[发明专利]无线网状网络攻击检测方法

说明书

技术领域

本发明涉及网络检测技术领域，具体是一种基于数据挖掘的无线网状网络攻击检测方法。

背景技术

在Mesh网络（无线网状网络）中，RREQ泛洪攻击能以极小的代价，显著地影响网络性能。而数据包头欺骗雪崩攻击正是基于RREQ洪泛攻击的另一新型攻击方式。Umang Singh等人发表在《2011 Second International Conference on Emerging Applications of Information Technology》的论文《GNDA: Detecting good neighbor nodes in adhoc routing protocol》（GDNA：在Adhoc网络中检测安全的邻居节点）中介绍了无线Mesh网络中针对RREQ洪泛攻击和黑洞攻击的基于信道容量的阈值判断的邻居检测算法,通过基于理论研究、NS2（network simulator 网络仿真）仿真和实物测试相结合的性能分析，可以看到，阈值检测的算法实现较为简便，但在一些场景无法实现对恶意节点的有效检测（如“多点低频攻击”和“单点高速移动攻击”等）。

同时，L. Prema Rajeswari等人也在《Information and Communication Technology in Electrical Sciences (ICTES 2007)》上发表了《Enhanced intrusion detection techniques for mobile ad hoc networks》（Adhoc网络的入侵检测技术）一文中研究了尝试对入侵检测技术来防护针对Adhoc网络的攻击。但是其基本算法依旧是基于阈值检测，所以仍然存在如下缺点。

从现有的论文中可以发现，现有的检测方法利用的是RREQ洪泛恶意节点“发送RREQ频率远远高于正常节点”这一特征，但从算法上具有两点明显缺陷：

（1）对某个被检测节点的RREQ报文信息的收集和计数只局限于其邻居节点。

（2）在RREQ发送频率是否属于攻击行为的判断上，仅简单的与一个阈值进行比对，适应性不佳。

发明内容

本发明的目的是克服上述现有技术的不足，提供一种基于数据挖掘，用于无线Mesh网络的，对数据包头欺骗雪崩攻击的检测方法。通过从节点行为数据中分离出明显地异常行为，检测恶意节点，并分析了该算法的参数选取及错误率。

本发明的基本原理是：（1）,检测引起RERR的RREQ的上一跳节点，并统计。（2）,采用kmean的算法，将（1）中统计值与“大部分”节点差异较大的节点集分离出来。（3）,结合（2）的分离结果，进行最终的筛选和判断，得出入侵检测结果，即恶意节点集。

本发明是通过如下技术方案实现的，一种基于数据挖掘的无线网状网络攻击检测方法，该方法包括如下步骤：

检测节点接收PREQ报文，并统计引发RERR的RREQ报文的上一跳节点的数量；

当引发RERR的RREQ报文的上一跳节点的数量大于或等于10时，对检测节点接收到的所有PREQ报文进行聚类；

选取Kmeans参数；

根据Kmeans参数，对引发RERR的RREQ报文的上一跳节点ID进行Kmeans聚类，得到恶意节点集合。

该方法还包括如下步骤：

将所述的恶意节点集合加入黑名单；

将所有引发RERR的RREQ报文的上一跳节点的已发送RREQ报文数设置为0。

所述的检测节点是指能接收无线Mesh网络中所有的RREQ报文，并对所接收到的RREQ报文进行入侵检测，根据检测结果启动检测响应机制。

所述的检测响应机制是指为抵御恶意节点的攻击行为所采取的措施。

所述的对检测节点接收到的所有PREQ报文进行聚类，该聚类包括如下两个阶段：

归类阶段，即记录引发RERR的RREQ报文的上一跳节点ID；

计数阶段，根据所述的上一跳节点ID，查找该节点是否已经发送过RREQ报文，如果已经发送过，则将该节点的已发送RREQ报文数加1，如果没有发送过，则将该节点的已发送RREQ报文数设置为1。

所述的上一跳节点ID是指一个无线Mesh网络中用于唯一标识节点的信息，该拥有信息的节点发出了源节点ID所属的报文。