拒绝服务攻击下基于分布式网络的安全状态估计.pdf

第 22卷 第 9期2023年 9月Vol.22 No.9Sept.2023软 件 导 刊Software Guide拒绝服务攻击下基于分布式网络的安全状态估计杨珊，吴崔屏（浙江理工大学 信息科学与工程学院，浙江 杭州 310018）摘要：信息物理系统是在环境感知的基础上，融合计算、通信与控制功能的网络化物理设备，通过计算过程和物理进程相互影响的反馈循环，不断完成现实世界和虚拟世界动态的交互与协作。目前信息物理系统研究领域的网络攻击大体上分为3种，其中拒绝服务攻击利用网络传输协议的弱点，大量消耗系统资源，严重威胁着网络安全。基于分布式网络系统，针对不可靠无线传输信道存在的固有量测数据自然丢失和恶意干扰攻击问题，结合卡尔曼滤波与多传感器融合算法，提出一种基于最优状态估计与恶意攻击检测结合的异常检测模型。最后，通过MATLAB进行数值仿真，验证了所提出融合结构和检测模型的有效性。关键词：信息物理系统；卡尔曼滤波；分布式；拒绝服务攻击；KL检测DOI：10.11907/rjdk.222048开 放 科 学（资 源 服 务）标 识 码（OSID）：中图分类号：TP309 文献标识码：A文章编号：1672-7800（2023）009-0154-05Security State Estimation Based on Distributed Network Under Denial of Service AttackYANG Shan，WU Cuiping（College of Information Science and Engineering，Zhejiang University of Science and Technology，Hangzhou 310018，China）Abstract：Cyber-physical system is a networked physical device that integrates computing，communication and control functions on the basis of environment perception.Through the feedback loop of mutual influence of computing process and physical process，the dynamic interaction and cooperation between the real world and the virtual world are constantly completed.At present，there are three kinds of network attacks in the field of Cyber-physical system research.Denial of service attacks exploit the weakness of network transmission protocol，consume a lot of system resources，and seriously threaten network security.Based on distributed network system，an anomaly detection model based on optimal state estimation and malicious attack detection is proposed by combining Kalman filter and multi-sensor fusion algorithm to solve the problems of natural measurement data loss and malicious interference attacks in unreliable wireless transmission channels.Finally，the effectiveness of the proposed fusion structure and detection model is verified by numerical simulation with MATLAB.Key Words：cyber-physical system；Kalman filter；distributed；denial of service attack；KL detection0 引言信息物理系统（Cyber-physical System，CPS）是将计算机技术、无线通信与控制功能深度融合的综合技术体系，引起了社会生活的巨大变革。作为自动化领域的前沿研究方向，推动 CPS 技术应用对于国家制造战略的顺利实施、提升国家科技实力具有重大的现实意义1-2。由于互联网从设计之初并没有系统考虑各种潜在的安全隐患，以致席卷全球病毒事件的频繁发生，使得信息物理系统时时经受着严峻的网络信息安全考验。由于当前CPS技术将物理进程、通信过程与社会空间进行了深度融合，使得网络化程度不断加深，传统的信息物理系统的安全防御技术已不能满足当下网络安全的需求。网络信息安全的本质是攻防对抗，如何设计合理且有效的防御机制，需要从系统融合的角度深入了解恶意攻击收稿日期：2022-09-06作者简介：杨珊（1995-），女，浙江理工大学信息科学与工程学院硕士研究生，研究方向为信息物理系统安全、网络化控制；吴崔屏（1999-），女，浙江理工大学信息科学与工程学院硕士研究生，研究方向为基于模型的自动化测试、深度强化学习。第 9 期杨珊，吴崔屏：拒绝服务攻击下基于分布式网络的安全状态估计者的攻击空间和攻击模型。由于物理系统面临的攻击种类繁多，比较常见的分类将网络攻击划分为物理攻击和通信攻击，其中通信攻击中的拒绝服务（Denial of Service，DoS）攻击通过阻塞网络传输通道、占用通信带宽，使得系统可用资源被消耗殆尽，导致系统量测数据不能正常传输3。随着信息技术的发展，数据融合的概念被提出，多传感器数据融合（Multi-Sensor Data Fusion，MSDF）逐步发展成一门信息综合处理的专用技术。数据融合是指对多传感器的感知数据进行多维处理和合理控制，能够更完善且精确地反映出检测对象特征，从而获得对被测对象的一致性描述4。与单传感器相比，MSDF在目标识别、跟踪与导航等方面极大地增强了量测信息的可信度，提升了受控系统的实用性与信息利用率，并对网络资源进行了整体优化，不仅降低了网络能源消耗，而且保障了网络能量均衡。从网络安全的角度，无线通信网络的脆弱性使得CPS易受到恶意攻击干扰，重放攻击、虚假数据注入攻击以及DoS攻击不断对系统产生安全威胁。文献 5 研究了网络系统中远程端的信息安全问题，传感器根据轮询协议向远程估计器发送量测数据，并基于误差协方差演化提出最优攻击分配策略的充分条件；文献 6 针对DoS攻击的分布式降维融合估计问题，基于新的攻击和补偿模型，为被寻址的CPS设计了一种递归分布式卡尔曼融合估计器；文献7 研究了DoS攻击下具有多传输通道的触发分布式网络的安全估计问题；文献 8 在攻击者发动DoS攻击阻塞NCSS信道过程中，考虑攻击者在能量限制及隐蔽性的约束条件下不能在任意时间点发动高强度攻击，针对攻击的最优调度问题进行了分析；文献 9 针对动态模型未知的信息系统在DoS攻击下的安全控制问题，提出无模型H控制方法，利用博弈论将H控制转化为二人零和博弈问题；文献10 从攻击者角度研究多传感器系统安全问题，以数学期望的形式推出子系统误差协方差表达式，并量化其与系统的融合误差协方差关系。从数据融合的角度，文献 11、12 针对传感系统获取的量测数据在传输过程中受到一定程度的干扰问题，提出将多种融合算法与卡尔曼滤波技术结合的数据融合方法；文献 13 在虚假数据注入攻击模型下，针对CPS融合系统的稳定性进行了分析；文献 14 在经典的多模型交互算法基础上，提出一种解决随机线性混合系统状态估计问题的分布式方法；文献 15 对于无线传感网络系统动态估计的分布式滤波器，针对恶意网络攻击，提出基于信任的分布式处理框架，允许相邻节点交换信息，并通过真值发现算法找出一系列可信节点。本文聚焦于CPS中拒绝服务攻击的安全控制问题，基于分布式网络系统的处理框架，攻击者针对传感器与远程估计器的无线传输通道发起恶意攻击。本文贡献如下：对于无线传输通道，通过伯努利分布模型描述传输系统中存在的量测数据丢失特性；对于分布式网络系统存在的DoS攻击进行安全状态估计和攻击检测；通过数值仿真验证分布式最优融合估计与检测算法的有效性。1 问题描述典型的信息物理系统包括网络组件与物理组件，当系统状态在一定范围内变化时，信息系统可以近似为线性系统。当系统处于恶意攻击状态时，其攻击状态结构如图1所示。在系统正常运行时，传感器测量受控系统设备得到量测值，量测值通过无线不可靠通道传输给远程端进行最优状态估计。由于无线传输通道的开放性和共享性，使得数据在传输过程中易受到恶意攻击干扰。将受控目标CPS抽象成离散线性时不变系统，多传感器网络控制系统模型如下：xk+1=Axk+wk（1）yik=Cixk+vik（2）其中，xk为系统状态向量，yik为第i传感节点量测值，wk Rn和vk Rm分别为网络系统的过程噪声和量测噪声，并满足均值为零的高斯分布。系统的初始状态为x0，且序列wk与vik之间相互独立，A、Ci分别表示状态转移矩阵和量测矩阵。假设(A，Ci)是可检测的，且(A，Q)稳定，现考虑在随机干扰攻击模型中，当无线信道受到恶意攻击时，会大大降低系统数据传输的成功率。定义ik为系统处于攻击状态下，当前k时刻分布式网络系统通过无线信道的量测数据传输指标。ik=1数据传输成功0 其它其中，i=1，2，.，N。针对分布式网络系统，在基于伯努利分布模型的不可靠无线通道量测传输中，定义ik=Pr(ik=1)0，1为量测数据到达率。由于攻击会造成量测数据丢失，当系统处于不稳定的情况下，卡尔曼滤波器无法进行正常的状态预测估计，因此考虑DoS攻击状态下远程估计器接收的量测值yik为传感器量测值加上前一时刻量测值的结果，以保证系统的正常、稳定运行。现定义DoS攻击下分布式网络系统量测数据传输丢失的补偿模型为：yik=ikyik+(1-ik)yik-1（3）线性物理系统传感系统远程状态估计异常检测DOS/k kx/k kP Fig.1CPS system under attack图1攻击状态CPS系统 1552023 年软 件 导 刊2 攻击识别检测方案本文考虑的是分布式传感网络的拒绝服务攻击，信息系统在受到攻击后的表现形式为不可靠通道量测数据丢失，造成远程状态估计器无法正常工作。为了降低系统噪声和数据丢失对系统运行的影响，通过分布式卡尔曼滤波和故障检测器进行系统数据融合与安全状态检测，得到系统的最优状态估计量。2.1局部状态估计器假设系统处于攻击状态，结合卡尔曼滤波理论，推导出信息滤波器的去噪处理过程。基于伯努利模型，DoS攻击子节点i的状态估值、误差值以及误差协方差时间更新如下：xik/k-1=Axik-1/k-1（4）eik/k-1=xk-xik/k-1=Aeik/k-1+k-1（5）Pik/k-1=Eeik/k-1(eik/k-1)T=APik-1/k-1AT+Q（6）在时间更新的基础上，调整DoS攻击状态下子节点的最优增益为：Kik=Pik/k-1CT-(1-k)(P1+P2+P4+P5)CCPik/k-1CT+R+C(P3-P1+2P4-2P5)C-1（7）其 中，定 义P1=ExkxTk，P2=ExkxTk-1，P3=Exk-1xTk-1为相同时刻或不同时刻状态之间的协方差，P4=ExkxTk/k-1，P5=Exk-1xTk-1/k-1为不同时刻实际值与预测值之间的误差协方差。由此计算当前时刻的状态估值、误差协方差为：xik/k=Axik-1+KikCeik/k-1+kk-()1-kC()xk-xk-1+)()1-kk-1（8）Pik/k=Eeik/k(eik/k)T=(I-KikC)Pik/k-1+(1-k)KikC(P1-P2-P4+P5)（9）由式（8）、式（9）可知，处于攻击状态时，系统状态估值和误差协方差发生了改变16。2.2分布式网络数据融合考虑到单传感器无法满足实际应用需求，因此需要扩展传感网络规模，以克服单传感器系统时间和空间的局限性。其中，传感系统通过多个不可靠无线信道将局部量测值发送到远程估计器，然后通过融合中心进行融合估计。基于分布式网络系统的融合状态估值如下：Xmk=i=1NWikxik/k（10）本文通过最优融合算法进行系统状态估计，其中最优权系数及融合误差方差阵如下：W1k，W2k，.，WNk=-1e(eT-1e)-1（11）Pm=(eTP-1e)-1（12）2.3攻击检测判决规则统计分析实际观测值与理论估值之间的偏差程度，作为估计器输出用于攻击检测。系统在远程估计端配备KL检测器来判断系统是否遭受DoS攻击，并采用如下指标作为系统判断规则对结果进行评价：D()pk|qk=12Tr()-1qp-m2+12lg|p|-1qD()pk|qk=（13）其中，m为随机序列维度，为系统攻击检测阈值。在稳定运行的系统中，随机序列pk及qk满足零均值的高斯分布，p和q为随机序列协方差矩阵。基于分布式网络系统，通过远程端获得的新息序列和新息序列的KL散度判断系统是否处于攻击状态。若两者的KL散度为，系统将状态置为H0；当系统遭受DoS攻击，并且成功检测出异常时，检测器将系统状态置为H1，并发送报警信号。具体检测算法如下：算法1 信息系统DoS攻击检测算法1.初始化网络参数A，C，J，x0=0，P0=P2.for i=1：Ndo3.for i=1：Kdo4.根据式xk/k-1=Axk-1/k-1计算先验估计5.根据式Pk/k-1=APk-1/k-1AT+Q计算误差协方差6.根据Kk=Pk/k-1AT(APk/k-1AT+R)-1计算最优增益7.根据式zk=yk-Cxk-1/k-1计算新息序列8.根据式Pk/k=(In-KkC)Pk/k-1计算后验误差9.根据式k=CPk/k-1CT+R计算新息误差协方差10.根据式zak=yak-Cxak-1/k-1计算攻击状态新息序列11.根 据 式ak=CPk/k-1CT+R+(1-k)C(P3-P1+P4+PT4-P5-PT5)CT计算先验估计12.while K J do13.Dk=12Tr(-1kak)-m2+12lg|k|-1k14.ifDk=then15.CPS H016.else CPS H117.输出攻击检测结果18.endfor19.endfor3 仿真验证为了验证分布式网络框架下多传感器融合滤波估计和异常检测的有效性，以分析一定区域内的动态目标追踪问题，通过MATLAB对稳定系统进行网络攻击仿真分析，并对该方法与其它检测方法的检测性能进行对比。假设目标追踪系统包含3个传感器，基于式（1）、式（2）的系统 156第 9 期杨珊，吴崔屏：拒绝服务攻击下基于分布式网络的安全状态估计模型，相关参数变量取值为：A=10.6101，C1=10，C2=11，C3=01其中，基于过程噪声与量测噪声的协方差矩阵为：Q=0.10.10.10.1，R1=0.2，R2=0.6，R3=0.7当动态目标追踪系统不处于攻击状态时，量测数据只发生自然丢失。当追踪系统遭受恶意攻击后，系统量测数据处于“1”状态表示正常传输，“0”状态表示数据传输丢失。如图2所示，追踪系统不可靠信道的量测数据自然丢失与遭受DoS攻击时发生的量测数据传输丢失具有明显差异（彩图扫OSID码可见）。统计网络系统攻击前后实际观测值与理论估计值之间的偏差程度，作为估计器输出判断系统的检测状态。CPS系统在远程估计端配备KL散度检测器来检测分布式多传感器系统是否遭受攻击17。由图3可知，在系统运行50，500时 间 段 内，Ks，1=126，352，386，484，Ks，2=193，265，422，Ks，3=124，141，172，288，网络系统处于攻击状态。目标追踪系统在未受攻击的状态下，经分布式融合滤波估计的仿真如图 4所示。系统真实状态响应与滤波融合的最优状态估值近似重合，由图可知系统通过最优融合算法，能在稳定运行时进行可靠的状态估计。随着网络系统的不断运行，采用攻击状态下单传感系统的检测函数18，假设在系统检测窗口J=50的情况下，分布式融合系统实际观测值与理论估计值之间的量测残差序列如图5所示。为了进一步考虑分布式框架下融合估计算法与异常检测算法相结合的检测方案性能，在系统量测残差分布基础上，对系统分别进行卡方检测和欧式检测仿真对比，如图6、图7所示。基于单传感器系统检测函数，在量测数据传输总丢包率0.05的基础上，对分布式网络系统检测窗口J=20、J=50、J=100的不可靠通道进行多次数据统计分析。卡方检测与欧式检测对比如表2所示。基于分布式传感网络系统，在数据到达率相同的情况下，随着检测窗口增大，检测器的检测率均有所下降，且卡方检测的下降速度更快。相比之下，欧式检测能更好地用于分布式网络框架下的拒绝服务攻击检测。300305310315320325330335340350360370380390400410最优融合系统状态k xnk x1k x2k x3k xfk Fig.4Optimal fusion state estimation图4最优融合状态估计5010015020025030035040045050001234567多传感器KL散度检测kS1S2S3 Fig.3Multi-sensor KL divergence detection图3多传感器KL散度检测1001502002503003500.10.20.30.40.50.60.70.80.9-1012多传感器量测传输k yn1 k ydos1 k yn2 k ydos2 k yn3 k ydos3 k Fig.2Measure data transmission sequence图2量测数据传输序列100150200250300350-1.5-0.50.51.5-1012融合系统残差序列k 无攻击状态 攻击状态 Fig.5Fusion system residual sequence图5融合系统残差序列1001502002503003500510152025融合系统卡方检测k 攻击状态 无攻击状态 Fig.6Chi-square detection of fusion system图6融合系统卡方检测 1572023 年软 件 导 刊4 结语本文研究了分布式框架下多传感网络系统在遭受拒绝服务攻击时的安全状态估计问题。在单传感网络攻击检测模型基础上，考虑了融合估计算法与恶意攻击相结合的攻击检测模型，并对分布式网络系统进行卡方和欧式检测仿真对比。CPS技术的蓬勃发展与国家安全、社会稳定和人民福祉紧密相关，随着通信网络日益开放共享，网络安全问题变得愈发重要。恶意DoS攻击作为网络系统中易于实现的攻击形式，在马尔可夫模型、伯努利分布模型等研究中，能量受限及周期性等特征也应该逐步成为该领域关注的研究方向。与此同时，针对多传感器数据融合，基于分布式的一致性滤波和贝叶斯估计等也应获得更广泛的关注。参考文献：1 ZHANG H.Research on information physical system security theory D.Hangzhou：Zhejiang University，2015.张恒.信息物理系统安全理论研究 D.杭州：浙江大学，2015.2 DING D，CAO J.Survey on network security of information physical fusion system J.Information and Control，2019，48（5）：513-521.丁达，曹杰.信息物理融合系统网络安全综述 J.信息与控制，2019，48（5）：513-521.3 GUO Z Y.Research on detection method of spoofing attack in information physical system D.Shenyang：Northeastern University，2019.郭兆誉.信息物理系统欺骗攻击的检测方法研究 D.沈阳：东北大学，2019.4 SHI T F，GUO M S.Application of multi-sensor information fusion in state estimation J.Application of Automation，2021（12）：67-70.史腾飞，郭梦诗.基于多传感器信息融合在状态估计上的应用 J.自动化应用，2021（12）：67-70.5 YE D，MEI M Y.DoS attack allocation against remote state estimation over packet-dropping networks J.IEEE Transactions on Circuits and Systems II，2022，69（3）：1507-1511.6 CHEN B，ZHANG W A，YU L.Distributed dimensionality reduction fusion estimation for cyber-physical systems under DoS attacksJ.IEEE Transactions on Systems，Man，and Cybernetics：Systems，2019，49（2）：455-468.7 LIU Y，YANG G H.Event-triggered distributed state estimation for cyber-physical systems under DoS attacks J.IEEE Transactions on Cybernetics，2022，52（2）：3620-3631.8 XU H.Research on security of networked control system against DoS attack D.Qinghuangdao：Yanshan University，2018.徐豪.针对DoS攻击的网络化控制系统安全问题研究 D.秦皇岛：燕山大学，2018.9 JIN D，WU Q，CHEN B，et al.Model-free H_ control of information physical system under DoS attack J.Control and Decision，2022，37（10）：2565-2574.金丹，吴麒，陈博，等.DoS攻击下信息物理系统的无模型 H_ 控制J.控制与决策，2022，37（10）：2565-2574.10 YE D，WANG J Y.Optimal linear deception attack design for multisensor systems J.Control and Decision Making，2019，34（11）：2297-2302.叶丹，王吉言.多传感器系统的最优线性欺骗攻击设计 J.控制与决策，2019，34（11）：2297-2302.11 ZHANG P，DONG W H，GAO D D.An optimized Bayesian estimation method for multi-sensor data fusion J.Chinese Journal of Sensor Technology，2014，27（5）：643-648.张品，董为浩，高大冬.一种优化的贝叶斯估计多传感器数据融合方法 J.传感技术学报，2014，27（5）：643-648.12 WANG Y A，HE G J，LIU Y.Multi-sensor tracking fusion algorithm based on Kalman filter J.Ship Power Technology，2013，33（2）：4-7.王永安，何光进，刘毅.基于卡尔曼滤波的多传感器跟踪融合算法J.船电技术，2013，33（2）：4-7.13 PENG D T，DONG J M，CAI Z M，et al.Research on stability of information physical fusion system under false data injection attack J.Acta Automatica Sinica，2019，45（1）：196-205.彭大天，董建敏，蔡忠闽，等.假数据注入攻击下信息物理融合系统的稳定性研究 J.自动化学报，2019，45（1）：196-205.14 DU B，SUN D.Distributed state estimation for stochastic linear hybrid systems with finite-time fusion J.IEEE Transactions on Aerospace and Electronic Systems，2021，57（5）：3084-3095.15 CHEN Y，MA L，XIA H，et al.Trust-based distributed Kalman filter estimation fusion under malicious cyber attacksC/IEEE 5th International Conference on Data Science and Systems，2019：2255-2260.16 ZHUANG K X，SUN Z W.Building a detection model for denial of service attacks in industrial information physical systems J.Control Theory and Application，2020，37（3）：629-638.庄康熙，孙子文.针对工业信息物理系统中的拒绝服务攻击建立检测模型 J.控制理论与应用，2020，37（3）：629-638.17 WANG D，LI F F，XU S Y，et al.Watermark encryption strategy for linear fraud attack in information physical system J.Journal of East China University of Science and Technology（Natural Science Edition），2020，46（6）：828-832.汪迪，李芳菲，许思遥，等.针对信息物理系统线性欺诈攻击的水印加密策略 J.华东理工大学学报（自然科学版），2020，46（6）：828-832.18 ZHOU X Y，YE F G，REN Z.Security state estimation and detection for denial of service attacksJ.Information Security Research，2021，7（1）：69-74.周秀莹，叶方概，任祝.针对拒绝服务攻击的安全状态估计与检测J.信息安全研究，2021，7（1）：69-74.（责任编辑：黄健）Table 2Comparison of chi-square test and European test表2卡方检测与欧式检测对比检测窗口检测率（%）卡方检测2086.965073.3310072.33欧式检测2091.305086.6710081.821001502002503003500.00.20.40.60.81.01.21.41.61.82.0融合系统欧式检测k 攻击状态 无攻击状态 Fig.7Fusion system Euclidean detection图7融合系统欧氏检测 158