一种面向多交通主体融合场景的DDoS攻击两阶段溯源方法

本发明涉及网络安全，具体涉及一种面向多交通主体融合场景的ddos攻击两阶段溯源方法。

背景技术：

1、随着智能交通系统的持续演进，地面车联网已从单一通信架构拓展为融合无人机与路侧单元（roadside unit，rsu）的多主体异构网络。低空技术的快速发展推动了车辆—无人机融合系统的形成，该系统通过车辆间通信、车辆与路侧单元通信及车辆与无人机通信等多类链路实现空地协同，在交通感知、协同控制与应急响应等领域展现出广阔的应用前景。然而，该系统因节点异构、信道开放及拓扑动态变化显著扩大了网络攻击面。ddos攻击可借助系统中的脆弱节点向边缘基站注入海量虚假请求，致使避障、地图同步等安全关键业务中断，在高速移动场景中甚至可能引发连锁交通事故。若不能定位攻击源头，防御措施只能停留在对受害端的被动流量清洗层面，无法从根源上阻断攻击。在车辆—无人机融合场景中，攻击者普遍采用网络协议（internet protocol，ip）地址伪造与媒体访问控制（media access control，mac）地址篡改等手段掩盖真实身份，仅依赖网络层信息的传统溯源机制难以穿透身份欺骗层，推动了基于sdn全视角的溯源方法。sdn 控制器的集中管控能力使精细化流量分析成为可能，然而单纯依赖逻辑层的流统计信息在面对精心伪造流量分布的对抗样本时识别精度会显著下降，且难以穿透攻击者构造的身份伪装层，这一局限促使研究者转向物理层中不可伪造的内生特征。虽然物理层特征难以伪造，但受信道衰落、多径效应等环境影响，单次测量或单一维度的物理特征判别可靠性有限，易产生误报或漏检。同时，车辆和无人机的高速移动导致网络拓扑频繁变化，传统的包标记等溯源方法难以在攻击持续期间完成收敛，且计算开销大，无法满足车联网场景下的实时性要求。

技术实现思路

1、针对现有技术中的上述不足，本发明提供了一种面向多交通主体融合场景的ddos攻击两阶段溯源方法，用于解决现有方法存在的ddos攻击溯源精度低、实时性要求高、溯源鲁棒性不足的问题。

2、为了达到上述发明目的，本发明采用的技术方案为：

3、一种面向多交通主体融合场景的ddos攻击两阶段溯源方法，包括以下步骤：

4、构建ddos攻击溯源网络系统模型，包括车辆节点、无人机节点、固定基础设施及核心网络层；

5、基于ddos攻击溯源网络系统模型，提取多维流量特征并进行异常判定，当某流量特征存在异常时，执行加权bfs路径回溯，生成嫌疑车辆节点集合；

6、对每个嫌疑车辆节点进行接收信号强度指示一致性校验，提取观测窗口内接收信号强度指示残差的均值、方差及最大值，作为残差特征；

7、对每个嫌疑车辆节点进行轨迹连续性校验，提取观测窗口内马氏距离的均值及连续异常计数，作为轨迹特征；

8、获取每个嫌疑车辆节点发送数据包的到达间隔时间序列，提取观测窗口内到达间隔时间的均值、方差、偏度及峰度，作为到达间隔时间特征；

9、基于残差特征、轨迹特征及到达间隔时间特征，构建特征向量，并输入多维深度卷积分类器进行训练，生成训练好的多维深度卷积分类器；

10、获取所有车辆节点在各观测窗口的特征向量，将其输入训练好的多维深度卷积分类器，生成每个车辆节点在各观测窗口的分类结果，并采用逐窗口多数投票机制进行平滑决策，得到攻击车辆。

11、本发明具有以下有益效果：

12、1.本发明所提出的一种面向多交通主体融合场景的ddos攻击两阶段溯源方法，采用粗粒度筛选-细粒度锁定的两阶段架构，融合流量特征与物理特征的互补优势，在第一阶段利用低开销的流量统计指标和加权反向路径回溯快速缩小嫌疑范围，在第二阶段仅对少数嫌疑车辆节点进行高精度的物理层校验，通过融合rssi残差、ekf轨迹预测和iat统计等多维物理层不可伪造特征，利用多维深度卷积分类器mddcc学习其协同异常模式，实现了对攻击者真实物理身份的精准锁定；

13、2.本发明所提的ddos攻击两阶段溯源方法，第一阶段的目标为高召回率，不遗漏真实攻击路径，允许一定误报，第二阶段的目标为实现高精确率的攻击者身份锁定，两阶段的级联使得ddos攻击溯源网络系统既具备全局层面的快速响应能力，又具备个体层面的精准定位能力。

1.一种面向多交通主体融合场景的ddos攻击两阶段溯源方法，其特征在于，包括以下步骤：

2.根据权利要求1所述的ddos攻击两阶段溯源方法，其特征在于，多维流量特征包括源ip地址的香农熵、路侧单元端口的packet-in速率比。

3.根据权利要求2所述的ddos攻击两阶段溯源方法，其特征在于，提取多维流量特征并进行异常判定的过程为：

4.根据权利要求1所述的ddos攻击两阶段溯源方法，其特征在于，执行加权bfs路径回溯，生成嫌疑车辆节点集合的过程为：

5.根据权利要求1所述的ddos攻击两阶段溯源方法，其特征在于，对每个嫌疑车辆节点进行接收信号强度指示一致性校验，提取观测窗口内接收信号强度指示残差的均值、方差及最大值的过程为：

6.根据权利要求1所述的ddos攻击两阶段溯源方法，其特征在于，对每个嫌疑车辆节点进行轨迹连续性校验，提取观测窗口内马氏距离的均值及连续异常计数的过程为：

7.根据权利要求1所述的ddos攻击两阶段溯源方法，其特征在于，获取每个嫌疑车辆节点发送数据包的到达间隔时间序列，提取观测窗口内到达间隔时间的均值、方差、偏度及峰度的过程为：

8.根据权利要求1所述的ddos攻击两阶段溯源方法，其特征在于，多维深度卷积分类器包括维度重组模块、第一卷积块、第二卷积块、第三卷积块、展平层、第一全连接层、第二全连接层、第三全连接层、softmax函数层；

9.根据权利要求8所述的ddos攻击两阶段溯源方法，其特征在于，基于残差特征、轨迹特征及到达间隔时间特征，构建特征向量，并输入多维深度卷积分类器进行训练，生成训练好的多维深度卷积分类器的过程为：

10.根据权利要求9所述的ddos攻击两阶段溯源方法，其特征在于，加权交叉熵损失函数，表示为：