物聯(lián)網(wǎng)終端信道連續(xù)數(shù)據(jù)流脆弱點(diǎn)快速識(shí)別

于劉

（上海航空工業(yè)（集團(tuán)）有限公司，上海 201206）

物聯(lián)網(wǎng)[1]大力發(fā)展的同時(shí)，也在承受著來自非法訪問帶來的安全威脅，因此極易出現(xiàn)信息泄露的問題。非法訪問者圍繞脆弱點(diǎn)構(gòu)建隱蔽緩存信道，竊取用戶終端中存儲(chǔ)的敏感信息[2]以及往來機(jī)密信息，包括智能手機(jī)、電腦、電動(dòng)汽車等，對(duì)用戶信息安全造成了極大的威脅。面對(duì)這種情況，準(zhǔn)確識(shí)別出物聯(lián)網(wǎng)終端信道連續(xù)數(shù)據(jù)流脆弱點(diǎn)，對(duì)加強(qiáng)網(wǎng)絡(luò)防護(hù)，預(yù)防非法入侵和訪問具有重要的現(xiàn)實(shí)意義。

數(shù)據(jù)流脆弱點(diǎn)識(shí)別本質(zhì)上屬于入侵檢測的一種，即根據(jù)采集到的數(shù)據(jù)，挖掘數(shù)據(jù)特征，針對(duì)特征進(jìn)行分類識(shí)別，判斷終端節(jié)點(diǎn)是否為脆弱點(diǎn)。在數(shù)據(jù)流脆弱點(diǎn)識(shí)別過程中，相關(guān)學(xué)者提出了支持向量機(jī)識(shí)別方法[3]、神經(jīng)網(wǎng)絡(luò)識(shí)別方法[4]以及聚類分析識(shí)別方法[5]等。受到算法本身的限制，上述方法雖然能夠?qū)崿F(xiàn)脆弱點(diǎn)識(shí)別，但是由于物聯(lián)網(wǎng)終端信號(hào)數(shù)據(jù)流數(shù)據(jù)量大，識(shí)別速度很難跟上數(shù)據(jù)流產(chǎn)生速度，存在一定的延遲。為此，提出物聯(lián)網(wǎng)終端信道連續(xù)數(shù)據(jù)流脆弱點(diǎn)快速識(shí)別方法，以期為保證用戶信息安全提供可參考的防護(hù)方法，提高物聯(lián)網(wǎng)的安全性能。

1 連續(xù)數(shù)據(jù)流脆弱點(diǎn)快速識(shí)別

1.1 物聯(lián)網(wǎng)終端信道連續(xù)數(shù)據(jù)流捕捉

將數(shù)據(jù)流看作是物聯(lián)網(wǎng)終端狀態(tài)的一種隱性表征，根據(jù)數(shù)據(jù)流可以判斷物聯(lián)網(wǎng)終端節(jié)點(diǎn)當(dāng)下所處的狀態(tài)，以此識(shí)別是否存在異常。在脆弱點(diǎn)快速識(shí)別中，第一步是通過兩個(gè)子步驟獲取物聯(lián)網(wǎng)終端信道連續(xù)數(shù)據(jù)流，子步驟一是選擇要識(shí)別的物聯(lián)網(wǎng)區(qū)域[6]，然后明確物聯(lián)網(wǎng)拓?fù)浣Y(jié)構(gòu)和節(jié)點(diǎn)分布情況，在此基礎(chǔ)上構(gòu)建物聯(lián)網(wǎng)終端節(jié)點(diǎn)之間通信傳輸信道模型；子步驟二是使用SNMP 協(xié)議來實(shí)現(xiàn)數(shù)據(jù)流捕捉。具體捕捉過程如下：

步驟一：初始化參數(shù)。

步驟二：定期采集開始。

步驟三：判斷是否到達(dá)定時(shí)采集時(shí)間，若沒有，繼續(xù)采集；否則，進(jìn)行下一步。

步驟四：設(shè)置要采集的物聯(lián)網(wǎng)終端設(shè)備IP 地址和訪問團(tuán)體名。

步驟五：設(shè)置物聯(lián)網(wǎng)終端設(shè)備相應(yīng)接口當(dāng)前要讀取的MIB 變量的OID 值。

步驟六：構(gòu)造請(qǐng)求報(bào)文并發(fā)送。

步驟七：使用SNMP 協(xié)議取得當(dāng)前設(shè)備相應(yīng)接口某個(gè)MIB 的測量值。

步驟八：判斷是否完成物聯(lián)網(wǎng)終端信道連續(xù)數(shù)據(jù)流捕捉，若完成，存入數(shù)據(jù)庫；否則回到步驟五。

基于上述過程完成物聯(lián)網(wǎng)終端信道連續(xù)數(shù)據(jù)流捕捉。

1.2 連續(xù)數(shù)據(jù)流離散化處理

采用SNMP 協(xié)議捕捉到的物聯(lián)網(wǎng)終端信道連續(xù)數(shù)據(jù)流屬性具有很強(qiáng)的連續(xù)性，降低了后續(xù)分析的時(shí)空效率。面對(duì)這種情況，需要對(duì)物聯(lián)網(wǎng)終端信道連續(xù)數(shù)據(jù)流進(jìn)行離散化處理[7-8]，在不改變數(shù)據(jù)相對(duì)大小的條件下壓縮數(shù)據(jù)大小，具體流程如圖1 所示。

圖1 連續(xù)數(shù)據(jù)流離散化處理流程

經(jīng)過圖1 離散化處理過程，對(duì)物聯(lián)網(wǎng)終端信道連續(xù)數(shù)據(jù)流的離散化[9-10]，能夠有效降低數(shù)據(jù)流時(shí)間和空間的復(fù)雜度，方便后期的處理和運(yùn)算，從而提高脆弱點(diǎn)識(shí)別速度。

1.3 數(shù)據(jù)流特征提取

特征提取是脆弱點(diǎn)識(shí)別前最關(guān)鍵的一步。提取到的特征是對(duì)物聯(lián)網(wǎng)終端信道數(shù)據(jù)流的一種描述，一種特征只能描述一個(gè)方面，因此其包含的信息量有限。為保證脆弱點(diǎn)識(shí)別的準(zhǔn)確性，所提方法選取四類特征作為特征，分別為屬性信息熵、流入流出比、平均流長及單邊連接密度。

1）屬性信息熵

物聯(lián)網(wǎng)終端信道數(shù)據(jù)流中包括的屬性信息有很多，所提方法選擇源IP 地址、目的IP 地址、源端口和目的端口四種屬性計(jì)算其信息熵。通過信息熵可以了解到物聯(lián)網(wǎng)終端信道數(shù)據(jù)流的分布情況。該特征提取公式如下：

式中，H(ai) 為第i個(gè)特征屬性的信息熵[11-12]；ai(t)為一段時(shí)間內(nèi)第i個(gè)特征屬性出現(xiàn)的頻率；A(t)為一段時(shí)間內(nèi)第i個(gè)特征屬性出現(xiàn)的頻率和；n為特征屬性量；T為時(shí)間長度。

2）流入流出比

流入流出比是指一段時(shí)間內(nèi)流入和流出某終端信道的數(shù)據(jù)流數(shù)量之比，公式如下：

3）平均流長

平均流長是指數(shù)據(jù)流中包含的報(bào)文個(gè)數(shù)的平均值，提取公式如下：

式中，Cj(t)為一段時(shí)間內(nèi)終端信道j數(shù)據(jù)流的平均流長；cj(t)、分別為一段時(shí)間內(nèi)數(shù)據(jù)流流入、流出終端信道j的總報(bào)文數(shù)。

4）單邊連接密度

單邊連接密度是指物聯(lián)網(wǎng)中沒有建立正常通信連接的數(shù)據(jù)包數(shù)目mj(t)占總數(shù)據(jù)包數(shù)目Mj(t)的百分比。計(jì)算公式如下：

式中，Dj(t)為單邊連接密度。

不同特征之間的量綱不同[13-14]，無法進(jìn)行統(tǒng)一運(yùn)算，因此需要進(jìn)行歸一化處理，記為Y={H1,H2,H3,H4,B,C,D}。

1.4 基于SVM-ANN的脆弱點(diǎn)識(shí)別實(shí)現(xiàn)

基于上述的研究成果，以提取到的特征為輸入，結(jié)合支持向量（Support Vector Machine，SVM）和人工神經(jīng)網(wǎng)絡(luò)（Artificial Neural Network，ANN）[15]兩種算法識(shí)別物聯(lián)網(wǎng)終端脆弱點(diǎn)。利用前一種算法的二分類確定物聯(lián)網(wǎng)終端節(jié)點(diǎn)是否為脆弱點(diǎn)，利用后一種進(jìn)一步識(shí)別，確定節(jié)點(diǎn)的脆弱程度。

無論是SVM 還是ANN 都需要通過訓(xùn)練樣本進(jìn)行訓(xùn)練，訓(xùn)練后得到的第i種類別概率為：

式中，H()為點(diǎn)積運(yùn)算；xi為特征值，bi為期望輸出；vi為引入拉格朗日乘子。

由于SVM 是二分類[16]，因此通過兩類所占概率值(Q1,Q2)描述，Q1和Q2分別代表非脆弱點(diǎn)概率值（1,0）、脆弱點(diǎn)概率值（0,1），即哪個(gè)類別概率越接近1，SVM 就認(rèn)為所屬哪個(gè)類別。

在確定物聯(lián)網(wǎng)終端節(jié)點(diǎn)是否為脆弱點(diǎn)的基礎(chǔ)上，利用ANN 確定該點(diǎn)的脆弱程度。模型如下：

式中，wi代表連接權(quán)值；xi代表特征信息；r代表連接閾值。

由于脆弱性是一個(gè)狀態(tài)描述，同理上述，通過概率值量化結(jié)果如下：較脆弱（0,0,1），明顯脆弱（0,1,0），嚴(yán)重脆弱（1,0,0）。同上述，哪個(gè)類別概率越接近1，脆弱點(diǎn)就認(rèn)為所屬哪個(gè)脆弱等級(jí)。

2 算例分析

2.1 算例概況

以某一物聯(lián)網(wǎng)區(qū)域?yàn)槔搮^(qū)域中共有225 個(gè)終端節(jié)點(diǎn)，已知其中152 個(gè)為非脆弱點(diǎn)，其余73 個(gè)為脆弱點(diǎn)。73 個(gè)脆弱點(diǎn)中有35 個(gè)較脆弱點(diǎn)、23 個(gè)明顯脆弱點(diǎn)、15 個(gè)嚴(yán)重脆弱點(diǎn)。運(yùn)行10 min 后，利用SNMP 協(xié)議捕捉225 個(gè)終端節(jié)點(diǎn)信道連續(xù)數(shù)據(jù)流并進(jìn)行離散化，組成數(shù)據(jù)流樣本。

2.2 數(shù)據(jù)流特征提取

提取225 個(gè)終端節(jié)點(diǎn)信道連續(xù)數(shù)據(jù)流的四個(gè)屬性信息熵、流入流出比、平均流長及單邊連接密度并進(jìn)行歸一化處理。以其中10 個(gè)節(jié)點(diǎn)作為提取示例，結(jié)果如表1 所示。

表1 數(shù)據(jù)流特征及其歸一化結(jié)果示例

2.3 評(píng)價(jià)指標(biāo)

以識(shí)別質(zhì)量指數(shù)作為方法性能的評(píng)價(jià)指標(biāo)，識(shí)別質(zhì)量指數(shù)通過識(shí)別結(jié)果的混淆矩陣計(jì)算得出，計(jì)算公式如下：

式中，J為識(shí)別質(zhì)量指數(shù)；s為方法識(shí)別結(jié)果；s′為實(shí)際結(jié)果；IoU(s,s′)為s、s′的交并比；TP、FP、FN分別為真陽性、假陽性、假陰性。

另一個(gè)指標(biāo)是時(shí)間復(fù)雜度，時(shí)間復(fù)雜度越小，方法識(shí)別速度越快。

2.4 識(shí)別性能分析

利用所提方法以及三種對(duì)比方法（支持向量機(jī)識(shí)別方法、神經(jīng)網(wǎng)絡(luò)識(shí)別方法以及聚類分析識(shí)別方法）進(jìn)行脆弱點(diǎn)識(shí)別。根據(jù)識(shí)別結(jié)果和識(shí)別過程計(jì)算識(shí)別質(zhì)量指數(shù)和統(tǒng)計(jì)時(shí)間復(fù)雜度，結(jié)果如圖2、3所示。

圖2 識(shí)別質(zhì)量指數(shù)對(duì)比圖

從圖2 和圖3 中可以看出，所提方法的識(shí)別質(zhì)量指數(shù)要大于、時(shí)間復(fù)雜度要小于支持向量機(jī)識(shí)別方法、神經(jīng)網(wǎng)絡(luò)識(shí)別方法以及聚類分析識(shí)別方法的應(yīng)用結(jié)果，由此說明所提方法的識(shí)別準(zhǔn)確性更高，速度更快。

圖3 時(shí)間復(fù)雜度對(duì)比圖

3 結(jié)束語

受物聯(lián)網(wǎng)終端本身以及通信環(huán)境的限制，很多終端節(jié)點(diǎn)是脆弱點(diǎn)，很容易被攻擊，成為入侵的切入口。在該背景下，提出物聯(lián)網(wǎng)終端信道連續(xù)數(shù)據(jù)流脆弱點(diǎn)快速識(shí)別方法。通過對(duì)數(shù)據(jù)流的分析提取其特征，利用綜合算法識(shí)別連續(xù)數(shù)據(jù)流脆弱點(diǎn)。對(duì)所提方法進(jìn)行驗(yàn)證，通過計(jì)算識(shí)別結(jié)果的識(shí)別質(zhì)量指數(shù)和時(shí)間復(fù)雜度驗(yàn)證了方法的有效性，證明了所提方法具有較高的脆弱點(diǎn)識(shí)別性能。