基于决策树和自相似模型结合的物联网入侵检测方法与流程

本发明涉及物联网安全的技术领域，特别涉及一种基于决策树和自相似模型结合的物联网入侵检测方法。

背景技术：

处信息化时代，可以感受到近年来互联网和信息技术飞速发展，物联网作为新一代信息技术的重要组成部分，在计算机和互联网之后，它被称为世界信息产业发展的第三次浪潮。物联网因为具有低功耗，易部署，节点设备多等优势，导致物联网产业规模的不断扩大，数以亿计的设备接入物联网。飞速发展的物联网产业和安全问题的矛盾越来越严重。物联网存在设备多，分布广，因而物联网更加容易遭到频繁的攻击,物联网节点自身处理能力很差，一旦出现安全问题将难以控制，而且极易在节点之间相互干扰，造成连锁反应，从而制造巨大的危害。因此，物联网的入侵检测尤为重要。

入侵检测作为一种主动的网络安全防范技术，是维护网络安全的一种重要手段。在1984年derpethydenning首次提出入侵检测这一概念之后，1984年-1986年乔治敦大学dorothy等人提出了第一个入侵检测的模型。

然而随着网络环境和攻击手段的不断复杂化，传统的入侵检测技术已经慢慢过世了，无法满足目前的安全需求。近年来入侵检测技术随着攻击者入侵技术的不断更新，也在朝着更加完善的方向发展。目前已有很多比较成熟的入侵检测技术投入到实际应用中。机器学习作为目前研究的热点话题，也被应用到入侵检测上。

现有的入侵检测方法基本都是对当前状态下的网络信息进行分析检测，未将网络当前状态和同期历史状态进行对比，从而导致未能检测到部分隐藏的入侵行为。

技术实现要素：

本发明的主要目的在于克服现有技术的缺点与不足，提供一种基于决策树和自相似模型结合的物联网入侵检测方法，从而更加精确的检测物联网的安全状况。

为了达到上述目的，本发明采用以下技术方案：

本发明基于决策树和自相似模型结合的物联网入侵检测方法，包括下述步骤：

s1、选定数据集，为决策树算法生成决策树提供数据来源；

s2、生成决策树，首先创建一棵树，根节点包含所有的样本属性信息，采用基最小损失函数策略，逐步深入决策树，一步步选择最优的划分属性，直到叶子节点；使用同样的方法，生成k棵这样的决策树，最后将所有的子树结合起来形成一棵完整的决策树；

s3、使用步骤s2生成的决策树，对步骤s1准备好的测试集进行分析处理，从而判断物联网当前状态的入侵状况；

s4、建立当前状态和同一时期历史状态物联网数据的直方图，利用自相似理论设定合适的数学模型，计算出当前状态和同一时期历史状态的物联网数据的形似度，再根据相应的阈值，判断当前物联网数据是否存在异常现象。

作为优选的技术方案，步骤s1中，所述数据集以cicids2017数据集为基础，并基于opnet仿真扩充温度数据。

作为优选的技术方案，步骤s2中，采用的决策树算法cart树，生成cart决策树的流程是：

s21、建立根节点,包含所有数据集中所有的特征；

s22、对数据集中的每一个特征执行该特征上的一个划分，计算划分的损失函数值；

s23、选择损失函数最小的特征进行分割；

s24、根据该分割特征将当前数据集切分成两个子集；

s25、对上步切出的两个子集分别递归调用s22-s24；

s36、生成cart决策树。

作为优选的技术方案，步骤s3中，通过决策树分析数据集，根据叶子节点对应的数值来判断是否存在入侵，如果叶子节点对应的数是0代表正常，1代表入侵。

作为优选的技术方案，步骤s4中，所述计算出当前状态和同一时期历史状态的物联网数据的相似度，具体为：

对模型建立物联网当前数据直方图h1，与历史数据直方图h2进行相似度对比，首先要设计选择一个对比标准j(b^s,b^t)如下:

其中b^s,b^t分别代表数据集中某一属性值直方图，i表示直方图中第i个bin，m代表直方图bin的个数，将所有的属性的相似度累加得到整体相似度：

其中n代表第n个属性，n代表数据集中属性个数。

作为优选的技术方案，步骤s4中，通过计算整体相似度d(h1,h2)的值，判断是否处于正常范围来判断物联网是否存在异常，通过对实验数据的分析，设定正常的情况下整体相似度d(h1,h2)的范围为0.69000—1.00000，当测得的d(h1,h2)值低于此范围，则可以判断出网络存在异常。

作为优选的技术方案，当存在网络异常的情况时：

当整体相似度d(h1,h2)的范围为0.34854-0.49763，则表明为蠕虫病毒攻击；

当整体相似度d(h1,h2)的范围为0.11533-0.30986，则表明为ddos攻击；

当整体相似度d(h1,h2)的范围为0.03452-0.08931，则表明为能源耗尽攻击。

本发明与现有技术相比，具有如下优点和有益效果：

1、本发明的决策树算法能够快速准确的检测出物联网当前状态下的入侵状况。相比较旧有系统无法适用于复杂的物联网环境，此系统能综合分析物联网物理层，感知层和网络层三个层次的数据信息，从而能够真正的检测出复杂的物联网环境的入侵状况。

2、本发明的入侵检测系统基于较为先进决策树和自相似理论设计、开发得来，能更好的适应实际物联网安全状况的分析和监控，相比较旧有的入侵检测系统，它能更加全面、准确的发现物联网中的异常状况。其相似模型对物联网的一般常态深层次本质反应，能够快速检测物联网的异常现象、从而及时做出报警。

附图说明

图1是本发明物联网入侵检测系统的结构框图；

图2是本发明生crat的算法流程图。

具体实施方式

下面结合实施例及附图对本发明作进一步详细的描述，但本发明的实施方式不限于此。

实施例

如图1所示，本实施例基于决策树和自相似理论设计物联网入侵检测方法，根据该实施例的步骤，稍加修改也可以用于其他网络环境的入侵检测。

1、选定合适的数据集。为决策树算法生成决策树和自相似模型提供数据来源。

一方面由于使用决策树算法生成决策树是一个机器学习的过程，需要用到相应的训练集和测试集。另一方面，自相似理论的自相似性是指某种结构或过程的特征从不同的空间尺度或时间尺度来看都是相似的,或者某系统或结构的局域性质或局域结构与整体类似.另外,在整体与整体之间或部分与部分之间,也会存在自相似性。所以为了对比物联网系统的自相似程度，也需要有物联网的当前状态的数据和同一时期的历史数据。本实施例中，选取cicids2017数据集作为使用的数据集。

2、生成决策树。

本实施例中的采用的决策树算法是分类与回归树(cart—classificationandregressiontree)。分类与回归树，是一种十分有效的非参数分类和回归方法。算法采用一种二分递归分割的技术，将当前的样本集分为两个子样本集，使得生成的url子节点都有两个分支。因此，cart算法生成的决策树是结构简洁的二叉树。生crat的算法流程图如图2所示，具体流程为：

3、利用第二步生成的决策树进行物联网当前状态入侵检测。

本实施例中，使用第二生成的决策树，对第一步选取的数据集进行检测

分析，得出物联网当前状态下的入侵情况。通过决策树分析数据集，根据叶子节点对应的数值来判断是否存在入侵，如果叶子节点对应的数是0代表正常，1代表入侵。

4、利用自相似理论再次进行物理入侵检测。

本实施例中，第3步使用决策树对当前状态物联网数据进行分析检测得出物联网当前入侵状况。当时现实情况中，存在入侵者的入侵之后立即将入侵痕迹抹除，但在入侵之后物联网感知层的感知节点遭到致命的破坏，从而影响物联网的正常使用，这种情况下仅仅使用决策树模型分析当前网络状况数据无法检测出来。

所述计算出当前状态和同一时期历史状态的物联网数据的相似度，具体为：

对模型建立物联网当前数据直方图h1，与历史数据直方图h2进行相似度对比，首先要设计选择一个对比标准j(b^s,b^t)如下:

其中b^s,b^t分别代表数据集中某一属性值直方图，i表示直方图中第i个bin，m代表直方图bin的个数，将所有的属性的相似度累加得到整体相似度：

其中n代表第n个属性，n代表数据集中属性个数。

然后通过计算整体相似度d(h1,h2)的值，判断是否处于正常范围来判断物联网是否存在异常，具体如表1所示；

表1整体相似度d(h1,h2)的实际测量值

通过对实验数据的分析，设定正常的情况下整体相似度d(h1,h2)的范围为0.69000—1.00000，当测得的d(h1,h2)值低于此范围，则可以判断出网络存在异常。

因此结合自相似模型理论，物联网数据在不同时间尺度下也存在一定的自相似性，本实施例在分形布朗运动(fbm,fractionalbrownianmotion)及分形高斯噪声(fgn,fractionalgaussiannoise)自相似模型的基础上，根据物联网应用的实际情况，加入其它可以人工设定的参数，从而最终建立用以判定物联网异常的自相似模型。利用第一步选取的数据集，通过对比已建立的自相似模型，判断实时数据与模型的相似程度，即可判定物联网中是否异常现象。

系统通过历史数据算出业务流量平均速率m、方差系数a和hurst三个参数，然后就可以完整地刻画整个fbm模型，但这样建立的自相似模型有其局限性，特别是当方差系数a偏小时，即使hurst值足够大其自相似性也不是很明显。此时，fbm模型便不能有效的反应网络业务流量的实际情况。因此，我们加入了一些可以人工设定的参数，从而使最终的自相似模型可以更好的反应网络流量的真实情况。

例如智能交通这样的应用场景，其在早晚上下班这些特定时间的业务流量情况与其它时间的业务流量情况就肯定存在明显差异，还有诸如旅游景点这样的例子，它们的业务流量在一些节假日以及旅游旺季和旅游淡季也会有明显的异常。对此系统监控的目标业务类型以及由历史数据算得的参数分析之后，针对性的提出了一些修正方案。加入可人工选择输入的流量阀值上下限参数、与时间关联的对fbm模型进行幅度修正的波动因子参数、生成自相似模型所用历史数据的时间区间参数。

例如对于智能交通，在上下班期间可以通过以下三个手段来生成更加符合实际业务流量情况的自相似模型：1、设置自相似模型生成所用历史数据为上一周每天上下班期间的数据2、加入非各个时间段模型业务流量的权重，使得一中的业务流量比较均与3、设置流量阀值上下限，一旦某业务流量超过阀值则直接视为异常行为。

上述实施例为本发明较佳的实施方式，但本发明的实施方式并不受上述实施例的限制，其他的任何未背离本发明的精神实质与原理下所作的改变、修饰、替代、组合、简化，均应为等效的置换方式，都包含在本发明的保护范围之内。