无线网状网(WMN)的入侵检测模型

摘 要：要实现WMN的应用最突出的是安全保障,由于无线网络的网络特性,其它网络节点的检测信息都不能被传统的分布式无线网络入侵检测模型有效地利用,本文对路由器之间交换检测信息入侵检测模型进行了研究探讨.

关 键 词：WMN；入侵检测；安全机制

中图分类号：TP393.02文献标识码：A文章编号：1007-9599(2012)01-0000-02

IntrusionDetectionModelStudyofWirelessMeshNetwork(WMN)

OuyangWeihao,LuoZhuojun

(HunanMassMediaVocationalTechnicalCollege,Changsha410100,China)

Abstract:ToachievethemostprominentofWMNsecurity,workcharacteristicsofwirelessworks,thedetectionofotherworknodesdonotbeefficientuseofdistributedwirelessworkintrusiondetectionmodel,theexchangebetweentherouterdetectioninformationintrusiondetectionmodelforthestudy.

Keywords:OfWMN,Intrusiondetection,Securitymechani

一、前言

无线网状网（WMN：WirelessMeshNetwork）是一种多跳、具有自组织和自愈特点的宽带无线网络结构,突破了Wi-Fi技术对每个接入点需要有线连接限制,覆盖区域能够无限扩大,缺点是缺乏安全保障,恶意节点能够很容易地进入网络当中,对WMN产生了巨大的威胁.有关WMN入侵检测技术和方法的研究还处于初级阶段,目前大多数的WMN入侵检测技术都是基于无线AdHoc和无线传感网络的.所以,研究适合于WMN的入侵检测技术,对于提高WMN的安全性促进其应用不断发展有着重大的意义.

二、研究现状

BryanParno等提出了基于传感器网络的分布式检测节点复制攻击的策略,PingYi等提出了基于F的分布式入侵检测,YongguangZhang等提出了基于AdHoc的分布式入侵检测系统的体系结构,刘军等提出了一种分布式网络协作入侵检测模型,D.Stenle等提出了一种网络动态地组成分级树状结构的入侵检测模型.WMN需要达到传统网络所要达到的一些基本的安全需求,同时,它还有一些特殊的安全要求.比如要考虑安全机制本身是否存在漏洞,安全机制要随着移动终端的增多而具有扩展性,当系统安全机制遭受攻击时仍然能为正常节点的提供安全的怎么写作,不能对通信量、存储量、带宽占用等造成太大的影响.

三、入侵检测模型的研究

(一)三种攻击模型

恶意的节点针对传统的分布式入侵检测方式,可以采用高速移动、间隙和通信边界三种方式实施攻击,这三种方法可以有效地躲避传统无线网络的分布式入侵检测模型.

1.高速移动攻击模型.

设无线路由器MR1最短可以在t时间内判定另一个无线路由器MR2为恶意节点,路由器的通信范围为a,恶意路由器的移动速度为v,当有v>2a/t时,该恶意路由器就无法被单独地检测出来.也就是说,攻击者只要让恶意路由器的移动速度超出2a/t,就可以避开检测,成功实施攻击.

2.间隙攻击模型.

检测设网络中的一些恶意节点轮流攻击路由器,恶意节点MR2在某一个路由器的监听范围内攻击MR1时,其他恶意节点从一个路由器的监听范围移动到另一个路由器的监听范围,MR2在要被检测出来之前就停止攻击,然后移动到另外一个路由器的监听范围内,在这个过程中,其他的恶意节点有可能攻击MR1,这样就可以实施对MR1的连续攻击.

3.通信边界攻击模型

因为无线通信设备都有一定的通信范围,攻击者可以利用无线设备的这个特点,使用通信边界路由器为分布式入侵检测模型实施攻击.在这个过程中,节点检测出来的时间t远远小于比攻击者的攻击时间,一般情况下很难完成攻击.但是,若攻击者选择一条处于多个路由器的通信边界上的移动路线,使每个路由器对它的监听时间小于t,或者不断地在多个路由器的监听范围内移动,就可以逃离入侵检测.

(二)检测模型

个别的路由器也有可能具有较高的移动性,攻击者也有可能人为地通过移动路由器达到攻击的目的.在恶意节点的入侵检测模型中,每个路由器保持着两项检测信息收集,其中一个是它自己检测到的,另一个是来自其他路由器节点的监听检测信息的收集.当一个新的检测信息加入时,路由器会利用这些信息评估新检测到的节点信息是否为恶意的路由器.网络中的每个路由器都会被在它通信范围中的所有其他路由器监听,一旦发现任何攻击行为,它们就将攻击行为记录下来.当路由器MR1根据检测规则判断节点R为恶意节点时,它就在网络中广播R为恶意节点的消息,并触发相应的机制来处理该事件.若无法判定R为恶意节点,那么R移动到另一个路由器MR2的监听范围后会触发路由器之间交换检测信息,MR1就获得了其他路由器的检测信息并在此之上继续监听R.在这个过程中,若任意一个监听R的路由器能判定其为恶意节点,它就广播消息.该检测模型通过信息交换让正在监听该恶意节点的路由器能获得其他路由器已有的检测信息.

(三)检测信息交换模型

通常情况下,因为那些需要交换信息检测路由器在被监听路由器的通信范围,所以它们都是能直接通信的相邻节点.但在某些情况下,这些路由器无法直接彼此之间的通信,需要借助网络来交换信息,这就增加了这些路由器的负载,所以交换检测信息的路由器的数量越少越好,而另一方面,并让那些参与检测信息路由器的信息交流的过程,让其他的路由器,以便获得它们的检测信息.

两个路由器可以直接通信,当它们要交换信息检测时,只需要直接发送到对方,不需要其他的路由器转发这些数据,他们的检测方法之间的信息交流是直接的交流.当两个路由器不是相邻的,就不能通过其他路由器的相邻点来转发数据包.它们只能通过其他路由器转发的信息检测即简介交换方式来交换检测信息.路由器在交换检测信息时,把这检测信息作为数据包发送给对方,由对方的应用层来处理它们,由于对于应用层以下是透明的,路由器在并不清楚要转发的信息是检测信息而只是当作普通的数据包处理.被监听节点在移动的过程中可能出现刚开始监听该节点的路由器和邻接点没有一个监听过该节点,刚开始监听的路由器就没有办法通过直接交换方式获取网络中的检测信息,此时,它要实现检测信息的间接交换只有借助其他不参与监听的路由器转发检测信息.

1.检测信息交换邻接点.

正因为有间接路由交换检测信息的交换方式的存在,在WMN进行检测信息交换的过程中,路由器并不总是和它的物理邻接点交换检测信息,有的时候,它需要通过网络路由的方式和一个非物理邻接点的路由器之间交换检测信息.但是,对于检测信息来说,直接交换和间接交换两种方式的目的都是为了完成在两个路由器之间交换检测信息,所以,交换过程中只要知道的是在哪些路由器之间进行交换检测信息,并不需要知道具体的交换方式.基于上述特性,可以在模型中定义检测信息交换邻接点,交换邻接点包括直接交换邻接点和间接路由交换邻接点.在WMN交换检测信息的过程中,与一个监听路由器交换检测信息的其他路由器就是该路由器的交换邻接点.

2.检测信息交换邻接表.

路由器对交换邻接表的维护工作包括三个方面：创建检测信息交换邻接表、更新检测信息交换邻接表和删除检测信息交换邻接表.首先,监听路由器RA在其通信范围内向所有路由器发送一个探测请求,询问是否为关于某一个被监听的路由器的交换邻接点,回应为肯定的路由器就被加入到交换邻接表中,将交换方式记录为直接交换；回应为否定的,RA就寻找间接路由交换的邻接点,找到后,再向这些间接交换邻接点发送探测请求,回应为肯定的路由器被加到交换邻接表中并记录为间接交换方式.每一个路由器的检测信息交换邻接表都需要定期更新,当更新检测信息交换邻接表时,向其他路由器发送一个探测请求.在RA旧的交换邻接表中所有的邻接点,以间接路由交换方式发送探测请求.在RA通信范围内的路由器,以直接交换方式发送.回应为肯定的路由器被加到交换邻接表中,并记录直接或间接的交换方式.如果一个回应为肯定的路由器既作为间接路由交换方式又作为直接交换方式,那么它只会被作为直接交换路由器记录下来.当一个路由器收到其他路由器发送的探测请求时,如果它有关于相应被监听路由器的交换邻接表时,它就回应为肯定,否则它就回应为否定.同时,如果RA不在它的交换邻接表中时,就要把该路由器添加到它的交换邻接表中,记录的交换方式为请求的交换方式.考虑到要尽量减少路由器的负载,一个路由器监听某个路由器达到一个足够长的时间后,如果它再也没有监听过该路由器,就应该将该路由器的交换邻接表删除,同时,它也不会回应其他路由器关于该路由器的探测请求.

四、结论

传统无线网络所采用的分布式入侵及监测模型因无线网络固有的特性,都没有办法有效利用网络中的检测信息.本文针对这个问题对适用的WMN入侵检测模型进行了研究探讨,考虑到WMN中的大部分路由器流动性低的特点,使用路由器和路由器相互交换检测信息的方法来弥补在无线网络分布式入侵检测单个节点的隔离检测的缺点.