[发明专利]一种基于流量预测的双层触发入侵检测方法

权利要求书

1.一种基于流量预测的双层触发入侵检测方法，其特征在于：其中无线传感器网络中传感器节点被监测节点分为几个区域，同一监测节点的探测半径内的节点属于同一个区域，整个网络由以下4个元素组成：

普通节点：sensor节点，内置入本地入侵检测系统；

汇聚节点：sink节点，负责收集由普通节点传来的各种数据信息，内含区域节点列表，该表存储了不同监测节点能覆盖的所有普通节点和汇聚节点信息；置入本地入侵检测系统；

监测节点：监测节点有很高的能量和本地存储空间，主要负责收集网络中的数据流量信息；

基站：收集从汇聚节点和监测节点传来的各种信息，置入第一层入侵检测系统，能够分析数据、控制网络；

具体包括以下步骤：

数据采集步骤：监测节点将周期性的采集网络中的数据流量信息并传输给基站；

数据分析步骤：基站收到监测节点发送的信息后根据ARIMA模型对该监测节点的历史数据进行流量预测；

触发判断步骤：基站在流量预测值与真实值相差超出预定阀值时向汇聚节点发送异常警报，异常区域开始启用本地入侵检测系统；

启用本地入侵检测模型步骤：当汇聚节点接收到异常警报时，警报中异常出现区域的汇聚节点和普通节点将启动第二层入侵检测模型，即本地入侵监测模型；

其中数据采集步骤和数据分析步骤属于第一层模型；触发判断步骤为一二层模型之间的转化条件；本地入侵检测模型则为第二层模型。

2.如权利要求1所述的一种基于流量预测的双层触发入侵检测方法，其特征在于：所述的根据ARIMA模型对该监测节点的历史数据进行流量预测采用以下步骤：

1)对历史数据进行平稳化处理，平稳化为非白噪声序列；

2)求出所述序列的样本自相关系数和样本偏自相关系数的值；

3)根据样本自相关系数和偏自相关系数的性质，选择阶数适当的模型，进行模型拟合；

4)估计模型中未知参数的值；

5)检验模型的有效性，如果拟合模型通不过检验，转向上述步骤3)，重新选择模型进行判断；

6)建立多个拟合模型，从所有通过检验的模型中选择最优模型；

7)利用所述的最优模型，预测序列的将来走势。

3.如权利要求1或2所述的一种基于流量预测的双层触发入侵检测方法，其特征在于：其中本地入侵检测模型采用以下方法进行入侵检测：

1)汇聚节点接收到基站传来的异常警报后，读取警报数据包中记录的监测节点信息，遍历自己的区域节点列表，更新异常警报数据包中的源节点地址为自己，目的节点地址为区域节点列表中该监测节点所能探测到的全体节点，并向该区域内汇聚节点和普通节点多播更新后的异常警报；

2)区域内节点接收到传给自己的异常警报后将在异常警报活动列表中记录监测节点信息并激活本地入侵检测进行检测活动，若发现区域内的异常节点则全网通报进行异常处理；

3)若在本地入侵检测运行连续时间T内没有再发现网络内异常，该节点将向汇聚节点发送停用本地入侵检测申请，申请包中记录本节点异常警报活动列表中的监测节点信息；

4)汇聚节点接收到停用申请，按照不同的监测节点信息对其进行分类记录，在时间t内，汇聚节点累计收到同一区域内全部节点的停用申请时，将向该区域广播结束这次异常警报；

5)区域内节点接收到结束异常警报命令后，在自己的异常警报活动列表中删除相关监测节点信息，此时扫描节点异常活动列表，若异常活动列表为空，则关闭该节点的本地入侵检测模型；若异常活动列表中还存在其他监测节点，本地入侵检测将继续运行，直至该节点异常活动列表为空为止。