国产欧美日韩精品a在线观看-国产欧美日韩精品一区二区三区-国产欧美日韩精品综合-国产欧美中文字幕-一区二区三区精品国产-一区二区三区精品国产欧美

★國(guó)網(wǎng)福建省電力有限公司漳州供電公司張坤三

★國(guó)網(wǎng)福建省電力有限公司信息通信分公司傅杰，倪文書

★國(guó)網(wǎng)信通億力科技有限責(zé)任公司黃泰寧

關(guān)鍵詞：?jiǎn)晤愔С窒蛄繖C(jī)；OCSVM；流量異常檢測(cè)

1　目的和意義

隨著具有信息化、自動(dòng)化、互動(dòng)化特征的新型電網(wǎng)建設(shè)發(fā)展，以及“互聯(lián)網(wǎng)+”新型信息通信技術(shù)的應(yīng)用和能源互聯(lián)網(wǎng)深入推進(jìn)，電網(wǎng)在發(fā)、輸、變、配、用和調(diào)度各環(huán)節(jié)具有數(shù)量龐大的異構(gòu)電網(wǎng)智能終端設(shè)備，目前主要分為采集類終端、保護(hù)類終端、測(cè)控類終端等。根據(jù)初步統(tǒng)計(jì)分析，共涉及電網(wǎng)穩(wěn)控裝置規(guī)模約千余臺(tái)，配電終端規(guī)模約200余萬(wàn)臺(tái)、集中器規(guī)模約3000余萬(wàn)臺(tái)，智能電能表規(guī)模約2億臺(tái)，實(shí)現(xiàn)了電網(wǎng)的量測(cè)、保護(hù)和信息通信等功能。異構(gòu)化、智能化、網(wǎng)絡(luò)化的電網(wǎng)智能終端廣泛分布于電力生產(chǎn)以及用戶側(cè)的現(xiàn)場(chǎng)，實(shí)現(xiàn)信息的雙向交互，導(dǎo)致現(xiàn)有安全防護(hù)邊界模糊化，且針對(duì)電力系統(tǒng)的網(wǎng)絡(luò)攻擊呈現(xiàn)出向智能變電站、配用電系統(tǒng)、用電信息采集系統(tǒng)現(xiàn)場(chǎng)等用戶側(cè)開放環(huán)境泛化演進(jìn)的趨勢(shì)，電網(wǎng)智能終端已經(jīng)成為攻擊電網(wǎng)的主要入口。

目前，網(wǎng)絡(luò)攻擊已成為新型武器，敵對(duì)勢(shì)力利用網(wǎng)絡(luò)攻擊成功破壞電力等國(guó)家關(guān)鍵基礎(chǔ)設(shè)施已成為現(xiàn)實(shí)，電網(wǎng)智能終端攻擊一般針對(duì)電力特有的協(xié)議和特定的業(yè)務(wù)邏輯，具有攻擊目標(biāo)明確、操作隱蔽、潛伏時(shí)間長(zhǎng)等特點(diǎn)，且一般通過(guò)集團(tuán)式甚至是國(guó)家級(jí)實(shí)施攻擊。目前電網(wǎng)智能終端系統(tǒng)在攻擊檢測(cè)方面主要是借鑒傳統(tǒng)IT系統(tǒng)已較成熟技術(shù)，檢測(cè)網(wǎng)絡(luò)側(cè)的安全事件，但無(wú)法檢測(cè)到如偽造控制指令等針對(duì)系統(tǒng)業(yè)務(wù)指令級(jí)的異常安全事件。針對(duì)電網(wǎng)網(wǎng)絡(luò)側(cè)流量檢測(cè)，本文提出了基于單類支持向量機(jī)^[1-4]OCSVM的流量異常檢測(cè)技術(shù)，通過(guò)流量異常檢測(cè)^[5-11]實(shí)現(xiàn)電網(wǎng)智能終端實(shí)時(shí)交互過(guò)程中的網(wǎng)絡(luò)側(cè)流量的安全性檢測(cè)，通過(guò)業(yè)務(wù)指令級(jí)檢測(cè)實(shí)現(xiàn)電網(wǎng)智能終端實(shí)時(shí)交互過(guò)程中應(yīng)用層指令級(jí)的安全性檢測(cè)。

本文首先分析了電力物聯(lián)網(wǎng)面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，引入基于單類支持向量機(jī)OCSVM的流量異常檢測(cè)技術(shù)，為電力物聯(lián)網(wǎng)的流量異常檢測(cè)提供了新的思路；第二章研究了基于單類支持向量機(jī)OCSVM的流量異常檢測(cè)技術(shù)；第三章對(duì)本文所提技術(shù)進(jìn)行了實(shí)驗(yàn)；第四章對(duì)本文進(jìn)行了總結(jié)，并指出了該技術(shù)的應(yīng)用前景和意義。

2　基于單類支持向量機(jī)OCSVM的流量異常檢測(cè)技術(shù)

與傳統(tǒng)TCP/IP網(wǎng)絡(luò)不同，工業(yè)控制系統(tǒng)通信網(wǎng)絡(luò)具有“狀態(tài)有限”和“行為有限”的特點(diǎn)。狀態(tài)有限是指工業(yè)控制系統(tǒng)通信具有規(guī)律性和穩(wěn)定性的特點(diǎn)，即規(guī)則的通信流；行為有限是指工業(yè)控制系統(tǒng)具有較固定的行為特征和可預(yù)測(cè)的行為模式。因此，工業(yè)控制系統(tǒng)的實(shí)時(shí)網(wǎng)絡(luò)流量異常特征識(shí)別技術(shù)本質(zhì)上是一個(gè)二分類問(wèn)題，即對(duì)正常的工業(yè)數(shù)據(jù)和異常的工業(yè)數(shù)據(jù)進(jìn)行二分類。

單類支持向量機(jī)OCSVM是一種基于機(jī)器學(xué)習(xí)的異常檢測(cè)算法，可以保證在先驗(yàn)知識(shí)不足的情況下仍有較好的分類正確率，其基本思想就是通過(guò)機(jī)器學(xué)習(xí)的方法對(duì)數(shù)據(jù)進(jìn)行二分類，因此OCSVM^[12-14]可以很好地滿足工業(yè)控制系統(tǒng)實(shí)時(shí)網(wǎng)絡(luò)流量異常特征識(shí)別的基本需求。在樣本訓(xùn)練上，與傳統(tǒng)的支持向量機(jī)算法需要至少兩類樣本來(lái)訓(xùn)練入侵檢測(cè)模型不同，OCSVM只需要一類樣本就可以訓(xùn)練異常檢測(cè)模型，對(duì)噪聲樣本數(shù)據(jù)具有魯棒性，很好地滿足了工業(yè)控制系統(tǒng)數(shù)據(jù)具有較明顯的數(shù)據(jù)不平衡特點(diǎn)，如圖1所示，即正常數(shù)據(jù)遠(yuǎn)大于異常數(shù)據(jù)，故障或臨界狀態(tài)數(shù)據(jù)較少。

智能電力物聯(lián)終端是指主要應(yīng)用于邊端側(cè)，實(shí)現(xiàn)電氣量、環(huán)境量、狀態(tài)量、視頻圖像等數(shù)據(jù)采集、邊緣計(jì)算，并通過(guò)網(wǎng)絡(luò)層傳輸數(shù)據(jù)的設(shè)備，其擔(dān)負(fù)著數(shù)據(jù)采集、處理、加密、傳輸?shù)榷喾N功能。智能電力物聯(lián)終端是實(shí)現(xiàn)電力系統(tǒng)數(shù)字化的基礎(chǔ)，通過(guò)對(duì)線路數(shù)據(jù)的分析判斷達(dá)到故障檢測(cè)及迅速定位，從而實(shí)現(xiàn)故障區(qū)域的快速隔離和精準(zhǔn)搶修，最終提高供電可靠性。

圖1 基于單類支持向量機(jī)OCSVM的流量異常檢測(cè)技術(shù)

由于電力物聯(lián)終端網(wǎng)絡(luò)流量數(shù)據(jù)具有較難獲取、數(shù)據(jù)龐大復(fù)雜等特點(diǎn)，在進(jìn)行流量異常檢測(cè)、流量分類等任務(wù)時(shí)可能會(huì)遇到處理無(wú)標(biāo)簽流量數(shù)據(jù)的問(wèn)題。傳統(tǒng)的分類模型算法往往無(wú)法處理無(wú)標(biāo)簽數(shù)據(jù)，并不適用于無(wú)標(biāo)簽分類任務(wù)場(chǎng)景。本文對(duì)電力物聯(lián)網(wǎng)設(shè)備的流量處理分為以下三個(gè)階段。

（1）數(shù)據(jù)采集階段

數(shù)據(jù)采集主要是在電網(wǎng)運(yùn)行時(shí)對(duì)網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行捕獲，從電網(wǎng)實(shí)時(shí)網(wǎng)絡(luò)流量中采集到的流量數(shù)據(jù)絕大部分為正常數(shù)據(jù)，只有很少的一部分為異常數(shù)據(jù)。此外，現(xiàn)場(chǎng)采集的流量數(shù)據(jù)還可能數(shù)據(jù)量大、維度高，因此需要經(jīng)過(guò)一系列的預(yù)處理，才能用OCSVM算法進(jìn)行機(jī)器學(xué)習(xí)。

（2）數(shù)據(jù)降維預(yù)處理階段

數(shù)據(jù)預(yù)處理主要指數(shù)據(jù)降維，數(shù)據(jù)降維主要是對(duì)數(shù)據(jù)維度進(jìn)行降維處理，采集的數(shù)據(jù)具有較多的屬性即數(shù)據(jù)的維度高，這會(huì)降低異常識(shí)別算法的效率，需要對(duì)數(shù)據(jù)作降維處理。本研究采用主成分分析方法對(duì)系統(tǒng)數(shù)據(jù)進(jìn)行特征提取、降維度，主成分分析法（Principal Component Analysis，PCA）基于統(tǒng)計(jì)特征的多維正交線性變化，是一種多源統(tǒng)計(jì)方法，成功應(yīng)用于數(shù)據(jù)的特征提取和數(shù)據(jù)降維。

對(duì)于一個(gè)數(shù)據(jù)包來(lái)說(shuō)，在對(duì)特征屬性進(jìn)行選擇時(shí)，屬性選擇的越多能代表的原始數(shù)據(jù)包的信息就越全面。然而，特征屬性選擇的越多計(jì)算量也會(huì)相應(yīng)越大。因此需要對(duì)電網(wǎng)網(wǎng)絡(luò)流量特征數(shù)據(jù)進(jìn)行反復(fù)權(quán)衡比較，選取能夠代表電網(wǎng)流量的特征屬性代表原始數(shù)據(jù)包信息。經(jīng)過(guò)反復(fù)權(quán)衡比較，本研究選取下列13項(xiàng)特征屬性代表原數(shù)據(jù)包的信息，它們是源地址、目的地址、IP包總長(zhǎng)度、IP包頭長(zhǎng)度、TCP包頭長(zhǎng)度、源端口號(hào)、目的端口號(hào)、流量大小、協(xié)議標(biāo)識(shí)符、長(zhǎng)度、業(yè)務(wù)標(biāo)識(shí)符、功能碼、數(shù)據(jù)長(zhǎng)度。

根據(jù)上述所選擇的特征，將這些特征按順序從數(shù)據(jù)包中提取出來(lái)并存儲(chǔ)成矩陣形式，用PCA方法進(jìn)行特征提取，進(jìn)行降維處理，去除噪聲數(shù)據(jù)和冗余特征項(xiàng)。其具體過(guò)程如下：

步驟1：設(shè)定n個(gè)特征變量，這里n=13；

步驟2：輸入提取數(shù)據(jù)幀號(hào)N，計(jì)算第N幀各特征數(shù)據(jù)地址；

步驟3：提取不同的特征變量對(duì)應(yīng)的數(shù)據(jù)值；

步驟4：判斷是否提取了n個(gè)特征變量，若是，將提取的特征變量輸出，存儲(chǔ)為矩陣形式，記為X0，否則繼續(xù)提取數(shù)據(jù)，直到將所有數(shù)據(jù)包中的特征值都提取出來(lái)為止；

步驟5：計(jì)算標(biāo)準(zhǔn)化后的工業(yè)數(shù)據(jù)集X0的協(xié)方差矩陣P=(1/n)X0X0T，并計(jì)算協(xié)方差矩陣的特征值以及對(duì)應(yīng)的特征向量；

步驟6：按照特征值大小順序?qū)⑻卣髦祵?duì)應(yīng)的特征向量排列成向量形式，根據(jù)公式計(jì)算累計(jì)方差貢獻(xiàn)率，選取前m(<n)個(gè)特征向量組成變換矩陣C，確定降維后工業(yè)數(shù)據(jù)集，記為X1=CX0，將原始工業(yè)數(shù)據(jù)集從n維降到m維。

（3）OCSVM算法運(yùn)行階段

在經(jīng)過(guò)數(shù)據(jù)預(yù)處理后，可以得到具有相同維數(shù)的流量數(shù)據(jù)樣本，即OCSVM算法可處理的矩陣形式X＝（x1，x2…xi…xl），將矩陣輸入OCSVM算法運(yùn)算實(shí)現(xiàn)實(shí)時(shí)網(wǎng)絡(luò)流量異常的識(shí)別。在X矩陣中，xi＝（xi1，xi2，…，xim）表示第ｉ個(gè)現(xiàn)場(chǎng)數(shù)據(jù)，每一維代表該數(shù)據(jù)的一項(xiàng)屬性。

當(dāng)樣本維數(shù)為兩維時(shí)，直線即可進(jìn)行樣本劃分，當(dāng)樣本維數(shù)為三維時(shí)，截面即可進(jìn)行樣本劃分，當(dāng)樣本維數(shù)高于三維時(shí)，需要在高維空間進(jìn)行樣本劃分。由于流量樣本維數(shù)較高，本項(xiàng)目利用OCSVM算法將樣本的特征在高維空間進(jìn)行映射和劃分。

在OCSVM流量異常檢測(cè)中，最關(guān)鍵、最重要的模塊就是OCSVM訓(xùn)練過(guò)程。在OCSVM訓(xùn)練中，采用OCSVM算法對(duì)電網(wǎng)流量數(shù)據(jù)進(jìn)行訓(xùn)練，由于電網(wǎng)一般情況下都工作在正常的狀態(tài)下，因此采集的數(shù)據(jù)也大多為正常數(shù)據(jù)，OCSVM算法只需要正常數(shù)據(jù)就可訓(xùn)練，在訓(xùn)練時(shí)假設(shè)坐標(biāo)原點(diǎn)為異樣樣本，在特征空間中構(gòu)建一個(gè)最優(yōu)的劃分面區(qū)分正常和異常數(shù)據(jù)，得到分類決策函數(shù)，OCSVM算法運(yùn)行階段詳細(xì)流程如圖2所示。

圖2 電網(wǎng)異常流量檢測(cè)流程

通過(guò)上述流程訓(xùn)練得到的OCSVM分類決策函數(shù)就可以對(duì)電網(wǎng)流量進(jìn)行檢測(cè)，判斷其為正常數(shù)據(jù)還是異常數(shù)據(jù)。

3　實(shí)驗(yàn)驗(yàn)證

為了驗(yàn)證本文所提技術(shù)的測(cè)試效率，我們選取了目前較為常用的協(xié)議Fuzzing工具SPIKE、Peach與本文所提技術(shù)分別對(duì)相同的IEC104樣本報(bào)文進(jìn)行測(cè)試。

表1從測(cè)試用例數(shù)、有效測(cè)試用例數(shù)、測(cè)試用例有效率、代碼覆蓋率、測(cè)試時(shí)間以及發(fā)現(xiàn)的漏洞數(shù)六個(gè)方面，對(duì)SPIKE、Peach、本文所提技術(shù)在9類IEC104協(xié)議報(bào)文測(cè)試完全時(shí)的測(cè)試結(jié)果進(jìn)行了對(duì)比。

表1 IEC104協(xié)議測(cè)試效果對(duì)比

從表1的數(shù)據(jù)可以看出，雖然SPIKE與Peach生成的總測(cè)試用例數(shù)相當(dāng)，但測(cè)試用例的有效率卻遠(yuǎn)遠(yuǎn)低于Peach。這是由于SPIKE采用平坦的塊序列結(jié)構(gòu)，對(duì)于協(xié)議報(bào)文中的結(jié)構(gòu)和約束關(guān)系表達(dá)能力不足，因而生成過(guò)多的無(wú)效測(cè)試用例，并且只能發(fā)現(xiàn)21個(gè)異常流量包。對(duì)比Peach和本文所提技術(shù)，本文所提技術(shù)發(fā)現(xiàn)了更多的漏洞，并且本文所提技術(shù)使用更少的測(cè)試用例實(shí)現(xiàn)了更高的代碼覆蓋率，這說(shuō)明文法驅(qū)動(dòng)的Fuzzing技術(shù)測(cè)試效率更高。此外還需說(shuō)明的是：在定義測(cè)試腳本時(shí)，SPIKE和Peach需要對(duì)每種類型的IEC104報(bào)文格式編寫測(cè)試腳本，冗余性較大且腳本工作繁重；而本文所提技術(shù)只需定義單個(gè)文法模型就可以描述所有類型的報(bào)文格式，形式更簡(jiǎn)潔。

4　結(jié)論

本文提出單類支持向量機(jī)實(shí)現(xiàn)電網(wǎng)終端流量的異常檢測(cè)技術(shù)實(shí)現(xiàn)應(yīng)用層指令級(jí)異常檢測(cè)，主要是通過(guò)提取出能識(shí)別協(xié)議特征的關(guān)鍵字段，與設(shè)計(jì)的語(yǔ)法語(yǔ)義規(guī)則和攻擊特征庫(kù)匹配實(shí)現(xiàn)畸形報(bào)文和攻擊報(bào)文的檢測(cè)，提取業(yè)務(wù)指令特征碼、業(yè)務(wù)指令頻次等業(yè)務(wù)特征值，通過(guò)聚類分析識(shí)別違規(guī)業(yè)務(wù)指令。

經(jīng)過(guò)上述對(duì)電網(wǎng)網(wǎng)絡(luò)流量的異常監(jiān)測(cè)以對(duì)應(yīng)用層指令監(jiān)測(cè)，可構(gòu)建電網(wǎng)智能終端業(yè)務(wù)行為模型，可實(shí)現(xiàn)基于終端業(yè)務(wù)行為模型的指令級(jí)攻擊模式在線識(shí)別，解決了電網(wǎng)智能終端中大量規(guī)約指令級(jí)新型攻擊識(shí)別的難題。

作者簡(jiǎn)介：

張坤三（1991-），男，福建漳浦人，工程師，學(xué)士，現(xiàn)就職于國(guó)網(wǎng)福建省電力有限公司漳州供電公司，主要從事電網(wǎng)工控安全、網(wǎng)絡(luò)安全方面的研究。

傅　杰（1991-），男，福建仙游人，工程師，碩士，現(xiàn)就職于國(guó)網(wǎng)福建省電力有限公司信息通信分公司，主要從事網(wǎng)絡(luò)安全監(jiān)督方面的研究。

倪文書（1991-），男，福建永泰人，工程師，碩士，現(xiàn)就職于國(guó)網(wǎng)福建省電力有限公司信息通信分公司，主要從事電力通信與信息系統(tǒng)方面的研究。

黃泰寧（1981-），男，福建福州人，工程師，學(xué)士，現(xiàn)就職于國(guó)網(wǎng)信通億力科技有限責(zé)任公司，主要從事信息系統(tǒng)方面的研究。

參考文獻(xiàn)：

[1] Maglaras L A, Jiang J, Cruz T. Integrated OCSVM Mechanism for Intrusion Detection in SCADA Systems[J]. Electronics Letters,2014, 50 (25) : 1935 - 1936.

[2] 馮愛(ài)民, 薛暉, 劉學(xué)軍, 等. 增強(qiáng)型單類支持向量機(jī)[J]. 計(jì)算機(jī)研究與發(fā)展, 2008, 45 (11) : 7.

[3] 胡雷, 胡蔦慶, 秦國(guó)軍. 雙閾值單類支持矢量機(jī)在線故障檢測(cè)算法及應(yīng)用[J]. 機(jī)械工程學(xué)報(bào), 2009, 45 (3) : 5.

[4] 胡蔦慶, 胡雷, 秦國(guó)軍, 等. 基于單類支持向量機(jī)的故障診斷方法: CN201010184895.0[P]. CN101907088B, 2023.

[5] 鄭黎明, 鄒鵬, 賈焰, 等. 網(wǎng)絡(luò)流量異常檢測(cè)中分類器的提取與訓(xùn)練方法研究[J]. 計(jì)算機(jī)學(xué)報(bào), 2012, 35 (4) : 12.

[6] 鄭黎明, 鄒鵬, 賈焰. 多維多層次網(wǎng)絡(luò)流量異常檢測(cè)研究[J]. 計(jì)算機(jī)研究與發(fā)展, 2011, 48 (8) : 11.

[7] 呂軍, 李星. 一種網(wǎng)絡(luò)流量異常檢測(cè)算法[J]. 計(jì)算機(jī)應(yīng)用研究, 2006, 23 (11) : 217 - 219.

[8] 王海龍, 楊岳湘. 基于信息熵的大規(guī)模網(wǎng)絡(luò)流量異常檢測(cè)[J]. 計(jì)算機(jī)工程, 2007, 33 (18) : 4.

[9] 呂軍, 李星. 一種網(wǎng)絡(luò)流量異常檢測(cè)算法[J]. 計(jì)算機(jī)應(yīng)用研究, 2006 (11) : 223 - 225.

[10] Jun L V, Xing L I, 呂軍, et al. Network Traffic Anomaly Detection based on Adaptive Filter Theory一種網(wǎng)絡(luò)流量異常檢測(cè)算法[J]. 計(jì)算機(jī)應(yīng)用研究, 2006, 23 (11) : 217 - 219.

[11] 楊丹. 網(wǎng)絡(luò)流量異常檢測(cè)方法研究及仿真平臺(tái)研制[D]. 成都: 電子科技大學(xué), 2023.

[12] 黃南天, 張書鑫, 蔡國(guó)偉, 等. 采用EWT和OCSVM的高壓斷路器機(jī)械故障診斷[J]. 儀器儀表學(xué)報(bào), 2015, 36 (12) : 9.

[13] 劉松, 周清雷. 基于OCSVM的DDOS攻擊實(shí)時(shí)檢測(cè)模型[J]. 計(jì)算機(jī)工程與設(shè)計(jì), 2011.

[14] 李琳. 基于OCSVM的工業(yè)控制系統(tǒng)入侵檢測(cè)算法研究[D]. 沈陽(yáng): 沈陽(yáng)理工大學(xué), 2016.

摘自《自動(dòng)化博覽》2024年4月刊