基于深度學習的WSN入侵檢測系統(tǒng)研究與設計

周慧芝,余員琴,歐洲洋

(湖南交通工程學院 電氣與信息工程學院,湖南 衡陽 421009)

0 引言

無線傳感器網(wǎng)絡應用快速增長,其安全問題越來越突顯。保護系統(tǒng)中數(shù)據(jù)機密、可用、完整以及網(wǎng)絡免受入侵攻擊是現(xiàn)今學術(shù)界與商界共同關注的問題。入侵檢測系統(tǒng)(Intrusion Detection System,IDS)收集網(wǎng)絡中各種數(shù)據(jù),通過收集到的數(shù)據(jù)可以檢測惡意攻擊或違反規(guī)則等造成的異常情況[1]。目前入侵檢測技術(shù)融合智能算法,基于機器學習是主流方法。傳統(tǒng)淺層機器學習難以提取現(xiàn)今隨時間變化的高維且非線性的海量數(shù)據(jù)的本質(zhì)特征,入侵檢測準確率低,算法復雜且訓練時間過長,傳統(tǒng)網(wǎng)絡入侵檢查系統(tǒng)已不適用于WSN。針對WSN特點設計融合深度學習技術(shù)與侵檢測技術(shù),考慮全網(wǎng)絡能量消耗、內(nèi)存大小、通信帶寬、計算能力及檢測準確率等要求的入侵檢測系統(tǒng)是當前所趨。

1 入侵檢測模型

網(wǎng)絡安全形勢日益復雜,其攻擊手段多樣化,危害程度不可控,依據(jù)檢測方法將其分為普通攻擊和新型攻擊兩類[2]。針對未知特征的新型攻擊和入侵檢測系統(tǒng)的實用性,本文設計分級式入侵檢測模型?？紤]無線傳感器網(wǎng)絡(Wireless Sensor Network,WSN)的特點和入侵檢測需求,采用改進的動態(tài)競爭的非均勻分簇路由算法(Non-Uniform Clustering Routing Protocol Based on Energy Consumption, NCRP)路由協(xié)議;考慮簇頭與基站間傳輸信息量,網(wǎng)絡入侵檢測的效率,多種新型攻擊和精準率,基于深度學習算法在簇頭節(jié)點融合數(shù)據(jù)壓縮和異常檢測算法,在基站節(jié)點進行高級檢測,即二級入侵檢測響應。

在分級式入侵檢測模型上,基于深度學習算法的無線傳感器網(wǎng)絡入侵檢測模型分為傳感器節(jié)點(包括數(shù)據(jù)采集和數(shù)據(jù)預處理)、簇頭節(jié)點(包括路由協(xié)議和異常檢測)、基站節(jié)點(包括高級檢測和入侵響應)3個架構(gòu)6個模塊。

入侵檢測過程主要分為以下3個步驟:

(1)布置在目標感知區(qū)域的傳感器節(jié)點實現(xiàn)數(shù)據(jù)采集和預處理模塊功能,將采集的敏感數(shù)據(jù)進行One-hot編碼且標準化后發(fā)送給其簇頭。

(2)首先嵌入在傳感器節(jié)點的改進NCRP的路由協(xié)議負責WSN中簇的劃分,簇頭和簇個數(shù)的選取;然后啟用神經(jīng)網(wǎng)絡SAE(Sparse Atuo Encoder)和分類器(Support Vector Machine,SVM)整合成SAESM的異常檢測,檢測無異常,則壓縮數(shù)據(jù)并發(fā)送給基站,由基站啟用整合成SAE和LSTM(Long Short Term Memory Network),即SLSTM算法進行二級檢測以防簇頭的一級檢測出錯,反之,簇頭進行一級本地響應,再發(fā)送給基站,由基站進行二級檢測攻擊類型。

(3)基站的高級檢測模塊處理簇頭發(fā)送來正常或異常數(shù)據(jù),若檢測正常數(shù)據(jù)仍為正常,則結(jié)束;若檢測正常數(shù)據(jù)為異常,則全網(wǎng)響應新型攻擊,并更新至網(wǎng)絡特征庫;若檢測的是異常數(shù)據(jù),則進行攻擊類型識別,若無法識別,則更新至網(wǎng)絡特征庫。

2 改進NCRP的路由協(xié)議設計

2.1 假定條件

設計以人工或機械方式隨機部署傳感器節(jié)點,其WSN具有以下特征:

(1)網(wǎng)絡中的全部傳感器節(jié)點有唯一ID,隨機部署后,不可改動傳感器節(jié)點ID信息。

(2)全網(wǎng)絡中的每個節(jié)點同構(gòu)其初始能量和計算能力,基站固定布控在監(jiān)測區(qū)外,存儲和計算能力無限。

(3)網(wǎng)絡中的全部節(jié)點以接收的信號強度值估計近似距離,以此選取自身的發(fā)射功率。

(4)網(wǎng)絡中的全部節(jié)點可進行數(shù)據(jù)融合,提高有效傳輸信息量。

(5)網(wǎng)絡中的全部節(jié)點可獲知自身當前剩余能量信息。

2.2 NCRP算法

NCRP路由協(xié)議是基于LEACH協(xié)議的“輪”循環(huán)機制,每輪由非均勻分簇(選取簇首和簇群)、簇間多跳路由構(gòu)建和數(shù)據(jù)轉(zhuǎn)發(fā)(簇內(nèi)單跳傳輸和簇間多跳傳輸)3個階段[3]。針對靠近基站的簇首具有收發(fā)數(shù)據(jù)等多項任務,導致能量得到大量消耗,本文提出改進LEACH 算法,動態(tài)選取簇首使靠近基站形成更多的簇,均衡網(wǎng)絡能耗,延長WSN的生存期。

第一輪非均勻分簇?；贚EACH算法提出概率求自算公式(1),以節(jié)點與基站間的距離d為調(diào)節(jié)選取簇首因素,d值越小,候選簇首概率T越大,從而控制簇規(guī)模,實現(xiàn)簇群多,達到非均勻分簇,式(1)字符信息如表1所示。

(1)

基站以定值功率向全網(wǎng)廣播信號數(shù)據(jù)包,以此計算節(jié)點與基站間的近似距離,搜索dmin的節(jié)點,再使用式(3)計算當選候選簇首的概率,在[0,1]隨機選取一個數(shù)與Tn(i)比較,基小于Tn(i),則該節(jié)點進入候選簇首隊列,否則進入睡眠狀態(tài),日后再被喚醒。

后續(xù)輪次非均勻分簇。設定臨界時間,在時間內(nèi)簇首若未收到當選消息,以簇內(nèi)r前1/p輪未當選簇首且能量最高的節(jié)點成為下一輪簇首,并廣播選取簇首信息并捎帶采集數(shù)據(jù)傳輸給簇內(nèi)節(jié)點;若簇內(nèi)不存在r前1/p輪未當選簇首節(jié)點,參照第一輪分均勻分簇,以此實現(xiàn)均衡節(jié)點能量,延長WSN生存期。

簇間多跳路由。NCRP協(xié)議中簇內(nèi)單跳轉(zhuǎn)發(fā)數(shù)據(jù)簡單快捷,簇間多跳轉(zhuǎn)發(fā)數(shù)據(jù),選取其鄰居簇首為中繼節(jié)點,轉(zhuǎn)發(fā)至基站。考慮簇間數(shù)據(jù)的差異性和算法的復雜性不做數(shù)據(jù)融合,直接轉(zhuǎn)發(fā)完整數(shù)據(jù)包。黃廷輝等[4]通過貪婪算法的最小代價函數(shù)來建立簇間多跳路由,其代價函數(shù)如公式(2)所示,式(2)字符信息如表2所示。

表2 式(2)字符信息

cost(i,j)=

(2)

因此cost(RNi)=min{ cost(i,j) },簇首Si的中繼節(jié)點是本身,則直接發(fā)送數(shù)據(jù)到基站;否則,簇首Si發(fā)送數(shù)據(jù)到中繼節(jié)點RNi,當每個簇首都找到中繼節(jié)點,簇間多跳路由建立。

數(shù)據(jù)轉(zhuǎn)發(fā)階段。數(shù)據(jù)轉(zhuǎn)發(fā)主要指簇內(nèi)成員節(jié)點將采集的數(shù)據(jù)單跳轉(zhuǎn)發(fā)給簇首,簇首再將收到的數(shù)據(jù)進行融合后轉(zhuǎn)發(fā)至其中繼節(jié)點。直至中繼節(jié)點接到所有簇首轉(zhuǎn)發(fā)的數(shù)據(jù),即完成數(shù)據(jù)采集一周期。

(1)產(chǎn)生候選簇首;

(2)產(chǎn)生最終簇首;

(3)簇間多跳路由;

(4)轉(zhuǎn)發(fā)數(shù)據(jù);

(5)每簇r前1/p輪未當選簇首節(jié)點數(shù)≥2,滿足則選取每簇能量最高的2個節(jié)點當選簇首,不滿足則至(1)重新一輪。

3 基于深度學習設計WSN入侵檢測系統(tǒng)

3.1 數(shù)據(jù)壓縮算法

自動編碼器(Auto Encoder,AE)是典型三層神經(jīng)網(wǎng)絡[5],針對海量非線性高維數(shù)據(jù)時,改進AE成棧式自動編碼器,把前一個AE的隱藏層的輸出作為后一個AE的輸入,即級聯(lián)起。

棧式自動編碼器通過每一層的神經(jīng)元自動地學習到數(shù)據(jù)中潛在的規(guī)律,用來表征高維的輸入數(shù)據(jù)。而海量高維非線性數(shù)據(jù)在棧式自動編碼器隱藏層節(jié)點數(shù)小于輸入/輸出層的節(jié)點數(shù),其學習效果才好,否則失去學習能力,導致原始數(shù)據(jù)輸出。本文引入稀疏,設置隱藏層節(jié)點數(shù)大于輸入輸出層的節(jié)點數(shù),在同一時刻設置隱藏層節(jié)點部分神經(jīng)元處“興奮”狀態(tài),其他神經(jīng)元保持“抑制”狀態(tài),即稀疏自動編碼器(Sparse Auto Encoder,SAE)實現(xiàn)了整個神經(jīng)網(wǎng)絡稀疏。

3.2 數(shù)據(jù)異常算法

支持向量機(Support Vector Machine,SVM)是一類按監(jiān)督學習方式對數(shù)據(jù)進行二元分類的廣義線性分類器,其基本原理是在空間尋找最優(yōu)決策面,使不同類別的數(shù)據(jù)能分布在決策面的兩側(cè),從而實現(xiàn)分類。SVM按其構(gòu)建模型由簡至繁可分為線性可分支持向量機、線性支持向量機和非線性支持向量機[6]。輸入向量[x1,x2,...,xm]通過SVM映射到中間節(jié)點,后線性組合,并加偏置b,得到結(jié)果y。

3.3 SAESM算法

整合SAE和SVM,設計基于深度學習的SAESM的簇頭節(jié)點數(shù)據(jù)壓縮及異常檢測算法,即實現(xiàn)數(shù)據(jù)降維后進行異常檢測,只對數(shù)據(jù)處理,與路由協(xié)議無關。其網(wǎng)絡假定條件同2.1一樣。

4 基于SLSTM的基站節(jié)點高級檢測

4.1 LSTM

遞歸神經(jīng)網(wǎng)絡(Recurrent Neural Network,RNN)是深度學習中一種非常重要的神經(jīng)網(wǎng)絡[7],通過在淺層的人工神經(jīng)網(wǎng)絡(Artificial Neural Network,ANN)中引入自反饋神經(jīng)元,讓整個網(wǎng)絡記憶所處理過的數(shù)據(jù)及關聯(lián)時間序列數(shù)據(jù)信息,便于充分挖掘輸入樣本間存在的關聯(lián)性,主要有輸入層、隱藏層和輸出層。針對RNN處理長距離依賴數(shù)據(jù)產(chǎn)生梯度爆炸,梯度消失及記憶不足等問題,Hochreiter等[8]提出一種長短時記憶網(wǎng)絡(Long Short Term Memory Network,LSTM),引入可控自循環(huán),使梯度長時間可持續(xù)流動且跟蹤信息。

4.2 SLSTM

整合SAE壓縮算法編碼輸出的數(shù)據(jù)發(fā)送到基站后使用LSTM多分類檢測算法進行入侵檢測,二者深度融合成SLSTM。

5 結(jié)語

本文采用分簇式網(wǎng)絡拓撲,改進NCRP算法與傳統(tǒng)LEACH對比分析,充分考慮了傳感器節(jié)點間的距離和能量問題,有效延長網(wǎng)絡工作時間;設計NCRP+SAESM算法基站節(jié)點接收數(shù)據(jù)量最多,比NCRP或LEACH單獨使用分別高出1.16倍和1.33倍,異常檢測的準確率高達94.42%,有效提高數(shù)據(jù)傳輸量和異常效率;SLSTM算法的準確率高達97.82%,相對RNN的記憶能力不足和存在梯度消失等,改進后算法提高了4.9%,檢測時間減少到33.50 s。與其他算法相比,本文算法實時性較強。