[发明专利]一种基于无线网络流量的偷拍摄像头检测及防护方法

权利要求书

1.一种基于无线网络流量的偷拍摄像头检测及防护方法，其特征在于，包括：

1)获取空间局域网内的无线网络数据包流量信息；

2)将过滤后的无线网络数据包流量信息根据ip帧头信息中的源ip地址和目标ip地址进行数据流分组，每一组数据流对应接入局域网的同类型设备；

3)提取每一组数据流的多维特征向量，包括源ip数据包占比、数据包更换目标ip的平均时间、数据包持续时间的均值及标准差、数据包发送时间间隔的均值及标准差、数据包长度的均值及标准差、数据包所属服务类型的信息熵、数据包生存时间的均值及标准差；

4)利用步骤3)得到的多维特征向量对XgBoost模型进行训练，训练时，将无线摄像头设备对应的多维特征向量标记为正样本，其余设备对应的多维特征向量标记为负样本；训练好的XgBoost模型能实现数据流的二分类；

5)获取待检测空间局域网内的无线网络数据包流量信息，采用步骤2)和3)中的方法提取检测空间局域网内所有连接设备的数据流对应的多维特征向量，利用训练好的XgBoost模型判断待检测空间是否存在无线摄像头；若存在无线摄像头，则对待检测空间局域网发起洪泛攻击，使无线摄像头设备下线。

2.根据权利要求1所述的一种基于无线网络流量的偷拍摄像头检测及防护方法，其特征在于，步骤3)所述的多维特征向量，具体为：

a.数据流中源ip数据包占比L：

其中，N_u表示数据流中包含的源ip数据包的数量，N表示数据流中包含的总数据包的数量；

b.获取数据流中的数据包更换目标ip的时间戳t_i，形成数据流的目标ip更换时间序列C＝{t₁,t₂,…,t_i,…t_m}，t_m表示数据流中第m种目标ip对应的数据包时间戳；利用时间序列C计算数据流中数据包更换目标ip的平均时间μ_tc：

tc_i＝t_i+1-t_i

其中，tc_i是第i+1种目标ip与第i种目标ip对应的数据包更换目标ip时间差，μ_tc是数据包更换目标ip的平均时间；

c.数据包持续时间的均值μ_d及标准差D_d：

其中，d_i为数据流中第i个数据包的持续时间；

d.数据包发送时间间隔的均值μ_tk及标准差D_tk：

tk_i＝k_i-k_i-1

其中，k_i为数据流中第i个数据包的发送时间，tk_i数据流中第i个数据包与第i-1个数据包的发送时间差；

e.数据包长度的均值μ_l及标准差D_l：

其中，l_i为数据流中第i个数据包的长度；

f.数据流中的每一个数据包对应一种服务类型，计算每一种服务类型出现的频率f_i，根据频率f_i计算数据包所属服务类型的信息熵E(f)：

其中，w为服务类型的数量，f_i为第i种服务类型出现的频率；

g.数据包生存时间的均值μ_tt及标准差D_tt：

其中，tt_i为数据流中第i个数据包的生存时间。

3.根据权利要求1所述的一种基于无线网络流量的偷拍摄像头检测及防护方法，其特征在于，当检测到空间局域网内存在无线摄像头，则从无线摄像头对应数据流中获取其MAC地址，基于局域网交换机MAC表的MAC学习机制获取目标路由器信息及无线摄像头传递信息所在的信道；向服务器发送防护请求，服务器接收指令后不断发送大量的伪造MAC地址到目标信道，使交换机中的MAC表不断老化，从而无线摄像头的MAC地址从交换机的MAC表中移除，使无线摄像头的信息无法从交换机信道正常发送，达到无线摄像头从局域网中下线的目的。