物聯網分布式拒絕服務攻擊分段檢測系統設計

蔡 娜，劉 磊

（北京計算機技術及應用研究所，北京 100854）

物聯網是以傳統電信網絡和互聯網為基礎構建的新型信息承載體結構，它能夠自發執行獨立尋址指令，并可以將對象節點串聯起來，形成完善且穩定的互通網絡閉環。在實際應用過程中，物聯網結構體系的構建必須借助射頻識別技術[1]。隨著網絡覆蓋面積的增大，信息節點之間的聯系緊密度也在不斷增強。此時在射頻識別技術的作用下，單一信息節點所發出的傳輸數據文件能夠在較短時間內反饋至下級目標信息節點，且此過程中不會出現任何數據損失行為，這也是物聯網環境中數據信息傳輸量始終保持穩定的主要原因[2]。

在物聯網環境中，數據信息惡意攻擊行為不但會嚴重影響信息參量的傳輸完整性，還會使分布式網絡環境呈現出明顯波動連接狀態[3]。為避免上述情況的發生，傳統DoS 檢測系統以分布式框架為基礎，在準確提取數據信息傳輸文本參量的同時，利用IP 解析模塊，確定信息節點之間的互通連接關系[4]。然而，該系統對于數據信息惡意攻擊行為的屏蔽能力有限，并不能使物聯網分布式環境保持絕對穩定的連接狀態。針對上述問題，設計新型物聯網分布式拒絕服務攻擊分段檢測系統，并通過對比實驗，突出該系統的應用能力。

1 攻擊分段檢測系統硬件設計

1.1 Hadoop架構

Hadoop 架構是物聯網分布式拒絕服務攻擊分段檢測系統硬件執行環境的構建基礎，該架構由訪問層、網絡信息層、數據信息存儲層三部分組成，如圖1 所示。網絡信息層是Hadoop 架構的核心單元，可以根據Hive 節點與MR 節點、Hbase 節點與Solr 節點、Mahout 節點與Redis 節點之間的連接關系，判斷物聯網數據信息參量所處的實時傳輸位置[5-6]。由于網絡信息層結構同時與訪問層結構、數據信息存儲層結構相連，所以物聯網數據信息參量在Hadoop 架構中的傳輸行為始終保持通暢。

圖1 Hadoop架構示意圖

訪問層單元負責制定數據分析、物聯網信息查詢與攻擊挖掘指令。數據信息存儲層單元只包含物聯網分布式數據庫，負責生成長期的數據信息參量存儲文件。

1.2 數據包捕獲模塊

數據包捕獲模塊主要負責對物聯網中的各種數據包文件進行采集與預處理。該模塊是基于分布式網絡的讀取功能實現的，數據包文件的解析與處理效率直接影響主機元件對于信息攻擊行為的檢測準確性[7]。在分段檢測系統中，物聯網主機可以工作在多種不同的運行模式之下，以實現不同的攻擊行為檢測需求。主要模式有Ad-hoc 模式、Managed 模式、Monitor 模式。

1）Ad-hoc 模式

數據包捕獲模塊的主要工作模式，可以準確檢測出攻擊性物聯網數據所處位置，并可以借助信道組織，將檢測指令文件傳輸至下級應用模塊之中。

2）Managed 模式

數據包捕獲模塊Ad-hoc 工作模式的伴隨存在形式，能夠將攻擊性物聯網數據從分布式數據庫主機中分離出來，并將這些信息文本反饋回核心檢測主機[8]。

3）Monitor 模式

數據包捕獲模塊的從屬工作模式，可以根據Hadoop 架構連接狀態，確定待檢測物聯網數據信息的實際傳輸行為。

1.3 攻擊行為檢測模塊

攻擊行為檢測模塊作為Hadoop 架構的下級附屬結構，以MAC 設備作為核心應用設備，其與物聯網主機保持分布式連接關系。故而在提取惡意攻擊信息時，要求數據序列號的定義形式必須與數據信息樣本的實時排列形式保持一致[9]。其具體連接原理如圖2所示。

圖2 攻擊行為檢測模塊連接原理

MAC 設備對于物聯網惡意攻擊信息的提取遵循先序列號、再執行指令的原則。數據信息樣本作為過渡結構，可以按照序列號定義條件，對信息參量進行重排處理[10]。當物聯網惡意攻擊信息的實時排列形式與檢測模塊的執行標準完全相同時，MAC 設備會自發制定分段檢測指令，以便下級服務設備的調取與利用。

2 攻擊分段檢測系統軟件設計

2.1 物聯網集群定義

物聯網集群的主要功能是將惡意數據信息接入分段檢測主機中，再根據拒絕服務指令的傳輸形式，確定與惡意信息參量匹配的數據傳輸流量水平。隨著分布式物聯網框架覆蓋面積的增大，集群節點的定義數量也在不斷增多。為使流量指標能夠與惡意信息參量完全匹配，定義物聯網集群節點時，必須考慮物聯網主機對于傳輸數據信息的實時檢測能力[11-12]。設w、e表示兩個不相同的數據信息分段定義系數，qi,e表示基于系數e的攻擊行為檢測參量，qi,w表示基于系數w的攻擊行為檢測參量。聯立上述物理量，可將物聯網集群表達式定義為：

式中，i表示惡意數據信息的流量標度值，β表示物聯網體系的分布式特征值，ΔP表示惡意數據信息的單位傳輸量。對于分段檢測系統而言，物聯網集群節點分布得越分散，主機元件對于數據信息參量的感知與辨別能力也就越強。

2.2 分布式執行指令

分布式執行指令決定了物聯網主機對于拒絕服務連接行為的處理能力，在已知物聯網集群定義標準的條件下，待執行指令之間的關聯程度越高，惡意數據信息與常規傳輸信息之間的差異性等級也就越高，即系統主機具有較強的檢測能力[13-14]。定義分布式執行指令時，需掌握惡意數據信息傳輸強度γ的具體數值，計算表達式如下：

式中，α表示拒絕服務連接行為執行強度，y1、y2表示兩個隨機選取的物聯網體系分布式構建向量，yˉ表示向量y1與y2的平均值。在式（2）的基礎上，設δ表示常規數據信息的傳輸等級系數，χ表示惡意數據信息的傳輸等級系數，聯立式（1），可將分布式執行指令定義條件表示為：

其中，f表示惡意數據信息、常規數據信息之間的關聯差異系數。為實現對物聯網分布式拒絕服務攻擊的準確檢測，定義分布式執行指令時，系數δ的取值必須大于系數χ。

2.3 拒絕服務應用機制

拒絕服務應用機制表現了物聯網體系的分段應用等級，若將分布式執行指令作為已知條件，惡意數據信息的實時傳輸量越大，檢測主機能夠屏蔽的攻擊性行為種類也就越多[15-16]。建立拒絕服務應用機制時，需求取物聯網主機對于惡意數據信息的極限承載條件。設ω表示惡意數據信息的分段特征，d表示決絕服務攻擊行為指令的分段特征。物聯網主機對于惡意數據信息承載量極小值smin、極大值smax的計算結果如式（4）所示：

設k1、k2、…、kn表示n個不同的拒絕服務攻擊行為向量。聯立式（3）、式（4），可將拒絕服務應用機制定義條件表示為：

至此，完成對各項指標參量的計算與處理。在不考慮其他干擾條件的情況下，實現物聯網分布式拒絕服務攻擊分段檢測系統的設計與應用。

3 實例分析

為驗證檢測系統對數據信息惡意攻擊行為的屏蔽能力，設計如下對比實驗。

步驟一：選擇物聯網分布式拒絕服務攻擊分段檢測系統作為實驗組應用方法；

步驟二：選擇DoS檢測系統作為對照組應用方法；

步驟三：以一臺額定承載量為5 TB 的物聯網主機作為實驗設備；

步驟四：利用實驗組檢測系統對實驗設備進行控制；

步驟五：記錄實驗組數據信息惡意攻擊行為強度數值；

步驟六：利用對照組檢測系統對實驗設備進行控制；

步驟七：記錄對照組數據信息惡意攻擊行為強度數值；

步驟八：對比實驗組、對照組的實驗記錄數值；

步驟九：分析實驗結果，總結實驗規律；

數據信息惡意攻擊行為強度ψ可以描述物聯網分布式環境的連接穩定性，前者的計算取值越大，后者的連接穩定性也就越強。

數據信息惡意攻擊行為強度ψ計算式如下：

式中，ω表示定向檢測系數，θ表示檢測指令執行系數。

表1 記錄了實驗組、對照組ω指標與θ指標的實驗取值結果。

表1 實驗指標取值

分析表1 中數據可知，實驗組、對照組ω指標的數值差水平不大，前者最大值為2.28、平均值為2.27，后者最大值為2.29、平均值為2.27；而實驗組θ指標的數值水平較低、對照組θ指標的數值水平相對較高，前者最大值為19.36、平均值為17.96，后者最大值為35.08、平均值為33.41。

聯合式（6）與表1 中的實驗數值，計算數據信息惡意攻擊行為強度ψ，詳情如表2 所示。

表2 數據信息惡意攻擊行為強度

分析表2 可知，整個實驗過程中，實驗組ψ指標數值水平較低，其最大值為43.75、平均值為40.80；對照組ψ指標數值水平則相對較高，其最大值為79.63、平均值為75.95。

綜上可知，在物聯網分布式拒絕服務攻擊分段檢測系統的作用下，數據信息惡意攻擊行為強度指標的數值水平得到了較好控制，其計算結果最大值由79.63 降低至43.75，單位下降幅度為35.88，其計算結果最小值由72.70 下降至36.80，單位下降幅度為35.90。與DoS 檢測系統相比，物聯網分布式拒絕服務攻擊分段檢測系統能夠較好屏蔽數據信息的惡意攻擊行為，這與維持物聯網分布式環境連接穩定性的初衷相符合。

4 結束語

隨著物聯網分布式拒絕服務攻擊分段檢測系統的應用，數據信息惡意攻擊行為強度指標均值被控制在41 以下，這對于屏蔽數據信息的惡意攻擊行為，確保物聯網分布式環境的連接穩定性具有較強的實用性價值。在DoS 檢測系統的基礎上，分段檢測系統以Hadoop 架構為基礎，在數據包捕獲模塊的作用下，調節攻擊行為檢測模塊的實際作用能力。根據物聯網集群定義表達式，完善拒絕服務應用機制的作用形式，對于促進分布式執行指令的準確傳輸，可以起到較強的促進性影響作用。