[發(fā)明專利]一種基于時(shí)間相關(guān)基線的異常行為檢測(cè)方法、裝置及設(shè)備

有效

• 申請(qǐng)?zhí)枺?/td>: 201810973981.6
• 申請(qǐng)日: 2018-08-24
• 公開(kāi)（公告）號(hào): CN109164786B
• 公開(kāi)（公告）日: 2020-05-29
• 發(fā)明（設(shè)計(jì)）人: 張振雄;范淵;張浩
• 申請(qǐng)（專利權(quán)）人: 杭州安恒信息技術(shù)股份有限公司
• 主分類號(hào): G05B23/02
• 分類號(hào): G05B23/02
• 代理公司: 北京集佳知識(shí)產(chǎn)權(quán)代理有限公司 11227
• 代理人: 羅滿

1.一種基于時(shí)間相關(guān)基線的異常行為檢測(cè)方法，應(yīng)用于工業(yè)控制網(wǎng)絡(luò)，其特征在于，包括：

獲取當(dāng)前預(yù)設(shè)時(shí)間周期內(nèi)的實(shí)時(shí)檢測(cè)數(shù)據(jù)；其中，所述實(shí)時(shí)檢測(cè)數(shù)據(jù)為對(duì)所述工業(yè)控制網(wǎng)絡(luò)進(jìn)行檢測(cè)后得到的數(shù)據(jù)；

將所述實(shí)時(shí)檢測(cè)數(shù)據(jù)與預(yù)期網(wǎng)絡(luò)基線進(jìn)行對(duì)比，得到對(duì)比結(jié)果；其中，所述預(yù)期網(wǎng)絡(luò)基線為利用歷史所述預(yù)設(shè)時(shí)間周期內(nèi)的歷史檢測(cè)數(shù)據(jù)對(duì)當(dāng)前所述預(yù)設(shè)時(shí)間周期內(nèi)的檢測(cè)數(shù)據(jù)進(jìn)行預(yù)測(cè)后得到的數(shù)據(jù)；

利用所述對(duì)比結(jié)果判斷所述工業(yè)控制網(wǎng)絡(luò)是否異常；

所述獲取當(dāng)前預(yù)設(shè)時(shí)間周期內(nèi)的實(shí)時(shí)檢測(cè)數(shù)據(jù)，包括：

獲取當(dāng)前預(yù)設(shè)時(shí)間周期內(nèi)的實(shí)時(shí)網(wǎng)絡(luò)流量數(shù)據(jù)、實(shí)時(shí)用戶行為數(shù)據(jù)和實(shí)時(shí)過(guò)程控制行為數(shù)據(jù)；

將所述實(shí)時(shí)檢測(cè)數(shù)據(jù)與預(yù)期網(wǎng)絡(luò)基線進(jìn)行對(duì)比，得到對(duì)比結(jié)果，包括：

讀取預(yù)先生成的預(yù)期網(wǎng)絡(luò)流量基線、預(yù)期用戶行為基線和預(yù)期過(guò)程控制行為基線；

將所述實(shí)時(shí)網(wǎng)絡(luò)流量數(shù)據(jù)與所述預(yù)期網(wǎng)絡(luò)流量基線進(jìn)行對(duì)比；

若所述實(shí)時(shí)網(wǎng)絡(luò)流量數(shù)據(jù)不符合所述預(yù)期網(wǎng)絡(luò)流量基線，則將所述實(shí)時(shí)用戶行為數(shù)據(jù)與所述預(yù)期用戶行為基線進(jìn)行對(duì)比；

若所述實(shí)時(shí)用戶行為數(shù)據(jù)符合所述預(yù)期用戶行為基線，則確定對(duì)比結(jié)果為當(dāng)前數(shù)據(jù)符合預(yù)測(cè)。

2.根據(jù)權(quán)利要求1所述的異常行為檢測(cè)方法，其特征在于，在所述將所述實(shí)時(shí)檢測(cè)數(shù)據(jù)與預(yù)期網(wǎng)絡(luò)基線進(jìn)行對(duì)比之前，還包括：

通過(guò)實(shí)時(shí)生成數(shù)據(jù)的方式或讀取預(yù)先生成數(shù)據(jù)的方式，獲取所述預(yù)期網(wǎng)絡(luò)基線；

其中，所述預(yù)期網(wǎng)絡(luò)基線的生成過(guò)程，包括：

利用歷史所述預(yù)設(shè)時(shí)間周期內(nèi)的歷史網(wǎng)絡(luò)流量數(shù)據(jù)對(duì)當(dāng)前所述預(yù)設(shè)時(shí)間周期內(nèi)的網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行預(yù)測(cè)，得到預(yù)期網(wǎng)絡(luò)流量基線；

利用歷史所述預(yù)設(shè)時(shí)間周期內(nèi)的歷史用戶行為數(shù)據(jù)對(duì)當(dāng)前所述預(yù)設(shè)時(shí)間周期內(nèi)的用戶行為數(shù)據(jù)進(jìn)行預(yù)測(cè)，得到預(yù)期用戶行為基線；

利用歷史所述預(yù)設(shè)時(shí)間周期內(nèi)的歷史過(guò)程控制行為數(shù)據(jù)對(duì)當(dāng)前所述預(yù)設(shè)時(shí)間周期內(nèi)的過(guò)程控制行為數(shù)據(jù)進(jìn)行預(yù)測(cè)，得到預(yù)期過(guò)程控制行為基線。

3.根據(jù)權(quán)利要求2所述的異常行為檢測(cè)方法，其特征在于，所述將所述實(shí)時(shí)檢測(cè)數(shù)據(jù)與預(yù)期網(wǎng)絡(luò)基線進(jìn)行對(duì)比，得到對(duì)比結(jié)果，包括：

將所述實(shí)時(shí)網(wǎng)絡(luò)流量數(shù)據(jù)與所述預(yù)期網(wǎng)絡(luò)流量基線進(jìn)行對(duì)比；

若所述實(shí)時(shí)網(wǎng)絡(luò)流量數(shù)據(jù)符合所述預(yù)期網(wǎng)絡(luò)流量基線，則確定對(duì)比結(jié)果為當(dāng)前數(shù)據(jù)符合預(yù)測(cè)。

4.根據(jù)權(quán)利要求3所述的異常行為檢測(cè)方法，其特征在于，所述將實(shí)時(shí)用戶行為數(shù)據(jù)與所述預(yù)期用戶行為基線進(jìn)行對(duì)比，還包括：

若所述實(shí)時(shí)用戶行為數(shù)據(jù)不符合所述預(yù)期用戶行為基線，則將所述實(shí)時(shí)過(guò)程控制行為數(shù)據(jù)與所述預(yù)期過(guò)程控制行為基線進(jìn)行對(duì)比；

若所述實(shí)時(shí)過(guò)程控制行為數(shù)據(jù)符合所述預(yù)期過(guò)程控制行為基線，則確定對(duì)比結(jié)果為當(dāng)前數(shù)據(jù)符合預(yù)測(cè)。

5.根據(jù)權(quán)利要求4所述的異常行為檢測(cè)方法，其特征在于，所述將實(shí)時(shí)的所述過(guò)程控制行為數(shù)據(jù)與所述預(yù)期過(guò)程控制行為基線進(jìn)行對(duì)比，還包括：

若所述實(shí)時(shí)過(guò)程控制行為數(shù)據(jù)不符合所述預(yù)期過(guò)程控制行為基線，則確定對(duì)比結(jié)果為當(dāng)前數(shù)據(jù)不符合預(yù)測(cè)。

6.根據(jù)權(quán)利要求3至5任一項(xiàng)所述的異常行為檢測(cè)方法，其特征在于，所述利用所述對(duì)比結(jié)果判斷所述工業(yè)控制網(wǎng)絡(luò)是否異常，包括：

若所述對(duì)比結(jié)果為當(dāng)前數(shù)據(jù)不符合預(yù)測(cè)，則判定所述工業(yè)控制網(wǎng)絡(luò)異常，并發(fā)出警告，將數(shù)據(jù)異常發(fā)送至管理員；

若所述對(duì)比結(jié)果為當(dāng)前數(shù)據(jù)符合預(yù)測(cè)，則判定所述工業(yè)控制網(wǎng)絡(luò)正常，并記錄相關(guān)事件的時(shí)間和操作行為。