本發(fā)明涉及通信技術(shù)領(lǐng)域，特別是指一種無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法。

背景技術(shù)：

近年來，隨著無線傳感器網(wǎng)絡(luò)技術(shù)的發(fā)展，其應(yīng)用范圍不斷擴(kuò)大，目前已有的許多應(yīng)用涉及到了軍事、海洋、工控檢測等數(shù)據(jù)敏感領(lǐng)域。而很多情況下，無線傳感器部署在開放的環(huán)境中，無線傳感器網(wǎng)絡(luò)易受到攻擊，由于無線傳感器組網(wǎng)依賴路由協(xié)議，路由層安全問題成了一個巨大挑戰(zhàn)。路由層低速洪泛攻擊具有隱蔽性強(qiáng)、破壞力持久、影響范圍廣、難以檢測的特點，洪泛攻擊節(jié)點間歇性的以較低速率向網(wǎng)絡(luò)里注入一定量的路由包，能夠干擾正常的路由協(xié)議處理過程，消耗節(jié)點能量，降低網(wǎng)絡(luò)服務(wù)質(zhì)量和性能。

現(xiàn)有技術(shù)一，傳統(tǒng)的網(wǎng)絡(luò)異常檢測方法通過設(shè)置一定的流量閾值，去發(fā)現(xiàn)洪泛攻擊節(jié)點；但是，低速洪泛攻擊產(chǎn)生的的流量閾值跟正常路由通信產(chǎn)生的流量閾值差別不大，很難通過傳統(tǒng)的閾值檢測法對低速洪泛攻擊進(jìn)行檢測。

現(xiàn)有技術(shù)二，Curiac D等人提出用神經(jīng)網(wǎng)絡(luò)模型和自回歸模型來檢測惡意節(jié)點(所述節(jié)點指無線傳感器節(jié)點)，具體的步驟包括：通過輸入鄰居節(jié)點過去值和當(dāng)前值，利用神經(jīng)網(wǎng)絡(luò)訓(xùn)練得出節(jié)點的估計輸出值，再與節(jié)點的實際輸出比較，當(dāng)差值大于一個預(yù)先設(shè)定好的限定值時，節(jié)點為可疑節(jié)點。利用過去N個時段的輸出值，通過自回歸模型，計算出估計輸出，再與實際輸出比較，當(dāng)差值大于一個預(yù)先設(shè)定好的限定值時，節(jié)點為可疑節(jié)點。在自回歸模型的基礎(chǔ)上，又進(jìn)一步提出了一個節(jié)點自毀算法，將節(jié)點驅(qū)逐出網(wǎng)絡(luò)。這兩個算法在一定程度上解決了惡意節(jié)點檢測問題，但每個節(jié)點都要存儲待檢測節(jié)點過去時間段的輸出值，需要節(jié)點的額外內(nèi)存，算法復(fù)雜度與時間和網(wǎng)絡(luò)密度呈正相關(guān)，有其局限性。在使用神經(jīng)網(wǎng)絡(luò)模型和自回歸模型來檢測惡意節(jié)點時，需要每個節(jié)點存儲自身節(jié)點及相關(guān)鄰居節(jié)點的網(wǎng)絡(luò)行為信息，占有本來就比較稀缺的存儲資源，且需要在線進(jìn)行評估與檢測，節(jié)點有限的計算資源難以進(jìn)行復(fù)雜的模式和特征匹配計算。

技術(shù)實現(xiàn)要素：

本發(fā)明要解決的技術(shù)問題是提供一種無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法，以解決現(xiàn)有技術(shù)所存在的難以通過傳統(tǒng)的閾值檢測法對低速洪泛攻擊進(jìn)行檢測，以及使用模型檢測方法檢測低速洪泛攻擊時，需占用無線傳感器節(jié)點的計算資源和存儲資源的問題。

為解決上述技術(shù)問題，本發(fā)明實施例提供一種無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法，包括：

偵聽無線傳感器節(jié)點通信范圍內(nèi)的無線傳感器網(wǎng)絡(luò)路由層的路由包流量；

通過基于Hilbert-Huang變換的時域-頻域聯(lián)合分析法離線檢測偵聽到的所述路由包流量中是否包含有低速洪泛攻擊流量；

若包含有低速洪泛攻擊流量，則根據(jù)所述路由包流量中包含的所述低速洪泛攻擊流量，獲取產(chǎn)生所述低速洪泛攻擊流量的節(jié)點。

進(jìn)一步地，所述通過基于Hilbert-Huang變換的時域-頻域聯(lián)合分析法離線檢測偵聽到的所述路由包流量中是否包含有低速洪泛攻擊流量包括：

通過Kolmogorov-Smirnov擬合優(yōu)度檢驗法識別并去除Hilbert-Huang變換過程中經(jīng)驗?zāi)B(tài)分解產(chǎn)生的虛假分量；

利用集合經(jīng)驗?zāi)B(tài)分解對去除所述虛假分量后的路由包流量進(jìn)行分解，得到多個IMF分量；

對所述多個IMF分量中的每個IMF分量進(jìn)行Hilbert變換，得到所述路由包流量對應(yīng)的IMF分量的時頻圖；

將預(yù)設(shè)的正常流量對應(yīng)的IMF分量的時頻圖相應(yīng)地與所述路由包流量對應(yīng)的IMF分量的時頻圖進(jìn)行對比，若預(yù)設(shè)的正常流量對應(yīng)的IMF分量的時頻圖與所述路由包流量對應(yīng)的IMF分量的時頻圖之間的差異超過預(yù)設(shè)的第一閾值，則判斷所述路由包流量包含有低速洪泛攻擊流量。

進(jìn)一步地，所述通過Kolmogorov-Smirnov擬合優(yōu)度檢驗法識別并去除Hilbert-Huang變換過程中經(jīng)驗?zāi)B(tài)分解產(chǎn)生的虛假分量包括：

在Hilbert-Huang變換過程中，利用經(jīng)驗?zāi)B(tài)分解對所述偵聽到的所述路由包流量進(jìn)行分解；

獲取Hilbert-Huang變換過程中經(jīng)驗?zāi)B(tài)分解產(chǎn)生的所有IMF分量；

獲取所述所有IMF分量中每個IMF分量的累積概率密度函數(shù)曲線；

判斷每個IMF分量的累積概率密度函數(shù)曲線與原始路由包流量的累積概率密度函數(shù)曲線在同一時間點上的概率之間的差值是否超出預(yù)設(shè)的第二閾值，若超出預(yù)設(shè)的第二閾值，則當(dāng)前IMF分量為虛假分量，并去除所述虛假分量。

進(jìn)一步地，所述利用集合經(jīng)驗?zāi)B(tài)分解對去除所述虛假分量后的路由包流量進(jìn)行分解，得到多個IMF分量包括：

步驟1，向去除所述虛假分量后的路由包流量中添加白噪聲信號，利用集合經(jīng)驗?zāi)B(tài)分解將加入白噪聲信號的路由包流量分解為IMF分量；

步驟2，重復(fù)步驟1，直至達(dá)到預(yù)定的重復(fù)次數(shù)，將每次得到的IMF分量相加求均值作為集合經(jīng)驗?zāi)B(tài)分解的分解結(jié)果，從所述集合經(jīng)驗?zāi)B(tài)分解的分解結(jié)果中去掉預(yù)先設(shè)置的高頻分量及趨勢項進(jìn)行分析與重構(gòu)。

進(jìn)一步地，所述若包含有低速洪泛攻擊流量，則根據(jù)所述路由包流量中包含的所述低速洪泛攻擊流量，獲取產(chǎn)生所述低速洪泛攻擊流量的節(jié)點包括：

根據(jù)預(yù)設(shè)的正常流量對應(yīng)的IMF分量的時頻圖與所述路由包流量對應(yīng)的IMF分量的時頻圖之間的差異，獲取低速洪泛攻擊的時間范圍；

根據(jù)獲取的低速洪泛攻擊的時間范圍，獲取產(chǎn)生所述低速洪泛攻擊流量的節(jié)點。

本發(fā)明實施例還提供一種無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測系統(tǒng)，包括：

偵聽模塊，用于偵聽無線傳感器節(jié)點通信范圍內(nèi)的無線傳感器網(wǎng)絡(luò)路由層的路由包流量；

檢測模塊，用于通過基于Hilbert-Huang變換的時域-頻域聯(lián)合分析法離線檢測偵聽到的所述路由包流量中是否包含有低速洪泛攻擊流量；

獲取模塊，用于若包含有低速洪泛攻擊流量，則根據(jù)所述路由包流量中包含的所述低速洪泛攻擊流量，獲取產(chǎn)生所述低速洪泛攻擊流量的節(jié)點。

進(jìn)一步地，所述檢測模塊包括：

去除單元，用于通過Kolmogorov-Smirnov擬合優(yōu)度檢驗法識別并去除Hilbert-Huang變換過程中經(jīng)驗?zāi)B(tài)分解產(chǎn)生的虛假分量；

分解單元，用于利用集合經(jīng)驗?zāi)B(tài)分解對去除所述虛假分量后的路由包流量進(jìn)行分解，得到多個IMF分量；

變換單元，用于對所述多個IMF分量中的每個IMF分量進(jìn)行Hilbert變換，得到所述路由包流量對應(yīng)的IMF分量的時頻圖；

判斷單元，用于將預(yù)設(shè)的正常流量對應(yīng)的IMF分量的時頻圖相應(yīng)地與所述路由包流量對應(yīng)的IMF分量的時頻圖進(jìn)行對比，若預(yù)設(shè)的正常流量對應(yīng)的IMF分量的時頻圖與所述路由包流量對應(yīng)的IMF分量的時頻圖之間的差異超過預(yù)設(shè)的第一閾值，則判斷所述路由包流量包含有低速洪泛攻擊流量。

進(jìn)一步地，所述去除單元包括：

第一分解子單元，用于在Hilbert-Huang變換過程中，利用經(jīng)驗?zāi)B(tài)分解對所述偵聽到的所述路由包流量進(jìn)行分解；

第一獲取子單元，用于獲取Hilbert-Huang變換過程中經(jīng)驗?zāi)B(tài)分解產(chǎn)生的所有IMF分量；

第二獲取子單元，用于獲取所述所有IMF分量中每個IMF分量的累積概率密度函數(shù)曲線；

去除子單元，用于判斷每個IMF分量的累積概率密度函數(shù)曲線與原始路由包流量的累積概率密度函數(shù)曲線在同一時間點上的概率之間的差值是否超出預(yù)設(shè)的第二閾值，若超出預(yù)設(shè)的第二閾值，則當(dāng)前IMF分量為虛假分量，并去除所述虛假分量。

進(jìn)一步地，所述分解單元包括：N個分解子單元及重構(gòu)子單元；其中，

每個分解子單元，用于向去除所述虛假分量后的路由包流量中添加白噪聲信號，利用集合經(jīng)驗?zāi)B(tài)分解將加入白噪聲信號的路由包流量分解為IMF分量；

所述重構(gòu)子單元，用于將N個分解子單元分解得到的IMF分量相加求均值，并將所述均值作為集合經(jīng)驗?zāi)B(tài)分解的分解結(jié)果，從所述集合經(jīng)驗?zāi)B(tài)分解的分解結(jié)果中去掉預(yù)先設(shè)置的高頻分量及趨勢項進(jìn)行分析與重構(gòu)。

進(jìn)一步地，所述獲取模塊包括：

第一獲取單元，用于根據(jù)預(yù)設(shè)的正常流量對應(yīng)的IMF分量的時頻圖與所述路由包流量對應(yīng)的IMF分量的時頻圖之間的差異，獲取低速洪泛攻擊的時間范圍；

第二獲取單元，用于根據(jù)獲取的低速洪泛攻擊的時間范圍，獲取產(chǎn)生所述低速洪泛攻擊流量的節(jié)點。

本發(fā)明的上述技術(shù)方案的有益效果如下：

上述方案中，通過基于Hilbert-Huang變換的時域-頻域聯(lián)合分析法離線檢測偵聽到的所述路由包流量中是否包含有低速洪泛攻擊流量，若包含有低速洪泛攻擊流量，則根據(jù)所述路由包流量中包含的所述低速洪泛攻擊流量，獲取產(chǎn)生所述低速洪泛攻擊流量的節(jié)點。這樣，通過基于Hilbert-Huang變換的時域-頻域聯(lián)合分析法對路由包流量進(jìn)行離線檢測，不需要無線傳感器節(jié)點參與計算和存儲，可以有效節(jié)約無線傳感網(wǎng)節(jié)點的計算和存儲資源，且能夠發(fā)現(xiàn)傳統(tǒng)的閾值檢測法難以發(fā)現(xiàn)的路由層低速洪泛攻擊流量，并得到產(chǎn)生所述低速洪泛攻擊流量的節(jié)點，還能在不影響無線傳感器節(jié)點的使用壽命的情況下，提高路由層低速洪泛攻擊的檢測效率和檢測精度。

附圖說明

圖1為本發(fā)明實施例提供的無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法的流程示意圖；

圖2為本發(fā)明實施例提供的低速洪泛攻擊情況下的累積概率密度函數(shù)曲線分布圖；

圖3為本發(fā)明實施例提供的去除虛假分量后的累積概率密度函數(shù)曲線分布圖；

圖4為本發(fā)明實施例提供的利用EEMD對去除虛假分量后的路由包流量進(jìn)行處理；

圖5(a)為本發(fā)明實施例提供的第一個固有模態(tài)函數(shù)IMF(IMF1)的瞬時振幅和頻率；

圖5(b)為本發(fā)明實施例提供的第二個固有模態(tài)函數(shù)IMF(IMF2)的瞬時振幅和頻率；

圖5(c)為本發(fā)明實施例提供的第三個固有模態(tài)函數(shù)IMF(IMF3)的瞬時振幅和頻率；

圖5(d)為本發(fā)明實施例提供的第四個固有模態(tài)函數(shù)IMF(IMF4)的瞬時振幅和頻率；

圖6為本發(fā)明實施例提供的無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測系統(tǒng)的結(jié)構(gòu)示意圖。

具體實施方式

為使本發(fā)明要解決的技術(shù)問題、技術(shù)方案和優(yōu)點更加清楚，下面將結(jié)合附圖及具體實施例進(jìn)行詳細(xì)描述。

本發(fā)明針對現(xiàn)有的難以通過傳統(tǒng)的閾值檢測法對低速洪泛攻擊進(jìn)行檢測，以及使用模型檢測方法檢測低速洪泛攻擊時，需占用無線傳感器節(jié)點的計算資源和存儲資源的問題，提供一種無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法。

實施例一

參看圖1所示，本發(fā)明實施例提供的一種無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法，包括：

S1，偵聽無線傳感器節(jié)點通信范圍內(nèi)的無線傳感器網(wǎng)絡(luò)路由層的路由包流量；

S2，通過基于Hilbert-Huang(希爾伯特-黃)變換的時域-頻域聯(lián)合分析法離線檢測偵聽到的所述路由包流量中是否包含有低速洪泛攻擊流量；

S3，若包含有低速洪泛攻擊流量，則根據(jù)所述路由包流量中包含的所述低速洪泛攻擊流量，獲取產(chǎn)生所述低速洪泛攻擊流量的節(jié)點。

本發(fā)明實施例所述的無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法，通過基于Hilbert-Huang變換的時域-頻域聯(lián)合分析法離線檢測偵聽到的所述路由包流量中是否包含有低速洪泛攻擊流量，若包含有低速洪泛攻擊流量，則根據(jù)所述路由包流量中包含的所述低速洪泛攻擊流量，獲取產(chǎn)生所述低速洪泛攻擊流量的節(jié)點。這樣，通過基于Hilbert-Huang變換的時域-頻域聯(lián)合分析法對路由包流量進(jìn)行離線檢測，不需要無線傳感器節(jié)點參與計算和存儲，可以有效節(jié)約無線傳感網(wǎng)節(jié)點的計算和存儲資源，且能夠發(fā)現(xiàn)傳統(tǒng)的閾值檢測法難以發(fā)現(xiàn)的路由層低速洪泛攻擊流量，并得到產(chǎn)生所述低速洪泛攻擊流量的節(jié)點，還能在不影響無線傳感器節(jié)點的使用壽命的情況下，提高路由層低速洪泛攻擊的檢測效率和檢測精度。

本實施例中，為了驗證本發(fā)明實施例所述的無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法，可以采用網(wǎng)絡(luò)仿真技術(shù)模擬出低速洪泛攻擊流量，并通過本實施例提出的Hilbert-Huang變換的時域-頻域聯(lián)合分析法進(jìn)行離線檢測。具體的步驟包括：

首先，可以通過網(wǎng)絡(luò)模擬器(Network Simulater 2，NS2)網(wǎng)絡(luò)仿真軟件建立無線傳感器網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，定義路由協(xié)議、建立無線傳感器節(jié)點通信鏈路；

接著，通過洪泛攻擊節(jié)點在路由層注入低速洪泛攻擊流量；

最后，通過本發(fā)明實施例所述的無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法進(jìn)行離線的分析與攻擊檢測。

本實施例中，所述偵聽無線傳感器節(jié)點通信范圍內(nèi)的無線傳感器網(wǎng)絡(luò)路由層的路由包流量具體步驟可以包括：通過網(wǎng)關(guān)節(jié)點偵聽已建立的無線傳感器網(wǎng)絡(luò)節(jié)點通信范圍內(nèi)的無線傳感器網(wǎng)絡(luò)路由層所有路由包流量，并提取路由信息，其中，所述路由包流量包括：低速洪泛攻擊流量。

在前述無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法的具體實施方式中，進(jìn)一步地，所述通過基于Hilbert-Huang變換的時域-頻域聯(lián)合分析法離線檢測偵聽到的所述路由包流量中是否包含有低速洪泛攻擊流量包括：

通過Kolmogorov-Smirnov(柯爾莫哥羅夫-斯米爾諾夫)擬合優(yōu)度檢驗法識別并去除Hilbert-Huang變換過程中經(jīng)驗?zāi)B(tài)分解產(chǎn)生的虛假分量；

利用集合經(jīng)驗?zāi)B(tài)分解對去除所述虛假分量后的路由包流量進(jìn)行分解，得到多個固有模態(tài)函數(shù)(Intrinsic Mode Function，IMF)分量；

對所述多個IMF分量中的每個IMF分量進(jìn)行Hilbert變換，得到所述路由包流量對應(yīng)的IMF分量的時頻圖；

將預(yù)設(shè)的正常流量對應(yīng)的IMF分量的時頻圖相應(yīng)地與所述路由包流量對應(yīng)的IMF分量的時頻圖進(jìn)行對比，若預(yù)設(shè)的正常流量對應(yīng)的IMF分量的時頻圖與所述路由包流量對應(yīng)的IMF分量的時頻圖之間的差異超過預(yù)設(shè)的第一閾值，則判斷所述路由包流量包含有低速洪泛攻擊流量。

本實施例中，由于低速洪泛攻擊流量在整個無線傳感器網(wǎng)絡(luò)路由層的路由包流量里屬于微弱信號，低速洪泛攻擊流量的幅值跟正常的路由包流量所產(chǎn)生的幅值差別不大，采用傳統(tǒng)的閾值檢測法難以直接檢測出該類攻擊。因此，采用基于Hilbert-Huang變換的時域-頻域聯(lián)合分析法離線檢測低速洪泛攻擊流量，從而發(fā)現(xiàn)路由層的低速攻擊行為，并進(jìn)一步發(fā)現(xiàn)洪泛攻擊節(jié)點。

本實施例中，由于低速洪泛攻擊的時間空間局部性、隨機(jī)性、低幅值等特點，在Hilbert-Huang變換的經(jīng)驗?zāi)B(tài)分解(Empirical Mode Decomposition，EMD)分解過程中容易產(chǎn)生虛假分量，影響檢測效果；本實施例可以采用Kolmogorov-Smirnov擬合優(yōu)度檢驗法識別并去除Hilbert-Huang變換過程中EMD分解產(chǎn)生的虛假分量，從而最大限度的保留洪泛攻擊節(jié)點產(chǎn)生的真實分量。

在前述無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法的具體實施方式中，進(jìn)一步地，所述通過Kolmogorov-Smirnov擬合優(yōu)度檢驗法識別并去除Hilbert-Huang變換過程中經(jīng)驗?zāi)B(tài)分解產(chǎn)生的虛假分量包括：

在Hilbert-Huang變換過程中，利用經(jīng)驗?zāi)B(tài)分解對所述偵聽到的所述路由包流量進(jìn)行分解；

獲取Hilbert-Huang變換過程中經(jīng)驗?zāi)B(tài)分解產(chǎn)生的所有IMF分量；

獲取所述所有IMF分量中每個IMF分量的累積概率密度函數(shù)曲線；

判斷每個IMF分量的累積概率密度函數(shù)曲線與原始路由包流量的累積概率密度函數(shù)曲線在同一時間點上的概率之間的差值是否超出預(yù)設(shè)的第二閾值，若超出預(yù)設(shè)的第二閾值，則當(dāng)前IMF分量為虛假分量，并去除所述虛假分量。

本實施例中，設(shè)兩個信號的累積分布函數(shù)分別為f(x)、r(x)，若x表示時間，則f(x)、r(x)對于同一時間點上的概率之間的最大差值D可以表示為式(1)：

累積概率密度函數(shù)通過圖中的曲線體現(xiàn)出來，通過判斷各IMF分量的累積概率密度函數(shù)曲線與原始路由包流量的累積概率密度函數(shù)曲線的距離遠(yuǎn)近，判斷當(dāng)前IMF分量是否為虛假分量，存在低速洪泛攻擊情況下，各IMF分量的概率分布如圖2所示：

本實施例中，如圖2所示，分量IMF6距離原始路由包流量較遠(yuǎn)，若分量IMF6的累積概率密度函數(shù)曲線與原始路由包流量的累積概率密度函數(shù)曲線在同一時間點上的概率之間的差值是超出預(yù)設(shè)的第二閾值，可以判斷分量IMF6為虛假分量，將分量IMF6去除后得到新的累積概率密度分布圖如圖3所示。

本實施例中，如圖3所示，去除虛假分量后的累積概率密度函數(shù)各曲線中，沒有嚴(yán)重偏離的曲線，可以判斷此時不存在虛假分量，達(dá)到了去除虛假分量的目的。這種去除虛假分量的方法更加準(zhǔn)確有效，各IMF分量的累積概率密度函數(shù)曲線幾乎與原始路由包流量的累積概率密度函數(shù)曲線重合，從而提高了時頻分析的準(zhǔn)確性。

在前述無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法的具體實施方式中，進(jìn)一步地，所述利用集合經(jīng)驗?zāi)B(tài)分解對去除所述虛假分量后的路由包流量進(jìn)行分解，得到多個IMF分量包括：

步驟1，向去除所述虛假分量后的路由包流量中添加白噪聲信號，利用集合經(jīng)驗?zāi)B(tài)分解將加入白噪聲信號的路由包流量分解為IMF分量；

步驟2，重復(fù)步驟1，直至達(dá)到預(yù)定的重復(fù)次數(shù)，將每次得到的IMF分量相加求均值作為集合經(jīng)驗?zāi)B(tài)分解的分解結(jié)果，從所述集合經(jīng)驗?zāi)B(tài)分解的分解結(jié)果中去掉預(yù)先設(shè)置的高頻分量及趨勢項進(jìn)行分析與重構(gòu)。

本實施例中，在運用Kolmogorov-Smirnov擬合優(yōu)度法去除虛假IMF6分量后，得到處理后的路由包流量，如圖4所示，執(zhí)行如下步驟對去除所述虛假分量后的路由包流量進(jìn)行分解：

A11，通過向處理后的路由包流量中添加一定強(qiáng)度(標(biāo)準(zhǔn)差0.01-0.2)的白噪聲信號后，再使用集合經(jīng)驗?zāi)B(tài)分解(Ensemble EMD，EEMD)方法將加入白噪聲信號的路由包流量分解為IMF分量；

A12，重復(fù)步驟A11，直至達(dá)到預(yù)定的重復(fù)次數(shù)，例如，60次，將60次的分解結(jié)果相加求均值后，可以消除所添加白噪聲的影響，并去掉預(yù)先設(shè)置的高頻分量及趨勢項進(jìn)行分析與重構(gòu)，從而提取出局部有效的低速洪泛攻擊信號，從而有效抑制模態(tài)混頻干擾現(xiàn)象，提高對低速洪泛攻擊的檢測效果。

本實施例中，所述高頻分量是指EEMD分解后得到的信號頻率超過預(yù)設(shè)頻率值的分量，如果EEMD分解得到的高頻分量中，信號的平均周期小于0.01秒，則認(rèn)為該高頻分量包含大量隨機(jī)干擾噪聲，應(yīng)去除該高頻分量，其中，所述預(yù)設(shè)頻率值的大小可以根據(jù)實際情況確定；所述趨勢項是指EEMD分解后得到的單調(diào)函數(shù)，具體指的是EEMD分解后的線性剩余分量，應(yīng)去除。

在前述無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法的具體實施方式中，進(jìn)一步地，所述若包含有低速洪泛攻擊流量，則根據(jù)所述路由包流量中包含的所述低速洪泛攻擊流量，獲取產(chǎn)生所述低速洪泛攻擊流量的節(jié)點包括：

根據(jù)預(yù)設(shè)的正常流量對應(yīng)的IMF分量的時頻圖與所述路由包流量對應(yīng)的IMF分量的時頻圖之間的差異，獲取低速洪泛攻擊的時間范圍；

根據(jù)獲取的低速洪泛攻擊的時間范圍，獲取產(chǎn)生所述低速洪泛攻擊流量的節(jié)點。

本實施例中，假設(shè)，利用集合經(jīng)驗?zāi)B(tài)分解對去除所述虛假分量后的路由包流量進(jìn)行分解后，得到4個IMF分量，對這4個IMF分量中的每個IMF分量進(jìn)行Hilbert變換，得到所述路由包流量對應(yīng)的IMF分量的時頻圖，如圖5(a)-圖5(d)所示，將預(yù)設(shè)的正常流量對應(yīng)的IMF分量的時頻圖相應(yīng)地與所述路由包流量對應(yīng)的IMF分量的時頻圖進(jìn)行對比后，發(fā)現(xiàn)EEMD分解產(chǎn)生的中間IMF分量，如正常流量的IMF3和IMF4分量時頻圖和所述路由包流量的IMF3和IMF4分量時頻圖有較為顯著的差異，則判斷所述路由包流量包含有低速洪泛攻擊流量，并可以根據(jù)產(chǎn)生顯著差異的時間段，獲取低速洪泛攻擊的時間范圍；根據(jù)獲取的低速洪泛攻擊的時間范圍，獲取產(chǎn)生所述低速洪泛攻擊流量的節(jié)點，其中，所述正常流量對應(yīng)的時頻圖和所述路由包流量對應(yīng)的時頻圖局部的極值相差兩倍以上時則為顯著差異。

本實施例中，如圖5(a)-圖5(d)所示，可以判斷在時間30-50秒、70-100秒存在低速洪泛攻擊的異常情況，并根據(jù)這兩個時間段內(nèi)路由包流量的主要產(chǎn)生來源，判斷產(chǎn)生所述低速洪泛攻擊流量的節(jié)點，所述產(chǎn)生所述低速洪泛攻擊流量的節(jié)點即為低速洪泛攻擊節(jié)點。

本實施例中，通過所述無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法對無線傳感器網(wǎng)絡(luò)路由層流量數(shù)據(jù)(路由包流量)進(jìn)行離線分析，發(fā)現(xiàn)所述路由包流量中是否包含有低速洪泛攻擊流量，若有，則檢測出低速洪泛攻擊的時間范圍及低速洪泛攻擊節(jié)點，能夠提高路由層低速洪泛攻擊的檢測效率和檢測精度。

實施例二

本發(fā)明還提供一種無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測系統(tǒng)的具體實施方式，由于本發(fā)明提供的無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測系統(tǒng)與前述無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法的具體實施方式相對應(yīng)，該無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測系統(tǒng)可以通過執(zhí)行上述方法具體實施方式中的流程步驟來實現(xiàn)本發(fā)明的目的，因此上述無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測方法具體實施方式中的解釋說明，也適用于本發(fā)明提供的無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測系統(tǒng)的具體實施方式，在本發(fā)明以下的具體實施方式中將不再贅述。

參看圖6所示，本發(fā)明實施例還提供一種無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測系統(tǒng)，包括：

偵聽模塊11，用于偵聽無線傳感器節(jié)點通信范圍內(nèi)的無線傳感器網(wǎng)絡(luò)路由層的路由包流量；

檢測模塊12，用于通過基于Hilbert-Huang變換的時域-頻域聯(lián)合分析法離線檢測偵聽到的所述路由包流量中是否包含有低速洪泛攻擊流量；

獲取模塊13，用于若包含有低速洪泛攻擊流量，則根據(jù)所述路由包流量中包含的所述低速洪泛攻擊流量，獲取產(chǎn)生所述低速洪泛攻擊流量的節(jié)點。

本發(fā)明實施例所述的無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測系統(tǒng)，通過基于Hilbert-Huang變換的時域-頻域聯(lián)合分析法離線檢測偵聽到的所述路由包流量中是否包含有低速洪泛攻擊流量，若包含有低速洪泛攻擊流量，則根據(jù)所述路由包流量中包含的所述低速洪泛攻擊流量，獲取產(chǎn)生所述低速洪泛攻擊流量的節(jié)點。這樣，通過基于Hilbert-Huang變換的時域-頻域聯(lián)合分析法對路由包流量進(jìn)行離線檢測，不需要無線傳感器節(jié)點參與計算和存儲，可以有效節(jié)約無線傳感網(wǎng)節(jié)點的計算和存儲資源，且能夠發(fā)現(xiàn)傳統(tǒng)的閾值檢測法難以發(fā)現(xiàn)的路由層低速洪泛攻擊流量，并得到產(chǎn)生所述低速洪泛攻擊流量的節(jié)點，還能在不影響無線傳感器節(jié)點的使用壽命的情況下，提高路由層低速洪泛攻擊的檢測效率和檢測精度。

在前述無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測系統(tǒng)的具體實施方式中，進(jìn)一步地，所述檢測模塊12包括：

去除單元，用于通過Kolmogorov-Smirnov擬合優(yōu)度檢驗法識別并去除Hilbert-Huang變換過程中經(jīng)驗?zāi)B(tài)分解產(chǎn)生的虛假分量；

分解單元，用于利用集合經(jīng)驗?zāi)B(tài)分解對去除所述虛假分量后的路由包流量進(jìn)行分解，得到多個IMF分量；

變換單元，用于對所述多個IMF分量中的每個IMF分量進(jìn)行Hilbert變換，得到所述路由包流量對應(yīng)的IMF分量的時頻圖；

判斷單元，用于將預(yù)設(shè)的正常流量對應(yīng)的IMF分量的時頻圖相應(yīng)地與所述路由包流量對應(yīng)的IMF分量的時頻圖進(jìn)行對比，若預(yù)設(shè)的正常流量對應(yīng)的IMF分量的時頻圖與所述路由包流量對應(yīng)的IMF分量的時頻圖之間的差異超過預(yù)設(shè)的第一閾值，則判斷所述路由包流量包含有低速洪泛攻擊流量。

在前述無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測系統(tǒng)的具體實施方式中，進(jìn)一步地，所述去除單元包括：

第一分解子單元，用于在Hilbert-Huang變換過程中，利用經(jīng)驗?zāi)B(tài)分解對所述偵聽到的所述路由包流量進(jìn)行分解；

第一獲取子單元，用于獲取Hilbert-Huang變換過程中經(jīng)驗?zāi)B(tài)分解產(chǎn)生的所有IMF分量；

第二獲取子單元，用于獲取所述所有IMF分量中每個IMF分量的累積概率密度函數(shù)曲線；

去除子單元，用于判斷每個IMF分量的累積概率密度函數(shù)曲線與原始路由包流量的累積概率密度函數(shù)曲線在同一時間點上的概率之間的差值是否超出預(yù)設(shè)的第二閾值，若超出預(yù)設(shè)的第二閾值，則當(dāng)前IMF分量為虛假分量，并去除所述虛假分量。

在前述無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測系統(tǒng)的具體實施方式中，進(jìn)一步地，所述分解單元包括：N個分解子單元及重構(gòu)子單元；其中，

每個分解子單元，用于向去除所述虛假分量后的路由包流量中添加白噪聲信號，利用集合經(jīng)驗?zāi)B(tài)分解將加入白噪聲信號的路由包流量分解為IMF分量；

所述重構(gòu)子單元，用于將N個分解子單元分解得到的IMF分量相加求均值，并將所述均值作為集合經(jīng)驗?zāi)B(tài)分解的分解結(jié)果，從所述集合經(jīng)驗?zāi)B(tài)分解的分解結(jié)果中去掉預(yù)先設(shè)置的高頻分量及趨勢項進(jìn)行分析與重構(gòu)。

在前述無線傳感器網(wǎng)絡(luò)路由層低速洪泛攻擊的檢測系統(tǒng)的具體實施方式中，進(jìn)一步地，所述獲取模塊13包括：

第一獲取單元，用于根據(jù)預(yù)設(shè)的正常流量對應(yīng)的IMF分量的時頻圖與所述路由包流量對應(yīng)的IMF分量的時頻圖之間的差異，獲取低速洪泛攻擊的時間范圍；

第二獲取單元，用于根據(jù)獲取的低速洪泛攻擊的時間范圍，獲取產(chǎn)生所述低速洪泛攻擊流量的節(jié)點。

以上所述是本發(fā)明的優(yōu)選實施方式，應(yīng)當(dāng)指出，對于本技術(shù)領(lǐng)域的普通技術(shù)人員來說，在不脫離本發(fā)明所述原理的前提下，還可以作出若干改進(jìn)和潤飾，這些改進(jìn)和潤飾也應(yīng)視為本發(fā)明的保護(hù)范圍。