推荐星级：

基于实用拜占庭容错的物联网入侵检测方法

更新时间：2019-12-20 00:19:41 大小：2M 上传用户：xiaohei1810 查看TA发布的资源 标签：物联网 下载积分：1分评价赚积分（如何评价?）收藏评论(0) 举报

资料介绍

物联网入侵的检测率虽高,但面临节点能力消耗过大的问题,为此提出一种基于共识的实用拜占庭容错(PBFT)算法的入侵检测方法.首先,使用支持向量机(SVM)进行预训练得到入侵检测判定规则,并将训练规则应用于物联网中的每个节点;然后,选举出部分节点对网络中其他节点进行主动入侵检测,同时将自身的检测结果向其他节点公布;最后,每个节点依据PBFT算法判断其他节点的状态,使检测结果在系统内达到一致性.在NSL-KDD数据集上使用TinyOS进行仿真的实验结果表明,所提方法与集成入侵检测系统(IIDS)和双重降维双重检测(TDTC)方法相比,能量消耗平均降低12.2％和7.6％,能够有效地降低物联网的能量消耗.

部分文件列表

文件名	大小
基于实用拜占庭容错的物联网入侵检测方法.pdf	2M

立即下载

【关注视频号领20积分】【关注公众号立即送20积分】

部分页面预览

（完整内容请下载后查看）

ISSN 1001-9081

2019．06．10

Journal

Computer Applications

CODEN

JYIIDU

http：／／www．joca．cn

计算机应用，2019，39(6)：1742—1746

DOI：10．1

文章编号：1001-9081(2019)06—1742· 05

1772／j．issn．1001-9081．2018102096

基于实用拜占庭容错的物联网入侵检测方法

潘建国，李豪’

(上海师范大学信息与机电工程学院，上海200234)

(}通信作者电子邮箱．shnu．edu．cn)

’摘要：物联网入侵的检测率虽高，但面临节点能力消耗过大的问题，为此提出一种基于共识的实用拜占庭容错

(PBFT)算法的入侵检测方法。首先，使用支持向量机(SVM)进行预训练得到入侵检测判定规则，并将训练规则应用

于物联网中的每个节点；然后，选举出部分节点对网络中其他节点进行主动入侵检测，同时将自身的检测结果向其他

节点公布；最后，每个节点依据PBFr算法判断其他节点的状态，使检测结果在系统内达到一致性。在NSL-KDD数据

集上使用TinyOS进行仿真的实验结果表明，所提方法与集成入侵检测系统(1iDS)和双重降维双重检测(TDTC)方法

相比。能量消耗平均降低12．2％和7．6％，能够有效地降低物联网的能量消耗。

关键词：物联网；实用拜占庭容镨；入侵检测；低能耗；支持向量机

中图分类号：TP393．08

文献标志码：A

fault

tolerance

Intrusion detection

for IoT based on

approach

practical Byzantine

PAN

Hao’

Jianguo，LI

ofInformation，MechaMcal口以Elect血al Eng删ng,s^喇Normal University,Shanghai 200234，China)

(College

have

detection rate of known

of attacks but the network

types

Abstract：Current Intemet

Things(1田networks

at this

hi【Sh

intrusion detection

Vector

based on Practical

Fault

node

energy consumption

hiSh．Aiming

fact，an

approach

Byzantine

to obtain the

pre—training

for

Was

used

Machine(SVM)Was

Tolerance(PBFT)algorithm

proposed．Fifty，Support

the trmned rule Was

to each node in nodes were voted to

loT．Then，some

intrusion detection decision

ride，and

applied

the active intrusion detection on other nodes in the

announce their detection results to other nodes．

the detection results reach

consistency

network，while

perform

node

the state of other nodes

Finally，each

in the

judged

according

PBFI"algorithm，making

simulation results on NSL-KDD dataset

show that the

by TinyOS

reduces the

energy

system．The

proposed approach

Intrusion Detection

and

12．2％and

consumption by

7．6％averagely

respectively compared证th Integrated

System(IIDS)and

Dimension reduction and Two—tier

the

reducing

energy

consumption

Two—layer

Classification(’rDTC)approach，effectively

IoT．

words：Internet of

Fault

Key

Things(IoT)；Practical

Tolerance(PBFT)；intrusion detection；low energy

Byzantine

Vector

Machine(SVM)

consumption；Support

靠运行成为当下的研究热点。

引言

Wang等垆1提出了一种集成入侵检测系统(Integrated

Intrusion Detection

．近年来，物联网因具有节点数量大、低功耗、部署方法便

System，lIDS)，lIDS将物联网网络结构分

捷等优点，在设备监控、环境检测、安保消防等领域得到了飞

速发展，与此同时，其安全性问题也受到越来越多研究者的关

注。传统被动防御的安全策略已经不能有效地保证物联网安

全运行，如黑洞攻击、能源耗尽攻击和女巫攻击等不能被有效

识别并防御¨ J。入侵检测技术作为一种主动防御策略，通过

采集网络中关键节点的数据进行分析，可以在攻击者发起攻

击之前采取防御措施，有效保系统的安全B。J。

Hybrid IDS)层进行异常检

成三层：在顶层IHIDS(Intelligent

测和特征检测，并对新的攻击类型进行学习，并将学习结果传

递给中间层HIDS；HIDS对攻击类型进行识别；在底层mIDS

(misuse IDS)进行特征检测，对正常数据进行过滤。由于加

入了IHIDS进行二次学习，提升了对未知攻击的检测准确率；

但是带来了较高的资源消耗。Loo等峥1针对路由攻击提出了

一种基于特征筛选的检测方法，对路由攻击的检测进行优化；

物联网入侵检测系统主要完成以下功能：采集数据、识别

但对其他攻击类型的检测率没有提升。Pajouh等。刊对现有网

络结构进行分析，提出了双重降维双重检测(Two-layer

J。目前，依托

入侵行为、识别入侵者、采取相应的防御措施H

Dimension reduction and Two．tier

Classification，咖)的方法，

于物联网海量数据，研究人员提出了综合先验知识和机器学

习的入侵检测方法，取得了比较好的检测效果。但是，由于物

联网中网络节点一般由电池进行供电，其能量资源受限。因

此，如何在能量受限的情况下使入侵检测系统能够长时间可

通过特征检测峥’筛选已知攻击类型的攻击节点，再通过异常

检测判断未确定节点的可信性。该方法通过特征检测来规避

异常检测的高额开销；但是同时带了较高的误报率。

收稿日期：2018—10—16；修回日期：2018-12—13；录用日期：2018—12—26。

基金项目：上海市自然科学基金资助项目(18ZRl428300)。

作者简介：潘建国(1977一)，男，江西上饶人，副教授，博士，主要研究方向：智能信息处理、嵌入式开发；李豪(1994一)，男，山东泗水人，

硕士研究生，主要研究方向：智能信息处理、嵌入式开发。

万方数据

1743

第6期

潘建国等：基于实用拜占庭容错的物联网入侵检测方法

n>2k+m，所以n—l>2k+(m一1) 2J|}，这样每轮

Sedjelmaci等旧。和刘雅菲等 1分别提出了基于博弈论(Game

Theory，GT)的入侵检测方法，其核心是通过收益比来遏制攻

击节点发起攻击，通过减少入侵检测次数达到降低资源消耗

的目的；但该种模型需要对攻击节点的行为模式进行额外计

算。Lin等¨ 驯提出了一种基于投票的入侵检测方法，该方法

采用检测率最高的节点的检测结果作为系统其他节点的检测

结果；但当该节点遭受攻击后会大幅影响系统的稳定性。

目前，物联网入侵检测系统工作时能量消耗主要源于入

侵检测时的计算开销，单个节点的入侵检测策略的优化对能

量消耗的减少影响很小，因此物联网入侵检测方法的研究集

中于减少检测次数方向。实用拜占庭容错(Practical

OM(m—k)算法中正常节点收到的决定都是majority(node．，

node2，，noden)。

定理1 对于任意m，如果有超过3m个节点和最多m个

恶意节点，算法OM(m)满足条件ICl和条件IC2。

证明

当n=4，m=l时：

1)假定节点3为恶意节点，以节点2作为首个发布者为

例：

a)节点2执行算法OM(1)将自己的决定发送给其他3

个节点，它们都正确地收到了命令。

b)每个收到决定的节点都作为发布者执行算法OM(O)，

将自己的决定转发给其余节点，因为节点3是恶意节点，所以

它给节点2传递的结果是错误结果。节点2最后根据

majority(nodeI，node2，，node。)函数来决定命令。

节点3无法干扰节点2的结果，对其他两个节点也一样。

2)假定节点3为恶意节点，且为首个发布者：

Fault

Tolerance，PBFT) o证明在满足节点总数

Byzantine

N 3m+l(m为恶意节点数量)的情况下，系统是可靠和稳

定的。为了实现物联网入侵检测高检测率的同时降低能量消

耗，本文引入基于PBFY的选举机制，选择可信度较高的部分

节点进行人侵检测，待检测结束后将投票结果向网络中的全

部节点公布，完成物联网入侵检测过程。

a)节点3向其他节点发送了恶意的决定。

b)其他节点收到决定后，执行OM(0)向所有的节点发

送自身的决定，这样所有节点接收到的决定不相同，其他节点

通过majority(nodel，node2，，node。)函数判断最终结果，因

此节点3无法达到目标。

PBI叩算法

1．1拜占庭容错系统

PBFY模型源于拜占庭将军问题¨ 2|，该问题的核心思想

可以描述为，当节点总数为Ⅳ，恶意节点为m时，若Ⅳ 3m+

l时，恶意节点的决定不会对系统产生影响。

为简化证明过程，以一个节点发送决定给其他节点的形

式来证明。系统的稳定运行需要以下前提条件：

ICl所有正常节点能无误地处理接收到的决定。

IC2如果发送节点是正常的，那么所有正常节点能正确

处理其决定。

当m>1时，假定第1)轮中节点是正常节点，那么将引

理中k设为m，则OM(m)满足IC2、ICl。

若第1)轮为恶意节点，则第2)轮中最多就只有m—1个

恶意节点，又因为有3m个正常节点，所以正常节点的总数超

过3m—l，且有3m一1>3(m一1)。通过归纳法可以证明

OM(m一1)满足ICI和IC2。当任意两个正常节点在OM(m一

1)过程中获得相同决定，那么在OM(m)中每个正常节点可

以得到majority(nodel，node2，，node。)，可知满足条件ICI

和IC2。

定义1 majority(nodel，node2，，node。)为统计数据中

出现次数最多的结果。其中，node。表示一个节点对其他节点

因此，从全部Ⅳ个节点中选举2N／3+1个节点即可保证

全部节点的最终决定一致。

的检测结果。

定义2 OM(0)。

1．2一致性协议

1)检测节点将决定发送给其他节点。

为保证每个节点在入侵检测过程中都能够按照一个确定

顺序选举入侵检测节点、进行入侵检测、检测结果公布、对结

果进行统计与处理，所有节点应遵循同样的一致性协议。在

入侵检测系统的工作过程中，一致性协议至少包含三个阶段：

节点选举、结果公布、结果统计。其具体可以描述为：1)对于

一个包含3m+1个节点的拜占庭容错系统，选举2m+1个可

信节点进行入侵检测。2)每个被选举节点在入侵检测完成后

将自身的检测结果向网络中其他节点公布。3)对每次入侵检

测结果的统计在接收到第一个结果后开始进行，当节点i接

收到的decision；中关于节点J的统计结果大于m+1时，节点

，的可信度确定。一致性协议运行示意图如图1所示。

2)接收节点采用接收到的检测结果。如果没接收到检测

节点的检测结果，则将该检测节点标记为异常状态。

定义3 OM(m)。

1)发送者将决定发送给其他节点。

2)对于每个接收节点i，decision。是每个接收节点i收到

的决定，如果没接收到某检测节点的检测结果，则将该检测节

点标记为异常状态。接收节点i在OM(m一1)中作为发送节

点将决定发送给另外N一2个节点。

3)对于每个接收节点j，并且j≠i，decisionj是节点J接收

到的从第2)步中的节点i发送过来的决定(使用OM(m一1)

算法)。如果没有收到第2)步中节点i的决定，则将该检测节

点标记为异常状态。最后节点，使用majority(node，，node：，，

node。)得到最终决定。

节点1

节点2

节点3

节点4

引理

对于任意m和k，如果有超过2．|}+m个正常节点

和最多k个恶意节点，那么算法OM(m)满足IC2。

证明

当m=0时，OM(0)在节点是正常的时候满足

●被选举节点④正常节点●异常节点

IC2。

图l

当m>0时，首先节点将决定传递给n一1个其他节点，然

一致性协议运行示意图

后每个节点对n一1个节点执行OM(m一1)算法。因为假设了

Fig．1

diagram ^ofconsistency protocol operation

Schematic

万方数据

1744

第39卷

计算机应用

2．3主动入侵检测

物联网中的节点对其他节点的选举结果进行合并及统

2基于PBFT的入侵检测

2．1基于PBFT的入侵检测流程

计，一旦选举节点数量到达2m+l，则选举结果确定，保存当

前应进行入侵检测的节点列表。若自身被选举，则进行主动

入侵检测；否则等待。

PBVr)，

将一致性协议融人PBFr，提出IPBFT(Improved

用于物联网入侵检测。物联网在构建时对每个节点进行初始

Vector

被选举节点对网络数据进行采集，标准化处理成形如

NSL．KDD数据集¨ ”的格式，并使用预训练好的检测引擎进

行检测，对物联网中其他节点的行为模式作出判断。此过程

中每个节点的检测引擎独立工作互不影响。

Machine，SVM)算

化。首先使用支持向量机(Support

法对现有数据集进行预训练，得到的分类标准作为入侵检测

异常节点的检测引擎，将该规则写入物联网中每个节点。每

个节点运行同样的入侵检测规则可以保证物联网中入检测标

准的一致性。

2．4结果公布与可信状态更新

进行入侵检测的节点将检测结果对本网络中的全部节点

公布。每个节点只接收Gm中IDS的检测结果，并对接收到的

所有检测结果进行统计，统计数目最高的可信状态即为节点

的当前可信状态，并更新TSi。

将设备的可信状态分为可信状态、可疑状态、恶意状态等

三种状态，不同的可信状态在选举过程中拥有不同的权值埘，

lIJ

E[0，1]，可信状态权值为1，可疑状态权值为0，每个节点

的可信度为c，网络内每个节点拥有独立的入侵检测系统

每个节点存储每次检测结果。每个节点在当前入侵检测

结束后更新权值和可信状态，其可信度更新为：

Detection

(Intrusion

System，IDS)。

物联网节点初始化进行组网时，默认簇头节点均为可信

节点。新加入节点将可信度置0。每个节点具有独立的身份

(3)

ci= (c以+训f)+毗

标识加，每个节点独立保存其他节点的历史可信状态表TSi。

基于IPBFY的入侵检测工作流程如图2所示。

o丽

其中，c肌为节点i的历史可信度。其权值更新为：

胪

(4)

／aoi= ％／胪

其中：‰ 为节点_『对节点i的检测结果；∥为接收到结果的数

目。

由式(3)一(4)可知，每一次的检测结果都会对节点的可

信度产生较大影响。如果节点被判定为恶意节点，其可信度

将直接置为0，踢出系统。而一个节点如果是可信节点，则其

可信度会越来越高，同时避免了偶然误差带来的不利影响，有

利于系统稳定。

样本数据鼻毛／l每个节点从TS．中选H更新。

可信列表7冒

——I取一个节点进行选举l

数据采集

采取对应的防御措施

统计选举结果

l入侵检测结果统计

身是否被

实验结果及分析

3．1网络拓扑结构

进行主动入侵检测H公布节点检测结果

图2基于IPBVr的入侵检测流程

本文中采用的物联网簇型结构主要由簇头节点及普通节

点组成，是实际应用中常见的拓扑结构¨ “。普通节点即传感

器节点，是物联网网络中的终端节点。簇头节点即物联网中

的网关设备，负责管理簇内节点，并向外部报告数据。IDS运

行于簇头节点，每个簇头节点在与其他簇头节点之间基于

pBF’F进行入侵检测。具体的网络拓扑结构如图3所示。

Flow chart of intrusion detection based OH IPBFT

Fig．2

2．2节点的选举

在本文背景中，选举总数大于2N／3+l时，可以保证系

统的可信性。每个节点各自的可信状态可被全部节点得知，候

选节点的范围将控制在拥有高可信度节点的范围内，可以使

结果更趋于真实。以毗代表某节点拥有权值，以权值代表该

节点的可信度。随机从J7、r个节点中选举n个节点，选举结果的

可信度为：

(1)

％= 毗

从可信的前Ⅳ，个节点中选举n个节点，选举结果可信度

图3网络拓扑结构

Network

topology

为：

Fig．3

n，

3．2数据集预处理

(2)

％= 毗

实验采用NSL．KDD数据集作为训练数据集。该数据集

每条数据包含41项特征及1个分类标签，分类标签将数据分

为4类攻击(Abnormal)类型和1类正常(Normal)类型，如表l

所示。相较于KDD CUP99数据集去除了部分冗余数据，训练

出的模型具有更好的检测效果。

在这里，％<L，即从可信的前Ⅳ’个节点中选举节点具

有更高的可信度。

由于每个节点所处的网络环境不同，每个节点接收到的

决定会有一定的误差，故每个节点会从自身的TS。中选举可

信的前J7、r’个节点。

实验选取NSL-KDD数据集的KDD Train_20Percent训练

万方数据

全部评论(0)

暂无评论

评论赚积分>>

上传资源

基于实用拜占庭容错的物联网入侵检测方法

资料介绍

部分文件列表

部分页面预览

相关下载

全部评论(0)

热门标签

最新上传

热门下载

推荐下载

专栏首页