[發(fā)明專利]HJ212協(xié)議下基于OCSVM模型的通訊行為異常并行檢測方法與系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202110059616.6
• 申請日: 2021-01-18
• 公開（公告）號: CN112910688B
• 公開（公告）日: 2021-11-23
• 發(fā)明（設(shè)計）人: 李肯立;付鵬磊;楊志邦;余思洋;呂婷;胡慶豐;唐卓;劉楚波;陽王東
• 申請（專利權(quán)）人: 湖南大學(xué);湖南匡安網(wǎng)絡(luò)技術(shù)有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L12/26;H04L29/08;G16Y30/10
• 代理公司: 武漢臻誠專利代理事務(wù)所(普通合伙) 42233
• 代理人: 宋業(yè)斌

1.HJ212協(xié)議下基于OCSVM模型的通訊行為異常并行檢測方法，其特征在于，具體包括如下步驟：

(1)從工業(yè)控制網(wǎng)絡(luò)獲取包括多個HJ212協(xié)議通訊數(shù)據(jù)包的連接，對每個HJ212協(xié)議通訊數(shù)據(jù)包進(jìn)行解析，以獲取其對應(yīng)的命令編碼，按照該連接所包括的所有HJ212協(xié)議通訊數(shù)據(jù)包傳輸?shù)臅r間先后順序，將該所有HJ212協(xié)議通訊數(shù)據(jù)包所對應(yīng)的多個命令編碼進(jìn)行排序，從而構(gòu)成該連接對應(yīng)的命令編碼序列；

(2)將步驟(1)得到的該連接對應(yīng)的命令編碼序列輸入訓(xùn)練好的HJ212協(xié)議異常檢測模型中，以得到該連接的檢測結(jié)果；其中HJ212協(xié)議異常檢測模型是通過以下過程訓(xùn)練得到的：

(2-1)從工業(yè)控制網(wǎng)絡(luò)獲取多個正常連接或異常連接，每個正常/異常連接包括多個HJ212協(xié)議通訊數(shù)據(jù)包，對每個HJ212協(xié)議通訊數(shù)據(jù)包進(jìn)行解析，以獲取其對應(yīng)的命令編碼，每個連接所包括的所有HJ212協(xié)議通訊數(shù)據(jù)包對應(yīng)的多個命令編碼，按照每個正常/異常連接所包括的所有HJ212協(xié)議通訊數(shù)據(jù)包傳輸?shù)臅r間先后順序?qū)⑺蠬J212協(xié)議通訊數(shù)據(jù)包對應(yīng)的多個命令編碼進(jìn)行排序，從而構(gòu)成該正常/異常連接對應(yīng)的正常/異常命令編碼序列；

(2-2)采用滑動窗口和切片相結(jié)合的方式將步驟(2-1)中得到的每個正常/異常連接對應(yīng)的正常/異常命令編碼序列進(jìn)行循環(huán)切割處理，以得到與該正常/異常連接對應(yīng)的多個等長度的命令編碼短序列，所有命令編碼短序列構(gòu)成HJ212協(xié)議數(shù)據(jù)集A；

(2-3)對步驟(2-2)得到的HJ212協(xié)議數(shù)據(jù)集A中每個命令編碼短序列的每個命令編碼的出現(xiàn)頻率進(jìn)行統(tǒng)計，以得到每個命令編碼短序列對應(yīng)的頻率向量Ln，根據(jù)該命令編碼短序列所屬的連接對應(yīng)的通訊行為獲得該命令編碼短序列對應(yīng)頻率向量Ln對應(yīng)的標(biāo)簽Zn，其中n∈[1,HJ212協(xié)議數(shù)據(jù)集A中命令編碼短序列總數(shù)]；

(2-4)隨機(jī)生成粒子群X＝(X1,X2,…,XN)和速度V＝(V1,V2,…,VN)，其中N為自然數(shù)，表示生成的粒子群中粒子的總數(shù)，且Xi是用二維向量表示，i∈[1,N]，其中和分別表示單類支持向量機(jī)雙輪廓模型中每個粒子Xi的懲罰因子和高斯核函數(shù)；

(2-5)將步驟(2-3)中得到的HJ212協(xié)議數(shù)據(jù)集A中每個命令編碼短序列對應(yīng)的頻率向量Ln輸入單類支持向量機(jī)雙輪廓模型中進(jìn)行訓(xùn)練，以得到步驟(2-4)得到的粒子群中每個粒子對應(yīng)的分類準(zhǔn)確率；

(2-6)將步驟(2-5)得到的每個粒子對應(yīng)的分類準(zhǔn)確率作為該粒子的適應(yīng)度值F(Xi)，根據(jù)該適應(yīng)度值F(Xi)并使用粒子群優(yōu)化算法更新該粒子的個體極值Pi、以及步驟(2-4)得到的粒子群的全局極值G；

(2-7)根據(jù)步驟(2-6)得到的粒子的個體極值Pi和粒子群的全局極值G，按照粒子群速度更新公式重復(fù)迭代更新粒子Xi、以及該粒子速度Vi，直到連續(xù)50個前后兩次迭代過程所得到的粒子和的適應(yīng)度值之間的差值小于0.01％、或者重復(fù)迭代次數(shù)超過預(yù)設(shè)的最大迭代次數(shù)K_max為止，從而得到訓(xùn)練好的單類支持向量機(jī)雙輪廓模型作為HJ212協(xié)議異常檢測模型。

2.如權(quán)利要求1所述的通訊行為異常并行檢測方法，其特征在于，HJ212協(xié)議通訊數(shù)據(jù)包包括包頭、數(shù)據(jù)段長度、數(shù)據(jù)段、循環(huán)冗余校驗和包尾，其中命令編碼是位于數(shù)據(jù)段字段中；使用深度數(shù)據(jù)包檢測方法對HJ212協(xié)議通訊數(shù)據(jù)包進(jìn)行解析。

3.如權(quán)利要求1所述的通訊行為異常并行檢測方法，其特征在于，步驟(2)中的檢測結(jié)果是該連接對應(yīng)的通訊行為正常或異常；將連接對應(yīng)的命令編碼序列同時輸入HJ212協(xié)議異常檢測模型中的正輪廓和負(fù)輪廓線程中，正輪廓和負(fù)輪廓線程并行地對命令編碼序列進(jìn)行檢測，任意一個線程的檢測結(jié)果為異常時，則該連接對應(yīng)的通訊行為異常；兩個線程的檢測結(jié)果為正常時，則該連接對應(yīng)的通訊行為正常。

4.如權(quán)利要求1所述的通訊行為異常并行檢測方法，其特征在于，步驟(2-1)中所謂的“正常連接”指的是該連接對應(yīng)的通訊行為正常；所謂的“異常連接”指的是該連接對應(yīng)的通訊行為異常。

5.如權(quán)利要求1所述的通訊行為異常并行檢測方法，其特征在于，步驟(2-2)中在循環(huán)切割處理過程中，如果某個命令編碼短序列的長度小于預(yù)設(shè)的滑動窗口的寬度，則對該命令編碼短序列進(jìn)行補(bǔ)0處理。