[發明專利]基于Bi-LSTM的電網信息系統漏洞攻擊檢測方法及裝置

在審

• 申請號: 202110799195.0
• 申請日: 2021-07-15
• 公開（公告）號: CN113595998A
• 公開（公告）日: 2021-11-02
• 發明（設計）人: 沈伍強;張小陸;溫柏堅;裴求根;何明東;龍震岳;黃敬志;陳敏
• 申請（專利權）人: 廣東電網有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N3/04;G06N3/08
• 代理公司: 南京蘇高專利商標事務所(普通合伙) 32204
• 代理人: 李淑靜

1.一種基于Bi-LSTM的電網信息系統漏洞攻擊檢測方法，其特征在于，所述方法包括以下步驟：

離線訓練：收集樣本并根據攻擊判斷標記為正樣本和負樣本，對這些樣本進行預處理，包括泛化、分詞和嵌入詞向量，利用經過預處理的數據訓練模型，得到一個分類器；

在線測試：對在線獲得的測試數據進行預處理，包括泛化、分詞和嵌入詞向量，將預處理后的數據輸入到分類器中，以確定是否是SQL注入。

2.根據權利要求1所述的基于Bi-LSTM的電網信息系統漏洞攻擊檢測方法，其特征在于，所述離線訓練步驟中，當正樣本和負樣本的數量比例低于預設比例時，進行樣本擴充，將攻擊有效載荷按照一定的規則組合成攻擊輸入。

3.根據權利要求2所述的基于Bi-LSTM的電網信息系統漏洞攻擊檢測方法，其特征在于，所述將攻擊有效載荷按照一定的規則組合成攻擊輸入包括：

定義攻擊有效載荷為F(x)，包括：F(DS)、F(CON)、F(IE)、F(NE)、F(TI)為基本攻擊函數集，F(SC)、F(OC)、F(LG)為基本SQL操作集，其中，F(x)的分類依據如下：

F(DS)：選擇常見的異常字符或字符串，

F(CON)：比較運算符和條件類別，

F(IE)：比較運算符和重言式類別，

F(NE)：比較運算符和不等式類別，

F(TI)：時間函數，

F(SC)：SQL命令動詞關鍵字，

F(OC)：SQL函數名，

F(LG)：選擇常見的邏輯連詞；

對攻擊有效載荷進行組合的操作算子如下：

“||”定義為攻擊載荷或操作，表示F(a)和F(b)作為兩種攻擊載荷之一；

“”是攻擊載荷和操作，表示F(a)和F(b)攻擊載荷需要同時使用；

“*”是攻擊載荷之間的復合操作；

操作順序為：從右到左，運算符中括號具有最高優先級，其他優先級從高到低依次為*、、||。

4.根據權利要求1所述的基于Bi-LSTM的電網信息系統漏洞攻擊檢測方法，其特征在于，所述數據預處理中，

泛化：根據數據的分類，將SQL注入樣本標記為1，將負樣本標記為0；

分詞：根據知識建立一個使用符號的分詞模型，進行詞語分割；

嵌入詞向量：對詞分割結果執行詞嵌入，并且每個詞表示為數字詞向量。

5.根據權利要求1所述的基于Bi-LSTM的電網信息系統漏洞攻擊檢測方法，其特征在于，所述模型包括輸入層、嵌入層、雙向長短時記憶網絡層、注意力層、輸出層，其中輸入層以預處理后的數字詞向量為輸入向量；嵌入層將輸入向量轉化為矩陣表示；雙向長短時記憶網絡層提取每個詞語的上下文特征，將雙向的特征進行拼接，然后依舊將每個詞語的特征進行輸出；注意力層對每個詞語進行加權求和；輸出層將加權平均后詞語輸出為總特征向量。

6.一種基于Bi-LSTM的電網信息系統漏洞攻擊檢測裝置，其特征在于，包括：

離線訓練模塊，收集樣本并根據攻擊判斷標記為正樣本和負樣本，對這些樣本進行預處理，包括泛化、分詞和嵌入詞向量，利用經過預處理的數據訓練模型，得到一個分類器；

在線測試模塊，對在線獲得的測試數據進行預處理，包括泛化、分詞和嵌入詞向量，將預處理后的數據輸入到分類器中，以確定是否是SQL注入。

7.根據權利要求6所述的基于Bi-LSTM的電網信息系統漏洞攻擊檢測裝置，其特征在于，所述離線訓練模塊包括非平衡樣本集處理單元，所述非平衡樣本集處理單元用于當正樣本和負樣本的數量比例低于預設比例時，進行樣本擴充，將攻擊有效載荷按照一定的規則組合成攻擊輸入。