WSN-DS：A Dataset for Intrusion Detection Systems in Wireless Sensor Networks

《WSN-DS：A Dataset for Intrusion Detection Systems in Wireless Sensor Networks》阅读笔记

摘要

无线传感器网络（WSN）由于其广泛的应用，包括关键的军事和民用应用，已日益成为计算机科学中最热门的研究领域之一
为确保 WSN 服务的安全性和可靠性，应建立入侵检测系统，IDS 必须与无线传感器网络的特征兼容，能够检测尽可能多的安全威胁
本文研究了 WSN 中最流行的分层路由协议之一 LEACH 协议的使用
本文开发一个专门针对 WSN 的数据集，以更好地检测和分类四种类型的拒绝服务攻击：黑洞、灰洞、泛洪和调度攻击
本文定义了从 NS2 收集数据、处理以产生23个特征的一个方案，数据集称 WSN-DS
ANN 在数据集上进行训练，检测和分类不同的拒绝服务攻击。该方法提高了入侵检测系统的分类准确率
- WEKA 工具箱
- holdout、10 折交叉验证两种方法一起使用
- 最佳方案为一个隐藏层 + 10 折交叉验证，对黑洞、泛洪、调度和灰洞攻击的分类准确率分别为92.8%、99.4%、92.2%、75.6%和99.8%。

介绍

WSN 由于其广泛的实时应用，如关键军事监控、战场、建筑安全监控、森林火灾监控和医疗保健等，已经成为一个越来越重要的研究领域【1】
WSN 由大量自治传感器节点组成，收集重要数据，协作地将收集到的数据无线传输到称为汇聚节点或基站（BS）的更强大节点【2，3】
问题
- WSN 资源有限（电池能量、内存、处理能力），传统的安全措施，如密码学，并不合适，但 WSN 的开放性和分布性以及传感器节点资源的有限性，它极易受到攻击
- WSN 中数据包广播必须频繁进行，传感器节点可以随机部署在环境中，因此攻击者很容易进行注入攻击【5】
- 攻击者可以危害传感器节点，窃听消息，注入虚假消息，改变数据的完整性，并浪费网络资源
- 拒绝服务攻击被认为是威胁 WSN 安全的最常见和最危险的攻击之一，主要目的是中断或暂停 WSN 提供的服务【6，7】
需要 IDS 检测已知和未知的攻击，向传感器节点发出警报
- 传感器节点通常很小很便宜，没有足够的硬件资源
- WSN 没有专门的数据集包含可用于检测攻击者的正常配置文件和攻击【3】
- 在为 WSN 设计 IDS 时，主要有两个条件：检测已知和未知攻击时必须具有高度的准确性、必须是轻量级
本文构建了一个专门的 WSN 数据集，用于描述四种类型的 Dos 攻击。使用低能量感知簇层次结构（LEACH）【9】路由协议—— LEACH 是 WSN 最流行的分层路由协议之一，消耗的能量有限，具有简单的特点。构建的数据集称为 WSN 数据集

LEACH 的数学分析

确保所构建的 WSN-DS 数据集正确性，对 LEACH 各阶段进行数学分析，与没有 Dos 的模拟结果进行比较
LEACH 模型中使用的术语如下：
具体分析略

WSN-DS 描述和创建

为了在传感器节点之间分配负载，每个传感器将参与监控过程，并且应该能够监控其邻居的集合
如何找到传感器节点要监视的合适数量的节点，以便监控所有网络传感器——实验表明监视 3 个相邻节点不足以获得关于所有网络传感器节点的信息，而监视 5 个邻居节点足以获得关于网络中所有节点的信息，并且不需要通过进一步增加计算复杂度
经过对 LEACH 协议的研究，提取了 23 个属性识别每个节点的状态
- Node ID：节点 ID
- Time：节点的当前模拟时间
- Is CH：flag 标识
- Who CH：当前轮次的 CH 节点
- RSSI：节点与 CH 之间接收信号强度指示
- Distance to CH：当前轮次节点和其 CH 距离
- Max distance to CH：簇中 CH 和节点最大距离
- Average distance to CH：簇中节点到 CH 的平均距离
- Current energy：节点当前能量
- Energy consumption：上一轮消耗的能量
- ADV CH send：发送到节点的广播消息数量
- ADV CH receives：从 CHs 收到的广播 CH 消息数
- Join REQ send：节点发送到通道的加入请求消息的数量
- Join REQ receive：通道从节点接收的加入请求消息的数目
- ADV SCH send：发送到节点的时分多址调度广播消息的数量
- ADV SCH receives：从 CHs 接收的时分多址调度消息数
- Rank：该节点在时分多址调度中的顺序
- Data sent：传感器发送到其通道的数据包数量
- Data received：从 CH 接收的数据包数量
- Data sent to BS：发送给基站的数据包数量
- Distance CH to BS：CH 和 BS 之间的距离
- Send Code：集群发送代码
- Attack Type：攻击类型

攻击模型

为了确保攻击者节点的正确分布，网络地形被划分为10个区域。攻击者的比例在这些区域内随机分布

黑洞攻击

攻击者通过广播消息，称自己为一个 CH 节点来影响 LEACH 协议
加入该信道的任意一个节点将向伪 CH 节点发送数据包，以转发到基站，但攻击者将丢弃这些数据包
为了在模拟环境中实施这种攻击，随机注入了几个攻击者的强度（10%、30% 和 50%）来执行黑洞攻击——攻击者作为 CH 将丢弃所有通过他们中继到基站的数据包

灰洞攻击

攻击者将自己广播为 CH 节点
当伪造的信道从其他节点接收数据包时，随机或选择性地丢弃一些数据包【40–42】
随机注入 10%，30%，50% 的传感器节点

泛洪攻击

发送大量高传输功率的广播 CH 消息来研究洪泛攻击的影响
当传感器接收到大量 ADV-CH 信息时，将消耗传感器的能量并浪费更多的时间来确定加入哪个频道
攻击者试图欺骗受害者选择它作为 CH 节点，特别是那些位于离它很远的节点，以消耗他们的能量【40，43】
在一些实验中，攻击者发送了 10 条 ADV-CH 信息；其他情况发送 10 到 50 条 ADV-CH 信息

调度攻击

调度攻击发生在数据传输时隙的时分多址调度上
充当 CH 的攻击者为所有节点分配相同的时隙来发送数据，导致数据包冲突，从而导致数据丢失

实验和结果

LEACH 协议被用来收集数据集，因为它是 WSN 中最常见和最广泛使用的路由协议之一
WSN-DS 包含 374661 条记录
NS-2参数：
使用 WEKA 评估数据集
- WEKA 是一个开源数据挖掘软件套件
- 包括多个数据预处理、聚类、分类、回归、可视化的算法
- 七个性能指标：
  - 混淆矩阵（四个，TPR，TNR，FPR，FNR）
  - 总体准确率（A）
  - 精密度（P）
  - 均方根误差（RMSE）——RMSE 越低，表示评估越准确。零表示没有错误
训练 ANN 进行判别（输入 23 个属性的数据，输出攻击类型）
- holdout，数据集分割如下
- 10 折交叉验证：训练数据集分成 10 个相等的部分，9 个用于训练 1 个用于评估，重复10 次
MLP 网络的参数
* 一个隐藏层 11 个神经元 * 两个隐藏层（11+5） * 三个隐藏层（11+5+2）
结果：
更多结果以表格形式给出，但都是那种比较简单的三线表，如：
- holdout + 一个隐藏层 + 不同类别对应的混淆矩阵
- holdout + 一个隐藏层 + 各个指标数据
- holdout + 两个隐藏层 + 各个指标数据
- holdout + 三个隐藏层 + 各个指标数据
- 交叉验证 + 一个隐藏层 + 各个指标数据
- ….
最佳的分类攻击的方法是：交叉验证+一个隐藏层

总结

设计一种智能入侵检测和防御机制，以合理的代价有效地限制 Dos 攻击
为 WSN 构建了一个专门的数据集，用于对四种类型的 Dos 攻击分类
本文对创建的数据集进行了数学验证，以确保其正确性
利用 WEKA 工具箱建立了 MLP 模型，使用两种方法对攻击进行分类：holdout 和 10 折交叉验证，使用一个、两个和三个隐藏层。一个隐藏层时，攻击的分类准确率为 92.8%、99.4%、92.2%、75.6% 和99.8%
这项工作可以扩展到包括数据链路层的其他类型的 DoS 攻击，如虫洞或 Sybil
可以考虑对 LEACH 以外的协议和 WSN 不同层的攻击

More Than Code

WSN-DS：A Dataset for Intrusion Detection Systems in Wireless Sensor Networks

摘要

介绍

相关工作

LEACH 协议

基于 LEACH 的协议

WSN 中的 Dos 与 IDS

LEACH 的数学分析

WSN-DS 描述和创建

攻击模型

黑洞攻击

灰洞攻击

泛洪攻击

调度攻击

实验和结果

总结