如何将新型安全技术应用于车辆入侵检测系统

车联网(V2X)通过将其他设备与移动的车辆联系起来，使运输系统更加智能，但它也带来了地理动态入侵问题，而现有的车辆入侵检测系统(IDSs)只是部署了预设的静态策略。区块链作为一种新型的安全技术，可以实现分散式防篡改，但由于其刚性结构，它尚未用于车辆入侵检测系统。本文针对V2X提出了基于微区块链的地理动态入侵检测，并提出了一种新的嵌套式微区块链结构，在该结构中，在小区域内部署的具有防篡改能力的微区块链可以为车辆构造局部入侵检测策略，当车辆移动到另一个区域时，再通过所提出的微区块链重复嵌套方案构建时空动态入侵检测系统策略。此外，本文还提出控制层来将入侵检测系统策略动态地配置到微区块链中。

引  言

V2X的愿景建立在高度互联的车辆上，这些车辆通过各种通信方法(车辆对车辆、车辆对基础设施等)收集有价值的数据来指导开车。然而，与车辆相连的大量实体不仅给驾驶带来有用的信息，还给这些车辆带来前所未有的风险。V2X中的车辆必须面对与其相关的不同实体的入侵，这些入侵具有多样性和动态地理特征。针对车内和车间网络的各种入侵可以合作摧毁车辆，此外，车辆的频繁移动导致针对车辆的入侵因位置和时间段而异，这意味着这些入侵具有高度的时空动态性。例如，一个地区的攻击者可能会集中攻击控制器局域网(CAN)总线，而另一个地区的攻击者则对Sybil攻击感兴趣。

近年来，大量传统入侵检测系统被提出用于智能车辆。具体来说，诸如递归神经网络(RNNs)、卷积神经网络(CNNs)、统计技术和长短期记忆(LSTM)等技术已被用作检测针对车辆的入侵的模型。例如，RNN和LSTM被结合起来，形成了识别拒绝服务攻击（DOS）、恶意软件攻击和针对机器人车辆的命令注入攻击的策略。统计技术被用来检测针对车载自组织的网络虚假信息攻击和西比尔攻击。

递归最小二乘滤波被用来识别对车辆传感器的入侵。然而，传统的智能决策支持系统有三个缺点。由于缺乏可靠的本地入侵样本，每个传统的入侵检测系统通常只能检测针对车内和车间网络的特定部分(例如，can总线、远程信息处理单元)的特定攻击(例如，欺骗攻击、重放攻击)，而不是在特定区域盛行的入侵方法。传统的身份识别系统通常建立在一个或两个特定的模型上(例如卷积神经网络、循环神经网络)。

传统入侵检测系统的结构是静态的，这表明部署在系统节点中的检测策略是静态的，不能随着入侵方法的变化而变化。因此，如何有效地检测V2X中大量的动态入侵仍然是一个有待解决的问题。为了应对V2X中入侵检测的挑战，我们首先将地理动态入侵检测(GDID)概念化，并说明其愿景。GDID旨在基于可靠的本地入侵样本，为本地车辆按需动态提供入侵检测策略。

最近，以防篡改和不可否认性为特征的区块链技术已被用于处理车辆到电网网络中的安全问题；因此，我们试图用区块链技术建立一个GDID模式。然而，很难用传统的区块链来建造GDID模式，因为它不加区别地存储属于不同地区的数据，并且需要很高的时间成本来存储区块链的数据。因此，我们提出了一个微区块链架构来为GDID模式构建可靠的入侵策略。架构包含一个宏观区块链和几个微观区块链。本地入侵样本和入侵检测策略可以通过在特定区域部署和运行的微区块链架构快速存储、预付和传播。此外，几个微区块链可以构建更大的微区块链，这使得能够为在大区域周围移动的车辆提供时空动态入侵检测策略。微区块链收集的所有数据将存储在宏区块链，用于验证收集的数据的合法性，并为数据提供商制作加密货币。GDID模式的构建不仅需要可靠的本地数据集，还需要入侵策略的动态部署。因此，我们建议在微区块链体系结构上建立一个分布式分层控制层，以建立一个GDID模式。

地理动态入侵检测

为了识别V2X通信中的入侵，我们首先将GDID概念化。我们将GDID定义为一个安全的分布式系统，能够基于可靠的区域入侵样本在车辆上动态部署入侵检测策略。如图1所示，从GDID抽象出三个实体:授权车辆、入侵检测策略提供商和基础设施提供商。

图1 从GDID抽象出三个实体:授权车辆、入侵检测策略提供商和基础设施提供商

GDID的好处总结如下。

当入侵随着环境而变化时，授权车辆可以动态地获得可靠的入侵检测策略。对于GDID来说，收集到的可靠的本地数据集不仅提供了有关本地入侵的情报，还为构建专业和可靠的入侵检测策略提供了素材。基础设施提供者的任务由入侵检测策略提供商配置和协调；因此，基础设施可以提供更可靠的服务。由于GDID主要尝试构建适合本地环境的各种可靠的入侵检测策略，因此传统的入侵检测模型可以在GDID重复使用。

基于微区块链的地理动态入侵检测模式

架构总览

如图2所示，基于微区块链的地理动态入侵检测(MBID)模式包含四层:微区块链层、虚拟化层、控制层以及应用和管理层。微区块链层为MBID中的数据收集和入侵检测策略部署提供了可靠性和激励。虚拟化层旨在提高部署微型区块链的效率和灵活性。控制层提供微区块链管理服务、入侵检测统计服务、入侵检测模型上传服务和入侵模型部署服务。应用和管理层包含MBID的应用和管理接口。

图2 基于微区块链的地理动态入侵检测

微区块链层

MBID需要一种机制，该机制不仅提供激励来鼓励用户共享更多的入侵检测策略、入侵样本和入侵模型，而且能够确保这些数据的可靠性。因此，我们试图提出一个区块链层，为MBID中的数据收集和部署提供可靠性和激励。传统区块链不能直接部署在MBID中，原因如下。在MBID中，需要在本地存储与特定区域和时隙相关的入侵样本和入侵检测策略，而不引入无关数据。但是，传统的区块链节点包含区块链收集的所有数据。

在不同区域和时间段收集的数据需要易于关联，以构建适合大区域的入侵检测策略。然而，为每个地区部署一个独立的传统区块链会破坏数据集的相关性。在MBID中，数据提供者应该快速得到报酬，以保持他们共享可靠的入侵样本和入侵检测策略的热情。然而，传统的区块链需要很多时间来确认交易。

微区块链架构的结构：微区块链架构旨在加快小区域入侵样本收集和入侵检测策略部署的速度，同时保持这些数据的可靠性。为了减少等待确认的块的数量和用于工作证明（PoW）的时间，微区块链架构被设计为由一个宏观区块链和大量微观区块链组成的区块链。有待分析的尺寸最小的区域称为基本区域。微区块链是为用户收集数据和部署入侵检测策略而构建，用户位于由几个基本区域组成的区域中。微区块链可以重复嵌套形成更大的微区块链，为从一个区域移动到另一个区域的车辆提供时空动态入侵检测服务。由于微区块链负责高效收集本地数据并快速预付数据，其共识机制应该很简单。对于拜占庭容错(PBFT)共识机制微区块链，可以采用以下主动机制来减轻恶意节点对投票过程的干扰。

由于攻击只能通过串通位于PBFT的区块链1/3以上的节点来实现，因此可以通过添加更多节点来参与协商过程来减轻干扰。增加运行共识过程的成本也可以减轻恶意节点的干扰。例如，我们可以要求参与共识过程的节点提供一个PoW。当PoW的成本足够大时，成为恶意节点的好处可能小于成为正常节点的好处。微区块链体系结构中的宏区块链被设计用于存储系统中分布的所有入侵样本和入侵检测策略；因此，宏观上的区块链需要被设定为一个传统的区块链，有一个PoW一致的机制来保证存储在其中的数据的可靠性。

微区块链中的入侵样本和入侵检测模型存储： 为了给特定的微区块链提供入侵样本/入侵检测策略，微区块链中的节点需要检查数据提供者的身份。在这里，入侵检测策略是基于入侵检测模型构建的，包括RNN、CNN、LSTM、随机森林等。如果数据提供者因提供虚假信息而被列入信任机构(TA)的黑名单，其上传数据的请求将被拒绝。否则，数据提供商将使用其数字签名对数据进行签名，并将其发送到微区块链的一个节点。由于入侵样本有多种类型，入侵样本需要使用模板来描述其内容。例如，拒绝服务(DoS)攻击的入侵样本应该用协议类别、标志等来描述。节点会将收集到的入侵样本组织到相应的微区块链。在检查上传数据的签名之后，微区块链中的节点将数据打包成一个块，并将该块广播给整个微区块链。当所有节点都被确认后，该块将被存储在微区块链中。由于微区块链只存储本地数据，并自行向数据提供者付费，因此收集到的入侵样本/入侵检测模型应该存储到宏区块链中，让微区块链中的节点获得奖励。借助宏观区块链，一个地区收集的入侵情报可以被其他地区的用户获得。数据将由微区块链中的每个节点签名，然后发送到宏区块链。签署的数据将被组织为在宏观区块链中等待确认的块。为了确认包含微区块链上传数据的块，宏区块链节点将检查每个签名和每个哈希值。一旦上传到宏观区块链的数据被确认为合法，微观区块链的节点将根据上传到宏观区块链的数据量赚取一些加密货币。为了获得宏观区块链的报酬，所有微观区块链节点也充当宏观区块链节点。与本地存储整个宏区块链的完整节点不同，每个微区块链节点只存储最长的宏区块链的头部。他们可以像其他类似比特币的区块链节点一样，通过使用简化的支付验证协议来检查自己是否已被支付。如果收集的数据被发现是非法的，数据将被放弃，并且微区块链中的节点将从微区块链中移除。新节点将由TA部署，通过回滚到存储在宏区块链中的最后正确状态来运行微区块链。新加入的节点将由微区块链结构中的TA认证。TA可以使用公钥基础设施(PKI)来提供严格的识别和认证服务。如果运行微区块链的节点继续在包含非法数据块的基础上形成块，它们将不会得到报酬。

微区块链的入侵检测策略部署: 当入侵检测策略涉及交付给用户时，攻击者可能会修改这些策略,因此，如何实现入侵检测策略防篡改是亟待解决的问题。入侵检测策略的部署应该通过在微区块链体系结构中加密和存储策略来实现，如果车辆连接到微型区块链并向入侵策略提供商付费，它就可以获得解密密钥。当入侵检测策略的表现不如其承诺时，车辆可以要求TA将策略提供商从微区块链网络中移除。微型区块链交付网络的不可用性不会影响已经部署在车辆上的入侵检测策略,因此，针对微区块链交付网络的不可用性执行安全策略的解决措施如下。

首先，基于信誉的策略不依赖于微区块链，需要作为基本策略嵌入到车辆中，尽管这些策略可能会导致大量的错误警报。那么车辆可以通过拒绝连接信誉值低的实体来保护自己。

其次，应该执行从微区块链获得的入侵检测策略来保护车辆。此外，目标区域的入侵检测策略需要在车辆上路之前预先下载。图3给出了入侵样本传送和入侵检测策略部署的细节。

图3 微区块链的入侵样本收集和入侵检测策略部署

控制层

控制层关注身份认证、查询和分析微区块链中的入侵样本、更新入侵检测模型以及为车辆和管理人员部署入侵检测策略。为了处理具有高度时空动态性的入侵，控制层中的控制器采用分布式和分层的体系结构进行组织。对于旨在服务于小区域用户的控制器，它们通常部署在具有时空感知的边缘节点上。

分布式分层架构: 控制层中的控制器基于它们所支配的区域大小，以分布式和分层结构来组织。具体来说，在一个基本区域中，使用多个控制器而不是单个控制器来服务于该区域中的用户，以防止单点故障。这些控制器以分布式方式组织，并部署在控制层架构的低层。此外，为了满足居住在包含几个基本区域的大区域中的用户的需求，需要控制层中更高级别的控制器。类似地，多个控制器被同时分配以覆盖由几个基本区域组成的大区域，并且它们也以分布式方式组织。上级控制器管理其大区域内所有下级控制器；因此，他们主要负责提供只能在大区域或跨区域提供的服务。

动态更新: 控制器需要通过分析微区块链采集的入侵样本，周期性地感知其覆盖区域内流行的入侵方法。随后，控制器可以基于分析结果构建可靠的入侵检测策略。

可扩展部署: 由于向MBID系统请求入侵检测策略的车辆分布随时变化，属于不同区域的控制器的负担具有可扩展的特征。这表明上级控制器需要主动收集其覆盖区域内下级控制器的需求信息。上层控制器需要包含下层控制器上的所有配置，并部署下层控制器，以可扩展的方式满足用户的需求。

图4 虚拟化层支持的微型区块链

虚拟化层

如图4所示，微区块链建立在虚拟化层上。虚拟化层旨在通过提供数据收集器、存储资源、计算资源和网络资源的逻辑视图来支持微区块链层和控制层的可靠运行。在微区块链体系结构中，许多微区块链同时存在于一个基本区域，其中每个微区块链需要独立的存储资源、计算资源和网络资源。然而，为每个边缘节点和云中心构建分配网络资源、计算资源和存储资源的静态策略来运行不同类型的微区块链是不切实际的。控制层中控制器的位置和数量是动态的，而不是静态的。因此，微区块链层和控制层应该基于虚拟化技术来构建。网络切片建立在网络功能虚拟化和软件定义的网络技术之上。通过网络切片，每个服务可以有一个专用于运行该服务的特定网络，因此网络切片可用于为部署在同一地区的微区块链构建对等(P2P)网络。特别是，可以通过为每个微区块链构建唯一的网络片来保证块广播的速度。此外，虚拟机可用于为微区块链节点和控制器动态提供计算资源。通过利用以分布式方式将数据块存储到边缘节点的虚拟存储技术，可以解决存储具有大量数据的微区块链的问题。

应用和管理层

应用和管理层为用户提供应用界面和管理界面。具体来说，当它接收到来自车辆的请求时，它将授权车辆发送的请求转换成可由控制层操作的服务。用户可以从其他层获得入侵检测相关服务(例如，入侵检测策略更新、入侵信息分析)和管理服务(例如，移除区块链节点)，而不必知道它们如何工作的细节。

微区块链的架构的优点

在V2X场景中，车辆需要面对各种各样的攻击，这些攻击因时间和位置而异。微区块链增强了V2X的安全性，具体如下。

当车辆从一个区域移动到另一个区域时，微型区块链可以重复嵌套，以提供适合车辆实时位置的防篡改入侵检测策略。

微区块链结构能够以防篡改的方式在特定区域高效地收集可靠的入侵检测模型和入侵样本。可信入侵检测模型和区域入侵样本可用于为目标区域构建可靠的入侵检测策略。

微区块链结构提供了分散式结构，为分散和频繁移动的车辆提供入侵检测服务，并且消除了单点故障。

性能评估

为了比较MBID与常规IDS的性能，在运行于具有13，335，276 kb RAM、特斯拉K80 GPU和英特尔Xeon 2.3 Ghz CPU的云平台上的Keras上进行了仿真。

与常规入侵检测系统相比，MBID中的微区块链可以确保为构建入侵检测策略而收集的入侵样本是全面的，并且不可修改。而且MBID基于位置和时隙动态部署入侵策略，常规IDS是静态部署的。为了模拟MBID，我们基于原始训练数据集训练一个经典的反向传播(BP)神经网络，其中周期和批量大小分别设置为12和128。为了模拟不能防止篡改的常规入侵检测系统，我们在MBID中用相同的模型和参数训练BP神经网络1，同时使用修改的入侵样本，其中一半的攻击被修改为正常数据。为了模拟无法获得足够训练数据集的规则入侵检测系统，我们基于原始入侵数据集一半大小的不完整入侵样本训练神经网络2，其中模型和参数与MBID中使用的神经网络相同。MBID、BP神经网络1和BP神经网络2的检测率如图5所示。可以看出，在相同的入侵检测模型下，MBID提供的入侵检测策略比普通IDS提供的策略更准确。此外，MBID有潜力提供基于其他模型构建的入侵检测策略。

图5 MBID、BP神经网络1和BP神经网络2的检测率

与传统的公共区块链相比，微区块链结构在审计新收集的数据块方面更有效。具体来说，公共区块链节点通过验证签名、找到块的PoW并对验证的数据进行签名来宣布对块进行审计。微区块链通过验证签名、创建关于该块和前一个块的散列值以及对验证的数据进行签名来宣布它。我们使用Java模拟微区块链和公共区块链，其中公共区块链1、公共区块链2和公共区块链3的难度级别分别设置为5、6和10。难度等级是从0到255的整数，难度等级较高的公共区块链需要更多的时间来查找PoW。假设当区块链审计一个数据块时，用户可以获得一个加密货币；图6中给出了用户接收的加密货币的数量和一个节点宣布验证这些块的时间成本之间的关系。可以看出，微区块链花在宣布验证块上的时间更少。此外，向区块链上传入侵检测相关数据的用户可以在有限的时间内使用微型区块链获得更多的加密货币。

图6用户获得的加密货币数量与用于宣布验证块的时间成本之间的关系

总  结

在V2X中，移动的车辆面临地理动态入侵。在本文中，我们提出了基于微锁链的入侵检测，根据车辆的位置变化动态配置入侵检测策略。特别是，在MBID中，提出了一种微区块链体系结构来收集本地入侵样本，这些样本可用于构建适合当前状态的入侵检测策略。提出了一种基于微区块链架构的控制层，基于本地入侵信息动态部署车辆入侵检测策略。通过重复嵌套不同的微区块链，微区块链架构可以为从一个地方移动到另一个地方的车辆提供地理动态入侵检测策略。仿真结果表明，提出的入侵检测方法比传统入侵检测系统更准确。该方法对提高V2X的安全性具有重要意义。

fqj