基于决策树和自相似模型结合的物联网入侵检测方法技术

本发明专利技术公开了一种基于决策树和自相似模型结合的物联网入侵检测方法，包括：S1、选定合适的数据集；S2、生成决策树，首先创建一棵树，根节点包含所有的样本属性信息，采用最小损失函数策略，逐步深入决策树；使用同样的方法，生成K棵这样的决策树；S3、使用步骤S2生成的决策树，对步骤S1准备好的测试集进行分析处理，从而判断物联网当前状态的入侵状况；S4、建立当前状态和同一时期历史状态物联网数据的直方图，利用自相似理论设定合适的数学模型，判断当前物联网数据是否存在异常现象。本发明专利技术主要结合了决策树算法和自相似模型，避免使用单独一种检测方法而未能检测隐藏的入侵行为，使得对物联网的入侵检测更加全面和准确。

Intrusion Detection Method for Internet of Things Based on Decision Tree and Self-Similarity Model

【技术实现步骤摘要】
基于决策树和自相似模型结合的物联网入侵检测方法
本专利技术涉及物联网安全的
，特别涉及一种基于决策树和自相似模型结合的物联网入侵检测方法。
技术介绍
处信息化时代，可以感受到近年来互联网和信息技术飞速发展，物联网作为新一代信息技术的重要组成部分，在计算机和互联网之后，它被称为世界信息产业发展的第三次浪潮。物联网因为具有低功耗，易部署，节点设备多等优势，导致物联网产业规模的不断扩大，数以亿计的设备接入物联网。飞速发展的物联网产业和安全问题的矛盾越来越严重。物联网存在设备多，分布广，因而物联网更加容易遭到频繁的攻击,物联网节点自身处理能力很差，一旦出现安全问题将难以控制，而且极易在节点之间相互干扰，造成连锁反应，从而制造巨大的危害。因此，物联网的入侵检测尤为重要。入侵检测作为一种主动的网络安全防范技术，是维护网络安全的一种重要手段。在1984年DerpethyDenning首次提出入侵检测这一概念之后，1984年-1986年乔治敦大学Dorothy等人提出了第一个入侵检测的模型。然而随着网络环境和攻击手段的不断复杂化，传统的入侵检测技术已经慢慢过世了，无法满足目前的安全需求。近年来入侵检测技术随着攻击者入侵技术的不断更新，也在朝着更加完善的方向发展。目前已有很多比较成熟的入侵检测技术投入到实际应用中。机器学习作为目前研究的热点话题，也被应用到入侵检测上。现有的入侵检测方法基本都是对当前状态下的网络信息进行分析检测，未将网络当前状态和同期历史状态进行对比，从而导致未能检测到部分隐藏的入侵行为。
技术实现思路
本专利技术的主要目的在于克服现有技术的缺点与不足，提供一种基于决策树和自相似模型结合的物联网入侵检测方法，从而更加精确的检测物联网的安全状况。为了达到上述目的，本专利技术采用以下技术方案：本专利技术基于决策树和自相似模型结合的物联网入侵检测方法，包括下述步骤：S1、选定数据集，为决策树算法生成决策树提供数据来源；S2、生成决策树，首先创建一棵树，根节点包含所有的样本属性信息，采用基最小损失函数策略，逐步深入决策树，一步步选择最优的划分属性，直到叶子节点；使用同样的方法，生成K棵这样的决策树，最后将所有的子树结合起来形成一棵完整的决策树；S3、使用步骤S2生成的决策树，对步骤S1准备好的测试集进行分析处理，从而判断物联网当前状态的入侵状况；S4、建立当前状态和同一时期历史状态物联网数据的直方图，利用自相似理论设定合适的数学模型，计算出当前状态和同一时期历史状态的物联网数据的形似度，再根据相应的阈值，判断当前物联网数据是否存在异常现象。作为优选的技术方案，步骤S1中，所述数据集以CICIDS2017数据集为基础，并基于OPNET仿真扩充温度数据。作为优选的技术方案，步骤S2中，采用的决策树算法CART树，生成CART决策树的流程是：S21、建立根节点,包含所有数据集中所有的特征；S22、对数据集中的每一个特征执行该特征上的一个划分，计算划分的损失函数值；S23、选择损失函数最小的特征进行分割；S24、根据该分割特征将当前数据集切分成两个子集；S25、对上步切出的两个子集分别递归调用S22-S24；S36、生成CART决策树。作为优选的技术方案，步骤S3中，通过决策树分析数据集，根据叶子节点对应的数值来判断是否存在入侵，如果叶子节点对应的数是0代表正常，1代表入侵。作为优选的技术方案，步骤S4中，所述计算出当前状态和同一时期历史状态的物联网数据的相似度，具体为：对模型建立物联网当前数据直方图H1，与历史数据直方图H2进行相似度对比，首先要设计选择一个对比标准J(bs,bt)如下:其中bs,bt分别代表数据集中某一属性值直方图，i表示直方图中第i个bin，m代表直方图bin的个数，将所有的属性的相似度累加得到整体相似度：其中n代表第n个属性，N代表数据集中属性个数。作为优选的技术方案，步骤S4中，通过计算整体相似度D(H1,H2)的值，判断是否处于正常范围来判断物联网是否存在异常，通过对实验数据的分析，设定正常的情况下整体相似度D(H1,H2)的范围为0.69000—1.00000，当测得的D(H1,H2)值低于此范围，则可以判断出网络存在异常。作为优选的技术方案，当存在网络异常的情况时：当整体相似度D(H1,H2)的范围为0.34854-0.49763，则表明为蠕虫病毒攻击；当整体相似度D(H1,H2)的范围为0.11533-0.30986，则表明为DDos攻击；当整体相似度D(H1,H2)的范围为0.03452-0.08931，则表明为能源耗尽攻击。本专利技术与现有技术相比，具有如下优点和有益效果：1、本专利技术的决策树算法能够快速准确的检测出物联网当前状态下的入侵状况。相比较旧有系统无法适用于复杂的物联网环境，此系统能综合分析物联网物理层，感知层和网络层三个层次的数据信息，从而能够真正的检测出复杂的物联网环境的入侵状况。2、本专利技术的入侵检测系统基于较为先进决策树和自相似理论设计、开发得来，能更好的适应实际物联网安全状况的分析和监控，相比较旧有的入侵检测系统，它能更加全面、准确的发现物联网中的异常状况。其相似模型对物联网的一般常态深层次本质反应，能够快速检测物联网的异常现象、从而及时做出报警。附图说明图1是本专利技术物联网入侵检测系统的结构框图；图2是本专利技术生CRAT的算法流程图。具体实施方式下面结合实施例及附图对本专利技术作进一步详细的描述，但本专利技术的实施方式不限于此。实施例如图1所示，本实施例基于决策树和自相似理论设计物联网入侵检测方法，根据该实施例的步骤，稍加修改也可以用于其他网络环境的入侵检测。1、选定合适的数据集。为决策树算法生成决策树和自相似模型提供数据来源。一方面由于使用决策树算法生成决策树是一个机器学习的过程，需要用到相应的训练集和测试集。另一方面，自相似理论的自相似性是指某种结构或过程的特征从不同的空间尺度或时间尺度来看都是相似的,或者某系统或结构的局域性质或局域结构与整体类似.另外,在整体与整体之间或部分与部分之间,也会存在自相似性。所以为了对比物联网系统的自相似程度，也需要有物联网的当前状态的数据和同一时期的历史数据。本实施例中，选取CICIDS2017数据集作为使用的数据集。2、生成决策树。本实施例中的采用的决策树算法是分类与回归树(CART—ClassificationAndRegressionTree)。分类与回归树，是一种十分有效的非参数分类和回归方法。算法采用一种二分递归分割的技术，将当前的样本集分为两个子样本集，使得生成的url子节点都有两个分支。因此，CART算法生成的决策树是结构简洁的二叉树。生CRAT的算法流程图如图2所示，具体流程为：3、利用第二步生成的决策树进行物联网当前状态入侵检测。本实施例中，使用第二生成的决策树，对第一步选取的数据集进行检测分析，得出物联网当前状态下的入侵情况。通过决策树分析数据集，根据叶子节点对应的数值来判断是否存在入侵，如果叶子节点对应的数是0代表正常，1代表入侵。4、利用自相似理论再次进行物理入侵检测。本实施例中，第3步使用决策树对当前状态物联网数据进行分析检测得出物联网当前入侵状况。当时现实情况中，存在入侵者的入侵之后立即将入侵痕迹抹除，但在入侵之后本文档来自技高网...

【技术保护点】
1.基于决策树和自相似模型结合的物联网入侵检测方法，其特征在于，包括下述步骤：S1、选定数据集，为决策树算法生成决策树提供数据来源；S2、生成决策树，首先创建一棵树，根节点包含所有的样本属性信息，采用基最小损失函数策略，逐步深入决策树，一步步选择最优的划分属性，直到叶子节点；使用同样的方法，生成K棵这样的决策树，最后将所有的子树结合起来形成一棵完整的决策树；S3、使用步骤S2生成的决策树，对步骤S1准备好的测试集进行分析处理，从而判断物联网当前状态的入侵状况；S4、建立当前状态和同一时期历史状态物联网数据的直方图，利用自相似理论设定合适的数学模型，计算出当前状态和同一时期历史状态的物联网数据的形似度，再根据相应的阈值，判断当前物联网数据是否存在异常现象。

【技术特征摘要】
1.基于决策树和自相似模型结合的物联网入侵检测方法，其特征在于，包括下述步骤：S1、选定数据集，为决策树算法生成决策树提供数据来源；S2、生成决策树，首先创建一棵树，根节点包含所有的样本属性信息，采用基最小损失函数策略，逐步深入决策树，一步步选择最优的划分属性，直到叶子节点；使用同样的方法，生成K棵这样的决策树，最后将所有的子树结合起来形成一棵完整的决策树；S3、使用步骤S2生成的决策树，对步骤S1准备好的测试集进行分析处理，从而判断物联网当前状态的入侵状况；S4、建立当前状态和同一时期历史状态物联网数据的直方图，利用自相似理论设定合适的数学模型，计算出当前状态和同一时期历史状态的物联网数据的形似度，再根据相应的阈值，判断当前物联网数据是否存在异常现象。2.根据权利要求1所述基于决策树和自相似模型结合的物联网入侵检测方法，其特征在于，步骤S1中，所述数据集以CICIDS2017数据集为基础，并基于OPNET仿真扩充温度数据。3.根据权利要求1所述基于决策树和自相似模型结合的物联网入侵检测方法，其特征在于，步骤S2中，采用的决策树算法CART树，生成CART决策树的流程是：S21、建立根节点，包含所有数据集中所有的特征；S22、对数据集中的每一个特征执行该特征上的一个划分，计算划分的损失函数值；S23、选择损失函数最小的特征进行分割；S24、根据该分割特征将当前数据集切分成两个子集；S25、对上步切出的两个子集分别递归调用S22-S24；S36、生成CART决策树。4.根据权利要求1所述基于决策树和自相似模型结合的物联网...

【专利技术属性】
技术研发人员：龚征，程雷，王志鹏，杨顺志，叶开，魏运根，
申请(专利权)人：华南师范大学，
类型：发明
国别省市：广东,44