[发明专利]一种基于FP‑outlier挖掘的P2P恶意节点检测方法

说明书

技术领域

本发明属于对等网络(P2P网络)安全领域，具体的说是一种基于频繁模式离群点(FP-outlier)挖掘的P2P网络中恶意节点检测方法。

背景技术

诸如文件污染、僵尸网络、共谋攻击等恶意节点对P2P网络的攻击严重影响了网络的性能和发展，有效检测恶意节点并抑制其攻击成为了现阶段研究的热点。现有研究通常采用信任机制来增强P2P网络的可靠性和安全性，节点的信任值通常综合反馈信息和推荐信息得到，虽然信任机制能在一定程度上减少恶意行为的影响，但往往依赖于反馈信息和推荐信息，当反馈节点或推荐节点不提供或提供虚假信息时难以应对。

发明内容

本发明的目的是不依赖于节点的反馈信息，而根据节点交互产生的数据来构建一种具有较高应用价值的、简单易行的恶意节点检测方法。

本发明根据P2P网络中节点之间的交互数据，为节点构建行为模式，采用频繁模式挖掘的方法提取P2P子网内的局部频繁行为模式，再通过超节点之间局部频繁模式的增量传播与聚合更新各个超节点保存的全局频繁行为模式，最后综合局部与全局频繁行为模式计算节点的离群因子，将离群因子高于均值的节点检测为恶意节点。

一种基于FP-outlier挖掘的P2P恶意节点检测方法，技术方案如下：

(1)节点行为模式建模

1)超节点SN(Super Node)以T为周期，SN为其子网内成员节点构建行为模式。P2P节点的行为模式是由节点的交互数据导出的键值对有序集合，是对节点行为方式的量化，记为BP(Behavior Pattern)。对于节点i，其行为模式记为BP_i，其中，I＝{I₁,I₂,…,I_s}为反映P2P节点交互行为特征的s个关键项，由用户根据具体网络和侧重点自行设置。为节点i在项I_j上的值。

超节点保存时间窗τ内所在子网成员节点的BP数据，τ＝{T₁,T₂,…,T_m}，m为时间窗τ内的周期数；SN上保存的BP数据称为其所在子网的局部数据库，记为D_SN，其中，T₁～T_m为τ内的连续周期，为SN所在子网中成员节点在T_x周期的BP集；

在每一周期结束后，根据需求，剔除超节点中保存的节点之间的交互的原始数据中的不完整数据和格式错误数据，保证分析数据的有效性和完整性；超节点计算各个成员节点在相关属性列上的取值，得到该周期的局部数据为

其中，n为P2P子网中包含的节点数，为在T_x周期时节点i在I_j上的取值；

2)局部数据的归一化：设的任一属性列上的值域范围为Range[min,max]，其中min和max分别为属性列上可能出现的最小值和最大值，将值域等分为若干个区间，表示取值的大小特征，令z为期望划分的区间数，d＝(max-min)/z为每一值域区间的长度，Range进而划分为[min,min+d)，[min+d,min+2d)，…，[min+(m-1)d,max]的m个区间；在划分好区间后对各取值区间进行整数编码，同时将中的取值更新为所属值域区间的编码，更新为如下形式：

其中,为在T_x周期节点i在I_j上取值的所属区间编码,1≤j≤s，1≤i≤n。

(2)局部频繁行为模式挖掘

运用数据挖掘领域现有的频繁模式挖掘算法挖掘P2P子网的局部频繁行为模式，求得最为频繁的前k个频繁模式。

以时间窗为单位进行局部频繁模式挖掘，生成时间窗τ内各个周期的D_SN后，由超节点计算子网内各个节点在时间窗τ内行为模式的平均值，节点i在时间窗τ内行为模式的平均值记为得到D_SN在时间窗τ内的平均数据，用表示：

其中，为时间窗τ内节点i在I_j上取值所属区间编号的均值，(m为时间窗τ内的周期数)。

BP_i的任意非空子集均为节点i所符合的行为模式，BP的长度为其中包含的项数，记为||BP||，在频繁模式挖掘中，长度为L的模式称为L-项集。