[发明专利]基于MQTT协议的入侵检测方法

摘要

本发明公开了一种基于MQTT协议的入侵检测方法，其包括在主站与子站之间采用Linux的Netfilter框架在1883端口捕获MQTT数据包；提取MQTT数据包的固定报头第1个字节中控制报文类型的值x1，固定报头第1个字节中指定控制报文类型的标志位的值x2，固定报头第2个字节的值x3；将MQTT数据包中提取的x1、x2和x3组合成一组数据，所述数据的格式为Xn＝(x1，x2，x3)；将所述数据作为输入传输到神经网络模型中得到检测结果；当检测结果大于预设阈值时，表明所述MQTT数据包为正常数据包，允许其通过；当检测结果小于预设阈值时，表明所述MQTT数据包为异常数据包，不允许其通过。

主权项

1.基于MQTT协议的入侵检测方法，其特征在于，包括：在主站与子站之间采用Linux的Netfilter框架在1883端口捕获MQTT数据包；提取MQTT数据包的固定报头第1个字节中控制报文类型的值x1，固定报头第1个字节中指定控制报文类型的标志位的值x2，固定报头第2个字节的值x3；将MQTT数据包中提取的x1、x2和x3组合成一组数据，所述数据的格式为Xn＝(x1，x2，x3)；将所述数据作为输入传输到神经网络模型中得到检测结果；当检测结果大于预设阈值时，表明所述MQTT数据包为正常数据包，允许其通过；当检测结果小于预设阈值时，表明所述MQTT数据包为异常数据包，不允许其通过；所述神经网络模型的构建方法包括：获取若干正常MQTT数据包、若干异常MQTT数据包和神经网络约束条件；提取正常MQTT数据包和异常MQTT数据包的固定报头第1个字节中控制报文类型的值x1，固定报头第1个字节中指定控制报文类型的标志位的值x2，固定报头第2个字节的值x3；采用同一正常MQTT数据包中提取的x1、x2和x3组合的数据构成正样本，采用同一异常MQTT数据包中提取的x1、x2和x3组合的数据构成负样本；将所有正样本和负样本及神经网络约束条件输入神经网络，并采用MATLAB的神经网络工具箱训练神经网络得到神经网络模型；所述神经网络约束条件为：当x1等于0或15时，神经网络模型的输出为0；当x1＝1时，若x2＝0且x3>10，则神经网络模型的输出为1，否则为0；当x1等于2、4、5、7或11时，若x2＝0且x3＝2，则神经网络模型的输出为1，否则为0；当x1＝3时，若x2不等于6、7、8、9、14、15，且x3>2，则神经网络模型的输出为1，否则为0；当x1＝6时，若x2＝2且x3＝2，则神经网络模型的输出为1，否则为0；当x1等于8或10时，若x2＝2且x3>2，则神经网络模型的输出为1，否则为0；当x1＝9时，若x2＝0且x3>2，则神经网络模型的输出为1，否则为0；当x1等于12，13或14时，若x2＝0且x3＝0，则神经网络模型的输出为1，否则为0。