一种基于工控网络单数据包的入侵检测方法技术

本发明专利技术公开了一种基于工控网络单数据包的入侵检测方法。该方法通过从工业网络流量中单个数据包中解析出反应该次通信行为的多维特征，然后通过特征筛选和和归一化等预处理过程，建立基于SVM的有监督学习算法的入侵检测模型，最后利用训练和优化后的模型实现对于工业控制系统通信数据正常与否的判断。本发明专利技术利用智能学习算法充分挖掘了工业控制系统中单个数据包的有效信息，并通过基于SVM的有监督学习算法这一模型方法有效的提高了入侵检测的准确率，并降低了误报率和漏报率。并降低了误报率和漏报率。并降低了误报率和漏报率。

【技术实现步骤摘要】
一种基于工控网络单数据包的入侵检测方法


[0001]本专利技术属于工业控制系统安全领域，涉及一种基于工控网络单数据包的入 侵检测方法。

技术介绍

[0002]工业控制系统(Industrial Control System,ICS)是对多种控制系统的一种统 称，这些系统常常包括监控与数据采集系统(Supervisory Control And DataAcquisition,SCADA)、分布式控制系统(Distribute Control System,DCS)和以 可编程逻辑控制器(Programmable Logic Controller，PLC)为代表的控制系统 组件。人们利用各种电子、电气和机械设备构成满足各种需求的工业控制系统， 目前工业控制系统已经广泛的使用在了各行各业当中，如电力、污水处理、油 气输送、化工和交通等工业领域都有广泛的工业控制系统使用案例。工业控制 系统已经逐渐在国家各项关键基础设施建设以及各领域的正常运作生产方面占 有一定的重要地位，同时对于人民生活的稳定以及国民经济的发展有着不小的 影响。
[0003]近年来，随着各种信息技术的飞速发展，现在的工业控制系统已经将工业 化和信息化结合的更加紧密了。典型的工控系统包含控制器、人机界面以及工 业网络等设施以满足控制、监视和诊断配置的需求，同时其一般有多个控制回 路，每一个回路都有自己的传感器、执行器和控制器以完成需要的控制过程。 而随着信息技术在工业控制系统中的广泛应用，各种标准化网络通信协议逐渐 取代了私有的协议，使得工控系统与公用网络连接之间的关系更加紧密，但开 放性提升的同时也使得工控系统面临更多的安全问题。目前针对工业控制系统 的安全事件有着逐年增多的趋势，同时针对工控系统的攻击呈现多阶段、多层 次系统的特征，工控系统本身的脆弱性问题日益凸显，采取何种有效防御手段 来保护工业控制系统的安全是一个亟待解决的问题。

技术实现思路

[0004]本专利技术的目的在于针对目前现有的工业控制系统安全性的不足和缺陷，提 供一种基于工控网络单数据包的入侵检测方法。
[0005]本专利技术的目的是通过以下技术方案来实现的：一种基于工控网络单数据包 的入侵检测方法，该方法包括以下步骤：
[0006](1)通过监测口采集网络流量的原始二进制pcap文件；
[0007](2)对采集到的数据包进行数据文本化及特征提取，提取的特征包括：源 IP(IP
src
)、目的IP(IP
dst
)、源端口(PORT
src
)、目的端口(PORT
dst
)、协议类型(Protocol)、 数据包长度(Length)、单数据包在混合数据包内的时间间隔(Δt1)；对数据包进行 样本标记，在样本标记过程中，将数据包根据采用的协议层级进行分组，计算 每个数据包在其对应分组序列中的通信时间间隔(Δt2)，然后再将所述通信时间 间隔更新到原始数据包中，作为一个新的特征；
[0008](3)通过数值特征归一化和离散特征数值化编码形成一个多维属性向量的 数据集；
[0009](4)将步骤(3)得到的数据集输入到入侵检测模型中，对数据进行有监 督学习，并在实时监测时对到来的每一个数据包判断是否为异常数据；
[0010]所述入侵检测模型基于SVM的有监督学习算法，表达式如下：
[0011][0012]其中，x为输入数据，x
o
为样本的多维属性向量，N为输入数据总数，ψ(
·
)为 高斯径向基核函数，α
l
为拉格朗日乘子，y
l
为样本标签，b为模型可训练的参数， sgn为阶跃函数，y(x)为1表示正常数据包，为
‑
1表示恶意数据包。
[0013]进一步地，所述步骤(1)中，数据来源包括实际现场数据和安全测试平台 数据，使用的抓包软件包括Wireshark。
[0014]进一步地，所述步骤(2)中，将原始的二进制报文文本化解析，一条报文 表示为[IP
src
,IP
dst
,PORT
src
,PORT
dst
,Protocol,Length,Δt1]七个维度的向量。
[0015]进一步地，所述步骤(2)中，需要对每一个提取数据样本进行预处理，对 每一个数据样本进行对应的标记，根据数据包最终采用的协议层级分为6组， Ethernet通信协议有PROFINETPTCP，LLDP，APR三种；IPv6的IP层协议包 括ICMPv6；IPv4协议包括IGMP和ICMP；基于IPv6的UDP协议有MDNS， LLMNR，DHCPv6三种；基于IPv4的UDP数据包有SSDP，NBNS，BROWSER， MDNS，LLMNR和通用UDP数据包；TCP数据包有COTP，基于COTP的西 门子S7COMM以及通用的TCP数据连接；将所有数据包分类为6组，计算每 个数据包在其对应分组序列中的通信时间间隔(Δt2)，然后再将该时间间隔更新 到对应的原始数据包中，将一条报文更新为[IP
src
,IP
dst
,PORT
src
,PORT
dst
,Protocol, Length,Δt2]七个维度的向量。
[0016]进一步地，所述步骤(3)中，数值特征归一化，采用最大最小归一化方法 进行计算，需要先将长度数据区60～150间的数据均匀压缩至0～9，将长度数据 区150～999间的数据均匀压缩至9～20，再进行计算，时间数据需对其取10的对 数后代入最大最小归一化公式计算。
[0017]进一步地，所述步骤(3)中，离散特征数值化编码，采用one
‑
hot编码即 一位有效编码，n类属性分配n
×
n的单位矩阵，从0到n的编码为k的属性对 应矩阵第k行，第k行对应向量的第k位为1，其余位置都是0，使得每一个数 据包的特征维度为n
ipsrc
+n
ipdst
+n
portsrc
+n
portdst
+n
protocol
+2，其中n
ipsrc
、n
ipdst
、n
portsrc
、 n
portdst
、n
protocol
分别为源IP、目的IP、源端口、目的端口、协议类型对应的属性 的类。
[0018]进一步地，所述步骤(4)中，建立基于SVM的有监督学习算法的入侵检 测模型，模型的初始表达式如下：
[0019][0020]其中，为x从输入空间到特征空间的映射函数，W和b为模型可训练的 参数，sign为符号函数；
[0021]引入高斯径向基核函数：σ为超参数，并 引入软间隔变量和拉格朗日乘子，进一步将模型优化为如下形式：...

【技术保护点】

【技术特征摘要】
1.一种基于工控网络单数据包的入侵检测方法，其特征在于，包括以下步骤：(1)通过监测口采集网络流量的原始二进制pcap文件；(2)对采集到的数据包进行数据文本化及特征提取，提取的特征包括：源IP(IP
src
)、目的IP(IP
dst
)、源端口(PORT
src
)、目的端口(PORT
dst
)、协议类型(Protocol)、数据包长度(Length)、单数据包在混合数据包内的时间间隔(Δt1)；对数据包进行样本标记，在样本标记过程中，将数据包根据采用的协议层级进行分组，计算每个数据包在其对应分组序列中的通信时间间隔(Δt2)，然后再将所述通信时间间隔更新到原始数据包中，作为一个新的特征；(3)通过数值特征归一化和离散特征数值化编码形成一个多维属性向量的数据集；(4)将步骤(3)得到的数据集输入到入侵检测模型中，对数据进行有监督学习，并在实时监测时对到来的每一个数据包判断是否为异常数据；所述入侵检测模型基于SVM的有监督学习算法，表达式如下：其中，x为输入数据，x
o
为样本的多维属性向量，N为输入数据总数，ψ(
·
)为高斯径向基核函数，α
l
为拉格朗日乘子，y
l
为样本标签，b为模型可训练的参数，sgn为阶跃函数，y(x)为1表示正常数据包，为
‑
1表示恶意数据包。2.根据权利要求1所述的一种基于工控网络单数据包的入侵检测方法，其特征在于，所述步骤(1)中，数据来源包括实际现场数据和安全测试平台数据，使用的抓包软件包括Wireshark。3.根据权利要求1所述的一种基于工控网络单数据包的入侵检测方法，其特征在于，所述步骤(2)中，将原始的二进制报文文本化解析，一条报文表示为[IP
src
,IP
dst
,PORT
src
,PORT
dst
,Protocol,Length,Δt1]七个维度的向量。4.根据权利要求1所述的一种基于工控网络单数据包的入侵检测方法，其特征在于，所述步骤(2)中，需要对每一个提取数据样本进行预处理，对每一个数据样本进行对应的标记，根据数据包最终采用的协议层级分为6组，Ethernet通信协议有PROFINETPTCP，LLDP，APR三种；IPv6的IP层协议包括ICMPv6；IPv4协议包括IGMP和ICMP；基于IPv6的UDP协议有MDNS，LLMNR，DHCPv6三种；基于IPv4的UDP数据包有SSDP，NBNS，BROWSER，MDNS，LLMNR和通用UDP数据包；TCP数据包有COTP，基于COTP的西门子S7COMM以及通用的TCP数据连接；将所有数据包分类为6组，计算每个数据包在其对应分组序列中的通信时间间隔(Δt2)，然后再将该...

【专利技术属性】
技术研发人员：文宇恒，车欣，邓瑞龙，赵成成，汪慕峰，王竟亦，王东霞，孙铭阳，程鹏，陈积明，
申请(专利权)人：浙江大学，
类型：发明
国别省市：