一种基于时序特征与消息模式的FC-AE-ASM网络入侵检测方法与流程

本发明涉及航空电子网络通信安全的，具体而言，涉及一种基于时序特征与消息模式的fc-ae-asm网络入侵检测方法。

背景技术：

1、fc-ae-asm协议作为新一代战机机载主干通信网络的核心协议，承载着航电系统处理器、传感器和显示器之间的实时通信业务。fc-ae-asm协议采用匿名订阅消息模型，每个asm通道由message id、sid和did三元组标识，消息按照固定周期发送，具有严格的时序确定性和可预测的消息模式。

2、然而，fc-ae-asm协议缺乏安全机制——无消息认证、无完整性校验以及无网络入侵检测能力。攻击者可利用协议的安全缺陷，向网络注入伪造asm消息（即消息注入攻击）、以异常频率发送消息制造网络拥塞（即泛洪攻击）、或在正常消息中缓慢篡改负载内容（即慢速篡改攻击）。上述攻击行为可能导致航电设备接收到错误的控制指令或传感器数据，危及飞行安全。

3、同时，fc-ae-asm消息具有严格的时序确定性特征——固定的消息周期、可预测的message id分布以及稳定的负载大小，这一时序确定性特征为基于行为基线的入侵检测技术提供了天然条件。通过建立正常通信行为的基线模型，实时检测偏离基线的异常行为，可有效发现各类攻击。

4、与本发明最接近的现有技术主要包括：cn105515866a和 cn115086192a这两类方案。其中，cn105515866a公开了一种基于fc-ae-asm协议通信的事件及时间监控方法，该方案通过时间触发和事件触发方式监控fc-ae-asm协议通信数据链路，在符合触发条件时开始或停止捕获数据，实现通信过程的监控。但是，该方案仅实现通信过程的数据捕获和监控，不具备安全分析能力，无法识别异常消息、检测入侵行为或触发安全告警，仅用于通信质量评估。

5、cn115086192a公开了一种数据处理方法、装置、系统及监控卡，该方案获取fc-ae-asm格式的数据帧，解析得到通信数据并确定帧类型（正确帧或错误帧），将通信数据重新组合后发送，实现对fc-ae-asm通信板卡的数据监控。但是，该方案虽然实现对fc-ae-asm帧的解析和帧类型识别（正确/错误帧），但仅关注帧的传输错误（如crc错误），不涉及安全层面的入侵检测，无法识别格式正确但内容恶意的安全威胁。

6、综上，现有fc-ae-asm监控技术均不具备fc-ae-asm网络的安全入侵检测能力，无法发现消息注入、泛洪攻击和慢速篡改等安全威胁，无法满足新一代机载航空电子网络的安全防护需求。

技术实现思路

1、本发明旨在解决现有fc-ae-asm网络缺乏入侵检测能力的问题。

2、为此，针对现有技术存在的不足，本发明的目的是提供一种基于时序特征与消息模式的fc-ae-asm网络入侵检测方法。

3、为了实现上述目的，本发明的技术方案，提供了一种基于时序特征与消息模式的fc-ae-asm网络入侵检测方法。该基于时序特征与消息模式的fc-ae-asm网络入侵检测方法，包括：步骤s1：在fc-ae-asm网络链路部署旁路监测探针，以供通过所述旁路监测探针将自身生成的各asm消息的asm消息特征上传至入侵检测分析引擎；步骤s2：通过入侵检测分析引擎对所述asm消息特征进行提取，得到asm消息的时间特征、标识特征、负载特征及序列特征，再基于所述asm消息的时间特征、标识特征、负载特征及序列特征，构建多维特征向量；步骤s3：在fc-ae-asm网络被初始化后的稳定运行期间，通过入侵检测分析引擎对每个asm通道分别建立正常通信行为基线模型；步骤s4：通过入侵检测分析引擎，采用cusum算法对各asm通道的当前asm消息与上一条asm消息的到达时间间隔进行时序异常检测，以对asm消息间隔异常情况进行识别；步骤s5：通过入侵检测分析引擎，基于每个fc域的预设正常message id集合id_set及对应合法sid，识别非法message id及来源sid异常的消息，以对消息注入攻击进行识别；步骤s6：通过入侵检测分析引擎，基于滑动时间窗口，统计通道asm消息频率和全网asm消息总速率，以对泛洪攻击进行识别；步骤s7：通过入侵检测分析引擎，将每个asm通道的负载按照固定偏移划分为若干个数据块，并计算每个数据块的统计特征，形成负载模式指纹，再通过所述负载模式指纹对慢速篡改攻击进行识别；步骤s8：通过入侵检测分析引擎，对步骤s4至步骤s7的多维度异常检测结果进行关联分级，根据异常维度数量输出不同等级告警，并执行对应安全响应，再将所有告警事件及关联分析结果记录在安全事件日志中，以便支持事后追溯和分析。

4、优选地，在步骤s1中，通过所述旁路监测探针将自身生成的各asm消息的asm消息特征上传至入侵检测分析引擎，具体包括：步骤s11：通过所述旁路监测探针，以非侵入方式捕获各asm消息的fc帧，并针对fc帧生成对应时间戳；步骤s12：通过所述旁路监测探针，对fc帧进行解析，得到asm帧头和负载信息；步骤s13：通过所述旁路监测探针，对所述asm帧头和负载信息进行解析，得到message id、sid、did、seq_id、asm消息传输优先级和负载长度；步骤s14：通过所述旁路监测探针，基于message id、sid、did、seq_id、asm消息传输优先级、负载长度和时间戳，生成asm消息特征，再将所述asm消息特征实时上传至入侵检测分析引擎；其中，所述旁路监测探针采用被动监听方式且不具备发送能力；所述旁路监测探针部署于fc交换机镜像端口；所述asm消息特征包括：message id、sid、did、seq_id、asm消息传输优先级、负载长度和时间戳；其中sid和did通过步骤s13解析asm帧头得到。

5、优选地，在步骤s2中，时间特征包括：asm消息到达时间戳以及与同通道上一条asm消息的到达时间间隔；标识特征包括：message id、sid和did；负载特征包括：负载长度和负载哈希值；序列特征包括：seq_id值和seq_id增量；在步骤s3中，所述正常通信行为基线模型包括以下统计量：asm消息周期均值、asm消息周期标准差、message id分布集合id_set、负载长度均值、负载长度标准差和asm消息间隔分布参数。

6、优选地，在步骤s4中，采用cusum算法对各asm通道的当前asm消息与上一条asm消息的到达时间间隔进行时序异常检测，以对asm消息间隔异常情况进行识别，具体包括：步骤s41：定义当前asm消息的上偏检测统计量和下偏检测统计量分别为：

7、；

8、；

9、其中，k为cusum算法的参考值（allowance），用于指示需要检测的最小漂移幅度；为与同通道上一条asm消息的到达时间间隔；为上一条asm消息的上偏检测统计量；为上一条asm消息的下偏检测统计量；为asm消息周期均值；

10、步骤s42：判断 是否超过阈值h以及是否超过阈值h；步骤s43：当超过阈值h时，判定asm消息间隔异常增大，可能指示消息丢失或链路干扰；当超过阈值h时，判定asm消息间隔异常减小，可能指示消息注入或泛洪攻击。

11、优选地，在步骤s5中，通过入侵检测分析引擎识别消息注入攻击，具体包括：步骤s51：通过入侵检测分析引擎，维护每个fc域的预设正常message id集合id_set；步骤s52：当检测到asm消息的预设正常message id不在id_set中时，判定为消息注入攻击，并执行步骤s54：步骤s53：当检测到asm消息的预设正常message id在id_set中，但存在来源sid异常的情况，即该预设正常message id的正常发送方sid与当前消息的sid不一致，同样判定为消息注入攻击，并执行步骤s54；步骤s54：立即触发安全告警，并记录注入消息的完整特征，再将注入消息的完整特征上报至网络安全管理中心。

12、优选地，步骤s6，具体包括：步骤s61：通过入侵检测分析引擎，为每个asm通道和每个fc节点维护消息计数器，并在滑动时间窗口内统计asm消息数量；步骤s62：基于asm消息数量，统计通道asm消息频率，并在asm消息频率超过基线均值的3倍标准差时，判定为泛洪攻击，再执行步骤s64；步骤s63：统计全网asm消息总速率，并在全网asm消息总速率超过全网基线阈值时，判定为泛洪攻击，再执行步骤s64；步骤s64：在检测到泛洪攻击时，通过入侵检测分析引擎识别泛洪源sid，并通过管理网络向fc交换机下发流量限制指令，以实现对泛洪源的发送速率进行限制。

13、优选地，在步骤s7中，计算每个数据块的统计特征，以形成负载模式指纹，再通过所述负载模式指纹对慢速篡改攻击进行识别，具体包括：步骤s71：计算每个数据块的均值、方差与熵值，形成负载模式指纹；步骤s72：当检测到所述负载模式指纹偏离基线超过阈值m时，判定为慢速篡改攻击，再执行步骤s73；步骤s73：当连续消息的负载哈希值的时序规律不同于正常运行时的固有规律，即当连续消息的负载哈希值变化模式偏离正常模式时，同样判定为慢速篡改攻击，再执行步骤s74；步骤s74：触发慢速篡改告警。

14、优选地，在步骤s8中，根据异常维度数量输出不同等级告警，并执行对应安全响应，具体包括：步骤s81：当单一维度异常时，触发低级告警，即触发关注级告警，不执行对应安全响应；步骤s82：当两个维度异常时，触发中级告警，即触发警告级告警，不执行对应安全响应；步骤s83：当三个及以上维度异常时，触发高级告警，即触发紧急级告警，并自动触发对应安全响应，以使所述入侵检测分析引擎通过管理网络向网络安全管理中心上报，由网络安全管理中心决策是否执行通道隔离、密钥更新或网络重构的响应措施。

15、本发明具有的有益技术效果如下：

16、本发明提供一种基于时序特征与消息模式的fc-ae-asm网络入侵检测方法。本发明利用asm消息的时序确定性特征，建立消息周期、message id分布、负载大小和消息间隔的正常行为基线模型，并通过cusum异常检测算法，实时检测偏离基线的异常行为，从而实现对消息注入攻击、泛洪攻击和慢速篡改攻击的自动识别与告警。

17、相对于传统的签名匹配检测方法，本发明的漏检率预期可降低至5%以下；相对于传统的阈值告警法，误报率预期可降低至3%以下。通过旁路监测探针的非侵入式部署，本发明在不影响原有fc-ae-asm网络通信性能的前提下，实现了对网络流量的实时安全监测，有效提升了航空电子网络的安全防护能力。

18、本发明的附加方面和优点将在下面的描述中变得明显，或通过本发明的实践了解到。