[發明專利]一種基于人工智能行為分析的車聯網入侵攻擊檢測方法和系統

有效

• 申請號: 201711236177.1
• 申請日: 2017-11-30
• 公開（公告）號: CN107948172B
• 公開（公告）日: 2021-05-25
• 發明（設計）人: 陳喬;何文杰;任翔;梁彧;金紅;楊滿智;劉長永
• 申請（專利權）人: 恒安嘉新（北京）科技股份公司;國家計算機病毒應急處理中心
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京市萬慧達律師事務所 11111
• 代理人: 黃玉東

1.一種基于人工智能行為分析的車聯網入侵攻擊檢測方法，其特征在于，所述方法包括步驟：

步驟S1、獲取移動核心網的上網流量數據，將流量按照通信協議還原，得到上網話單日志；其中，獲取的所述移動核心網的上網流量數據主要在移動網管道側采集，并基于車聯網移動APP、車載終端為訪問源或訪問目的，至少包括：源IP，源端口，目標IP，目標端口，協議，訪問時間，MSISDN號碼，IMSI，IMEI，LAC，CI，DNS解析記錄，CA認證請求響應；通過部署數據流量采集設備獲取經移動核心網的4G上網流量數據，包括S1-U、S10、S11接口原始流量數據；將流量按通信協議還原，提取各接口的上網日志，并對各接口日志進行關聯合成，從而得到完整的移動上網話單日志；

步驟S2、根據APN、號段、車聯網手機APP中的一種或多種特征對所述完整的移動上網話單日志進行過濾；

步驟S3、利用已知的車聯網正常訪問數據及異常的入侵攻擊數據，提取訪問參數特征及訪問行為特征，并使用人工智能分類器模型進行訓練；

步驟S4、對實時的車聯網訪問數據提取訪問參數特征及訪問行為特征，使用訓練好的分類器模型進行判斷是否遭遇到入侵攻擊，并將入侵攻擊行為進行相應處置；

依據的所述訪問行為特征包括：請求頻次、數據流向、請求參數值最大熵值、車輛行駛特征、單位時間內總訪問次數，單位時間內訪問行為突發程度，單位時間內來訪IP最大訪問次數占比、指令類型及指令下發的時間、來源、頻次的行為特征、訪問終端來源、TSP平臺的CA證書認證流程、來自車聯網終端的上行請求網絡行為特征。

2.根據權利要求1所述的方法，其特征在于，獲取的所述移動核心網的數據還包括：請求方式，訪問域名，URI，訪問參數。

3.根據權利要求1所述的方法，其特征在于，在步驟S3中，依據的所述訪問參數包括：訪問頻次、根據上述日志數據計算得到的車輛行駛特征、數據流向、數據載荷字節數、DNS解析記錄。

4.一種基于人工智能行為分析的車聯網入侵攻擊檢測系統，其特征在于，所述檢測系統部署在移動核心網側，車載終端或者車聯網手機APP通過移動基站與TSP平臺實現交互，所述系統包括：

數據采集單元，用于采集移動核心網的上網流量數據并提取和合成車聯網相關的數據流量話單；其中，獲取的所述移動核心網的上網流量數據主要基于車聯網移動APP、車載終端為訪問源或訪問目的，至少包括：源IP，源端口，目標IP，目標端口，協議，訪問時間，MSISDN號碼，IMSI，IMEI，LAC，CI，DNS解析記錄，CA認證請求響應；通過部署數據流量采集設備獲取經移動核心網的4G上網流量數據，包括S1-U、S10、S11接口原始流量數據；將流量按通信協議還原，提取各接口的上網日志，并對各接口日志進行關聯合成，從而得到完整的移動上網話單日志；所述數據采集單元根據車聯網手機APP、車載終端、TSP三者之間的互訪，以及車載終端訪問未知目的IP，來采集數據流量話單信息；

數據存儲單元，用于存儲正常訪問的數據及入侵攻擊的數據；

特征提取單元，根據已知的車聯網正常訪問數據及異常的入侵攻擊數據，提取訪問參數特征及訪問行為特征；

模型訓練單元，用于訓練分類器模型，將已知為正常訪問及入侵攻擊的數據經過特征提取單元提取到的特征輸入該模型訓練單元，經過模型評估后得到訓練好的分類器模型；

數據檢測單元，對實時數據提取特征后的特征進行判斷，檢測其是否被入侵或攻擊，并將檢測結果分別保存到數據存儲單元當中；

告警單元，當檢測到對車輛的網絡入侵攻擊行為時，向車主或TSP服務商發送告警，并根據危險級別或車主設置對入侵攻擊流量進行過濾處置。

5.根據權利要求4所述的系統，其特征在于，所述數據采集單元以分光方式對經移動核心網傳輸的數據進行復制讀取。