[發(fā)明專利]一種用于工業(yè)控制系統(tǒng)網(wǎng)絡的安全監(jiān)測方法

有效

• 申請?zhí)枺?/td>: 201911423677.5
• 申請日: 2019-12-31
• 公開（公告）號: CN111262722B
• 公開（公告）日: 2023-04-18
• 發(fā)明（設計）人: 春增軍;孫輝;張林;張金華;崔崗;顏振宇;陳偉雄;王文君;趙杰;陳一根
• 申請（專利權）人: 中國廣核電力股份有限公司;深圳中廣核工程設計有限公司;上海觀安信息技術股份有限公司
• 主分類號: H04L41/14
• 分類號: H04L41/14;H04L41/147;H04L43/16;H04L9/40;H04L43/028;G06F18/23213;G06F18/2431;G06F18/2411
• 代理公司: 深圳鼎合誠知識產(chǎn)權代理有限公司 44281
• 代理人: 彭愿潔;彭家恩

1.一種用于工業(yè)控制系統(tǒng)網(wǎng)絡的安全監(jiān)測方法，其特征在于，包括：

獲取所述工業(yè)控制系統(tǒng)網(wǎng)絡的工控元數(shù)據(jù)；所述工控元數(shù)據(jù)包括所述工業(yè)控制系統(tǒng)網(wǎng)絡中傳輸?shù)臄?shù)據(jù)包；

提取所述工控元數(shù)據(jù)的特征信息；

將所述工控元數(shù)據(jù)的特征信息輸入到預設模型，并依據(jù)所述預設模型輸出的結果獲取所述工業(yè)控制系統(tǒng)網(wǎng)絡安全的風險指數(shù)；

所述預設模型包括樹模型、支持向量機模型和/或聚類算法模型；

所述樹模型的建立包括：

分別對每個所述工控元數(shù)據(jù)的特征信息建立決策樹模型；將樣本分為訓練集、驗證集和測試集；所述樣本是基于時間序列按一預設采樣頻率和/或采樣周期獲取所述工控元數(shù)據(jù)的特征信息；依據(jù)樹類算法，按一預設異常指數(shù)比例篩選所述訓練集，并通過所述驗證集優(yōu)化參數(shù)；采用所述測試集評估模型訓練的效果，選取最優(yōu)的作為所述樹模型；每個所述決策樹模型進行投票，依據(jù)每個所述決策樹模型的投票結果獲取樹模型的輸出結果；

所述支持向量機模型的建立包括：

對所述工控元數(shù)據(jù)的特征信息建立支持向量機模型；將樣本分為訓練集、驗證集和測試集；所述樣本是基于時間序列按一預設采樣頻率和/或采樣周期獲取所述工控元數(shù)據(jù)的特征信息；依據(jù)支持向量機類算法，按一預設預測錯誤率篩選所述訓練集，并通過所述驗證集優(yōu)化參數(shù)；采用所述測試集評估模型訓練的效果，選取最優(yōu)的作為所述支持向量機模型；

所述聚類算法模型的建立包括：

對基于時間序列按一預設采樣頻率和/或采樣周期獲取所述工控元數(shù)據(jù)的特征信息建立數(shù)據(jù)集；將所述數(shù)據(jù)集劃分為訓練集和測試集；采用聚類算法依據(jù)所述訓練集構建所述聚類算法模型；采用所述測試集評估模型訓練的效果，選取最優(yōu)的作為所述聚類算法模型；所述聚類算法包括基于密度的聚類算法。

2.如權利要求1所述的方法，其特征在于，所述獲取所述工業(yè)控制系統(tǒng)網(wǎng)絡的工控元數(shù)據(jù)，包括：

從所述工業(yè)控制系統(tǒng)網(wǎng)絡的網(wǎng)卡循環(huán)隊列中獲取發(fā)送和接收兩個方向的數(shù)據(jù)包。

3.如權利要求1所述的方法，其特征在于，所述工業(yè)控制系統(tǒng)網(wǎng)絡中傳輸?shù)臄?shù)據(jù)包包括所述工業(yè)控制系統(tǒng)網(wǎng)絡傳輸?shù)挠糜诮M態(tài)變更、操作指令變更、指令參數(shù)變更、開關機、啟動停止程序、PLC下裝和/或負載變更數(shù)據(jù)的數(shù)據(jù)包；和/或，所述工控元數(shù)據(jù)的特征信息包括所述數(shù)據(jù)包的MAC地址、IP地址、端口、工控指令、控制點位信息和/或應用層協(xié)議。

4.如權利要求1所述的方法，其特征在于，所述基于時間序列對數(shù)據(jù)深度解析進行異常檢測模型的建立包括：

對基于時間序列按一預設采樣頻率和/或采樣周期獲取工控元數(shù)據(jù)的特征信息建立訓練集；

依據(jù)一預設換算方法獲取訓練集的正常值區(qū)間，以建立基于時間序列對數(shù)據(jù)深度解析進行異常檢測模型。

5.如權利要求4所述的方法，其特征在于，所述依據(jù)一預設換算方法獲取訓練集的正常值區(qū)間，包括：

所述正常值區(qū)間為(μ-3σ，μ+3σ)，其中，μ為訓練集樣本平均值，σ為樣本方差。

6.如權利要求4所述的方法，其特征在于，所述依據(jù)一預設換算方法獲取訓練集的正常值區(qū)間，包括：

所述正常值區(qū)間為大于Q₃+1.5IQR之外的數(shù)和小于Q₁-1.5IQR，其中，Q₁為所述訓練集樣本中所有數(shù)值由小到大排列后第25%的數(shù)字，Q₃為所述訓練集樣本中所有數(shù)值由小到大排列后第75%的數(shù)字，IQR為Q₃和Q₁的差。