一种软件定义物联网自学习安全防御方法及系统技术方案

本发明专利技术公开了一种软件定义物联网自学习安全防御方法及系统。方法包括(1)嗅探获取软件定义物联网节点发送的包含于介质访问控制层和网络层之间的数据包；(2)进行网络安全特征提取并编码；(3)对网络安全特征值的编码进行聚类；(4)将每一类别与已知安全网络安全特征编码集合、以及已知风险网络安全特征值编码集合中的元素进行比对自动判定并更新；(5)对于未知网络安全特征编码，由网络安全专家组成员鉴定并更新。系统包括：嗅探模块、分析模块、检测防御模块、以及知识库；本发明专利技术有效减轻了物联网管理员的物联网节点配置管理工作，并且自动更新软件定义物联网安全防御系统，对软件定义物联网网络环境的动态变化实现自适应。

【技术实现步骤摘要】
一种软件定义物联网自学习安全防御方法及系统
本专利技术属于物联网安全
，更具体地，涉及一种软件定义物联网自学习安全防御方法及系统。
技术介绍
当前，物联网已广泛应用于智慧家居、车联网、工业互联网、智慧城市等诸多领域。但是，面对复杂的应用需求，物联网存在多方面网络管理问题，如物联网节点维护问题、节点软件系统更新问题、增加新节点后的网络拓扑变化问题等。在网络空间安全方面同样存在不少问题，例如，物联网节点已成为恶意攻击者发动分布式拒绝服务攻击的主要源设备。“软件定义物联网”建立在“软件定义网络”架构基础上，体现控制与转发分离的思想。使用“软件定义物联网”，能适应不同的物联网各层通信协议，有效减轻物联网节点配置管理工作，从而降低物联网运营成本，创造更多效益。同时，“软件定义物联网”中的控制器实现了物联网节点的集中控制，且拥有比物联网节点更强劲的计算能力，因此，原来物联网中难以付诸实施的安全防御系统能方便地部署到控制器中，从而有效增强对包括分布式拒绝服务攻击在内的各种物联网恶意攻击的防御能力。相对于其他的网络，“软件定义物联网”网络本文档来自技高网...

【技术保护点】
1.一种软件定义物联网自学习防御方法，其特征在于，包括以下步骤：/n(1)嗅探获取软件定义物联网节点发送的包含于介质访问控制层和网络层之间的所有数据包，获得数据包集合：

【技术特征摘要】
1.一种软件定义物联网自学习防御方法，其特征在于，包括以下步骤：
(1)嗅探获取软件定义物联网节点发送的包含于介质访问控制层和网络层之间的所有数据包，获得数据包集合：其中，表示第i个数据包；
(2)对步骤(1)中获取的数据包集合中的每个数据包进行网络安全特征提取，并采用稀疏自编码器进行编码，获得所有数据包的各个网络安全特征值对应的编码；
(3)对于步骤(2)中获取的数据包的各个网络安全特征值的编码进行聚类，获得编码类别集合Cluster＝{cs1,cs2,…,csm}，其中csi表示聚类集合Cluster中的第i个聚类，m表示聚类集合Cluster中的聚类个数；
(4)将步骤(3)中获得的编码类别集合Cluster中的每一类别csi与已知安全网络安全特征编码集合Nom、以及已知风险网络安全特征值编码集合Mal中的元素进行比对，自动判定所述分析模块提交的编码为安全网络安全特征编码、风险网络安全特征值编码、或未知网络安全特征编码，并将安全网络安全特征编码和风险网络安全特征编码分别追加到已知安全网络安全特征编码集合Nom、以及已知风险网络安全特征值编码集合Mal中，对于风险网络安全特征值编码执行预设的防御动作，收集未知网络安全特征编码形成未知网络安全特征编码集合Diff；
(5)对于步骤(4)中获得的未知网络安全特征编码集合Diff，由网络安全专家组成员鉴定其中的每一个元素是否为安全的软件定义物联网网络行为，若鉴定为安全，则将该元素追加到已知安全网络安全特征值编码集合Nom中，否则将该元素追加到已知风险数据包编码集合Mal中并设定其预设的防御动作。


2.如权利要求1所述的软件定义物联网自学习防御方法，其特征在于，步骤(2)包括：
(2-1)对于数据包采用网络安全监控工具抽取其中网络安全特征，例如采用公开源代码的Zeek网络安全监控工具抽取，并根据网络安全特征与整数的映射关系，将的网络安全特征值映射为整数，组成数据包网络安全特征值集合即：

其中为第i个实际嗅探到的数据包的网络安全特征向量，其中为第i个实际嗅探到的数据包的第j个网络安全特征，n表示第i个实际的数据包的网络安全特征向量所具有的网络安全特征个数；为网络安全特征对应的网络安全特征值，为整数。
(2-2)对于步骤(2-1)中获取的数据包网络安全特征值集合采用稀疏自编码器进行编码，获得数据包网络安全特征值集合中每一个数据包网络安全特征值对应的编码，组成数据包编码集合


3.如权利要求2所述的软件定义物联网自学习防御方法，其特征在于，步骤(2-2)具体为：
(2-2-1)对于步骤(2-1)中获取的数据包网络安全特征值集合中的每一元素进行归一化处理获得归一化后的网络安全特征值其中，表示的最大值；
(2-2-2)对于步骤(2-2-1)获得归一化后的网络安全特征值采用稀疏自编码器编码，获得每一个数据包网络安全特征值对应的编码，所有数据包网络安全特征值对应的编码组成数据包编码集合


4.如权利要求3所述的软件定义物联网自学习防御方法，其特征在于，所述稀疏自编码器优选稀疏自编码神经网络，按照如下方法训练获取：
学习样本收集：仿真建立的安全软件定义物联网环境，与步骤(1)相同的嗅探获取的节点发送的包含于介质访问控制层和网络层之间的所有数据包，获得仿真数据包集合：Δ＝{Packet1,Packet2,Packet3,…}，其中，Packeti表示第i个仿真数据包；与步骤(2-1)相同的获取仿真数据包Packeti的网络安全特征，组成仿真的数据包网络安全特征值集合Θ；即Θ＝{Feature1,Feature2,Feature3,…}，Featurei为第i个嗅探到的仿真数据包Packeti的网络安全特征向量，Featurei＝{fi1,fi2,fi3,…,fin}，其中fij为第i个嗅探到的仿真数据包Packeti的第j个网络安全特征，n表示第i个仿真数据包Packeti的网络安全特征向量Featurei所具有的网络安全特征个数；zij为网络安全特征fij对应的网络安全特征值，zij为整数；与步骤(2-2-1)相同的获取数据包网络安全特征值集合Θ中的每一元素zij，进行归一化处理获得归一化后的网络安全特征值其中，表示zij的最大值；
稀疏自编码神经网络模型：包括输入层、隐含层和输出层；其输入层具有与数据包网络安全特征向量具有的网络安全特征值的个数相同的输入神经元，即具有数量为n的输入神经元，第k个输入神经元的值为相应归一化后的仿真数据包的网络安全特征值，即对于输入神经元集合in＝{α1,α2,α3,…,αk,…αn},k＝1,2,...n，其中αk为稀疏自编码神经网络输入层中第k个输入神经元的值，有：αk＝gik；对于隐含层中第l个神经元，其值hl为：hl＝Σnαkqkl+bkl，其中qkl表示权值分量，bkl表示偏置分量；具有与数据包网络安全特征向量具有的网络安全特征值的个数相同的输出神经元，即具有数量为n的输出神经元，对于输出神经元集合out＝{β1,β2,β3,…,βk,…βn},k＝1,2,...n，其中βk为稀疏自编码神经网络输出层中第k个输出神经元的值，βk＝Σlhlqkl+bkl。
稀疏自编码神经网络模型的训练：采用无监督学习，将损失函数最小时的稀疏自编码神经网络模型作为稀疏自编码器；所述损失函数L(IN,OUT)为：其中IN为仿真数据包集合所有元素输入稀疏自编码神经网络模型的网络安全特征值集合，OUT为仿真数据包集合所有元素由稀疏自编码神经网络模型的输出的编码集合，|OUT|表示集合OUT中所有元素的个数，即|OUT|为仿真数据...

【专利技术属性】
技术研发人员：沈士根，刘建华，周海平，冯晟，胡珂立，赵利平，
申请(专利权)人：绍兴文理学院，
类型：发明
国别省市：浙江;33