無線傳感網絡中的自適應入侵檢測算法

蘇 明

（北京開放大學，北京 100081）

0 引言

無線傳感網絡（wireless sensor networks, WSNs）已在多個領域內廣泛使用[1-2]，如智能家居、智能電網等。WSNs 中的傳感節點，能夠感知應用環境中的異常事情，因此可以利用節點的感知能力，來檢測異常事情，例如在智能家居的安防中，可以用紅外傳感節點感知異常物體入侵。

現存的多數入侵檢測算法都依賴數據挖掘算法[3-5]。盡管它們在入侵檢測方面有較好的性能，但是基于傳感網絡的監測系統，仍容易遭受網絡攻擊。因此，有效的入侵檢測系統（intrusion detection system, IDS）非常關鍵，通過IDS 可以避免數據受已知和未知攻擊。

通過檢測異常活動，提高網絡安全[6]是部署IDS 的根本目的。計算智能，包括機器學習、模糊邏輯、人工神經網絡等均是識別網絡流量中異常活動的有效策略。IDS 就是通過二值分類，區分正常行為和入侵行為。

文獻[7]通過實時自適應模型產生（adaptive model generation, AMG）結構，實施基于數據挖掘的IDS 系統。文獻[8]對基于異常的IDS 進行分析，提出基于博弈理論的入侵檢測系統。

為此，本文針對基于WSNs 應用的環境監測系統，分析了在感測數據融合階段的已知和未知的入侵行為，然后提出自適應的入侵檢測（adaptive intrusion detection, AID）系統。

在 AID 中，利用2 類機器學習子系統對數據進行處理：①誤用檢測子系統（misuse detection Subsystem, MDS）；②異常檢測子系統（anomaly detection subsystem, ADS）。MDS 能夠有效地檢測已知攻擊，ADS 能夠檢測未知攻擊。所謂已知攻擊是系統已掌握了攻擊特點的攻擊；未知攻擊是指系統對攻擊特點并不了解的攻擊。

MDS 通過隨機森林分類器檢測已知攻擊。它先通過訓練數據，獲取攻擊模型，然后利用未來感測流量，識別入侵行為。而 ADS 是通過優化的DBSCAN 分類器，來檢測未知攻擊：先依據訓練數據獲取正常模型（非攻擊模型），再利用模型識別未知攻擊。

實施入侵檢測的關鍵在于，如何決定子系統的融合數據流，例如文獻[9]提出簇結構的混合入侵檢測系統（clustered hierarchical hybrid-intrusion detection system, CHH-IDS），CHH-IDS 就是通過分析數據流對入侵檢測準確率的影響，達到提高準確地檢測入侵。本文提出的 AID 系統，可以連續地跟蹤每個子系統的接收操作特征（receiver operating characteristics, ROC），再結合ROC 的獎懲機制，自動調整給每個子系統轉發的融合數據比例來完成入侵檢測。

1 預備知識

1.1 基于權重函數的簇結構

引用簇化的網絡結構。假定網絡有N個簇，每個簇由c個傳感節點。在每個簇內，簇頭（cluster head,CH）負責融合簇內傳感節點所轉發的數據。一旦融合完畢，CH 就將數據轉發至中心服務器，如圖1 所示。

圖1 系統模型

AID 系統引用基于權重的簇頭產生機制[10]，給每個節點定義 1 個簇頭權重，具有最低權重的節點成為簇頭。具體而言，令iW表示傳感節點si的權重，其定義為

1.2 數據融合

每個簇頭融合其簇內傳感節點的數據，然后將融合的數據傳輸至信宿。AID 系統引用文獻[11]的數據融合算法。通過計算融合節點的信任值，其定義為

式中：Tagg為融合節點的信任值；Ti為si的信任值；為融合節點與節點si間的信任值；N為簇內的傳感節點數。

2 AID 系統

AID 系統旨在跟蹤 MDS 和 ADS 子系統中ROC 的變化，并調整向它們轉發感測數據的比例[12]。引用真假率評估ADS 和MDS 檢測入侵的性能，即：

單一時刻點的真假率并不能準確地反映 AID和MDS 系統的檢測入侵性能。為此，利用一段時間Δt觀察真假率。AID 和 MDS 系統在Δt時間內的的真假率的計算方法為：

用真假率表述系統的 ROC。為了能準確地跟蹤真假率的變化情況，下1 個時刻的真假率包含當前時刻的真假率和時間段Δt內的真假率。AID 系統和 MDS 系統在時刻ti+1的真假率的計算方法為：

除了每個子系統的ROC 行為，AID 系統跟蹤2 個子系統（ADS 和 MDS）在任意時刻ti的平均ROC，即

對于任意時刻ti，如果則表明ADS 子系統優先MDS 子系統，就增加向ADS 轉發感測數據的比例。相反，如果MDS子系統優先 ADS 子系統，就增加向 MDS 轉發感測數據的比例。

圖2 AID 系統流程

3 實驗與結果分析

為了更好地分析AID 系統，引用NS3 仿真器建立仿真平臺。在100 m×100 m 區域部署20 個傳感節點，將這些傳感節點分成4 個簇。引用層次-動態源路由（hierarchical-dynamic source routing,HDSR）協議完成節點間通信。

引用數據挖掘的知識發現（ knowledge discovery in data mining, KDD）CUP 1999 數據庫，通過KDD CUP 1999 數據庫評估AID 系統檢測性能。并考慮4 類攻擊：否認服務（denial of service,DoS）、端口（probe）攻擊、遠程用戶攻擊（remoteto-login, R2L）、提權（user-to-root, U2R）攻擊。具體的仿真參數如表1 所示。

表1 仿真參數

3.1 準確率

準確率AR 表示分類的準確性，其定義為

式中：NTP表示將非入侵事件正確判斷為非入侵事件的個數；NTN表示入侵事件正確判斷為入侵事件的個數；NFP表示將非入侵事件錯誤判斷為入侵事件的個數；NFN表示將入侵事件錯誤判斷為非入侵事件的個數。

圖 3 顯示了 AR 隨入侵率的變化情況，且ΔR=0.25。

圖3 準確率隨入侵率的變化情況

從圖3 可知，AR 隨入侵率的增加而下降。原因在于，入侵率越高，入侵者越多，檢測難度越高，降低了準確率。相比于 CHH-IDS，AID 系統提高了準確率，AID 系統的準確率達到99 %以上。

3.2 檢測率

AID 系統的檢測率（detection rate, DR），反映了正確地檢測入侵事件的概率，其定義為

圖4 顯示了DR 隨入侵率的變化情況。

圖4 檢測率隨入侵率的變化情況

從圖4 可知，入侵率的增加，降低了DR。但當入侵率為50 %，AID 系統的DR 仍達到95 %，遠高于CHH-IDS。例如，當入侵率為40 %，AID 系統的DR 為 96 %，而 CHH-IDS 系統的 DR 只達到 88%。

3.3 TP 性能

圖5 顯示了TP 隨FP 的變化曲線，其反映了ROC 特性。從圖 5 可知：當ΔR= 0時，TP 最低；而當時，TP 最高，即當ΔR=0. 25 時，能夠獲取最優的ROC 特性。

圖 5 TP 隨 FP 的變化情況

3.4 精確率曲線

精確率曲線反映了查準率（precision）隨查全率（recall）的變化過程。其中查全率等于而查準率等于精確率越高（趨于1），性能越好。

圖6 顯示了ΔR值變化時的精確率曲線。

圖6 精確率曲線

4 結束語

針對重要網絡基礎設施的監測問題，提出自適應檢測AID 系統。AID 系統以簇化的WSNs 結構為基礎，通過跟蹤ROC 特征，調整轉發至MDS 和ADS 2 個子系統的數據的比例，進而優化系統。仿真數據表明，提出的 AID 系統能有效地提高了入侵檢測率，其準確率可達到99 %。