[發明專利]一種基于概率的輕量的數據包篡改木馬檢測方法

在審

• 申請號: 201911399492.5
• 申請日: 2019-12-30
• 公開（公告）號: CN111143847A
• 公開（公告）日: 2020-05-12
• 發明（設計）人: 趙一鳴;王小航
• 申請（專利權）人: 華南理工大學
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F17/18
• 代理公司: 廣州市華學知識產權代理有限公司 44245
• 代理人: 陳宏升

1.一種基于概率的輕量的數據包篡改木馬檢測方法，其特征在于，包括以下步驟：

在眾核系統從源節點發送數據包到目標節點過程中，對數據包添加校驗碼，校驗單元使用數據校驗方法在數據包的目標節點處進行校驗，得到數據包的校驗結果；

所述校驗具體為：采用循環亢余校驗方法在數據包的目的地對數據包進行校驗，得到數據包的校驗結果，即數據包中數據完整性和數據正確性；

所述校驗碼，在數據包發送之前計算校驗碼并添加到數據包尾部；

所述數據包寫入單元為電源門控的數據包寫入單元，掛載在路由器外部；

所述數據包寫入單元向經過的特定數據包寫入對應的路由器ID信息，所述特定數據包為可激活木馬篡改功能數據包；

通過數據包寫入單元獲取數據包的路由路徑；

防御管理單元獲取各數據包的數據校驗結果與路由路徑；

根據數據校驗結果和路由路徑，使用概率計算方法實時更新每個節點被植入木馬的概率，具體為：

當節點被植入木馬，則使用后驗概率更新公式計算，具體如下：

其中，為中間變量，α表示數據包通過一個受硬件木馬感染節點時，該硬件木馬處于激活狀態的概率，P^t(H_r,s)表示節點(r,s)存在硬件木馬的概率，Ω_p為數據包p的路由路徑，L_p表示數據包p的校驗結果，H_i,j表示節點(i,j)中存在硬件木馬，P^t(H_i,j)表示節點(i,j)存在硬件木馬的概率；

各個節點的初始被植入木馬概率被初始化為m/n；m為硬件木馬數量，n為片上網絡中節點數量；

所述根據數據校驗結果和路由路徑，使用后驗概率計算方法實時更新每個節點被植入木馬的概率，還包括，使用探測數據包的近似路由路徑替代數據包的路由路徑，防御管理單元獲取近似路由路徑和數據包經過節點的概率來更新每個節點被植入硬件木馬的概率，計算如下：

其中，K^t_p為中間變量，α表示數據包通過一個受硬件木馬感染節點時，該硬件木馬處于激活狀態的概率，P^t(H_r,s)表示節點(r,s)存在硬件木馬的概率，Ω_p為數據包p的路由路徑，L_p表示數據包p的校驗結果，H_i,j表示節點(i,j)中存在硬件木馬，P^t(H_i,j)表示節點(i,j)存在硬件木馬的概率，為數據包p在路由過程中經過節點(i,j)的概率；

所述探測數據包包括如下幾個負載:源節點地址，目的節點地址，木馬激活指令，若干空負載用來存儲經過節點的ID；

設定風險閾值，根據風險閾值區分節點是否被植入木馬，得到檢測結果。

2.根據權利要求1所述的一種基于概率的輕量的數據包篡改木馬檢測方法，其特征在于，所述概率計算方法為基于貝葉斯概率的后驗概率計算方法。

3.根據權利要求1所述的一種基于概率的輕量的數據包篡改木馬檢測方法，其特征在于，所述設定風險閾值，根據風險閾值區分節點是否被植入木馬，得到檢測結果，具體為：設定風險閾值R，獲取各節點被植入硬件木馬的概率，當節點被植入木馬的概率大于風險閾值R，則將該節點標記為高風險節點，否則該節點標記為正常節點。

4.根據權利要求1所述的一種基于概率的輕量的數據包篡改木馬檢測方法，其特征在于，所述根據數據校驗結果和路由路徑，使用后驗概率計算方法實時更新每個節點被植入木馬的概率，還包括，當數據包至多經過一個高風險節點時，當節點被植入木馬，則使用后驗概率更新公式計算，具體如下：

其中，其中，為中間變量，α表示數據包通過一個受硬件木馬感染節點時，該硬件木馬處于激活狀態的概率，P^t(H_r,s)表示節點(r,s)存在硬件木馬的概率，Ω_p為數據包p的路由路徑，L_p表示數據包p的校驗結果，H_i,j表示節點(i,j)中存在硬件木馬，P^t(H_i,j)表示節點(i,j)存在硬件木馬的概率。