[發(fā)明專利]一種基于AE-SVM模型的分布式拒絕服務(wù)攻擊網(wǎng)絡(luò)異常檢測方法

在審

• 申請?zhí)枺?/td>: 202111038148.0
• 申請日: 2021-09-06
• 公開（公告）號: CN113902052A
• 公開（公告）日: 2022-01-07
• 發(fā)明（設(shè)計）人: 葉鶴林;韓堅;劉松;劉愷;李劍
• 申請（專利權(quán)）人: 國網(wǎng)江西省電力有限公司萍鄉(xiāng)供電分公司;國家電網(wǎng)有限公司
• 主分類號: G06K9/62
• 分類號: G06K9/62;G06N3/04;G06N3/08
• 代理公司: 萍鄉(xiāng)益源專利事務(wù)所 36119
• 代理人: 胡宜斌

本發(fā)明公開了一種基于AE?SVM模型的分布式拒絕服務(wù)攻擊網(wǎng)絡(luò)異常檢測方法，所述異常檢測方法包含分布式拒絕服務(wù)攻擊網(wǎng)絡(luò)異常數(shù)據(jù)；以及AE?SVM模型檢測分布式拒絕服務(wù)攻擊的過程：進入步驟201，將數(shù)據(jù)集輸入，進入步驟202，對測量的非數(shù)值數(shù)據(jù)采用標簽編碼進行排列，進入步驟203，對數(shù)據(jù)進行標準化，進入步驟204，使用AE模型進行編碼，然后進入步驟205，使用SVM進行分類。本發(fā)明考慮了廠站的電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全受到ddos攻擊時入侵檢測的實時性，能夠更快速有效地檢測廠站電力監(jiān)控系統(tǒng)中的分布式拒絕服務(wù)攻擊網(wǎng)絡(luò)異常。

技術(shù)領(lǐng)域

本發(fā)明專利涉及屬于電力系統(tǒng)廠站安全防護的技術(shù)領(lǐng)域，特別涉及一種基于AE-SVM模型的分布式拒絕服務(wù)攻擊網(wǎng)絡(luò)異常檢測方法。

背景技術(shù)

隨著信息化與傳統(tǒng)能源行業(yè)各環(huán)節(jié)應(yīng)用的深度融合，以及物聯(lián)網(wǎng)的快速發(fā)展，工業(yè)控制系統(tǒng)得到了前所未有的發(fā)展，并成為關(guān)鍵基礎(chǔ)設(shè)施的重要組成部分，廣泛應(yīng)用于我國電力、水利、水務(wù)、石油化工、軌道交通、制藥等行業(yè)中。調(diào)查發(fā)現(xiàn)，由于工業(yè)控制系統(tǒng)升級程序復雜且危害強度大等原因，半數(shù)以上的企業(yè)未對其進行過升級和漏洞修復工作。電力企業(yè)作為工業(yè)控制系統(tǒng)高度發(fā)展、深度融合的標桿，推動了智能電網(wǎng)系統(tǒng)的升級也增加了安全風險。與信息系統(tǒng)相比，工控系統(tǒng)地域分布廣，終端側(cè)有帶傳感和控制功能的裝置。建立并完善電網(wǎng)和發(fā)電廠的電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護體系成為保障電力系統(tǒng)的安全穩(wěn)定運行的關(guān)鍵因素，也是一體化電力監(jiān)控系統(tǒng)設(shè)計中一個非常重要的組成部分。

工業(yè)中使用的與因特網(wǎng)通信的設(shè)備提高了我們的生活水平，但信息安全是一個需要解決的問題。威脅信息安全的網(wǎng)絡(luò)攻擊有多種來源。拒絕服務(wù)(DoS)和分布式拒絕服務(wù)(DDOS)攻擊是最常見的網(wǎng)絡(luò)攻擊。DDOS攻擊分兩個階段進行，入侵和攻擊。在入侵階段，攻擊者在不同的網(wǎng)絡(luò)主機上安裝DDOS攻擊工具。在攻擊階段，觸發(fā)攻擊目標網(wǎng)絡(luò)。攻擊者通過使用這些主機創(chuàng)建大量流量來迫使目標路由器。受害者機器的帶寬和資源被這些虛擬生成的流量大量消耗。因此，目標系統(tǒng)無法向其合法用戶提供服務(wù)，從而導致授權(quán)拒絕服務(wù)。防火墻和入侵檢測系統(tǒng)(IDS)通常用于處理網(wǎng)絡(luò)上的網(wǎng)絡(luò)攻擊。這些系統(tǒng)被設(shè)計用來監(jiān)視網(wǎng)絡(luò)上的流量并識別異常行為。有兩種方法來描述系統(tǒng)的異常行為。它們是誤用檢測和異常檢測。這兩種方法是根據(jù)攻擊檢測方法來區(qū)分的。在誤用檢測中，當攻擊模型與惡意事務(wù)的特征碼匹配時，確定攻擊模型。另一方面，當數(shù)據(jù)與網(wǎng)絡(luò)流的預期行為不符時，會發(fā)生異常檢測。盡管網(wǎng)絡(luò)安全技術(shù)取得了重大進展，但攻擊者使用的復合攻擊方法清楚地表明防火墻和IDS系統(tǒng)提供的解決方案是不夠的。在文獻中，研究者更喜歡使用機器學習(ML)算法來進行異常檢測，包括決策樹(DT)、樸素貝葉斯(NB)和支持向量機(SVM)來解決這一問題。涉及這些技術(shù)的入侵檢測系統(tǒng)是基于在網(wǎng)絡(luò)流量中表示其有用屬性的知識。因此，通過關(guān)注結(jié)構(gòu)資產(chǎn)和數(shù)據(jù)表示從原始數(shù)據(jù)中獲得的特征被用于ML的決策中。使用ML算法檢測網(wǎng)絡(luò)中的異常會導致很高的誤判率。

發(fā)明內(nèi)容

本發(fā)明屬于電力系統(tǒng)廠站安全防護的技術(shù)領(lǐng)域，具體涉及一種基于AE-SVM模型的分布式拒絕服務(wù)攻擊網(wǎng)絡(luò)異常檢測方法，用于更快速有效地檢測廠站電力監(jiān)控系統(tǒng)中的分布式拒絕服務(wù)攻擊網(wǎng)絡(luò)異常。

本發(fā)明解決技術(shù)問題提供的技術(shù)方案是：一種基于AE-SVM模型的分布式拒絕服務(wù)攻擊網(wǎng)絡(luò)異常檢測方法，所述異常檢測方法包含：分布式拒絕服務(wù)攻擊網(wǎng)絡(luò)異常數(shù)據(jù)；以及AE-SVM模型檢測分布式拒絕服務(wù)攻擊的過程；

進入步驟201，將數(shù)據(jù)集輸入，在本研究中使用的CICIDS數(shù)據(jù)集中有5個非數(shù)字特征和82個數(shù)字特征；

進入步驟202，對測量的非數(shù)值數(shù)據(jù)采用標簽編碼進行排列，以便AE-SVM正常工作，在編輯過程中，檢查了降/升比、標志計數(shù)、協(xié)議和標志信息，標志和向下/向上信息分別傳輸?shù)綌?shù)據(jù)集，這些數(shù)據(jù)被標記為0和1，協(xié)議用協(xié)議號標記，協(xié)議標有協(xié)議編號，流ID，源IP，目標IP，時間戳和SimillarHTTP字段被直接丟棄，因為它們被放置在數(shù)據(jù)集中；