從所述各個特徵分組中，任意各選取一個特徵，基於選取的特徵所對應的訓練樣本和檢測樣本，採用支持向量機，計算所述選取的特徵的分類正確率，並把所述選取的特徵存入預設的數組中。
其中，所述基於選取的特徵所對應的訓練樣本和檢測樣本，採用支持向量機，計算所述選取的特徵的分類正確率具體為將所述選取的特徵所對應的訓練樣本在所述支持向量機中進行訓練，然後把所述選取的特徵所對應的檢測樣本放進所述支持向量機中，基於所述訓練樣本以及所述檢測樣本，計算所述選取的特徵的分類正確率。
S332、從所述各個特徵分組中，重新任意各選取一個特徵，基於重新選取的特徵所對應的訓練樣本和檢測樣本，採用支持向量機，計算所述重新選取的特徵的分類正確率。
S333、將所述重新選取的特徵的分類正確率與上一次的分類正確率進行比較，若大於上一次的，則將所述重新選取的特徵存入所述預設的數組； S334、判斷是否達到預定的計算次數，若達到，則轉向步驟S335；否則轉向步驟S332。
S335、將所述預設的數組中的特徵作為精簡後的最優特徵子集輸出。
實施例2 如圖6所示，本發明實施例提供一種Ad Hoc網絡中的入侵檢測設備600，包括 特徵分組單元601，用於接收數據並獲取所述數據的特徵，將所述特徵組成原始特徵集合，並基於信息增益，將所述原始特徵集合中的特徵進行分組，將得到的各個特徵分組發送給最優特徵子集篩選單元602； 最優特徵子集篩選單元602，用於接收所述特徵分組單元601發送的所述各個特徵分組，並基於支持向量機的最小分類誤差判決準則，採用支持向量機從所述各個特徵分組中篩選最優特徵子集，並將所述最優特徵子集發送給檢測單元603； 檢測單元603，用於對所述最優特徵子集進行分析，判斷是否被入侵。例如，自組織網絡被入侵的狀況包括節點是否被截獲、敵方節點可持密鑰是否冒充合法節點加入了網絡等。
通過採用所述的入侵檢測設備600，由於特徵分組單元601能夠基於信息增益將原始特徵集合進行特徵分組，最優特徵子集篩選單元602能夠基於支持向量機的的最小分類誤差判決準則，採用支持向量機篩選最優特徵子集，進而檢測單元603採用最優特徵子集進行入侵檢測，所以能夠在保證檢測正確性的前提下提高檢測速度。
進一步地，如圖7所示，所述特徵分組單元601包括 原始特徵集合單元701，用於接收所述數據並獲取所述數據的特徵，並將所述特徵組成所述原始特徵集合； 計算單元702，用於計算所述原始特徵集合中任意兩個特徵之間的信息增益； 查找單元703，用於查找密度最大的特徵(即與該特徵的相似度大於指定閾值的其它特徵的個數最大的特徵)，並在所述原始特徵集合中搜索與所述密度最大的特徵的信息增益大於指定閾值的其它特徵，並將搜索到的其它特徵發送給所述處理單元704； 第一處理單元704，用於將所述搜索到的其它特徵與所述密度最大的特徵組成一個特徵分組，將所述特徵分組從所述原始特徵集合中剔除，將所述原始特徵集合中的剩餘特徵組成一個新的原始特徵集合，並判斷所述新的原始特徵集合是否為空或者是否只有一個特徵，並將各個所述特徵分組發送給所述最優特徵子集篩選單元602。
進一步地，如圖8所示，所述最優特徵子集篩選單元602包括 第二處理單元801，用於接收所述特徵分組單元601發送的各個所述特徵分組，在預定的計算次數內，從各個所述特徵分組中，任意各選取一個特徵，基於選取的特徵所對應的訓練樣本和檢測樣本，採用支持向量機，計算所述選取的特徵的分類正確率，若新選取的特徵的分類正確率大於上一次得到的所述分類正確率，則將所述新選取的特徵存入預設數組； 其中，所述基於選取的特徵所對應的訓練樣本和檢測樣本，採用支持向量機，計算所述選取的特徵的分類正確率包括將所述選取的特徵所對應的訓練樣本在所述支持向量機中進行訓練，然後把所述選取的特徵所對應的檢測樣本放進所述支持向量機中，基於所述訓練樣本以及所述檢測樣本，計算所述選取的特徵的分類正確率。
輸出單元802，用於判斷所述第二處理單元801的計算次數是否達到預定值，若達到所述預定值，則將所述預設數組中的特徵作為最優特徵子集發送給所述檢測單元603。
下面，採用表3所示的檢測環境，本發明實施例對入侵檢測設備600在網絡存在自私節點攻擊的情況下的誤檢率和分類正確率進行了分析。分析中主要收集的特徵數據如表4所示，所述指定閾值設置為0.8。自私節點，即當其他節點發來路由包時直接丟棄，自己發送數據包時才發送路由包，目的是節省能量。檢測率和誤檢率分別定義為 檢測率(true positive rate，TPR)，定義為
誤檢率(false positive rate，FPR)，定義為
表3檢測參數設置 表4檢測中收集的特徵值 表5本發明實施例特徵分組結果 對於表4所示的特徵，本發明實施例基於信息增益的特徵分組如表5所示，基於支持向量機的最優特徵子集篩選得到的最優特徵子集為(3，5，11)，其分類正確率為1，可見本發明實施例能夠實時準確的檢測到入侵，與現有技術相比，降低了誤檢率。
本領域普通技術人員可以理解，實現上述實施例方法中的全部或部分流程，是可以通過電腦程式來指令相關的硬體來完成，所述的程序可存儲於一計算機可讀取存儲介質中，該程序在執行時，可包括如上述各方法的實施例的流程。其中，所述的存儲介質可為磁碟、光碟、只讀存儲記憶體(Read-OnlyMemory，ROM)或隨機存儲記憶體(Random Access Memory，RAM)等。
以上所述，僅為本發明的具體實施方式
，但本發明的保護範圍並不局限於此，任何熟悉本技術領域的技術人員在本發明揭露的技術範圍內，可輕易想到變化或替換，都應涵蓋在本發明的保護範圍之內。因此，本發明的保護範圍應以權利要求所述的保護範圍為準。
權利要求
1、一種自組織網絡中的入侵檢測方法，其特徵在於，包括
接收數據並獲取所述數據的特徵，並將所述特徵組成原始特徵集合；
基於信息增益，將所述原始特徵集合中的特徵進行分組，得到各個特徵分組；
基於支持向量機的最小分類誤差判決準則，採用支持向量機從所述各個特徵分組中篩選最優特徵子集；
對所述最優特徵子集進行分析，判斷是否被入侵。
2、根據權利要求1所述的入侵檢測方法，其特徵在於，所述基於信息增益，將所述原始特徵集合中的特徵進行分組，得到各個特徵分組包括
(1)計算所述原始特徵集合中任意兩個特徵之間的信息增益；
(2)查找密度最大的特徵，並在所述原始特徵集合中，搜索與所述密度最大的特徵之間的信息增益大於指定閾值的其它特徵；
(3)將搜索到的其它特徵與所述密度最大的特徵組成一個特徵分組；
(4)將所述特徵分組從所述原始特徵集合中剔除，並將所述原始特徵集合中的剩餘特徵組成一個新的原始特徵集合；
(5)判斷所述新的原始特徵集合是否為空或者是否只有一個特徵，若為否，則返回步驟(1)。
3、根據權利要求1所述的入侵檢測方法，其特徵在於，所述基於支持向量機的最小分類誤差判決準則，採用支持向量機從所述各個特徵分組中篩選最優特徵子集包括
(1)從所述各個特徵分組中，任意各選取一個特徵，基於選取的特徵所對應的訓練樣本和檢測樣本，採用支持向量機，計算所述選取的特徵的分類正確率，並把所述選取的特徵存入預設的數組中；
(2)從所述各個特徵分組中，重新任意各選取一個特徵，基於重新選取的特徵所對應的訓練樣本和檢測樣本，採用支持向量機，計算所述重新選取的特徵的分類正確率，若所述重新選取的特徵的分類正確率大於上一次的分類正確率，則將所述重新選取的特徵存入所述預設的數組；
(3)重複步驟(2)，直至達到預定的計算次數，並將所述預設的數組中的特徵作為精簡後的最優特徵子集輸出。
4、根據權利要求3所述的入侵檢測方法，其特徵在於，所述基於選取的特徵所對應的訓練樣本和檢測樣本，採用支持向量機，計算所述選取的特徵的分類正確率包括
將所述選取的特徵所對應的訓練樣本在所述支持向量機中進行訓練，然後把所述選取的特徵所對應的檢測樣本放進所述支持向量機中，基於所述訓練樣本以及所述檢測樣本，計算所述選取的特徵的分類正確率。
5、一種自組織網絡中的入侵檢測設備，其特徵在於，包括
特徵分組單元，用於接收數據並獲取所述數據的特徵，將所述特徵組成原始特徵集合，並基於信息增益，將所述原始特徵集合中的特徵進行分組，將得到的各個特徵分組發送給最優特徵子集篩選單元；
最優特徵子集篩選單元，用於接收所述特徵分組單元發送的所述各個特徵分組，並基於支持向量機的最小分類誤差判決準則，採用支持向量機從所述各個特徵分組中篩選最優特徵子集，並將所述最優特徵子集發送給檢測單元；
檢測單元，用於對所述最優特徵子集進行分析，判斷是否被入侵。
6、根據權利要求5所述的入侵檢測設備，其特徵在於，所述特徵分組單元包括
原始特徵集合單元，用於接收所述數據並獲取所述數據的特徵，並將所述特徵組成所述原始特徵集合；
計算單元，用於計算所述原始特徵集合中任意兩個特徵之間的信息增益；
查找單元，用於查找密度最大的特徵，並在所述原始特徵集合中搜索與所述密度最大的特徵之間的信息增益大於指定閾值的其它特徵，並將搜索到的其它特徵發送給所述第一處理單元；
第一處理單元，用於將所述搜索到的其它特徵與所述密度最大的特徵組成一個特徵分組，將所述特徵分組從所述原始特徵集合中剔除，將所述原始特徵集合中的剩餘特徵組成一個新的原始特徵集合，並判斷所述新的原始特徵集合是否為空或者是否只有一個特徵，並將各個所述特徵分組發送給所述最優特徵子集篩選單元。
7、根據權利要求5所述的入侵檢測設備，其特徵在於，所述最優特徵子集篩選單元包括
第二處理單元，用於接收所述特徵分組單元發送的各個所述特徵分組，在預定的計算次數內，從各個所述特徵分組中，任意各選取一個特徵，基於選取的特徵所對應的訓練樣本和檢測樣本，採用支持向量機，計算所述選取的特徵的分類正確率，若新選取的特徵的分類正確率大於上一次得到的所述分類正確率，則將所述新選取的特徵存入預設數組；
輸出單元，用於判斷所述第二處理單元的計算次數是否達到預定值，若達到所述預定值，則將所述預設數組中的特徵作為最優特徵子集發送給所述檢測單元。
8、根據權利要求7所述的入侵檢測設備，其特徵在於，所述基於選取的特徵所對應的訓練樣本和檢測樣本，採用支持向量機，計算所述選取的特徵的分類正確率包括
將所述選取的特徵所對應的訓練樣本在所述支持向量機中進行訓練，然後把所述選取的特徵所對應的檢測樣本放進所述支持向量機中，基於所述訓練樣本以及所述檢測樣本，計算所述選取的特徵的分類正確率。
全文摘要
本發明實施例公開了一種自組織網絡中的入侵檢測方法與設備，涉及無線網絡領域，能夠在保證檢測正確性的前提下提高檢測速度。一種自組織網絡中的入侵檢測方法，包括接收數據並獲取所述數據的特徵，並將所述特徵組成原始特徵集合；基於信息增益，將所述原始特徵集合中的特徵進行分組，得到各個特徵分組；基於支持向量機的最小分類誤差判決準則，採用支持向量機從所述各個特徵分組中篩選最優特徵子集；對所述最優特徵子集進行分析，判斷是否被入侵。本發明實施例可用於在保證檢測正確性的前提下提高檢測速度。
文檔編號H04W12/12GK101610516SQ20091016210
公開日2009年12月23日 申請日期2009年8月4日 優先權日2009年8月4日
發明者培 劉, 徐平平, 殷慧琳, 楊小勇 申請人:華為技術有限公司