[发明专利]基于数据挖掘的无线Mesh网络入侵的检测方法

权利要求书

1.一种基于数据挖掘、用于Mesh网络针对路由查询报文RREQ洪泛攻击的入侵检测方法，其特征在于，包括下列操作步骤：

(1)检测节点将接收到的Mesh网络中的所有RREQ报文，按照源节点的标识ID对其在设定时间内接收的全部RREQ报文进行归类和计数；

(2)检测节点根据其对Mesh网络中的正常节点和恶意节点的两者数量的获知或估计，分别选取两个可调节的检测参数K和cut_off，其中，检测参数K的数值选取范围为[m，n)，式中，m为估计的恶意节点最大数量，n为正常节点的数量；检测参数cut_off用于保证该检测方法的错误发生率为最小；

(3)检测节点按照下述两个步骤分别计算每个节点的K-距离函数值：

选取：遍历除去每个节点自身以外的所有节点，从中选择与该节点自身发送RREQ报文数量最接近的K个节点；K为步骤(2)的检测参数；

计算：分别计算每个节点发送RREQ报文数量与该节点自身发送RREQ报文数量之差的绝对值，再将该K个绝对值的累加之和除以K得到的商，作为每个节点的K-距离函数值；

(4)检测节点分别将每个节点的K-距离函数值与步骤(3)的cut_off数值进行比较，将其中K-距离函数值大于cut_off数值的节点判定为恶意节点；

(5)检测节点将所记录的每个节点已经发送的RREQ报文数清零。

2.根据权利要求1所述的方法，其特征在于：所述检测节点是在该Mesh网络中能够接收到RREQ报文和对所收到的RREQ报文进行入侵检测，并能根据检测结果启动检测响应机制的节点；所述检测响应机制是指为抵御恶意节点的攻击行为而由网络管理人员采取的相应技术措施。

3.根据权利要求1所述的方法，其特征在于：所述源节点的标识ID是在Mesh网络中用于唯一地标识各个节点的信息，拥有ID信息的每个节点发出的报文都是归属源节点ID的报文。

4.根据权利要求1所述的方法，其特征在于：所述步骤(1)进一步包括下列两个操作内容：

(11)检测节点对其在设定时间接收到的所有RREQ报文提取每个RREQ报文的源节点ID，执行归类操作；

(12)检测节点根据所获取的每个源节点ID，分别查找该源节点是否已经发送过RREQ报文；如果已经发送过，则在其已发送的RREQ报文数加1，如果没有发送过，则将其已发送RREQ报文数设置为1；执行计数操作。

5.根据权利要求1所述的方法，其特征在于：所述步骤(1)中的设定时间是根据网络实际情况选择的：网络工作比较正常时，该设定时间的时长会较长，而网络故障比较多时，该设定时间的时长会较短。

6.根据权利要求1所述的方法，其特征在于：所述步骤(2)中，估计的恶意节点最大数m为不大于5的自然数。

7.根据权利要求1所述的方法，其特征在于：所述步骤(2)中，检测参数cut_off的计算过程如下：根据贝叶斯决策，错误平均发生率的计算公式为：式中，p(x)为先验概率，p(e|x)为由贝叶斯公式求出的误判的后验概率，即计算p(e|x)需要获知恶意节点w₁的先验概率p(w_i)及其条件概率p(x|w_i)；而在Mesh网络中只有两类节点：恶意节点w₁和正常节点w₂，只有当恶意节点w₁的漏警率和虚警率两者相等时，才能得到最小错误发生率R^*；

因p(w_i)为经验值或实验值，无法通过理论分析给出，假设初始的恶意节点w₁和正常节点w₂的先验概率都为平均分布：且p(w₁)+p(w₂)＝1，式中，m为估计的恶意节点最大数量，n为正常节点的数量，N是所有节点数，即N＝m+n；条件概率p(x|w_i)取决于检测算法，在步骤(2)选择的K值时，可得到：和故由贝叶斯公式得到的后验概率为：p(wi|x)=p(x|wi)p(wi)Σj=12p(x|wj)p(wj);]]>

因有漏警和虚警两种误判情况，其中漏警概率p(e₁，x＜cut_off)的定义为：p(e₁，x＜cut_off)＝p(w₁|x＜cut_off)×p(x＜out_off)，虚警概率p(e₂，x＞cut_off)的定义为：p(e₂，x＞cut_off)＝p(w₂|x＞cut_off)×p(x＞cut_off)；当漏警概率与虚警概率相等时得到的R^*，即使得等式p(e₁，x＜cut_off)＝p(e₂，x＞cut_off)成立的cut_off数值为应该选择的cut_off值。