一种基于谱聚类分析的物联网节点安全控制域划分算法*

范一鸣，屠雄刚(浙江工业职业技术学院信息学院，浙江绍兴312000)

一种基于谱聚类分析的物联网节点安全控制域划分算法*

范一鸣*，屠雄刚
(浙江工业职业技术学院信息学院，浙江绍兴312000)

物联网的多源异构性使其安全面临更多的挑战，为实现跨层安全控制，部署多层融合的安全控制策略，提出了一种基于谱聚类的节点安全域分类算法。通过对物联网感知节点在历史安全事件中的波及状态统计，确定感知节点与攻击事件之间的相关性，进而利用谱聚类方法将节点划分为若干个安全控制域。基于事件相关性的谱聚类节点安全域划分，将为部署域内和域间的安全控制策略提供依据，从而整体提升物联网安全防护水平。

物联网;安全控制;谱聚类;节点安全域

物联网IoT(Internet of Things)是指通过各种信息传感设备，如物理传感器、红外感应器、射频识别(RFID)、全球定位系统、激光扫描器等，实时监测任何需要监控、处理、通信和互动的物体或过程，采集其声、光、热、电、力学、化学、生物、位置等各种所需的信息，按约定的协议，与互联网结合而形成的一个巨大网络。其目的是实现现实世界中物与物、物与人，所有的物品与网络的连接，方便识别、管理和控制［1-2］。近年来，物联网在军事、工业、交通、医疗、环保等领域中得到越来越广泛的应用。

与此同时，随着物联网应用的不断推广，其安全性也受到越来越多的关注［3-4］。2010年震惊业界的超级网络武器“震网病毒(Stuxnet)［5］”的出现，给物联网安全敲响了警钟。据权威工业安全事件信息库RISI(Repository of Industrial Security Incidents)统计［6-7］，截至2013年10月，全球已发生240余起针对工业控制网络系统的重大安全事件，虽然数量远低于互联网上的安全事件，但每一起事件都会产生巨大影响，并遭受重大损失。这表明，当物联网技术应用到工业控制系统(IDS)等重要领域时，带来的不仅是更为智能化的系统、更为高效的管理、更为便捷的控制，同时还有更为严峻的安全挑战。与传统网络相比，物联网由于具有环境开放、信道公开、节点能力受限和分布式控制等特点，加之在体系结构上追求高效性和实时性而较少关注安全保护，物联网面临着比传统网络更大的安全威胁，越来越多的工业控制系统正由封闭、私有转向开放、互联，随之带来了恶意代码攻击、信息泄漏、指令篡改等安全问题，其安全问题更为突出。一般而言，物联网的安全控制，必须从其网络体系结构出发，针对感知层安全、网络层安全和应用层安全采取相关措施，并实施跨层融合控制［8-9］。

本文提出一种基于安全事件相关性的物联网节点聚类分析算法，其核心目标是通过对物联网节点遭受攻击事件的分析，将全部节点根据其受攻击事件的相关性加以分类，从而确定若干个“安全控制域(Security Domain)”，以便后续在此基础上有针对性的部署跨层综合安全控制机制，通过感知层和上层的融合协同，以提升整体安全防护能力。

1 相关技术

1.1 物联网安全体系

从物联网的体系架构出发，一般将物联网安全分为3个层次加以考虑:

1.1.1 感知层

物联网的感知节点通常呈现多源异构性、资源受限(尤其是能量)、存储和处理能力弱，且无人值守，使得它们无法拥有复杂的自我安全保护能力，较易受到安全攻击。同时感知网络多种多样，从温度测量到水文监控，从道路导航到自动控制，它们的数据传输和消息也没有特定的标准，所以难以实现统一的安全保护机制［10-11］。

1.1.2 网络层

网络层安全的核心是传输与信息安全问题。与互联网一样，物联网网络层也存在非授权节点非法接入、信息错误传输、恶意攻击等安全隐患。而且由于物联网中节点数量庞大，且以集群方式存在，易导致在突发数据传播时，因大量感知节点的数据并发而引发网络拥塞，产生拒绝服务攻击(DoS)。此外，现有通信网络的安全架构都是从人机通信的角度设计的，对以物为主体的物联网，要建立适合于感知信息传输与应用的安全架构［12-13］。

1.1.3 应用层

应用层安全主要针对的是物联网业务的安全需求。支撑物联网业务的平台有着不同的安全策略，如云计算、分布式系统、海量信息处理等，这些支撑平台要为上层服务管理和大规模行业应用建立起一个高效、可靠和可信的系统，而大规模、多平台、多业务类型使物联网业务层次的安全面临新的挑战。同时，物联网应用层安全还必须考虑机密性、完整性和可用性的保障［14-15］。

综上，物联网的安全控制需要面对感知信息的多样性、网络环境的复杂性和应用需求的多态性等重要特征，需要根据其庞大的网络规模和传输数据量，综合实现多重安全决策控制。特别是根据RISI报告统计，超过1/3的物联网安全事件源自于远程攻击［6］。为此，从针对性防范远程攻击考虑，除了加强感知层节点自我安全防护措施以外，若能根据特定的组网环境以及攻击源和攻击类型分析，动态构建物联网节点安全控制域，并在网络层对域间传输和域内传输部署相应路由控制、访问控制等策略，无疑将有助于大大提升物联网的整体安全防护水平。

1.2 聚类分析

聚类分析(Cluster analysis，亦称为群集分析)是一种静态数据分析技术，在许多领域受到广泛应用，包括机器学习，数据挖掘，模式识别，图像分析以及生物信息。其主要思想是对于一组两两间定义了某种体现相关性“距离”的数据进行分类，使得每一类内部节点间的“距离”较小，从而具有某种相似性;而类与类之间则有相对较大的“距离”，从而具有较明显的分离。聚类的方法一般按对于分类结果不同的需求主要有K-nearest、谱方法(Spectral Clustering)以及惩罚函数最优化方法(主要用在Social Network中)等［16-17］。

本文的节点聚类分析采用了谱聚类的方法。其主要思想是将样本看作顶点，样本间的相似度(即距离)看作带权的边，从而将聚类问题转为图分割问题，即:找到一种图分割的方法使得连接不同组的边的权重尽可能低(这意味着组间相似度要尽可能低)，组内的边的权重尽可能高(这意味着组内相似度要尽可能高)。谱聚类算法的主要步骤如下(假设要分K个类):①计算节点之间的相似度，得到相似矩阵C，进而得到距离矩阵D;②选取阀值，将距离矩阵D转化为图的邻接矩阵W;③计算并确定划分域的数量; (a)计算图的拉普拉斯矩阵:L=D-1/2(D-W)D-1/2; (b)计算L的0特征根重数(特征根重数即为划分域数);④如果划分域数符合预期要求，则通过图的联通子图进行划分;否则，回到②重新选取阀值。

2 数据及算法描述

2.1 数据结构

以n表示物联网的节点个数，m表示历史安全攻击事件总数。C为节点的相似矩阵，D为距离矩阵。用节点-事件矩阵X记录节点涉及安全事件的具体情形:

其中:

2.2 聚类算法的实现

如果将物联网中节点遭受安全攻击事件的波及视作3个随机变量(即:事件发生时间、发生位置横坐标及纵坐标)共同作用的结果，不难看出在物联网的实际环境下，安全攻击事件所波及的节点通常不会呈现均匀分布，在某些节点上可能较多发生，而某些节点则较少波及。为此，在节点划分聚类时不能简单依赖于由节点位置计算出的距离，而应该用其共同涉及安全事件的频度来定义距离。然而，由于无法事先获知攻击事件在节点上发生的概率分布，在这里我们采用记录下一定数量的事件，并用共同参与事件的次数来表示2个节点间的相似距离，即用前述的节点-事件矩阵X表示，进而相似度矩阵C为:

这里Cij表示节点i与节点j共同参与事件的总数。显然，当2个节点共同参与事件总数越大时，它们之间的距离应该越小。故可以对C施行一个核函数变换，从而计算出它们之间的相似距离dij，这里我们选用热核函数e-αx，则有:

式中:α是一个可调节的系数，它的合适选取将使后面需要用到的MDS(Multidimensional scaling，多维标度法)具有更好的效果，且有助于帮助谱聚类算法所需的阀值选取。

在得到相似距离矩阵D后，取阀值λ，并将其转换为一个无向图G(W，V)，其中:

接下去就可以用图的联通子图来进行聚类划分。

容易看出，核函数e-αx在α＞0的情形下是一个关于x的单调递减函数，故对Cij施行逆序变换后，它将更符合通常的“距离”意义(即2个节点之间的边权较大的情况下它们更为邻近、距离更短)。这里，核函数e-αx中α的选取必须考虑以下两点:一方面，由于经过核函数变换所得的“距离”并非一般的欧氏距离，故无法直接将其还原到欧氏空间中通过直观观察其分布，从而确定聚类的个数。本文采用的方法是通过MDS(Multidimensional Scaling)获得二维、三维上的近似分布，进而加以确定。而MDS要求距离矩阵为正定矩阵，故α的选取必须首先确保这一点。另一方面，尽管本文的聚类方法中由于使用了阀值，在聚类个数确定后，分类结果并不受到α值的影响(这是因为e-αx是单调递减函数，对于选定阀值λ，e-αx＞λ等价于x＜-。但在另一些聚类方法中，α的选取将对分类结果产生重大影响。具体到α值的选取，由于对不同的相似度矩阵C并没有一种较为简单的统一方法来确保变换所得的一定是正定矩阵。本文算法实现中，利用实验数据对α值的选取采用经验估计，即:在大多数Cij的数量级为10k和10k+1(k=1，2，3，…)时，选择满足10k-1≤α≤10k的α，以使得距离矩阵正定。

在算法的具体实现中，阀值λ的如何选取是另一个需要特别加以考虑的问题。这是因为，一方面过大的阀值会导致只有一个联通子图(即所有感知节点均落入同一个安全域)，使得聚类划分失去意义;而选取过小的阀值将产生过多的联通子图，也就是安全控制域的划分过细，则将使得后续的安全策略难以部署。在通过MDS确定了适当的聚类个数后，为选取相应的α，若对一列阀值中的每一个λ分别做一次联通子图划分，则会浪费大量的资源和时间。故在后面的算法中将引入图拉普拉斯中的结论，事先判断并确定阀值λ，以便获得恰当的联通子图个数(安全控制域个数)，即:若W是图G的邻接矩阵，di为第i个节点的总边数，设D=diag d，令:

则图G联通子图个数等于L的0特征根的重数。

具体实现的算法流程如下:①计算节点之间的相似度，得到相似矩阵C，进而得到距离矩阵D;②通过MDS获取二维及三维近似分布并确定划分域的数量k;③确定划分域数量所对应的阀值;(a)选取阀值，将距离矩阵D转化为图的邻接矩阵W;(b)计算图的拉普拉斯矩阵:L=D-1/2(D-W)D-1/2;(c)计算L的0特征根重数(特征根重数即为划分域数);(d)如果划分域数符合预期要求，则转④;否则，回到(a)重新选取阀值;④划分安全域;(a)根据划分域数k建立k个数组;(b)将第1个节点归入第1个域中，然后用两次搜索的方法将所有与其联通的节点归入同一域中; (c)任选一个不在第1个域中的节点归入第2个域，类似地将其联通点归入此域，并重复此过程。

3 仿真实验分析

采用OPNET Modeler网络仿真工具，随机部署了374个物联网传感节点，模拟发生并实时记录下475次安全攻击事件。对每次攻击事件同时记录所涉及的传感节点，从而得到一个374×475的0/1矩阵X。

考虑到实际物联网中的节点数量众多，通常情况是只有其中的一部分节点可能较频繁地遭受安全攻击事件的影响。故首先从中挑选出参与度较大的节点，图1和图2为排序后节点的涉及攻击事件次数及归一化后的涉及事件次数。

图1 节点参与事件数排序

图2 归一化后节点参与事件数排序

从图中可以看出，从关联次数排名前56个节点之后的节点实际上只有很小的相关度。事实上，前56个节点与安全事件的相关次数占总数的比例达78.8%。故这里仅取前56个重要节点进行聚类划分(即参与事件次数大于等于10个的节点)。

提取出这56个节点的事件参与数据后，得到一个56×475的矩阵A，并算出对应的节点共同参与次数矩阵:

由于C的取值集中在［1，10］，这里选取α=1/5，计算得距离矩阵D。通过特征值分解，可以发现D为正定矩阵，故可以通过MDS进行降维处理，从而获得其在二维和三维下的近似图像(图3、图4)。

图3 距离矩阵二维近似图像

图4 距离矩阵三维近似图像

通过观察阀值实验结果及MDS得到的近似二维和三维图像可以发现节点应该被分为3～4类，其对应阀值λ的选取应该在［0.2，0.5］之间。接下来根据图拉普拉斯的结论对阀值进行试验。表1为不同阀值时0特征值重数。在此，选取λ=0.4，即将全部节点分为3个安全控制域。分类结果为:第1个安全域包含8个节点，第2个安全域包含18个节点，第3个安全域包含30个节点，它们在二维MDS近似图上的分布如图5所示。

表1 阀值试验

图5 安全域划分结果

从节点安全域划分的结果可以看出，划分得到的聚类在距离近似图中的表现非常符合我们的直观感知，从而较好的实现了同一域内部距离较小(容易一起受到攻击)，而不同域间的距离较大(一起受到攻击的可能性较小)的目标。很显然，在此基础上，基于3个安全域聚类边界，分别实施多层联合安全控制可以更为有效地抵御外来攻击，提高安全防护等级。

4 结语

与互联网、通信网络相比，物联网的多源异构性使其安全面临巨大的挑战。迄今为止，物联网的安全尚缺乏一个跨层融合的完整的解决方案。加之物联网中感知节点的资源局限性，使其安全控制的难度大大增加，因此仅从感知层入手难以全面解决节点的安全控制问题，必须联合其上层(网络层和应用层)实现协同防护。由于物联网覆盖范围广、节点数量大，且没有明确的子网边界，故从历史攻击事件的统计入手，采用聚类分析方法，将全部节点根据事件相关性划分为若干个安全控制域，从而在此基础上部署有效的多层融合的安全架构，对提升物联网安全防护水平具有十分重要的意义。

［1］杨光，耿贵宁，都婧，等.物联网安全威胁与措施［J］.清华大学学报(自然科学版)，2011(10):1335-1340..

［2］Said O.Development of an Innovative Internet of Things Security System［J］.International Journal of Computer Science Issues(IJCSI)，2013，10(6):155-161.

［3］Zhao K，Ge L.A Survey on the Internet of Things Security［C］// Computational Intelligence and Security(CIS).2013 9th International Conference on IEEE，2013:663-667.

［4］杨金翠，方滨兴，翟立东，等.面向物联网的通用控制系统安全模型研究［J］.通信学报，2012(11):49-56.

［5］Matrosov A，Rodionov E，Harley D，et al.Stuxnet under the Microscope［J］.ESET LLC，2010.

［6］RISI.2013 Report on Control System Cyber Security Incident Released［EB/OL］.http://www.securityincidents.net/index.php/ news/2013_report_on_control_system_cyber_security_incidents_ released/，2013-10-23.

［7］张帅.工业控制系统安全现状与风险分析——ICS工业控制系统安全风险分析之一［J］.计算机安全，2012(1):15-19.

［8］Weber R H.Internet of Things—New Security and Privacy Challenges［J］.Computer Law and Security Review，2010，26(1):23 -30.

［9］杨海波，华惊宇，刘半藤.基于减聚类优化算法的无线传感网络分簇路由协议研究［J］.传感技术学报，2012(11):1603-1606.

［10］陈红霞，赵俊钰.物联网感知层标准体系架构研究［J］.电信科学，2011(9):101-106.

［11］陈铁明，江颉，王小号，陈波.一种改进的基于位置的攻击容忍WSN安全方案［J］.传感技术学报，2012(4):545-551.

［12］杨庚，许建，陈伟，祁正华，等.物联网安全特征与关键技术［J］.南京邮电大学学报(自然科学版)，2010(4):20-29.

［13］Ning H，Liu H.Cyber-Physical-Social Based Security Architecture for Future Internet of Things［J］.Advances in Internet of Things，2012(2):1.

［14］Riahi A，Challal Y，Natalizio E，etal.A Systemic Approach for IoT Security［C］//Distributed Computing in Sensor Systems (DCOSS).2013 IEEE International Conference on IEEE，2013: 351-355.

［15］Roman R，Zhou J，Lopez J.On the Features and Challenges of Security and Privacy in Distributed Internet of Things［J］.Computer Networks，2013，57(10):2266-2279.

［16］Liang H，Gu X.Black-Start Network Partitioning Based on Spectral Clustering［J］.Power System Technology，2013(2):16.

［17］Pongaliur K，Xiao L.Recursive Validation and Clustering for Distributed Spectrum Sensing in CR-MANET［C］//Sensor，Mesh and Ad Hoc Communications and Networks(SECON)，2013 10th Annual IEEE Communications Society Conference on IEEE，2013: 282-290.

范一鸣(1964-)，男，教授，研究方向为无线传感器网与物联网安全技术等，fyim@live.com;

屠雄刚(1977-)，男，副教授，硕士，研究方向为模式识别、智能计算等，sxtuxionggang@163.com。

A Security Domain Division Algorithm of the Internet of Things Based on Spectral Clustering*

FAN Yiming*，TU Xionggang

(Zhejiang Industry Polytechnic College，Shaoxing Zhejiang 324000，China)

In the Internetof Things(IoT)，the property ofmulti-source and heterogeneity bring more challenges to its security.In order to attain cross-layer security control and deploy multi-layer combined security control strategy，an algorithm based on spectral clustering is proposed to divide nodes into several security domains.In the algorithm，through statistics about which sensor nodes are involved in history security events，correlations of sensor nodes to history events are calculated and then nodes are divided accordingly using spectral clustering method.The dipartition can serve strong support for deployment of security control strategy within domain and between different domains，thus improve overall security level of IoT.

internet of things;security control;spectral clustering;node security domain

TP393.08

A

1004－1699(2014)05－0675－05

10.3969/j.issn.1004－1699.2014.05.020

项目来源:浙江省自然科学基金项目(LY12E05016)

2014-02-12

2014-04-14