[發明專利]基于注意力機制的工業控制系統網絡流量異常檢測方法

有效

• 申請號: 202011054120.1
• 申請日: 2020-09-29
• 公開（公告）號: CN113162893B
• 公開（公告）日: 2022-05-24
• 發明（設計）人: 呂卓;陳岑;楊文;張錚;張偉;李暖暖;蔡軍飛;李鳴巖
• 申請（專利權）人: 國網河南省電力公司電力科學研究院;國家電網有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L47/2441;G06K9/62
• 代理公司: 鄭州知己知識產權代理有限公司 41132
• 代理人: 季發軍

1.基于注意力機制的工業控制系統網絡流量異常檢測方法，其特征在于，包括如下的處理步驟：

S1、收集流量樣本數據集，從工控生產各環節采用的各類控制設備采集正常工作時不同控制層的網絡控制流量，構成正常網絡流量樣本數據集；對工控生產各環節采用的相關控制設備進行滲透測試及網絡異常攻擊，收集相關的異常攻擊流量，構成異常樣本數據集，所述的正常網絡流量樣本數據集和異常樣本數據集構成整體流量樣本數據集；

S2、樣本標定，首先對采集的正常網絡流量樣本數據集和異常樣本數據集進行預處理，然后對正常網絡流量樣本數據集進行正常樣本標定，將相應的滲透測試網絡流量數據標定為異常攻擊流量，完成標定后形成完備流量數據集，得到的完備流量數據集作為輸入向量；對采集的正常網絡流量樣本數據集和異常樣本數據集進行預處理的方法是將所有的數據報文截取為一致的長度為一個數據包，如一個數據包長度大于128字節，那么它將被截取為128字節，而如果小于128字節，那么0x00將被追加在末尾，直到滿足長度限制為止，通過將連續的流量數據包填充至3584字節，也就是每28個數據包將生成一個28*128字節的矩陣，所有的流量將以相同的大小進行分割，并將結果轉換為向量矩陣，每一個這樣的向量矩陣定義為一個流量簇；

S3、特征提取，對輸入向量進行特征提取處理，采用注意力模型函數計算得到包含流量高維關聯關系特征的向量矩陣，得到特征向量；

S4、使用encoder結構對輸入的特征向量進行預處理，計算得到attention值之后將其與原始網絡流量數據合并與標準化，所述的attention值的計算輸出按照公式計算得到，模型中Q，K，V全名為Query，Key，Value，首先經過一個線性變換后輸入值縮放點積Attention，需要做h次，每做一次ScaledDot-Product計算也就意味著多提取了一組頭，而且每次Q，K，V進行線性變換的參數W是不同的，之后將h次的縮放點積Attention的輸出進行拼接之后，進行一次線性變換得到的即為Multi-HeadAttention的結果；

S5、將步驟S4處理后的特征向量輸入全連接層神經網絡進行分類，對樣本進行正常與異常判別，對結果進行整合分析，得到樣本最終的分類結果。

2.根據權利要求1所述基于注意力機制的工業控制系統網絡流量異常檢測方法，其特征在于，所述的網絡異常攻擊是對相關控制設備進行攻擊行為產生的異常攻擊流量，所述的攻擊行為包括網絡掃描行為、針對控制指令的篡改以及重放攻擊行為、ARP攻擊以及拒絕服務攻擊行為。

3.根據權利要求1所述基于注意力機制的工業控制系統網絡流量異常檢測方法，其特征在于，所述的步驟S1中通過Nmap或者是Metasploit工具對相關控制設備進行滲透測試，并對相關流量進行數據標定為異常流量樣本數據。