6LoWPAN 傳感網(wǎng)絡(luò)的DoS 檢測(cè)系統(tǒng)的制作方法
【專(zhuān)利摘要】本發(fā)明屬于無(wú)線傳感網(wǎng)絡(luò)安全領(lǐng)域，提供了一種6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)，采用分層設(shè)計(jì)；將所述系統(tǒng)分成感知層、適配層和網(wǎng)絡(luò)層；感知層從真實(shí)的傳感世界中采集相關(guān)數(shù)據(jù)并將數(shù)據(jù)傳送到適配層，適配層進(jìn)行報(bào)頭壓縮、MAC地址轉(zhuǎn)換、地址注冊(cè)，網(wǎng)絡(luò)層進(jìn)行系統(tǒng)的性能管理、系統(tǒng)的狀態(tài)管理以及系統(tǒng)的安全管理。本發(fā)明降低了次要因素對(duì)分類(lèi)性能的影響；降低了維數(shù)和縮減數(shù)據(jù)冗余信息，較少了運(yùn)算量；提高了支持向量機(jī)的分類(lèi)性能，提高了入侵檢測(cè)的實(shí)時(shí)性和入侵檢測(cè)精度。
【專(zhuān)利說(shuō)明】6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)

【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及無(wú)線傳感網(wǎng)絡(luò)安全領(lǐng)域，尤其涉及6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)。

【背景技術(shù)】
[0002]基于6LoWPAN(IPv6 over Low-Power Wireless Personal Area Networks)協(xié)議的無(wú)線設(shè)備具有一些先天的缺點(diǎn)，如在動(dòng)力，處理器，內(nèi)存空間等方面都比較有限，以及在保丟失率和碰撞方面的不可靠通信。攻擊者能夠充分利用這些弱點(diǎn)對(duì)無(wú)線傳感網(wǎng)絡(luò)發(fā)起攻擊。特別是拒絕服務(wù)(DoS，Denial Of Service)攻擊，DoS攻擊對(duì)分布式無(wú)線傳感網(wǎng)通信有著非常不利的影響。而目前還沒(méi)有針對(duì)無(wú)線傳感網(wǎng)絡(luò)DoS攻擊的安全策略，本項(xiàng)目就是提供一種檢測(cè)分布式無(wú)線傳感網(wǎng)上的DoS攻擊系統(tǒng)。
[0003]DoS攻擊能夠在遠(yuǎn)程僅僅通過(guò)命令和先進(jìn)的工具就可以被初始化，攻擊者還能夠完成分布式的DoS攻擊，然而在設(shè)備變得不可用之前是很難發(fā)現(xiàn)DoS攻擊的。DoS攻擊從簡(jiǎn)單的擁塞攻擊到復(fù)雜的偽造攻擊，竊聽(tīng)，路由攻擊和應(yīng)用層攻擊等。由于無(wú)線傳感網(wǎng)絡(luò)自身的特點(diǎn)，傳統(tǒng)網(wǎng)絡(luò)在解決DoS攻擊上的方法并不適用于無(wú)線傳感網(wǎng)。因此研究出適合基于IP的無(wú)線傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)就變得十分重要。
[0004]目前關(guān)于6LoWPAN傳感網(wǎng)絡(luò)的安全研究還處于初步階段，而目前國(guó)內(nèi)外專(zhuān)門(mén)針對(duì)6LoffPAN網(wǎng)絡(luò)中DoS檢測(cè)的研究更是很少。IETF 6L0WPAN工作組在其2010年3月7日發(fā)布的草案“IPv6over LowPower WPAN Security Analysis”最新版中，詳細(xì)討論了 6LoWPAN的安全需求、存在的威脅以及密鑰管理發(fā)明。但并為給出具體的做法。
[0005]2013 年 IEEE CONFERENCE PUBLICAT1NS 上的一篇論文《SAKES: Secureauthenticat1n and key establishment scheme for M2M communicat1n in theIP-based wireless sensor network (6L0WPAN)》詳細(xì)的分析了 6LoWPAN無(wú)線傳感網(wǎng)絡(luò)安全性問(wèn)題，并詳細(xì)的闡述了 6LoWPAN無(wú)線傳感網(wǎng)絡(luò)每一層可能受到的DoS的攻擊行為，并仿真了 6LoWPAN遭受DoS攻擊，但并未給出關(guān)于如何有效檢測(cè)6LoWPAN網(wǎng)絡(luò)中DoS攻擊的方法，該論文只是從理論上分析了 6LoWPAN網(wǎng)絡(luò)中可能受到的各種DoS攻擊。


【發(fā)明內(nèi)容】

[0006]本發(fā)明針對(duì)上述現(xiàn)有技術(shù)存在的問(wèn)題作出改進(jìn)，即本發(fā)明要解決的技術(shù)問(wèn)題是提供一種6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)，這種6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)降低了次要因素對(duì)分類(lèi)性能的影響；降低了維數(shù)和縮減數(shù)據(jù)冗余信息，較少了運(yùn)算量；提高了支持向量機(jī)的分類(lèi)性能，提高了入侵檢測(cè)的實(shí)時(shí)性和入侵檢測(cè)精度。
[0007]為了解決上述技術(shù)問(wèn)題，本發(fā)明提供了如下的技術(shù)發(fā)明:
[0008]一種6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)，采用分層設(shè)計(jì)；將所述系統(tǒng)分成感知層、適配層和網(wǎng)絡(luò)層；感知層從真實(shí)的傳感世界中采集相關(guān)數(shù)據(jù)并將數(shù)據(jù)傳送到適配層，適配層進(jìn)行報(bào)頭壓縮、MAC地址轉(zhuǎn)換、地址注冊(cè)，網(wǎng)絡(luò)層進(jìn)行系統(tǒng)的性能管理、系統(tǒng)的狀態(tài)管理以及系統(tǒng)的安全管理。
[0009]所述感知層，包括若干主機(jī)節(jié)點(diǎn)、若干個(gè)簇頭節(jié)點(diǎn)、一個(gè)邊界路由器和IDS探測(cè)器；若干主機(jī)節(jié)點(diǎn)H和一個(gè)簇頭節(jié)點(diǎn)C形成一個(gè)簇，將采集到的數(shù)據(jù)匯集到簇頭節(jié)點(diǎn)，簇頭節(jié)點(diǎn)通過(guò)邊界路由器B將數(shù)據(jù)傳遞到網(wǎng)絡(luò)層，IDS探測(cè)器監(jiān)聽(tīng)6LoWPAN網(wǎng)絡(luò)的流量。
[0010]所述適配層，包括基本功能模塊、包頭壓縮模塊、Context模塊和地址注冊(cè)模塊。
[0011]所述網(wǎng)絡(luò)層，包括狀態(tài)管理模塊，性能管理模塊和安全管理模塊三個(gè)部分。
[0012]所述性能管理模塊，確保系統(tǒng)在任何時(shí)候都能得到最好的通信能力；性能管理模塊中設(shè)計(jì)一個(gè)信號(hào)監(jiān)測(cè)軟件，所述信號(hào)監(jiān)測(cè)軟件通過(guò)監(jiān)測(cè)信號(hào)的干擾水平，當(dāng)該干擾水平超過(guò)設(shè)定的閥值，信號(hào)監(jiān)測(cè)軟件通過(guò)信號(hào)變動(dòng)程序改變當(dāng)前工作信道到最好的可供信道上。
[0013]所述狀態(tài)管理模塊，提供網(wǎng)絡(luò)狀態(tài)的配置服務(wù)和網(wǎng)絡(luò)監(jiān)控；通過(guò)從性能管理模塊獲得的系統(tǒng)性能信息來(lái)監(jiān)控網(wǎng)絡(luò)干擾等級(jí)，網(wǎng)絡(luò)延遲和沖突等信息；在任意時(shí)刻提供網(wǎng)絡(luò)信息使得狀態(tài)管理和性能管理能夠相互操作。
[0014]所述安全管理模塊，提供網(wǎng)絡(luò)中加密等安全的機(jī)制，確保網(wǎng)絡(luò)層和適配層以及感知層件能夠進(jìn)行安全的通信以及在網(wǎng)絡(luò)受到DoS攻擊時(shí)應(yīng)該采取的響應(yīng)措施。
[0015]所述安全管理模塊，包括DoS保護(hù)器，IDS和IDS_D ；
[0016]DoS保護(hù)器:當(dāng)檢測(cè)到入侵發(fā)生時(shí)接收IDS傳來(lái)的警報(bào)，然后從狀態(tài)管理模塊中提取相關(guān)信息和分析所述信息來(lái)確認(rèn)是否發(fā)生真的攻擊，當(dāng)檢測(cè)到遭受DoS攻擊時(shí)接受安全管理模塊發(fā)出的安全措施；
[0017]IDS:通過(guò)IDS_D監(jiān)控6LoWPAN網(wǎng)絡(luò)流量和網(wǎng)絡(luò)中的非法行為，當(dāng)發(fā)生非法行為或者監(jiān)控到網(wǎng)絡(luò)流量異常時(shí)向DoS保護(hù)管理器發(fā)出警報(bào)；
[0018]IDS_D:將IDS探測(cè)器放在6LoWPAN網(wǎng)絡(luò)外部進(jìn)行操作，通過(guò)有線的方式接入IDS，不參與的網(wǎng)絡(luò)活動(dòng)，對(duì)網(wǎng)絡(luò)中的數(shù)據(jù)信息全部進(jìn)行監(jiān)聽(tīng)。
[0019]本發(fā)明提供的6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)，其有益效果在于:將IDS部署在主機(jī)計(jì)算機(jī)上，能夠克服無(wú)線傳感網(wǎng)資源有限的難題，提供更多的能量用于檢測(cè)復(fù)雜的攻擊，IDS檢測(cè)器不參與直接的網(wǎng)絡(luò)活動(dòng)，只用來(lái)監(jiān)聽(tīng)網(wǎng)絡(luò)信息，降低了感知層設(shè)計(jì)的難度。

【專(zhuān)利附圖】

【附圖說(shuō)明】
[0020]附圖用來(lái)提供對(duì)本發(fā)明的進(jìn)一步理解，并且構(gòu)成說(shuō)明書(shū)的一部分，與本發(fā)明的實(shí)施例一起用于解釋本發(fā)明，并不構(gòu)成對(duì)本發(fā)明的限制。在附圖中:
[0021]圖1為本發(fā)明方法邏輯框圖。

【具體實(shí)施方式】
[0022]如圖1所示，本發(fā)明公開(kāi)一種6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)，采用分層設(shè)計(jì)，該系統(tǒng)整體架構(gòu)分為三層，分別為感知層，適配層和網(wǎng)絡(luò)層。
[0023]感知層從真實(shí)的傳感世界中采集相關(guān)數(shù)據(jù)并將數(shù)據(jù)傳送到適配層，適配層進(jìn)行報(bào)頭壓縮、MAC地址轉(zhuǎn)換、地址注冊(cè)等。網(wǎng)絡(luò)層進(jìn)行系統(tǒng)的性能管理，系統(tǒng)的狀態(tài)管理以及系統(tǒng)的安全管理。
[0024]本發(fā)明一個(gè)較佳的實(shí)施例如下:
[0025]感知層:若干主機(jī)節(jié)點(diǎn)H和若干個(gè)簇頭節(jié)點(diǎn)C形成一個(gè)簇，采集到的數(shù)據(jù)匯集到簇頭節(jié)點(diǎn)，簇頭節(jié)點(diǎn)通過(guò)邊界路由器B將數(shù)據(jù)傳遞到網(wǎng)絡(luò)管理器。IDS探測(cè)器(IDS_D)監(jiān)聽(tīng)6LoffPAN網(wǎng)絡(luò)的流量和網(wǎng)絡(luò)中的異常行為。
[0026]適配層:分為四個(gè)模塊，基本功能模塊，包頭壓縮模塊，Context模塊和地址注冊(cè)模塊。
[0027]網(wǎng)絡(luò)層:該部分為狀態(tài)管理模塊，性能模塊和安全模塊三個(gè)部分。
[0028]性能管理模塊:確保系統(tǒng)在任何時(shí)候都能得到最好的通信能力；性能管理模塊中設(shè)計(jì)一個(gè)信號(hào)監(jiān)測(cè)軟件，所述信號(hào)監(jiān)測(cè)軟件通過(guò)監(jiān)測(cè)信號(hào)的干擾水平，當(dāng)該干擾水平超過(guò)設(shè)定的閥值，信號(hào)監(jiān)測(cè)軟件通過(guò)信號(hào)變動(dòng)程序改變當(dāng)前工作信道到最好的可供信道上。
[0029]狀態(tài)管理模塊:提供網(wǎng)絡(luò)狀態(tài)的配置服務(wù)和網(wǎng)絡(luò)監(jiān)控；通過(guò)從性能管理模塊獲得的系統(tǒng)性能信息來(lái)監(jiān)控網(wǎng)絡(luò)干擾等級(jí)，網(wǎng)絡(luò)延遲和沖突等信息；在任意時(shí)刻提供網(wǎng)絡(luò)信息使得狀態(tài)管理和性能管理能夠相互操作。
[0030]安全管理模塊:提供網(wǎng)絡(luò)中加密等安全的機(jī)制，確保網(wǎng)絡(luò)層和適配層以及感知層件能夠進(jìn)行安全的通信以及在網(wǎng)絡(luò)受到DoS攻擊時(shí)應(yīng)該采取的響應(yīng)措施。分為三個(gè)部分設(shè)計(jì)。
[0031]DoS保護(hù)器:當(dāng)檢測(cè)到入侵發(fā)生時(shí)接收IDS傳來(lái)的警報(bào)，然后從狀態(tài)管理模塊中提取相關(guān)信息和分析所述信息來(lái)確認(rèn)是否發(fā)生真的攻擊，當(dāng)檢測(cè)到遭受DoS攻擊時(shí)接受安全管理模塊發(fā)出的安全措施；
[0032]IDS:通過(guò)IDS_D監(jiān)控6LoWPAN網(wǎng)絡(luò)流量和網(wǎng)絡(luò)中的非法行為，當(dāng)發(fā)生非法行為或者監(jiān)控到網(wǎng)絡(luò)流量異常時(shí)向DoS保護(hù)管理器發(fā)出警報(bào)；
[0033]IDS_D:將IDS探測(cè)器放在6LoWPAN網(wǎng)絡(luò)外部進(jìn)行操作，通過(guò)有線的方式接入IDS，不參與的網(wǎng)絡(luò)活動(dòng)，對(duì)網(wǎng)絡(luò)中的數(shù)據(jù)信息全部進(jìn)行監(jiān)聽(tīng)。
[0034]本發(fā)明提出一種專(zhuān)門(mén)針對(duì)6LoWPAN網(wǎng)絡(luò)中DoS檢測(cè)的系統(tǒng)。本發(fā)明將IDS部署在主機(jī)計(jì)算機(jī)上，能夠克服無(wú)線傳感網(wǎng)資源有限的難題，提供更多的能量用于檢測(cè)復(fù)雜的攻擊，IDS檢測(cè)器不參與直接的網(wǎng)絡(luò)活動(dòng)，只用來(lái)監(jiān)聽(tīng)網(wǎng)絡(luò)信息，降低了感知層設(shè)計(jì)的難度。
[0035]本發(fā)明專(zhuān)門(mén)為資源有限的6LoWPAN網(wǎng)絡(luò)設(shè)計(jì)，是一種輕量級(jí)DoS檢測(cè)系統(tǒng)。
[0036]提出了一種針對(duì)6LoWPAN網(wǎng)絡(luò)中的DoS檢測(cè)系統(tǒng)體系架構(gòu)。把該系統(tǒng)分為感知層，適配層和網(wǎng)絡(luò)層，感知層用6LoWPAN節(jié)點(diǎn)構(gòu)成，負(fù)責(zé)采集真實(shí)世界的傳感數(shù)據(jù)。適配層，分為四個(gè)模塊，基本模塊，包頭壓縮模塊，Context模塊，地址注冊(cè)模塊。網(wǎng)絡(luò)層分為三個(gè)模塊，性能管理模塊，狀態(tài)管理模塊，安全管理模塊，分別管理網(wǎng)絡(luò)的性能，網(wǎng)絡(luò)通信的狀態(tài)和網(wǎng)絡(luò)安全。
[0037]采用將入侵檢測(cè)系統(tǒng)運(yùn)行在主機(jī)上并通過(guò)有線的方式將IDS_D接入IDS中的方法。將IDS運(yùn)行單獨(dú)的主機(jī)計(jì)算機(jī)上，監(jiān)控6LoWPAN網(wǎng)絡(luò)，克服了無(wú)線傳感網(wǎng)絡(luò)資源限制的問(wèn)題，能夠提供更多的能量來(lái)檢測(cè)復(fù)雜的安全攻擊，使得探測(cè)器能夠像網(wǎng)卡等主機(jī)內(nèi)部的硬件接口一樣被識(shí)別，達(dá)到了 IDS和IDS_D對(duì)無(wú)線擁塞和其他DoS攻擊的免疫力。
[0038]以上所述僅為本發(fā)明的優(yōu)選實(shí)施例而已，并不用于限制本發(fā)明，盡管參照前述實(shí)施例對(duì)本發(fā)明進(jìn)行了詳細(xì)的說(shuō)明，對(duì)于本領(lǐng)域的技術(shù)人員來(lái)說(shuō)，其依然可以對(duì)前述各實(shí)施例所記載的技術(shù)發(fā)明進(jìn)行修改，或者對(duì)其中部分技術(shù)特征進(jìn)行等同替換。凡在本發(fā)明的精神和原則之內(nèi)，所作的任何修改、等同替換、改進(jìn)等，均應(yīng)包含在本發(fā)明的保護(hù)范圍之內(nèi)。
【權(quán)利要求】
1.一種6L0WPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)，其特征在于: 采用分層設(shè)計(jì)； 將所述系統(tǒng)分成感知層、適配層和網(wǎng)絡(luò)層； 感知層從真實(shí)的傳感世界中采集相關(guān)數(shù)據(jù)并將數(shù)據(jù)傳送到適配層，適配層進(jìn)行報(bào)頭壓縮、MAC地址轉(zhuǎn)換、地址注冊(cè)，網(wǎng)絡(luò)層進(jìn)行系統(tǒng)的性能管理、系統(tǒng)的狀態(tài)管理以及系統(tǒng)的安全管理。
2.根據(jù)權(quán)利要求1所述的6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)，其特征在于:所述感知層，包括若干主機(jī)節(jié)點(diǎn)、若干個(gè)簇頭節(jié)點(diǎn)、一個(gè)邊界路由器和若干個(gè)IDS探測(cè)器；若干主機(jī)節(jié)點(diǎn)H和一個(gè)簇頭節(jié)點(diǎn)C形成一個(gè)簇,將采集到的數(shù)據(jù)匯集到簇頭節(jié)點(diǎn),簇頭節(jié)點(diǎn)通過(guò)邊界路由器B將數(shù)據(jù)傳遞到網(wǎng)絡(luò)網(wǎng)絡(luò)層，IDS探測(cè)器監(jiān)聽(tīng)6LoWPAN網(wǎng)絡(luò)的流量和異常行為。
3.根據(jù)權(quán)利要求1所述的6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)，其特征在于:所述適配層，包括基本功能模塊、包頭壓縮模塊、Context模塊和地址注冊(cè)模塊。
4.根據(jù)權(quán)利要求1所述的6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)，其特征在于:所述網(wǎng)絡(luò)層，包括狀態(tài)管理模塊，性能管理模塊和安全管理模塊三個(gè)部分。
5.根據(jù)權(quán)利要求4所述的6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)，其特征在于:所述性能管理模塊，確保系統(tǒng)在任何時(shí)候都能得到最好的通信能力；所述性能管理模塊設(shè)置信號(hào)監(jiān)測(cè)軟件，所述信號(hào)監(jiān)測(cè)軟件通過(guò)監(jiān)測(cè)信號(hào)的干擾水平，當(dāng)該干擾水平超過(guò)設(shè)定的閥值，所述信號(hào)監(jiān)測(cè)軟件通過(guò)信號(hào)變動(dòng)程序改變當(dāng)前工作信道到最好的可供信道上，確保網(wǎng)絡(luò)工作在一個(gè)良好的信道上。
6.根據(jù)權(quán)利要求4所述的6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)，其特征在于:所述狀態(tài)管理模塊，提供網(wǎng)絡(luò)狀態(tài)的配置服務(wù)和網(wǎng)絡(luò)監(jiān)控；通過(guò)從所述性能管理模塊獲得的系統(tǒng)性能信息來(lái)監(jiān)控網(wǎng)絡(luò)干擾等級(jí)，網(wǎng)絡(luò)延遲和沖突等信息；在任意時(shí)刻提供網(wǎng)絡(luò)信息使得狀態(tài)管理和性能管理能夠相互操作。
7.根據(jù)權(quán)利要求4所述的6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)，其特征在于:所述安全管理模塊，提供網(wǎng)絡(luò)中加密等安全的機(jī)制，確保網(wǎng)絡(luò)層和適配層以及感知層件能夠進(jìn)行安全的通信以及在網(wǎng)絡(luò)受到DoS攻擊時(shí)應(yīng)該采取的響應(yīng)措施。
8.根據(jù)權(quán)利要求7所述的6LoWPAN傳感網(wǎng)絡(luò)的DoS檢測(cè)系統(tǒng)，其特征在于:所述安全管理模塊，包括DoS保護(hù)器、IDS和IDS_D ； DoS保護(hù)器:當(dāng)檢測(cè)到入侵發(fā)生時(shí)接收IDS傳來(lái)的警報(bào)，然后從狀態(tài)管理模塊中提取相關(guān)信息和分析所述信息來(lái)確認(rèn)是否發(fā)生真的攻擊，當(dāng)檢測(cè)到遭受DoS攻擊時(shí)接受安全管理模塊發(fā)出的安全措施； IDS:通過(guò)IDS_D監(jiān)控6LoWPAN網(wǎng)絡(luò)流量和網(wǎng)絡(luò)中的非法行為，當(dāng)發(fā)生非法行為或者監(jiān)控到網(wǎng)絡(luò)流量異常時(shí)向DoS保護(hù)管理器發(fā)出警報(bào)； IDS_D:將IDS探測(cè)器放在6LoWPAN網(wǎng)絡(luò)外部進(jìn)行操作，通過(guò)有線的方式接入IDS，不參與的網(wǎng)絡(luò)活動(dòng)，對(duì)網(wǎng)絡(luò)中的數(shù)據(jù)信息全部進(jìn)行監(jiān)聽(tīng)。
【文檔編號(hào)】H04L29/06GK104333534SQ201410477851
【公開(kāi)日】2015年2月4日 申請(qǐng)日期:2014年9月18日 優(yōu)先權(quán)日:2014年9月18日
【發(fā)明者】孫知信, 張志強(qiáng), 宮婧, 駱冰清 申請(qǐng)人:南京郵電大學(xué)