CN116800504A - 一种终端物理指纹提取及非法接入动态认证方法和装置 - Google Patents

Abstract

本发明涉及工业控制***攻击检测技术领域，公开了一种终端物理指纹提取及非法接入动态认证方法和装置，方法包括：获取任一终端的采样信息；根据采样信息生成任一终端对应的多个电压信号子序列；根据多个电压信号子序列生成由多个时域和频域特征构成的特征序列；基于前向特征选择算法根据特征序列构建物理指纹模型；利用多标签SVM分类器根据物理指纹模型得到任一终端对应的分类结果；判断是否存在终端非法接入。由于物理指纹模型的构建包含了时域和频域上多个特征，达到了提高多标签SVM分类器对终端非法接入认证准确性的目的，解决了相关技术中存在的终端非法接入动态认证准确性较低的问题。

Description

一种终端物理指纹提取及非法接入动态认证方法和装置

技术领域

本发明涉及工业控制***攻击检测技术领域，具体涉及一种终端物理指纹提取及非法接入动态认证方法和装置。

背景技术

在工控***的现场总线网络中，攻击者通过接入非法终端或者通过伪装攻击发送恶意指令来破坏或控制***，造成总线网络中设备工作的异常，甚至扰乱***的稳定运行，这对工控***来说是极大的威胁。其中，非法设备入侵通过绕过身份验证和访问控制来获取对网络的访问权限，此类非法设备常隐蔽于网络中难以检测。目前使用深度学习、机器学习和网络流量分析等技术可以实现对网络流量进行分析和监测，通过检测异常流量从而识别恶意行为或非法终端。但是这种方法在检测是否存在终端非法接入时的准确性较低。因此，现有技术中存在终端非法接入动态认证准确性较低的问题。

发明内容

有鉴于此，本发明提供了一种终端物理指纹提取及非法接入动态认证方法和装置，以解决终端非法接入动态认证准确性较低的问题。

第一方面，本发明提供了一种终端物理指纹提取及非法接入动态认证方法，包括：获取任一终端的采样信息；根据采样信息生成任一终端对应的多个电压信号子序列；根据多个电压信号子序列生成由多个时域特征和多个频域特征构成的特征序列；基于前向特征选择算法根据特征序列构建物理指纹模型；利用多标签SVM分类器根据物理指纹模型得到任一终端对应的分类结果；根据分类结果判断是否存在终端非法接入。

在本发明实施例中，获取任一终端的采样信息，生成对应的多个电压信号子序列并提取出多个时域特征和多个频域特征构成特征序列，利用特征选择算法筛选时域和频域特征构建物理指纹模型，然后利用多标签SVM分类器根据终端的物理指纹模型判断该终端是否存在非法接入。一方面，通过实时获取采样信息，可提高终端非法接入动态认证的实时性。另一方面，由于物理指纹模型的构建包含了时域和频域上多个特征，达到了提高多标签SVM分类器对终端非法接入认证准确性的目的，进而解决了相关技术中存在的终端非法接入动态认证准确性较低的问题。

在一种可选的实施方式中，采样信息包括：终端ID，分类结果包括：预测得分及预测ID，根据分类结果判断是否存在终端非法接入，包括：若预测得分小于预设阈值，判定存在终端非法接入；若预测得分大于等于预设阈值，判定不存在终端非法接入；当判定不存在终端非法接入时，将预测ID和终端ID进行比较；若预测ID和终端ID不一致，判定存在伪装攻击；若预测ID和终端ID一致，判定不存在伪装攻击。

在本发明实施例中，首先检测是否存在终端非法接入，当判定不存在终端非法接入时，再检测是否存在伪装攻击，解决了现场总线网络中难以有效检测终端非法接入和伪装终端的问题，达到了提高终端认证可靠性的效果。

在一种可选的实施方式中，在判定存在终端非法接入或判定存在伪装攻击之后，方法还包括：根据采样信息生成任一终端对应的差分时延特征；根据差分时延特征确定非法终端的接入范围或者根据差分时延特征确定伪装攻击的终端位置。

在本发明实施例中，若检测出存在终端非法接入或伪装攻击，可根据差分时延特征确定非法终端的接入范围或者根据差分时延特征确定伪装攻击的终端位置，解决了现场总线网络中难以对非法接入终端和伪装终端进行定位的问题。

在一种可选的实施方式中，采样信息还包括：电压信号和时间差信息，根据采样信息生成任一终端对应的多个电压信号子序列，包括：对电压信号进行预处理，生成平均上升沿信号子序列、平均下降沿信号子序列和平均显性电平信号子序列；根据采样信息生成任一终端对应的差分时延特征，包括：根据时间差信息生成差分时延特征。

在本发明实施例中，通过将采集的电压信号划分为多个电平范围的电压信号子序列，分别进行特征提取，达到了提高物理指纹模型全面性和准确性的效果，从而提高了终端非法接入动态认证的准确性。

在一种可选的实施方式中，多个时域特征包括：最大值、最小值、平均值、峰值、整流平均值、方差、标准差、峭度、偏度以及均方根；多个频域特征包括：重心频率、均方频率、均方根频率、频率方差、频率标准差、谱峭度的均值、谱峭度的标准差、谱峭度的偏度以及谱峭度的峭度。

在本发明实施例中，通过选取较为重要的10个时域特征和9个频域特征构建物理指纹模型，实现了提高物理指纹模型全面性和可靠性的目的。

在一种可选的实施方式中，根据多个电压信号子序列生成由多个时域特征和多个频域特征构成的特征序列，包括：计算平均上升沿信号子序列、平均下降沿信号子序列以及平均显性电平信号子序列分别对应的多个时域特征和多个频域特征；根据平均上升沿信号子序列、平均下降沿信号子序列以及平均显性电平信号子序列分别对应的多个时域特征和多个频域特征分别生成平均上升沿特征子序列、平均下降沿特征子序列以及平均显性电平特征子序列；根据平均上升沿特征子序列、平均下降沿特征子序列以及平均显性电平特征子序列生成特征序列。

在本发明实施例中，通过为多个信号子序列分别生成对应的多个时域特征和多个频域特征得到多个特征子序列，然后使用多个特征子序列共同生成特征序列，达到了提高特征序列有效性的目的，进一步提高了物理指纹模型的全面性和可靠性，从而达到提高终端非法接入动态认证准确性的目的。

在一种可选的实施方式中，基于前向特征选择算法根据特征序列构建物理指纹模型，包括：根据评价函数选取特征序列中的任一时域特征或频域特征生成特征集合；利用特征集合训练目标模型；获取利用特征集合训练目标模型后的评价结果；判断评价结果是否满足停止准则；若评价结果未满足停止准则，选取特征序列中的其他任一时域特征或频域特征加入特征集合并训练目标模型，直至评价结果满足停止准则；根据特征集合生成物理指纹模型。

在本发明实施例中，利用前向特征选择算法通过多次迭代，从特征序列中选取能够提高分类准确率的时域或频域特征构建物理指纹模型，实现了提高物理指纹模型准确性的目的，从而达到了提高终端非法接入动态认证准确性的效果。

第二方面，本发明提供了一种终端物理指纹提取及非法接入动态认证装置，包括：采样模块，用于获取任一终端的采样信息；特征生成模块，用于根据采样信息生成任一终端对应的多个电压信号子序列；特征序列生成模块，用于根据多个电压信号子序列生成由多个时域特征和多个频域特征构成的特征序列；指纹构建模块，用于基于前向特征选择算法根据特征序列构建物理指纹模型；分类模块，用于利用多标签SVM分类器根据物理指纹模型得到任一终端对应的分类结果；终端非法接入判断模块，用于根据分类结果判断是否存在终端非法接入。

在一种可选的实施方式中，采样信息包括：终端ID，分类结果包括：预测得分及预测ID，终端非法接入判断模块包括：第一判定单元，用于若预测得分小于预设阈值，判定存在终端非法接入；第二判定单元，用于若预测得分大于等于预设阈值，判定不存在终端非法接入；比较单元，用于当判定不存在终端非法接入时，将预测ID和终端ID进行比较；第三判定单元，用于若预测ID和终端ID不一致，判定存在伪装攻击；第四判定单元，用于若预测ID和终端ID一致，判定不存在伪装攻击。

在一种可选的实施方式中，装置还包括：差分时延特征生成模块，用于根据采样信息生成任一终端对应的差分时延特征；位置确定模块，用于根据差分时延特征确定非法终端的接入范围或者根据差分时延特征确定伪装攻击的终端位置。

在一种可选的实施方式中，采样信息还包括：电压信号和时间差信息，特征生成模块包括：第一生成单元，用于对电压信号进行预处理，生成平均上升沿信号子序列、平均下降沿信号子序列和平均显性电平信号子序列；差分时延特征生成模块包括：第二生成单元，用于根据时间差信息生成差分时延特征。

在一种可选的实施方式中，多个时域特征包括：最大值、最小值、平均值、峰值、整流平均值、方差、标准差、峭度、偏度以及均方根；多个频域特征包括：重心频率、均方频率、均方根频率、频率方差、频率标准差、谱峭度的均值、谱峭度的标准差、谱峭度的偏度以及谱峭度的峭度。

在一种可选的实施方式中，特征序列生成模块包括：计算单元，用于计算平均上升沿信号子序列、平均下降沿信号子序列以及平均显性电平信号子序列分别对应的多个时域特征和多个频域特征；第三生成单元，用于根据平均上升沿信号子序列、平均下降沿信号子序列以及平均显性电平信号子序列分别对应的多个时域特征和多个频域特征分别生成平均上升沿特征子序列、平均下降沿特征子序列以及平均显性电平特征子序列；第四生成单元，用于根据平均上升沿特征子序列、平均下降沿特征子序列以及平均显性电平特征子序列生成特征序列。

在一种可选的实施方式中，指纹构建模块包括：特征集合生成单元，用于根据评价函数选取特征序列中的任一时域特征或频域特征生成特征集合；训练单元，用于利用特征集合训练目标模型；评价结果获取单元，用于获取利用特征集合训练目标模型后的评价结果；判断单元，用于判断评价结果是否满足停止准则；迭代单元，用于若评价结果未满足停止准则，选取特征序列中的其他任一时域特征或频域特征加入特征集合并训练目标模型，直至评价结果满足停止准则；模型生成单元，用于根据特征集合生成物理指纹模型。

第三方面，本发明提供了一种计算机设备，包括：存储器和处理器，存储器和处理器之间互相通信连接，存储器中存储有计算机指令，处理器通过执行计算机指令，从而执行上述第一方面或其对应的任一实施方式的终端物理指纹提取及非法接入动态认证方法。

第四方面，本发明提供了一种计算机可读存储介质，该计算机可读存储介质上存储有计算机指令，计算机指令用于使计算机执行上述第一方面或其对应的任一实施方式的终端物理指纹提取及非法接入动态认证方法。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据本发明实施例的终端物理指纹提取及非法接入动态认证方法的流程示意图；

图2是根据本发明实施例的另一终端物理指纹提取及非法接入动态认证方法的流程示意图；

图3是根据本发明实施例的工控***CAN通信总线网络中终端采样信息获取示意图；

图4a是根据本发明实施例提取的多个终端的平均上升沿示意图；

图4b是根据本发明实施例提取的多个终端的平均下降沿示意图；

图4c是根据本发明实施例提取的多个终端的平均线性电平示意图；

图5是根据本发明实施例的合法终端和非法接入终端的混淆矩阵示意图；

图6是据本发明实施例的不同合法终端的差分时延特征图；

图7是根据本发明实施例的又一终端物理指纹提取及非法接入动态认证方法的流程示意图；

图8是根据本发明实施例的终端物理指纹提取及非法接入动态认证装置的结构框图；

图9是本发明实施例的计算机设备的硬件结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，在本发明的描述中，术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、***、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，还可以是两个元件内部的连通，可以是无线连接，也可以是有线连接。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

在工控***的现场总线网络中，攻击者通过接入非法终端或者通过伪装攻击发送恶意指令来破坏或控制***，造成总线网络中设备工作的异常，甚至扰乱***的稳定运行，这对工控***来说是极大的威胁。现场总线网络的安全是工控***的重要组成部分。非法设备入侵和伪装攻击是两种常见的攻击场景，非法设备入侵通过绕过身份验证和访问控制来获取对网络的访问权限，这样的设备可能会隐蔽地存在于网络中。伪装攻击通过模拟合法通信来混淆网络，难以区分合法通信和非法通信。这两种攻击都很难检测，因为它们使用了伪装和欺骗技术，避免被检测出来。另一方面，这两种攻击的位置也难以确定，因为攻击者可以随时在网络中更换设备，使得入侵设备的来源难以确定。为了检测这些攻击，一般使用深度学习、机器学习和网络流量分析等技术。这些技术可以对网络流量进行分析和监测，检测异常流量并识别恶意行为。此外，网络安全人员还可以通过加密通信、强身份验证和访问控制等手段来加强网络安全防护，减少被攻击的风险。但是现有方法在检测是否存在终端非法接入时的准确性较低，且不能检测多种攻击，也无法对攻击位置进行定位。

以下述攻击场景为例：工控***中CAN总线网络遭到非法终端接入或伪装攻击，攻击者通过接入非法终端或通过伪造其他合法终端设备ID发送恶意指令，合法终端对恶意指令进行物理响应，造成***功能的异常。根据本发明实施例，提供了一种终端物理指纹提取及非法接入动态认证方法，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机***中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

在本实施例中提供了一种终端物理指纹提取及非法接入动态认证方法，可用于上述的移动终端，如中央处理单元或服务器等，图1是根据本发明实施例的终端物理指纹提取及非法接入动态认证方法的流程示意图，如图1所示，该流程包括如下步骤：

步骤S101，获取任一终端的采样信息。可选地，使用相关技术中的采集设备获取工控***中CAN总线网络上任一终端的采样信息。其中，采样信息可以根据具体需要确定，如确定采样信息为终端信号的电压、差分时延、频率等。

步骤S102，根据采样信息生成任一终端对应的多个电压信号子序列。可选地，根据步骤S101中获取的采样信息生成任一终端对应的多个电压信号子序列。多个电压信号子序列为对采集的电压信息进一步处理后得到的多个电压信号子序列。

步骤S103，根据多个电压信号子序列生成由多个时域特征和多个频域特征构成的特征序列。可选地，确定多个时域特征和多个频域特征，其中，时域特性即信号随着时间的流逝而发生的变化，频域特性即信号随着频率的改变而发生的变化。根据步骤S102生成的多个电压信号子序列计算多个电压信号子序列对应的多个时域特征和频域特征并构成特征序列。

步骤S104，基于前向特征选择算法根据特征序列构建物理指纹模型。可选地，前向特征选择算法为从全部特征中选取一个特征子集，即剔除不相关或冗余的特征，从而减少特征个数及运行时间，提高模型精确度。利用前向特征选择算法从步骤S103中的特征序列中选取一个特征子集作为终端的物理指纹模型。

步骤S105，利用多标签SVM分类器根据物理指纹模型得到任一终端对应的分类结果。可选地，根据任一终端的采样信息可生成其对应的物理指纹模型，然后将物理指纹模型输入多标签SVM分类器，得到其对应的分类结果。

步骤S106，根据分类结果判断是否存在终端非法接入。可选地，根据步骤S105多标签SVM分类器输出的任一终端的分类结果，判断是否存在终端非法接入。

在本发明实施例中，获取任一终端的采样信息，生成对应的多个电压信号子序列并提取出多个时域特征和多个频域特征构成特征序列，利用特征选择算法筛选时域和频域特征构建物理指纹模型，然后利用多标签SVM分类器根据终端的物理指纹模型判断该终端是否存在非法接入。一方面，通过实时获取采样信息，可提高终端非法接入动态认证的实时性。另一方面，由于物理指纹模型的构建包含了时域和频域上多个特征，达到了提高多标签SVM分类器对终端非法接入认证准确性的目的，进而解决了相关技术中存在的终端非法接入动态认证准确性较低的问题。

在本实施例中提供了一种终端物理指纹提取及非法接入动态认证方法，可用于上述的移动终端，如中央处理器、服务器等，图2是根据本发明实施例的另一终端物理指纹提取及非法接入动态认证方法的流程示意图，如图2所示，该流程包括如下步骤：

步骤S201，获取任一终端的采样信息。图3是根据本发明实施例的工控***CAN通信总线网络中终端采样信息获取示意图，如图3所示，工控***CAN通信总线网络由控制中心、计算机通信网络、转接器、多个终端设备(终端)如设备一至设备五共同构成。所有终端设备都通过两条信号线挂载在CAN总线之上，总线空闲时，终端设备均可发送信号，由CAN总线仲裁机制决定哪个终端设备优先发送。根据CAN总线差分接收的通信模式，两条信号线中为相反信号，终端设备以两个信号的差值作为接收信号，并根据协议以及地址对CAN总线进行过滤或响应。采集设备(监测设备)通过四条信号线挂载在CAN总线上，其中两根线分别挂载在两条CAN总线信号线上用于监测总线信号，另外两根线分别挂载在同一根CAN总线的首端和尾端，用于记录同一信号到达首尾两端的时间差。

步骤S202，根据采样信息生成任一终端对应的多个电压信号子序列。在一些可选的实施方式中，采样信息包括：电压信号和时间差信息，上述步骤S202包括：对电压信号进行预处理，生成平均上升沿信号子序列、平均下降沿信号子序列和平均显性电平信号子序列。可选地，对示波器采集的电压信号进行预处理，提取电压信号的上升沿、下降沿和显性电平，生成平均上升沿信号子序列、平均下降沿信号子序列和平均显性电平信号子序列。具体地，由于CAN总线仲裁机制的存在，需要预先去除掉CAN帧中的仲裁域以避免多设备电压信号之间的混叠产生无效特征。从去除掉仲裁域后的CAN信号中将大于0.5V小于3V的由低电平转变为高电平的信号提取为上升沿电平信号，由高电平转变为低电平的信号提取为下降沿电平信号，大于等于3V的提取为显性电平信号。从采集的多个电压信号中可以提取出若干条上升沿、下降沿和显性电平信号，由于每条信号的长度不一，按照信号最小长度将它们切割成等长信号，为了更好的比较不同信号，对若干条等长的上升沿、下降沿和显性电平信号取平均，得到平均上升沿信号子序列、平均下降沿信号子序列和平均显性电平信号子序列。

图4a是根据本发明实施例提取的多个终端的平均上升沿示意图，如图4a所示，横坐标为采样点，纵坐标为电压，多个终端包括五个合法设备(设备一至设备五)及一个非法接入设备，多个平均上升沿构成平均上升沿信号子序列。其中，采样多次是为了减小随机性带来的影响，对多次采样的结果取平均，可以增加结果的稳定性和准确性。与之类似地，图4b是根据本发明实施例提取的多个终端的平均下降沿示意图，图4c是根据本发明实施例提取的多个终端的平均显性电平示意图，从图4a、图4b以及图4c中可以观察到不同终端的平均上升沿、平均下降沿和平均显性电平的明显差别，尤其是合法终端与非法终端间的差别，因此，选取多个电压信号子序列构建物理指纹模型是合理且有意义的。

步骤S203，根据多个电压信号子序列生成由多个时域特征和多个频域特征构成的特征序列。在一些可选的实施方式中，多个时域特征包括：最大值、最小值、平均值、峰值、整流平均值、方差、标准差、峭度、偏度以及均方根；多个频域特征包括：重心频率、均方频率、均方根频率、频率方差、频率标准差、谱峭度的均值、谱峭度的标准差、谱峭度的偏度以及谱峭度的峭度。可选地，10个时域特征和9个频域特征的计算方法分别如表1和表2所示：

表1.时域特征计算表

其中，i＝1，2，…，N，N为每个电压信号子序列的长度；x(i)表示电压信号子序列中的第i个电压值。需要说明的是，为算术平均值，是将所有电压信号数值加起来然后除以数据的个数；arv为整流平均值，先将所有的电压信号数值取绝对值，然后再进行算术平均值计算，可以用来消除数据中的正负值对平均值的影响，使结果更能代表数据的整体水平。

表2.频域特征计算表

其中，yf(i)表示第i个采样点处的频率；y_m(i)表示在频率y_f(i)处的功率谱密度值，i＝1，2，…，N，N是y_f和y_m中元素的个数，K表示谱峭度。

在一些可选的实施方式中，上述步骤S203包括：计算平均上升沿信号子序列、平均下降沿信号子序列以及平均显性电平信号子序列分别对应的多个时域特征和多个频域特征；根据平均上升沿信号子序列、平均下降沿信号子序列以及平均显性电平信号子序列分别对应的多个时域特征和多个频域特征分别生成平均上升沿特征子序列、平均下降沿特征子序列以及平均显性电平特征子序列；根据平均上升沿特征子序列、平均下降沿特征子序列以及平均显性电平特征子序列生成特征序列。

可选地，将平均上升沿信号子序列、平均下降沿信号子序列和平均显性电平信号子序列中分别提取的19个特征(包含10个时域特征和9个频域特征)即平均上升沿特征子序列{v_1，1，v_1，2，…，v_1，19}、平均下降沿特征子序列{v_2，1，v_2，2，…，v_2，19}以及平均显性电平特征子序列{v_3，1，v_3，2，…，v_3，19}共同组成一个特征序列，所组成的特征序列为：

{{v_1，1，v_1，2，…，v_1，19}，{v_2，1，v_2，2，…，v_2，19}，{v_3，1，v_3，2，…，v_3，19}}

其中，v_i，j表示第i个信号子序列所对应的第j个特征，该特征序列由57个特征组成。

步骤S204，基于前向特征选择算法根据特征序列构建物理指纹模型。在一些可选的实施方式中，上述步骤S204包括：根据评价函数选取特征序列中的任一时域特征或频域特征生成特征集合；利用特征集合训练目标模型；获取利用特征集合训练目标模型后的评价结果；判断评价结果是否满足停止准则；若评价结果未满足停止准则，选取特征序列中的其他任一时域特征或频域特征加入特征集合并训练目标模型，直至评价结果满足停止准则；根据特征集合生成物理指纹模型。具体地，前向特征选择算法从空特征集合开始，通过评价函数评估每个时域或频域特征在当前特征集合中的价值，选择具有最高价值的特征，并将其添加到新的特征集合中，然后使用新的特征集合训练目标模型，获取评估结果如利用特征集合训练目标模型后的模型性能。重复该过程，直到评价结果是否满足停止准则。其中，停止准则可以是增加的时域或频域特征不再提高目标模型的性能或者特征集合达到预设的特征数量。最后根据挑选好的信号特征构建设备物理指纹模型，即将使用前向特征选择算法得到的特征集合作为物理指纹模型。

在本发明实施例中，利用前向特征选择算法通过多次迭代，从特征序列中选取能够提高分类准确率的时域或频域特征构建物理指纹模型，实现了提高物理指纹模型准确性的目的，从而达到了提高终端非法接入动态认证准确性的效果。

步骤S205，利用多标签SVM分类器根据物理指纹模型得到任一终端对应的分类结果。可选地，将任一终端的采样信息处理为对应的物理指纹模型输入多标签SVM分类器，其中，对于一个电压信号，多标签SVM分类器会输出这个电压信号的分类结果，但对于单个电压信号的分类准确率无法全部达到100％。因此，将一组测试信号即一组电压信号与物理指纹模型匹配，利用多标签SVM分类器输出一组分类结果，即对于任一终端取多个电压信号进行分类，得到多个分类结果，然后令出现最频繁的分类结果为最终分类结果，其频繁出现的次数为测试信号的分数即预测得分。

步骤S206，根据分类结果判断是否存在终端非法接入。具体地，采样信息包括：终端ID，分类结果包括：预测得分及预测ID，上述步骤S206包括：

步骤S2061，若预测得分小于预设阈值，判定存在终端非法接入。可选地，本实施例根据步骤S204构建的物理指纹模型，结合多标签SVM分类器提出一种预测得分检测机制，该机制根据多次分类结果计算每个合法终端的预测得分，并输出预测得分及其对应的预测ID，当预测得分小于预设阈值时，判定存在终端非法接入。

步骤S2062，若预测得分大于等于预设阈值，判定不存在终端非法接入。根据步骤S2061的预测得分检测机制，当预测得分大于等于预设阈值时，判定不存在终端非法接入。

步骤S2063，当判定不存在终端非法接入时，将预测ID和终端ID进行比较。可选地，若本次检测判定不存在终端非法接入，则将多标签SVM分类器输出结果中的预测ID和终端ID比较，判断是否存在伪装攻击。

步骤S2064，若预测ID和终端ID不一致，判定存在伪装攻击。具体地，当预测ID和终端ID不一致时，判定存在伪装攻击。

步骤S2065，若预测ID和终端ID一致，判定不存在伪装攻击。具体地，当预测ID和终端ID一致时，判定不存在伪装攻击。图5是根据本发明实施例的合法终端和非法接入终端的混淆矩阵示意图。如图5所示，设备一至设备五为合法终端，纵坐标为终端的真实类别，横坐标为终端的预测类别，对于单个电压信号，混淆矩阵对称轴上的百分数代表多标签SVM分类器将真实类别正确预测的概率，非对称轴上的百分数代表多标签SVM分类器将真实类别(y轴)预测为对应类别(x轴)的概率。从该混淆矩阵可以明显看出多标签SVM分类器对于合法终端和非法终端的分类准确率较高。

在一些可选的实施方式中，在上述步骤S2061或步骤S2064之后，方法还包括：根据采样信息生成任一终端对应的差分时延特征；根据差分时延特征确定非法终端的接入范围或者根据差分时延特征确定伪装攻击的终端位置。可选地，差分时延特征即同一信号到达CAN总线的首端和尾端的时间差，假设采集设备为示波器，通过示波器挂载在同一根CAN总线上的两根线采集的时间差信息生成任一终端对应的差分时延特征。具体地，时间差信息即终端所发信号到达CAN总线首尾两端的时间，根据如下公式计算差分时延δ_i：

式中，i＝1，2，…，n，n为总线上挂载的终端的个数，i为总线上索引为i的终端，表示索引为i的终端所发信号到达CAN总线左端点(首端)的时间，/>表示索引为i的终端所发信号到达CAN总线右端点(尾端)的时间。然后对多个不同采样点下的差分时延构成的差分时延序列取平均，将平均值作为每个终端对应的差分时延特征。需要说明的是，计算差分时延δ_i时必须选择上升沿或下降沿的电平，且尽可能选择斜率相同的部分，以最好的反映差分时延，从而使结果在各终端间保持一致。

图6是据本发明实施例的不同合法终端的差分时延特征图，如图6所示，每个终端的差分延迟形成一簇值，图6为不同终端对应的差分时延特征，任一终端的簇值可以明显地从对应于其他终端的簇中分离出来。由于总线上终端位置直接影响到信号的差分时延，在网络结构保持不变的情况下，通过测量CAN信号传播时延，可以确定信号的发送位置，即根据差分时延特征确定非法终端的接入范围或者根据差分时延特征确定伪装攻击的终端位置。具体地，对于采集的一组测试信号，记录这组测试信号的差分时延序列，计算差分时延序列的平均值，然后与每个合法终端的差分时延进行比较。对于伪装攻击，根据计算的平均差分时延来比较对应于哪个合法终端的位置；对于非法接入终端，将计算的平均差分时延与每个合法终端的差分时延进行比较，估计非法终端的接入范围。表3给出了当工控***发生伪装攻击时，对伪装终端的定位精度：

表3.伪装攻击终端位置定位精度表

需要说明的是，针对伪装攻击，该定位方法只能通过预测位置与实际位置的判断来确定伪装终端；针对非法接入终端，非法接入点距离合法终端越近，定位精度越差，因此对于非法终端接入，只能根据测量信号的差分时延簇，来确定非法接入终端的位置范围。

在本发明实施例中，若检测出存在终端非法接入或伪装攻击，可根据差分时延特征确定非法终端的接入范围或者根据差分时延特征确定伪装攻击的终端位置，解决了现场总线网络中难以对非法接入终端和伪装终端进行定位的问题。

在本实施例中提供了一种终端物理指纹提取及非法接入动态认证方法，可用于上述的移动终端，如中央处理单元、服务器等，图7是根据本发明实施例的又一终端物理指纹提取及非法接入动态认证方法的流程示意图，如图7所示，该流程包括如下步骤：

步骤S701，监测设备采集信号。详细请参见图1所示实施例的步骤S101，在此不再赘述。步骤S702，是否采集足够信号。对于任一设备需要采集多个信号，使用多个信号的平均值计算某一特征。若未采集足够信号，则继续执行步骤S701，监测设备采集信号。若已经采集足够信号，则执行步骤S703计算信号差分时延。详细请参见图2所示实施例中的相关描述，在此不再赘述。步骤S704，信号预处理。详细请参见图2所示实施例的步骤S202，在此不再赘述。步骤S705，时域和频域特征提取。详细请参见图2所示实施例的步骤S203，在此不再赘述。步骤S706，判断是否首次采集。若是首次采集，则执行步骤S707，构建物理指纹模型。详细请参见图2所示实施例的步骤S204，在此不再赘述。若不是首次采集，则执行步骤S708，判断模型是否匹配即利用多标签SVM分类器根据物理指纹模型得到任一终端对应的分类结果，并根据分类结果判断是否存在终端非法接入。详细请参见图2所示实施例的步骤S205和步骤S206，在此不再赘述。步骤S709，若模型不匹配即预测得分小于预设阈值，判定存在终端非法接入。步骤S710，判断ID是否匹配，即将预测ID和终端ID进行比较检测是否存在伪装攻击。步骤S711，若ID不匹配，判定存在伪装攻击。步骤S712，位置估计即确定步骤S709中非法终端的接入范围或者步骤S711中伪装攻击的终端位置。

本实施例提供的终端物理指纹提取及非法接入动态认证方法具有高准确率、实时性和实用性的优点，适用于车辆、工控***等现场总线网络领域的安全防护。该方法可实时检测终端非法接入和伪装攻击，并估计非法终端接入或伪装终端的位置，从而提高***的安全性和可靠性。

在本实施例中还提供了一种终端物理指纹提取及非法接入动态认证装置，该装置用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。

本实施例提供一种终端物理指纹提取及非法接入动态认证装置，如图8所示，包括：采样模块801，用于获取任一终端的采样信息；特征生成模块802，用于根据采样信息生成任一终端对应的多个电压信号子序列；特征序列生成模块803，用于根据多个电压信号子序列生成由多个时域特征和多个频域特征构成的特征序列；指纹构建模块804，用于基于前向特征选择算法根据特征序列构建物理指纹模型；分类模块805，用于利用多标签SVM分类器根据物理指纹模型得到任一终端对应的分类结果；终端非法接入判断模块806，用于根据分类结果判断是否存在终端非法接入。

在一种可选的实施方式中，采样信息包括：终端ID，分类结果包括：预测得分及预测ID，终端非法接入判断模块806包括：第一判定单元，用于若预测得分小于预设阈值，判定存在终端非法接入；第二判定单元，用于若预测得分大于等于预设阈值，判定不存在终端非法接入；比较单元，用于当判定不存在终端非法接入时，将预测ID和终端ID进行比较；第三判定单元，用于若预测ID和终端ID不一致，判定存在伪装攻击；第四判定单元，用于若预测ID和终端ID一致，判定不存在伪装攻击。

在一种可选的实施方式中，装置还包括：差分时延特征生成模块，用于根据采样信息生成任一终端对应的差分时延特征；位置确定模块，用于根据差分时延特征确定非法终端的接入范围或者根据差分时延特征确定伪装攻击的终端位置。

在一种可选的实施方式中，采样信息还包括：电压信号和时间差信息，特征生成模块802包括：第一生成单元，用于对电压信号进行预处理，生成平均上升沿信号子序列、平均下降沿信号子序列和平均显性电平信号子序列；差分时延特征生成模块包括：第二生成单元，用于根据时间差信息生成差分时延特征。

在一种可选的实施方式中，多个时域特征包括：最大值、最小值、平均值、峰值、整流平均值、方差、标准差、峭度、偏度以及均方根；多个频域特征包括：重心频率、均方频率、均方根频率、频率方差、频率标准差、谱峭度的均值、谱峭度的标准差、谱峭度的偏度以及谱峭度的峭度。

在一种可选的实施方式中，特征序列生成模块803包括：计算单元，用于计算平均上升沿信号子序列、平均下降沿信号子序列以及平均显性电平信号子序列分别对应的多个时域特征和多个频域特征；第三生成单元，用于根据平均上升沿信号子序列、平均下降沿信号子序列以及平均显性电平信号子序列分别对应的多个时域特征和多个频域特征分别生成平均上升沿特征子序列、平均下降沿特征子序列以及平均显性电平特征子序列；第四生成单元，用于根据平均上升沿特征子序列、平均下降沿特征子序列以及平均显性电平特征子序列生成特征序列。

在一种可选的实施方式中，指纹构建模块804包括：特征集合生成单元，用于根据评价函数选取特征序列中的任一时域特征或频域特征生成特征集合；训练单元，用于利用特征集合训练目标模型；评价结果获取单元，用于获取利用特征集合训练目标模型后的评价结果；判断单元，用于判断评价结果是否满足停止准则；迭代单元，用于若评价结果未满足停止准则，选取特征序列中的其他任一时域特征或频域特征加入特征集合并训练目标模型，直至评价结果满足停止准则；模型生成单元，用于根据特征集合生成物理指纹模型。

上述各个模块和单元的更进一步的功能描述与上述对应实施例相同，在此不再赘述。

本实施例中的终端物理指纹提取及非法接入动态认证装置是以功能单元的形式来呈现，这里的单元是指ASIC(Application Specific Integrated Circuit，专用集成电路)电路，执行一个或多个软件或固定程序的处理器和存储器，和/或其他可以提供上述功能的器件。

本发明实施例还提供一种计算机设备，具有上述图8所示的终端物理指纹提取及非法接入动态认证装置。

请参阅图9，图9是本发明可选实施例提供的一种计算机设备的结构示意图，如图9所示，该计算机设备包括：一个或多个处理器10、存储器20，以及用于连接各部件的接口，包括高速接口和低速接口。各个部件利用不同的总线互相通信连接，并且可以被安装在公共主板上或者根据需要以其它方式安装。处理器可以对在计算机设备内执行的指令进行处理，包括存储在存储器中或者存储器上以在外部输入/输出装置(诸如，耦合至接口的显示设备)上显示GUI的图形信息的指令。在一些可选的实施方式中，若需要，可以将多个处理器和/或多条总线与多个存储器和多个存储器一起使用。同样，可以连接多个计算机设备，各个设备提供部分必要的操作(例如，作为服务器阵列、一组刀片式服务器、或者多处理器***)。图9中以一个处理器10为例。

处理器10可以是中央处理器，网络处理器或其组合。其中，处理器10还可以进一步包括硬件芯片。上述硬件芯片可以是专用集成电路，可编程逻辑器件或其组合。上述可编程逻辑器件可以是复杂可编程逻辑器件，现场可编程逻辑门阵列，通用阵列逻辑或其任意组合。

其中，存储器20存储有可由至少一个处理器10执行的指令，以使至少一个处理器10执行实现上述实施例示出的方法。

存储器20可以包括存储程序区和存储数据区，其中，存储程序区可存储操作***、至少一个功能所需要的应用程序；存储数据区可存储根据计算机设备的使用所创建的数据等。此外，存储器20可以包括高速随机存取存储器，还可以包括非瞬时存储器，例如至少一个磁盘存储器件、闪存器件、或其他非瞬时固态存储器件。在一些可选的实施方式中，存储器20可选包括相对于处理器10远程设置的存储器，这些远程存储器可以通过网络连接至该计算机设备。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

存储器20可以包括易失性存储器，例如，随机存取存储器；存储器也可以包括非易失性存储器，例如，快闪存储器，硬盘或固态硬盘；存储器20还可以包括上述种类的存储器的组合。

该计算机设备还包括通信接口30，用于该计算机设备与其他设备或通信网络通信。

本发明实施例还提供了一种计算机可读存储介质，上述根据本发明实施例的方法可在硬件、固件中实现，或者被实现为可记录在存储介质，或者被实现通过网络下载的原始存储在远程存储介质或非暂时机器可读存储介质中并将被存储在本地存储介质中的计算机代码，从而在此描述的方法可被存储在使用通用计算机、专用处理器或者可编程或专用硬件的存储介质上的这样的软件处理。其中，存储介质可为磁碟、光盘、只读存储记忆体、随机存储记忆体、快闪存储器、硬盘或固态硬盘等；进一步地，存储介质还可以包括上述种类的存储器的组合。可以理解，计算机、处理器、微处理器控制器或可编程硬件包括可存储或接收软件或计算机代码的存储组件，当软件或计算机代码被计算机、处理器或硬件访问且执行时，实现上述实施例示出的方法。

虽然结合附图描述了本发明的实施例，但是本领域技术人员可以在不脱离本发明的精神和范围的情况下做出各种修改和变型，这样的修改和变型均落入由所附权利要求所限定的范围之内。

Claims (16)

1.一种终端物理指纹提取及非法接入动态认证方法，其特征在于，所述方法包括：

获取任一终端的采样信息；

根据所述采样信息生成任一终端对应的多个电压信号子序列；

根据所述多个电压信号子序列生成由多个时域特征和多个频域特征构成的特征序列；

基于前向特征选择算法根据所述特征序列构建物理指纹模型；

利用多标签SVM分类器根据所述物理指纹模型得到任一终端对应的分类结果；

根据所述分类结果判断是否存在终端非法接入。

2.根据权利要求1所述的终端物理指纹提取及非法接入动态认证方法，其特征在于，所述采样信息包括：终端ID，所述分类结果包括：预测得分及预测ID，所述根据所述分类结果判断是否存在终端非法接入，包括：

若预测得分小于预设阈值，判定存在终端非法接入；

若预测得分大于等于预设阈值，判定不存在终端非法接入；

当判定不存在终端非法接入时，将预测ID和终端ID进行比较；

若预测ID和终端ID不一致，判定存在伪装攻击；

若预测ID和终端ID一致，判定不存在伪装攻击。

3.根据权利要求2所述的终端物理指纹提取及非法接入动态认证方法，其特征在于，在判定存在终端非法接入或判定存在伪装攻击之后，所述方法还包括：

根据采样信息生成任一终端对应的差分时延特征；

根据所述差分时延特征确定非法终端的接入范围或者根据所述差分时延特征确定伪装攻击的终端位置。

4.根据权利要求3所述的终端物理指纹提取及非法接入动态认证方法，其特征在于，所述采样信息还包括：电压信号和时间差信息，所述根据所述采样信息生成任一终端对应的多个电压信号子序列，包括：对所述电压信号进行预处理，生成平均上升沿信号子序列、平均下降沿信号子序列和平均显性电平信号子序列；

所述根据采样信息生成任一终端对应的差分时延特征，包括：根据所述时间差信息生成差分时延特征。

5.根据权利要求4所述的终端物理指纹提取及非法接入动态认证方法，其特征在于，所述多个时域特征包括：最大值、最小值、平均值、峰值、整流平均值、方差、标准差、峭度、偏度以及均方根；

所述多个频域特征包括：重心频率、均方频率、均方根频率、频率方差、频率标准差、谱峭度的均值、谱峭度的标准差、谱峭度的偏度以及谱峭度的峭度。

6.根据权利要求5所述的终端物理指纹提取及非法接入动态认证方法，其特征在于，所述根据所述多个电压信号子序列生成由多个时域特征和多个频域特征构成的特征序列，包括：

计算平均上升沿信号子序列、平均下降沿信号子序列以及平均显性电平信号子序列分别对应的多个时域特征和多个频域特征；

根据所述平均上升沿信号子序列、平均下降沿信号子序列以及平均显性电平信号子序列分别对应的多个时域特征和多个频域特征分别生成平均上升沿特征子序列、平均下降沿特征子序列以及平均显性电平特征子序列；

根据所述平均上升沿特征子序列、平均下降沿特征子序列以及平均显性电平特征子序列生成特征序列。

7.根据权利要求1所述的终端物理指纹提取及非法接入动态认证方法，其特征在于，所述基于前向特征选择算法根据所述特征序列构建物理指纹模型，包括：

根据评价函数选取特征序列中的任一时域特征或频域特征生成特征集合；

利用所述特征集合训练目标模型；

获取利用所述特征集合训练目标模型后的评价结果；

判断所述评价结果是否满足停止准则；

若所述评价结果未满足停止准则，选取特征序列中的其他任一时域特征或频域特征加入所述特征集合并训练目标模型，直至评价结果满足所述停止准则；

根据所述特征集合生成物理指纹模型。

8.一种终端物理指纹提取及非法接入动态认证装置，其特征在于，所述装置包括：

采样模块，用于获取任一终端的采样信息；

特征生成模块，用于根据所述采样信息生成任一终端对应的多个电压信号子序列；

特征序列生成模块，用于根据所述多个电压信号子序列生成由多个时域特征和多个频域特征构成的特征序列；

指纹构建模块，用于基于前向特征选择算法根据所述特征序列构建物理指纹模型；

分类模块，用于利用多标签SVM分类器根据所述物理指纹模型得到任一终端对应的分类结果；

终端非法接入判断模块，用于根据所述分类结果判断是否存在终端非法接入。

9.根据权利要求8所述的终端物理指纹提取及非法接入动态认证装置，其特征在于，所述采样信息包括：终端ID，所述分类结果包括：预测得分及预测ID，所述终端非法接入判断模块包括：

第一判定单元，用于若预测得分小于预设阈值，判定存在终端非法接入；

第二判定单元，用于若预测得分大于等于预设阈值，判定不存在终端非法接入；

比较单元，用于当判定不存在终端非法接入时，将预测ID和终端ID进行比较；

第三判定单元，用于若预测ID和终端ID不一致，判定存在伪装攻击；

第四判定单元，用于若预测ID和终端ID一致，判定不存在伪装攻击。

10.根据权利要求9所述的终端物理指纹提取及非法接入动态认证装置，其特征在于，所述装置还包括：

差分时延特征生成模块，用于根据采样信息生成任一终端对应的差分时延特征；

位置确定模块，用于根据所述差分时延特征确定非法终端的接入范围或者根据所述差分时延特征确定伪装攻击的终端位置。

11.根据权利要求10所述的终端物理指纹提取及非法接入动态认证装置，其特征在于，所述采样信息还包括：电压信号和时间差信息，所述特征生成模块包括：第一生成单元，用于对所述电压信号进行预处理，生成平均上升沿信号子序列、平均下降沿信号子序列和平均显性电平信号子序列；

所述差分时延特征生成模块包括：第二生成单元，用于根据所述时间差信息生成差分时延特征。

12.根据权利要求11所述的终端物理指纹提取及非法接入动态认证装置，其特征在于，所述多个时域特征包括：最大值、最小值、平均值、峰值、整流平均值、方差、标准差、峭度、偏度以及均方根；

所述多个频域特征包括：重心频率、均方频率、均方根频率、频率方差、频率标准差、谱峭度的均值、谱峭度的标准差、谱峭度的偏度以及谱峭度的峭度。

13.根据权利要求12所述的终端物理指纹提取及非法接入动态认证装置，其特征在于，所述特征序列生成模块包括：

计算单元，用于计算平均上升沿信号子序列、平均下降沿信号子序列以及平均显性电平信号子序列分别对应的多个时域特征和多个频域特征；

第三生成单元，用于根据所述平均上升沿信号子序列、平均下降沿信号子序列以及平均显性电平信号子序列分别对应的多个时域特征和多个频域特征分别生成平均上升沿特征子序列、平均下降沿特征子序列以及平均显性电平特征子序列；

第四生成单元，用于根据所述平均上升沿特征子序列、平均下降沿特征子序列以及平均显性电平特征子序列生成特征序列。

14.根据权利要求8所述的终端物理指纹提取及非法接入动态认证装置，其特征在于，所述指纹构建模块包括：

特征集合生成单元，用于根据评价函数选取特征序列中的任一时域特征或频域特征生成特征集合；

训练单元，用于利用所述特征集合训练目标模型；

评价结果获取单元，用于获取利用所述特征集合训练目标模型后的评价结果；

判断单元，用于判断所述评价结果是否满足停止准则；

迭代单元，用于若所述评价结果未满足停止准则，选取特征序列中的其他任一时域特征或频域特征加入所述特征集合并训练目标模型，直至评价结果满足所述停止准则；

模型生成单元，用于根据所述特征集合生成物理指纹模型。

15.一种计算机设备，其特征在于，包括：

存储器和处理器，所述存储器和所述处理器之间互相通信连接，所述存储器中存储有计算机指令，所述处理器通过执行所述计算机指令，从而执行权利要求1至7中任一项所述的终端物理指纹提取及非法接入动态认证方法。

16.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机指令，所述计算机指令用于使计算机执行权利要求1至7中任一项所述的终端物理指纹提取及非法接入动态认证方法。