[發明專利]一種基于支持向量機的工業互聯網入侵檢測方法及實現系統

有效

• 申請號: 202110364835.5
• 申請日: 2021-04-06
• 公開（公告）號: CN113098878B
• 公開（公告）日: 2022-12-30
• 發明（設計）人: 王佰玲;魏玉良;蕭景東;李斌;辛國棟
• 申請（專利權）人: 哈爾濱工業大學（威海）;威海天之衛網絡空間安全科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/14;H04L61/4511;G06F16/953
• 代理公司: 威海恒譽潤達專利代理事務所(普通合伙) 37260
• 代理人: 呂志彬

1.一種基于支持向量機的工業互聯網入侵檢測方法，其特征在于，包括：

(1)獲取dnsflood攻擊的異常通信流量數據；

(2)從步驟(1)得到的異常通信流量數據中提取特征數據，構造特征量；具體過程為：

A、根據異常行為模式，直接從通信流量中獲取第一特征數據，構造特征量特征量x1至x9；

第一特征數據包括域名、目的端口、目的IP地址、UDP報文長度、查詢請求類型、IP包頭部長度、數據量、查詢類和標志，所述查詢類為dns報文頭中標志部分的機內碼，用來設置查詢的種類，具體值包括0-15的正整數，0表示標準查詢；1表示反向查詢；2表示服務器狀態查詢；3-15表示保留值，暫時未使用；所述標志為dns報文頭中的標識ID部分，是請求客戶端設置的16位標示；

將域名作為特征量xl，將目的端口作為特征量x2，將目的IP地址作為特征量x3，將UDP報文長度作為特征量x4，將查詢請求類型作為特征量x5，將IP包頭部長度作為特征量x6，將數據量作為特征量x7；將查詢類作為特征量x8，將標志作為特征量x9；

B、解析通信流量數據，提取第二特征數據，構造特征量特征量x10至x13；

第二特征數據包括域名長度、10秒域名解析請求次數、10秒訪問域名服務器IP次數、10秒訪問域名服務器端口次數；

將域名長度作為特征量x10，將10秒內的域名解析請求的次數作為特征量x11，將10秒訪問域名服務器IP次數作為作為特征量x12，將10秒訪問域名服務器端口次數作為作為特征量x13；

(3)將步驟(2)構造的特征量輸入SVM入侵檢測模型進行訓練，得到用于檢測dnsflood攻擊的SVM入侵檢測模型；

(4)提取待檢測的通信流量數據的特征數據并構造特征量，然后輸入到訓練好的SVM入侵檢測模型進行入侵檢測，對檢測到的可疑流量進行捕獲，同時記錄日志，并進行處理。

2.根據權利要求1提供的一種基于支持向量機的工業互聯網入侵檢測方法，其特征在于，步驟(1)中，獲取dnsflood攻擊的異常通信流量數據，具體過程為：

a.網絡特征的收集：監聽主機間的每個會話，捕獲會話中的基于UDP協議的報文；

b.dnsflood攻擊的檢測：基于步驟a收集到的基于UDP協議的報文，進行dnsflood攻擊的檢測；

c.數據保存：針對判斷為dnsflood攻擊的會話，將攻擊者的IP地址列入黑名單，對攻擊者向服務器發送的請求進行攔截，同時將判斷為dnsflood攻擊的數據包保存下來用作訓練SVM入侵檢測模型。

3.根據權利要求2提供的一種基于支持向量機的工業互聯網入侵檢測方法，其特征在于，步驟b中，dnsflood攻擊的檢測，具體步驟包括：

b-1、對建立的每個會話，從發送的第一個數據包開始，設定一個時間戳，對該時間戳之后發送的數據包都劃入該段時間內，統計該段時間內發包次數；當用戶停止發送數據包超過設定時間，即關閉當前時間戳；

若用戶再次發送數據包，則重新設定時間戳，重新統計發包次數；

b-2、檢測dnsflood攻擊：對時間戳內的發包次數進行統計，如果時間戳內的一個周期中的發包次數超過閾值，則將會話判斷為dnsflood攻擊。