[發(fā)明專利]一種基于GRU模型的充電樁攻擊聚類檢測方法

有效

• 申請?zhí)枺?/td>: 202011299612.7
• 申請日: 2020-11-18
• 公開（公告）號: CN112398862B
• 公開（公告）日: 2022-06-10
• 發(fā)明（設計）人: 劉威;寧柏鋒;羅偉峰;徐文淵;冀曉宇;汪鍇波;李鵬;習偉
• 申請（專利權）人: 深圳供電局有限公司;浙江大學;南方電網(wǎng)科學研究院有限責任公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/14;G07F15/00;G06F21/55;G06K9/62;G06N3/04;G06N3/08;G06Q50/06
• 代理公司: 杭州求是專利事務所有限公司 33200
• 代理人: 萬尾甜;韓介梅

1.一種基于GRU模型的充電樁攻擊聚類檢測方法，其特征在于，利用充電樁的報文數(shù)據(jù)，采用基于門控遞歸單元GRU的深度神經(jīng)網(wǎng)絡模型進行特征提取，并設計損失函數(shù)將不同的攻擊形式下提取的報文特征表示為高維空間中的攻擊特征，使得屬于同一類攻擊的攻擊特征距離盡可能近，反之盡可能遠；使用標注后的數(shù)據(jù)集作為模型的訓練樣本，并在預留的測試集上進行模型的評估與調(diào)優(yōu)，確定模型用于充電樁攻擊類別檢測；

所述的方法具體包括如下步驟：

步驟1：以固定時間為間隔，收集充電樁的報文數(shù)據(jù)，將采集到的充電樁報文進行數(shù)據(jù)預處理，補全數(shù)據(jù)中的缺省值，提取報文信息；

步驟2：根據(jù)充電樁攻擊對充電樁報文造成的影響，提取能表征攻擊特點的報文特征；具體步驟如下：

步驟2.1：計算固定源IP地址到固定目的IP地址中的報文數(shù)量m₁(t)；t為時刻；

步驟2.2：計算固定源IP地址到固定目的IP地址中平均連接持續(xù)時間m₂(t)；

步驟2.3：計算固定源IP地址到固定目的IP地址中平均源主機到目標主機的數(shù)據(jù)字節(jié)數(shù)m₃(t)；

步驟2.4：計算固定源IP地址到固定目的IP地址中平均目標主機到源主機的數(shù)據(jù)字節(jié)數(shù)m₄(t)；

步驟2.5：計算固定源IP地址到固定目的IP地址中錯誤分段的數(shù)量m₅(t)；

步驟2.6：計算固定源IP地址到固定目的IP地址下的平均登陸嘗試失敗的次數(shù)m₆(t)；

步驟3：使用GRU模型將提取得到的時序特征處理為180維的輸出特征H；

步驟4：通過全連接網(wǎng)絡，將180維的輸出特征H映射至90維的攻擊特征M，并設計基于樣本對(pair-wise)的損失函數(shù)，優(yōu)化全連接網(wǎng)絡和GRU模型，使得相同攻擊場景下的攻擊特征之間距離盡可能近，不同攻擊場景的攻擊特征之間的距離盡可能遠；

步驟5：測試模型的聚類檢測效果，若模型效果不符合要求，則重新選擇模型中的超參數(shù)，直到模型在測試數(shù)據(jù)上滿足測試要求，獲得模型。

2.根據(jù)權利要求1所述的基于GRU模型的充電樁攻擊聚類檢測方法，其特征在于，其中步驟1具體如下：

步驟1.1：以固定時間1s為間隔，收集充電樁的報文數(shù)據(jù)，區(qū)分TCP連接基本特征和內(nèi)容特征；

步驟1.2：對所收集信息中的缺省值進行補全；對于采集到的充電樁報文的TCP連接基本特征，選取以下重要信息，duration：連接持續(xù)時間；src_bytes：從源主機到目標主機的數(shù)據(jù)的字節(jié)數(shù)；dst_bytes：從目標主機到源主機的數(shù)據(jù)的字節(jié)數(shù)；wrong_fragment：錯誤分段的數(shù)量；對于TCP連接的內(nèi)容特征，選取num_failed_logins：登陸嘗試失敗的次數(shù)；若其中數(shù)據(jù)存在缺省，使用平均值進行補全。