认知无线网络环境下，上述现象会使得主用户信号无法被及时被检测到，从而会对主用户数据传输造成干扰，信号衰减包括阴影衰减和多径衰减。其中，阴影衰减会造成隐终端(HiddenTerminal)现象，即对于一个认知用户，即使其位于主网络覆盖范围之内，仍然无法检测到主用户传输。对于上述问题，多个认知用户联合感知的协作频谱感知技术被提出，通过将各自感知到得频谱数据信息发送至FC，并对当前频谱是否被占用进行综合决策。在感知数据共享过程中，认知用户可能有意或无意发送错误感知数据，从而对感知结果造成影响。认知用户发送错误感知数据有如下几种方式:1)贪婪型认知用户会连续不断报告特定频谱空穴上存在主用户信号，使得其它认知用户无法使用该频谱以此达到独占该频谱的目的;2)恶意型认知用户发送错误数据是为了对融合中心或其他用户造成混淆，使其对当前频谱上是否存在主用户产生错误结论;3)无意识行为不端认知用户(UnintentionallyMisbehavingSecondaryUsers，UMSUs)由于自身软件或硬件故障使得发送的感知数据出现错误。上述三种类型的行为会造成频谱感知性能的下降，并被称为频谱感知数据伪造攻击攻击。SSDF攻击下，FC的决策模式会被别有用心的恶意认知用户利用。文献［4］指出，即使只有一个恶意认知用户，频谱感知性能也将出现显著下降。
1MAC攻击
PUE以及SSDF攻击均发生在认知无线网络的物理层，针对IEEE802．22协议的相关攻击发生在MAC层［5］，上述均属于对单一层次网络发动的攻击。然而，对于有恶意的认知用户来说，以认知无线网络的多个层次为目标同时发动攻击的情形也是存在的，该攻击称为跨层攻击(CLAs)［6］。对于CLAs的检测，目前提出的检测机制有两种:①在物理层部署假设检验模型来检测SSDF攻击;②将检测模型部署在MAC层，并通过比较退避窗口尺寸的分布和期望分布来检测是否有攻击发生。为了降低跨层攻击造成的影响，文献［7］提出两点建议:①使TCP层了解认知用户的认知能力，并利用其获取物理层信息;②攻击发生时，确保用于信道操作的公共控制信道CCC谈判能够有效执行。
2频谱感知攻击检测方案
2．1PUE攻击检测
PUE攻击中认知用户仿冒主用户信号以迫使其它认知用户空出使用中的频谱，从而达到其独占频谱资源的目的。为了检测出PUE攻击，学术界提出了基于位置检测(location－baseddetection，LBD)和非基于位置检测(nonlocation－baseddetection，NLBD)两种解决方案。对于LBD，文献［8］提出一种基于主用户位置信息和接收信号强度(receivesignalstrength，ＲSS)的检测方法。该方法包括三个阶段:①信号特征验证;②接收信号能量估计;③定位信号发送端。对于该方案，主用户位置信息必须为已知条件。然而，在未来公共通信网络中，主用户会由于自身的移动性造成位置不确定。此外，ＲSS信息会由于障碍物、衰落等因素的存在而产生较大波动，从而造成对可疑用户定位误差。为了克服上述问题，文献［9］提出一种基于接收能量检测的方法。认知用户测量特定频段上的能量并设定阈值，通过比较测量结果与阈值大小实现对频谱是否占用进行判断。为了辨别检测到的信号是否合法，使用一种基于基于WSPＲT(Wald’ssequentialprobabilityratiotest)的方法进行判决。对于NLBD方案，文献［10］指出信道脉冲响应可用于对主用户位置是否变化的判断。事实上，主用户位置移动与FCC规定相违背。FCC曾指出“为了认知用户能够机会接入频谱，主用户信号不宜变动”。为了应对主用户位置变化可能带来的威胁，文献［11］提出一种公共密钥加密的应对方案。该方案中，主用户为其传送的数据附加数字签名，数字签名由认知用户身份识别号、时间戳以及私钥产生。认知用户感知到特定频段有主用户信号传输时，将数字签名从数据单元上剥离并通过控制信道送至基站。基站在CA(certificationauthority)的协助下验证主用户信号是否合法。
2．2SSDF攻击检测
SSDF攻击多发生在协作频谱感知环节。恶意认知用户通过发送不真实的频谱感知数据以达到自身目的。对于SSDF攻击，大多数研究均基于多个认知用户对坏境进行感知然后将感知结果报告给FC的模型。该模型下，认知用户不被信任，因此可以利用计算信誉的方法检测恶意用户并将其隔离。文献［12］提出一种基于认知用户过去一段时间上报的感知数据来计算该用户的信誉值的检测方法。该方案在没有攻击者存在或感知数据不够的情况下对信誉值的计算并不稳定。因此，文章提出对每个用户计算一致性值。如果一致性值和信誉值低于特定阈值，则该认知用户被认为是一个潜在攻击者。然而，该方法仅考虑了一个攻击者的存在，因此无法适用于多攻击者存在的情形。文献［13］使用了一种信誉模型从合法用户中检测和隔离攻击者。用户信誉值计算后与FC决策进行比较，如果不匹配，则该用户信誉值降低。信誉值越低则该用户可信度越低，当其信誉值低至某设定阈值，则该用户被视为潜在攻击者而被隔离。当攻击者了解到FC融合决策机制后，其攻击策略也将作出相应调整。文献［14］研究了一种智慧攻击者的案例。在该案例中，攻击者采用了一种“攻击－撤离(hit－and－run)”策略。攻击者具有诚实(honest)和欺骗(lying)两种数据发布模式。当其信誉值低于特定阈值时，将数据发布模式调整为诚实;而一旦高于阈值，其发送伪造数据。针对这种情况，文献［14］使用一种信誉值区间判定方法，通过将认知用户值限定于某一特定区间范围内，一旦信誉值的波动超出区间范围，则认为该认知用户为攻击者。此外，文献［15］提出一种证据理论的检测方法。该方法分别测试了在OＲ以及AND融合规则下的检测率和误警率，但该方法存在多个用户具有较多决策冲突时检测性能低下的问题。
2．3MAC攻击检测
在认知无线网络系统中，避免对主用户的干扰是系统工作的前提，因此硬件需要与MAC层及物理层适配。目前，MAC协议主要包括IEEE802．22以及应用/场景特定协议。对于上述协议来说，一个显著特征是该协议使用CCC。由于CCC在认知无线网络体系中占据重要地位，因此成为攻击者攻击的主要目标［16－19］。对于CCC的威胁目前主要有以下三种:①MAC欺骗。攻击者发送伪造消息来破坏认知无线网络的操作(如信道协商)，由于没有中心认证系统对节点进行身份认证以及对数据完整性进行检查，多跳认知无线网络对该攻击更显脆弱。②拥塞攻击。攻击者针对CCC发动泛供攻击使其难以对外服务。③抖动攻击。攻击者通过制造干扰在物理层发动DoS攻击。对于MAC欺骗，文献［20］利用仿真展示了使用伪造MAC帧的DoS攻击如何影响多跳CＲN的性能。在此基础上，文献［21］提出了一种针对多跳CＲNsCCC的安全框架。该框架中，身份认证和数据完整性操作完成于发送端和接收端之间，即位于单跳相邻节点之间。拥塞攻击和抖动攻击在无线网络中广泛存在，攻击者一般通过向相邻信道发射信号，以达到对合法用户造成干扰的目的。对于拥塞抖动攻击，文献［22］对其进行了研究。
2．4其他攻击检测
除上述攻击外，跨层攻击和其他攻击也会对认知无线网络频谱感知性能造成影响。与上述攻击不同，跨层攻击不再专注于认知无线网络的特定层次，而是多层结合同时对网络系统发动攻击。对于跨层攻击，攻击者主要采用SSDF和SBW(small－backoff－window)相结合的攻击模式。对此，文献［23］提出了两种不同机制对其进行检测。其一将假设检验框架驻留于物理层以检测SSDF攻击;另一种则驻留于MAC层以评估退避窗口大小的分布。与独立的物理层及MAC层检测方法相比，上述联合检测方法能够获得更高性能。其它攻击如协议攻击、中间件攻击等发生概率较低，因此尚未引起学术界的重视。
3安全频谱感知技术面临的挑战
目前，学术界对认知无线网络安全频谱感知问题进行了研究并取得一定成果，但由于认知无线网络自身存在的特性(自主、智能、结构复杂等)，其安全威胁类型也呈现出多样化发展的趋势。未来认知无线网络安全频谱感知技术研究还将面临如下挑战:(1)现有对PUE攻击检测的研究大都建立在认知用户采用能量检测的方式进行频谱感知。虽然能量检测是一种被广泛采用的频谱感知方式，但由于认知无线网络环境的动态性以及网络中噪声的不确定性，其感知效果仍然存在一定偏差。因此，针对其它频谱感知方式的攻击检测方法仍有待研究。(2)现有对恶意用户攻击行为检测的前提为主用户信号作为先验知识为认知用户所知，但恶意用户能够伪造与主用户信号相似的信号以迫使合法认知用户退出使用的频谱。而现有的无线通信协议如IEEE802．22并未设置相关的认证机制，因此无法实现对PUE攻击的有效制约。(3)现有对PUE攻击的检测假设主用户位置固定，这在IEEE802．22的认知无线网络中具有一定效果。然而，在具有移动特征的GSM(globalsystemformobilecommunications)以及UMTS(universalmobiletelecommunicationssystem)网络中，上述假设显然不能成立。因此研究针对移动网络中具有移动特征的PUE攻击检测方法尤为必要。(4)现有针对SSDF攻击检测的方案大多部署于集中式频谱感知框架。虽然在集中式框架中攻击易于被检测出，但一旦恶意用户对FC发动攻击，则会对整个认知无线网络造成严重后果。如何减少FC遭到攻击的概率，有效保护FC也是亟需考虑的问题。(5)现有对恶意用户行为检测的研究并未对检测到恶意用户后的处理措施做进一步说明。当网络中恶意用户数目较少时可以采用忽略其信号的做法，但当网络中恶意用户数目较多或所有用户都有可能转化为恶意用户时，则需要考虑制定合理的应对方案。
4结语
认知无线网络的智能化特征使其被认为是提高网络整体性能及端到端系统性能的新途径，并被看作是下一代通信网络的重要发展趋势。然而，由于其结构的复杂性和技术的多样性，其面临的安全威胁不可小觑。尤其作为走向实用化部署的关键技术之一的频谱感知技术，其安全威胁更是包括了PUE、SSDF、MAC攻击以及跨层攻击等多种方式。针对上述问题，本文从学术界已有研究出发，对各种不同的恶意用户行为特征进行了解释和说明，并对对不同攻击行为的检测方法进行了分析和讨论。期望通过对现有安全频谱感知技术优缺点的分析和总结，为本领域研究人员深入研究安全频谱感知技术探明方向。
作者：王慧强王振东单位：哈尔滨工程大学
由于网络中的各类信息存在着良莠不齐的现象，而终端用户对网络的非法访问也同样存在着不同程度的威胁，如终端用户浏览反动、色情、暴力或是下载不明来源的应用程序等均可能会将各种病毒程序带入校园网，并给校园网络带来极大的危害。如果对此类问题防范不当，就无法对这类网络信息进行严格而有效的处理与过滤，必将严重危害青年学生的身心健康与未来成长。与此同时，校园内外一小部分心怀恶意的用户、黑客等也可能会使用某种特殊手段对校园网络或服务器发起攻击，进而致使校园网络及服务器受损或瘫痪。
（一）构建安全有效的安全技术体系
首先，设置高效的防火墙。通常来讲，防火墙由软硬件相结合并设置于不同网络之间，在校园网与互联网之间发挥访问控制的作用，它可以明确地决定哪些内部站点可以对外界进行访问或外界访问校园内部，从而发挥出内外网之间的安全屏障作用。因此，我们在高职校园网络运行时，可以根据校园网络管理员的实际要求来监控、管理诸多欲通过防火墙的各类相关数据，并对一些特定的数据包采取禁止或允许的决定。与此同时，还可以对网络内部所有发生事件进行实时、详尽的监控与记录，从而实现了防止校园网受到非法用户的入侵，进而发挥出其真正、强大的防护作用［4］。其次，建立网络版防病毒系统。为了更加全面、有效地避免校园网内部各类病毒的感染、破坏等恶性事件的发生，我们必须在整个校园网络内部各个可能感染或传播病毒的环节都应采取有效的防范措施，并将防病毒组件全面部署于各个危险环节之中，从而建立起一套既可以远程安装、远程报警，又可以进行分布查杀、智能升级的多功能网络版防病毒系统，为高职校园网络建立起一道坚实、可靠的防止病毒入侵的屏障。网络版防病毒系统涵盖了客户端、服务器、系统中心、控制台四部分，而高职校园网络的安全管理人员则只要及时在服务器端进行防病毒系统升级就可以，而用户端则在其启动之后可以自动升级。同时，还必须对所有已安装防病毒系统的客户端采用病毒监控以及远程查杀等措施，从而有效地提升了高职校园网络的防病毒能力，进一步增强了校园网络运行的安全性与稳定性［5］。第三，架设分布式入侵检测系统。为了避免单机入侵检测系统所存在的缺陷，校园网应采取分布式入侵检测系统，从而发挥出更好的防入侵检测功能。分布式入侵检测系统，通常采用分布监测、集中管理的结构模式；并在关键的服务器以及每个网段之中均置入入侵检测引擎，辅以远程管理功能，完成管理与监控的实效性。分布式入侵检测系统的架设，既可以对可能存在的或已经实施的网络攻击行为进行实时监测与防护，同时它还是继防火墙之后另一个极为重要的安全检查与防护环节。它能在不影响网络性能、运行的前提下，对整个网络内部进行各种入侵监测，为网络运行安全奠定了坚实的基础。第四，漏洞扫描系统。该系统可精准地帮助安全管理人员进行网络安全漏洞的自动查找，对各种风险进行客观评估，并能及时提出较为客观的、可行的修改建议。漏洞扫描系统，不仅可以对校园网络的各工作站、服务器等进行全面的安全检查，还可以及时将最新的安全漏洞补丁进行安装、完善，以全面消除各种因系统漏洞而产生的安全隐患，进而提升校园网整体运行的稳定性。第五，防问权限的控制。高职校园网是一个多用户平台，因此对其访问权的控制是有效提升网络安全运行的一个关键问题。身份验证技术是用户向校园网络系统提交自己身份证明的一个复杂过程；并对已经在校园网络登记备案的用户，通过登录用户名及密码的验证有效地解决校园网用户访问权限的统一管理问题；还可以有效地阻止、控制非法用户的上网行为。利用访问权限控制技术还可以给不同级别的用户赋予不同操作权限，从而全面实现了各个安全级别的信息管理，有效地保障了高职校园网络应用的安全性与高效性［6］。
（二）校园网络安全管理体系的构建
首先，网络管理安全策略。为了进一步强化高职院校校园网络的安全性，必须建立起有效的安全管理机构以增强对网络安全管理的实效性。并通过配备专职的安全管理人员、部门安全负责人员，以责任到人的原则来全面提高安全管理工作。同时，要依据自身校园网的实际应用情况来制定科学、完善的安全管理制度，如数据监控管理制度、数据备份制度等。其次，高职院校网络安全防范意识策略。为进一步做好高职院校校园网的安全管理工作，高职院校应投入充足的财力、人力来加强网络的建设工作，以有效提升校园网运行的稳定性与安全性。一方面，要加强对网络管理员的专业培训工作，树立网络安全责任心，提升其应对各类攻击、突发事件的应对能力。另一方面，还应积极引进先进的网络安全产品、技术等。再者，还要面对校内所有用户开展一系列的网络安全知识的宣教活动，全面、系统地认识校园网安全知识与重要性，树立网络安全意识，养成安全上网的良好习惯，避免或减少各类恶性校园网络安全事故的发生，最大程度地提升高职院校校园网的实效性与安全性。
（三）结语
从客观的角度讲，各高职院校校园网均存在着不同程度的安全隐患，只有将各种安全技术、防护措施及科学的管理手段相结合，以构建科学、完善的校园网络安全防护体系为基础，方能更有效地保障高职校园网络的高效、稳定、安全的运行，更好地为广大教师、学生的工作与学习服务，为高职院校的日常管理工作带来更多的便捷。由于高职人力资源管理院校校园网络的安全防护工作是一项较为复杂的系统工程，并会随着计算机技术的不断进步而发生改变。因此，全面加强高职院校校园网络的各项安全管理工作，进一步健全、完善网络安全防护体系，才能有效保障高职院校校园网的安全运行与良性发展。
作者：冯永芳 单位：晋中职业技术学院
