[发明专利]一种移动网络恶意节点检测方法及系统

权利要求书

1.一种移动网络恶意节点检测方法，其特征在于，包括：

获取移动网络中正常状态观测数据；

构建正常节点网络行为模型；所述正常节点网络行为模型是基于隐马尔可夫模型构建的；

依据所述正常状态观测数据计算所述正常节点网络行为模型的或然概率；

构建所述移动网络中每个节点的属性样本向量；

依据所述或然概率和所述属性样本向量，采用多元分类算法生成节点分类器；

采用所述节点分类器，确定待检测节点的节点状态；所述节点状态包括恶意节点状态和正常节点状态；

所述构建正常节点网络行为模型，具体包括：

计算所述移动网络中每个分布状态的持续时间

其中，p_m(d)表示状态m的持续时间，q_t表示t时刻的状态，τ_t表示q_t状态即将持续的次数，D表示状态驻留的最大次数，D＝d，a_mn表示由状态m转移到状态n的概率，m＝1,2...M，n＝1,2...M，A表示马尔可夫链转移矩阵；

依据所述持续时间构建正常节点网络行为模型

其中，λ表示正常节点网络行为模型，P表示状态驻留概率矩阵，B表示状态输出概率矩阵，π表示初始状态概率矩阵；

所述或然概率具体为：

其中，α_t(m,d)表示或然概率，表示从时刻1到时刻t的正常状态观测数据；

所述依据所述或然概率和所述属性样本向量，采用多元分类算法生成节点分类器，具体包括：

构建节点类型判别函数

其中，表示节点属性的样本空间，L表示f个已标记的节点，U表示(N-f)个未标记的节点，C_i∈{1,2,...,k}，C_i表示恶意节点的类型，X^t表示已标记的恶意节点的属性样本向量，x表示某个节点的属性样本向量，i表示节点h生成的随机数，h_i表示生成随机数是i的节点h的属性样本向量，(x-h_i)表示类的最大似然；

由所述节点类型判别函数生成节点分类器

其中，X^r表示U中未标记节点的属性样本向量；

构建所述移动网络中每个节点的属性样本向量，具体包括：

假设，D″代表移动网络节点，该节点拥有最大邻居节点数量(A′,C,E,G)，n_max＝4代表网络中最大邻居节点数量，对于节点A′相关的属性可以如下定义：

假设，由R_r代表该节点成功发送率、R_f代表该节点的转发率、N_I代表向某节点成功发送数据包的节点个数与节点最大邻居节点数的比值、T_D代表节点的平均传输时延比；在统计时间段t₁至t₂内，对于节点A′可得到一个X＝[R_r,R_f,N_I,T_D]代表的属性向量，对于一个包含N个节点的移动网络，已知n个节点的类型，其中包括恶意节点，针对具体的恶意节点节点属性，以上式获取的α_t(m,d)为依据，利用下式对每个节点建立一个属性样本向量：

2.一种移动网络恶意节点检测系统，其特征在于，包括：

数据获取模块，用于获取移动网络中正常状态观测数据；

模型构建模块，用于构建正常节点网络行为模型；所述正常节点网络行为模型是基于隐马尔可夫模型构建的；

或然概率计算模块，用于依据所述正常状态观测数据计算所述正常节点网络行为模型的或然概率；

样本向量构建模块，用于构建所述移动网络中每个节点的属性样本向量；

节点分类器生成模块，用于依据所述或然概率和所述属性样本向量，采用多元分类算法生成节点分类器；

节点检测模块，用于采用所述节点分类器，确定待检测节点的节点状态；所述节点状态包括恶意节点状态和正常节点状态；

所述模型构建模块，具体包括：

持续时间计算单元，用于计算所述移动网络中每个分布状态的持续时间

其中，p_m(d)表示状态m的持续时间，q_t表示t时刻的状态，τ_t表示q_t状态即将持续的次数，D表示状态驻留的最大次数，D＝d，a_mn表示由状态m转移到状态n的概率，m＝1,2...M，n＝1,2...M，A表示马尔可夫链转移矩阵；

行为模型构建单元，用于依据所述持续时间构建正常节点网络行为模型

其中，λ表示正常节点网络行为模型，P表示状态驻留概率矩阵，B表示状态输出概率矩阵，π表示初始状态概率矩阵；

所述或然概率具体为：

其中，α_t(m,d)表示或然概率，表示从时刻1到时刻t的正常状态观测数据；

所述节点分类器生成模块，具体包括：

判别函数构建单元，用于构建节点类型判别函数

其中，表示节点属性的样本空间，L表示f个已标记的节点，U表示(N-f)个未标记的节点，C_i∈{1,2,...,k}，C_i表示恶意节点的类型，X^t表示已标记的恶意节点的属性样本向量，x表示某个节点的属性样本向量，i表示节点h生成的随机数，h_i表示生成随机数是i的节点h的属性样本向量，(x-h_i)表示类的最大似然；

分类器生成单元，用于由所述节点类型判别函数生成节点分类器

其中，X^r表示U中未标记节点的属性样本向量；

构建所述移动网络中每个节点的属性样本向量，具体包括：

假设，D″代表移动网络节点，该节点拥有最大邻居节点数量(A′,C,E,G)，n_max＝4代表网络中最大邻居节点数量，对于节点A′相关的属性可以如下定义：

假设，由R_r代表该节点成功发送率、R_f代表该节点的转发率、N_I代表向某节点成功发送数据包的节点个数与节点最大邻居节点数的比值、T_D代表节点的平均传输时延比；在统计时间段t₁至t₂内，对于节点A′可得到一个X＝[R_r,R_f,N_I,T_D]代表的属性向量，对于一个包含N个节点的移动网络，已知n个节点的类型，其中包括恶意节点，针对具体的恶意节点节点属性，以上式获取的α_t(m,d)为依据，利用下式对每个节点建立一个属性样本向量：