[發明專利]一種融合網絡的工控協議識別方法

在審

• 申請號: 202310354277.3
• 申請日: 2023-04-04
• 公開（公告）號: CN116389619A
• 公開（公告）日: 2023-07-04
• 發明（設計）人: 邸江磊;盧耀鵬;王美林;鐘麗云
• 申請（專利權）人: 廣東工業大學
• 主分類號: H04L69/22
• 分類號: H04L69/22;H04L69/18
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種融合網絡的工控協議識別方法，其特征在于，包括模型訓練部分S1和模型推理部分S2：

模型訓練部分S1包括以下步驟：

(S1-1)、獲取工控協議數據包，對數據包中的冗余信息進行刪除；

(S1-2)、以單個傳感器連接鏈路為一個會話，按照會話為單位，將協議中多傳感器組合數據包切分成若干個會話，再將會話進行數據預處理；

(S1-3)、將會話數據進行數據預處理得到灰度圖像數據和格式化報文數據兩種形態，作為雙通道輸入到Alexnet網絡和TCN網絡中提取特征信息；

(S1-4)、將Alexnet網絡和TCN網絡進行融合，最終得到訓練好的協議分類模型；

模型推理部分S2包括以下步驟：

(S2-1)、實時捕獲工控網絡環境的數據包；

(S2-2)、將數據包切分為若干個會話，對會話進行數據預處理；

(S2-3)、將數據預處理獲得的數據作為雙通道輸入到訓練好的分類模型中進行推理，得到模型推理的分類結果。

2.根據權利要求1所述的一種融合網絡的工控協議識別方法，其特征在于，在步驟(S1-1)中，所述獲取工控環境中的協議報文數據，捕獲工控網絡環境的協議數據包或者歷史收集累積的協議數據包，并對數據包中的捕獲序號和時間進行刪除。

3.根據權利要求1所述的一種融合網絡的工控協議識別方法，其特征在于，在步驟(S1-2)中，將數據包按照具有相同的源IP、源端口、目的IP、目的端口和傳輸層協議的雙向流切分為若干會話；所述數據預處理，包括：格式化處理統一數據長度，即將報文字節數統一至n²，多截少補，補充的字節使用零字節，將格式化報文數據作為一個單位輸入到一個通道；灰度圖像化處理，通過報文數據的每個字節的數值作為該字節的像素值，將數據的16進制轉成10進制，通過值映射將n²個字節的10進制數據轉成n×n的灰度圖像作為另一個通道的輸入數據。

4.根據權利要求1所述的一種融合網絡的工控協議識別方法，其特征在于，在步驟(S1-3)中：

分類模型1為Alexnet網絡，Alexnet網絡的輸入為經數據預處理后得到的協議報文灰度圖像，輸出為協議分類結果；Alexnet以ReLU為激活函數，以Softmax作為輸出函數，包括Conv2d卷積層、Max_pool池化層、Dropout層、Dense全連接層、和LocalResponsNormalization歸一化層；

分類模型2為TCN網絡，TCN網絡的輸入為經數據預處理后得到的會話格式化數據，輸出為協議分類結果；TCN以ReLU為激活函數，包括1D-FCN結構層、1D-CNN卷積層、CausalConvolutions因果卷積層、殘差連接、WeightNormalization歸一化層和Dropout層。