[发明专利]基于免疫的物联网分布式入侵检测方法及系统

权利要求书

1.一种基于免疫的物联网分布式入侵检测方法，其特征在于，包括以下步骤：

1）构建一种基于免疫的物联网分布式入侵检测整体模型，包括一个中央子模型和至少三个相同的本地子模型；本地子模型以旁路的方式接入物联网网关，各本地子模型分布式独立地运行，由中央子模型对其统一管理和协调，本地子模型和中央子模型共同构成基于免疫的分布式入侵检测模型的整体模型；

2）建立本地子模型

本地子模型包括检测器和抗原，所述的抗原为物联网感知层数据的数据特征，抗原分为自体和非自体，所述的自体为正常数据的数据特征，所述的非自体为攻击性数据的数据特征，所述的检测器为包含抗原数据信息的集合，用于检测抗原；检测器对抗原进行分类，分成自体和非自体；所述的检测器分为非成熟检测器，成熟检测器和记忆检测器；

2.1）将KDD CUP 99 数据集作为物联网感知层的初始攻击性数据集，将该初始攻击性数据集初始化为记忆检测器存入中央子模型中的记忆检测器库中，并通过系统随机生成非成熟检测器；

2.2）收集物联网安全环境下的网络活动数据并将其转换为自体；

2.3）捕获通过物联网网关的数据报文，将其转换为抗原，具体包括：抽取物联网感知层数据报文的主要特征信息，将其转换成长度为l的二进制串，定义数据报文的特征信息的状态空间为；将物联网感知层数据报文的特征信息转换成免疫环境下的抗原ag；

定义抗原集合Ag为：

其中，为感知层数据特征信息的提取及转换函数，packet表示捕获通过物联网网关的数据报文；表示提取数据报文packet的特征信息并将其转换为二进制串形式的抗原；

2.4）通过抗原对非成熟检测器进行耐受训练，所述的耐受训练为通过非成熟检测器对抗原进行分类，判断是否正确区分自体和非自体，如果不能，则非成熟检测器死亡，如果能则非成熟检测器成为成熟检测器，并激活确定为新的记忆检测器；

3）建立中央子模型

3.1）接收疫苗

将新的记忆检测器作为疫苗，当本地子模型经过耐受训练出新的记忆检测器后，将该记忆检测器封装为数据包，设新的记忆检测器为r，数据包包含新的记忆检测器r的信息，将数据包发送给中央子模型，中央子模型在收到数据包中新的记忆检测器r信息后，将其存入到中央子模型中的记忆检测库中；

3.2）封装疫苗

每当接收到新的记忆检测器r后，中央子模型将新的记忆检测器r封装为用于种痘的疫苗v：

其中， 为公钥加密函数；为中央子模型的私钥；为Hash函数；为新的记忆检测器信息；“+”为字符串连接符；

3.3）种痘

中央子模型封装的疫苗v含有本地子模型训练出的新的记忆检测器r的信息，系统将其发给所有的本地子模型，各本地子模型从疫苗v中获取新的记忆检测器r的信息，在各本地子模型中进行耐受训练后，用于本地物联网内的物联网攻击检测。

2.基于权利要求1所述的一种基于免疫的物联网分布式入侵检测方法的一种基于免疫的物联网分布式入侵检测系统，其特征在于，包括：

整体模型模块，用于构建一种基于免疫的物联网分布式入侵检测整体模型，包括一个中央子模型和至少三个相同的本地子模型；

本地子模型模块，用于建立本地子模型；本地子模型包括检测器和抗原，所述的抗原为物联网感知层数据的数据特征，抗原分为自体和非自体，所述的自体为正常数据的数据特征，所述的非自体为攻击性数据的数据特征，所述的检测器为包含抗原数据信息的集合，用于检测抗原；检测器对抗原进行分类，分成自体和非自体；所述的检测器分为非成熟检测器，成熟检测器和记忆检测器；

中央子模型模块，用于建立中央子模型；

所述的本地子模型模块还包括：

初始化模块，用于将KDD CUP 99 数据集作为物联网感知层的初始攻击性数据集，将该初始攻击性数据集初始化为记忆检测器存入中央子模型中的记忆检测器库中，并通过系统随机生成非成熟检测器；

自体转换模块，用于收集物联网安全环境下的网络活动数据并将其转换为自体；

抗原转换模块，用于捕获通过物联网网关的数据报文，将其转换为抗原；

记忆检测器生成模块，用于通过抗原对非成熟检测器进行耐受训练，所述的耐受训练为通过非成熟检测器对抗原进行分类，判断是否正确区分自体和非自体，如果不能，则非成熟检测器死亡，如果能则非成熟检测器成为成熟检测器，并激活确定为新的记忆检测器；

所述的中央子模型模块还包括：

接收疫苗模块，用于将新的记忆检测器作为疫苗，当本地子模型经过耐受训练出新的记忆检测器后，将该记忆检测器封装为数据包，设新的记忆检测器为r，数据包包含新的记忆检测器r的信息，将数据包发送给中央子模型，中央子模型在接收到数据包中新的记忆检测器r的信息后，将其存入到中央子模型中的记忆检测库中；

封装疫苗模块，用于每当接收到新的记忆检测器r后，中央子模型将新的记忆检测器r封装为用于种痘的疫苗v：

其中，为公钥加密函数；为中央子模型的私钥；为Hash函数；为新的记忆检测器信息；“+”为字符串连接符；

种痘模块，用于中央子模型封装的疫苗v含有本地子模型训练出的新的记忆检测器r的信息，系统将其发给所有的本地子模型，各本地子模型从疫苗中获取新的记忆检测器r信息，用于本地物联网内的物联网攻击检测。