[發(fā)明專利]一種基于深度學習的移動自組織網絡入侵檢測方法與設備

有效

• 申請?zhí)枺?/td>: 201510344393.2
• 申請日: 2015-06-19
• 公開（公告）號: CN104935600B
• 公開（公告）日: 2019-03-22
• 發(fā)明（設計）人: 吳巍;黃煒;張林杰;賈哲;莊杰;李強
• 申請（專利權）人: 中國電子科技集團公司第五十四研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04W12/12
• 代理公司: 河北東尚律師事務所 13124
• 代理人: 王文慶

1.一種基于深度學習的移動自組織網絡入侵檢測方法，其特征在于，包括以下步驟：

①從正常的移動自組織網絡中捕獲無線數據包，經過數據預處理，得到網絡正常行為特征數據集，并將其拆分為網絡正常行為特征的訓練集和測試集；在移動自組織網絡中加入多種已知的入侵節(jié)點，從加入入侵節(jié)點的移動自組織網絡中捕獲無線數據包，經過數據預處理，得到網絡入侵行為特征數據集，并將其拆分為網絡入侵行為特征的訓練集和測試集；所述的無線數據包包括路由請求包、路由應答包、路由錯誤包和業(yè)務數據包；

所述網絡正常行為特征數據集和網絡入侵行為特征數據集中的特征均包括：

(1)RREQ Sent：節(jié)點發(fā)送的路由請求消息包總數；

(2)RREQ Received：節(jié)點接收的路由請求消息包總數；

(3)RREP Sent：節(jié)點發(fā)送的路由應答消息包總數；

(4)RREP Received：節(jié)點接收的路由應答消息包總數；

(5)RERR Sent：節(jié)點發(fā)送的路由錯誤消息包總數；

(6)RERR Received：節(jié)點接收的路由錯誤消息包總數；

(7)Data Sent：節(jié)點發(fā)送的業(yè)務數據包總數；

(8)Data Received：節(jié)點接收的業(yè)務數據包總數；

(9)Route Drop：節(jié)點丟棄的路由包總數；

(10)Route Transmit：節(jié)點轉發(fā)的路由包總數；

(11)Data Drop：節(jié)點丟棄的業(yè)務數據包總數；

(12)Data Transmit：節(jié)點轉發(fā)的業(yè)務數據包總數；

(13)Packet size：數據包平均大小；

(14)Active Node：活躍節(jié)點個數；

②使用網絡正常行為特征訓練集訓練深度神經網絡異常檢測模型，得到對網絡正常行為的表達；使用網絡入侵行為特征訓練集訓練深度神經網絡誤用檢測模型，得到對網絡入侵行為的表達；

③使用網絡正常行為特征測試集測試深度神經網絡異常檢測模型，根據測試結果進一步調整模型參數；使用網絡入侵行為特征測試集測試深度神經網絡誤用檢測模型，根據測試結果進一步調整模型參數；

④入侵檢測時，多個無線監(jiān)測節(jié)點實時從移動自組織網絡中捕獲無線數據包，經過數據預處理得到網絡行為特征向量，將網絡行為特征向量輸入調整參數后的深度神經網絡異常檢測模型進行識別，將判斷為異常的網絡行為特征向量輸入調整參數后的深度神經網絡誤用檢測模型進行識別，對入侵類型的識別結果進行判斷；

⑤如果識別結果符合已知入侵類型，則告警顯示該類入侵；如果識別結果不符合已知入侵類型，則將異常的網絡行為特征向量作為新網絡入侵特征向量進行存儲，當深度神經網絡能識別存儲的新網絡入侵特征向量之后，使用聚類算法對其進行類劃分，將聚類后的新網絡入侵特征向量作為網絡入侵行為特征訓練集訓練深度神經網絡誤用檢測模型，當這些入侵類型再次發(fā)生時，就能被檢測識別；

完成基于深度學習的移動自組織網絡入侵檢測方法。

2.根據權利要求1所述的一種基于深度學習的移動自組織網絡入侵檢測方法，其特征在于：所述的數據預處理具體包括以下步驟：

(101)計算捕獲到的各無線數據包的大小，然后分別進行幀解析并提取出代表無線數據包類型的字段；

(102)判斷出各無線數據包的類型并對各無線數據包進行分類；

(103)提取每類無線數據包的網絡行為特征向量。

3.根據權利要求1或2所述的一種基于深度學習的移動自組織網絡入侵檢測方法，其特征在于：所述的網絡行為特征向量是由多個表征網絡性能的元素組成的一個向量，具體包括：路由請求消息的發(fā)送接收頻率、路由應答消息的發(fā)送接收頻率和數據包投遞率；

所述網絡行為特征向量的獲取方式為：對無線數據包進行幀解析，判斷數據包大小，提取代表數據包類型的字段，判斷數據包類型，統(tǒng)計單位時間內每一種類型的數據包的發(fā)送頻率、接收頻率、平均大小、持續(xù)時間，得到網絡行為特征向量。