CN103684910A - 一种基于工业控制系统网络流量的异常检测方法 - Google Patents

Abstract

一种基于工业控制系统网络流量的异常检测方法属于信息安全领域。本发明采集工业网络流量，通过对流量特性的分析发现，采用数字信号处理的方法将流量信号由时域变换到频域，正常流量和异常流量采样在功率谱密度上存在显著的差异。通过分析大量历史数据中的这种差异特性，找到一个低频功率和的临界值，若待检测样本的低频功率和大于此临界值，则认为该样本流量为异常流量。本方法分为三个模块：数据预处理模块负责前期的数据流量的处理；流量建模模块根据正常流量和异常流量的低频功率和分布建立正常模型和异常模型，从而计算得到低频功率和临界值；异常检测模块进行异常检测。本发明检测误报率为6.1%，漏报率为9.3%。

Description

一种基于工业控制系统网络流量的异常检测方法

技术领域：

本发明涉及一种工业控制系统网络流量的异常检测方法。属于信息安全领域。

背景技术：

随着计算机和互联网技术的快速发展与广泛应用，计算机网络系统的安全受到了严重的挑战，特别是针对工业控制系统的安全威胁正在逐渐增多。工业控制系统是国家安全战略的重要组成部分，90%左右涉及国民的关键基础设施都需要依靠工业控制系统来实现自动化作业。2010年“震网”（Stuxnet）病毒的出现则为工业控制系统网络攻击开辟了一个新的时代。其利用微软Windows操作系统漏洞虽然能够像传统蠕虫病毒一样在互联网上广泛传播，但并不以获取用户数据或牟利为目的，仅作为攻击重要基础设施SCADA系统的跳板。“震网”病毒通过入侵SIMATIC WinCC平台的管理层系统、挂接动态链接库DLL（Dynamic Link Library），修改、操控PLC的数据采集、监测、调度等命令逻辑，造成现场级设备数据采集错误、命令调度混乱，破坏了900多台伊朗核设施离心机，导致其核计划严重推迟。随着2012年“火焰”病毒再次在中东地区爆发，引发伊朗石油业系统瘫痪，全球多数专家都将针对工业控制系统的网络攻击列为国家间战略制约手段，世界各国对其安全防护的重视程度骤升。目前，越来越多的工业控制系统通过采用工业以太网技术由封闭、私有转向开放、互联模式，随之便带来了恶意代码攻击、信息泄露、指令篡改等安全问题，整个系统的可用性、可靠性、私密性等安全特质受到的威胁日益增加，工业信息安全的需求呈现井喷趋势。

虽然针对工业控制系统安全的研究已经有30多年的历史，但是由于来自于传统互联网的网络安全技术不能简单的移植到工控网中，到目前为止还没有取得突破性的进展，对工业网络流量的异常检测也还处于研究的初级阶段。

国内外现有的工业网络异常检测方法主要有基于自回归过程的异常检测，基于隐马尔可夫模型的异常检测，基于神经网络的异常检测等，但是这些方法基本上沿用了传统以太网的方案，对于工业网络流量异常检测效果并不明显。工业控制系统普遍适用于能源、电力、化工、交通运输、制造业等行业，工业控制系统中流量所呈现出的特性和传统以太网有所不同，因此直接套用传统以太网解决方案难以满足目前对于工业网络的安全需求。为了改善这方面的不足，有针对性的检测工业网络中出现的异常，发明人通过对工业网络流量进行深入分析，提出一种适合工业网络环境下的异常流量检测方法。本方法针对工业网络流量分析其流量特点，并根据工业网络的普遍特点——周期性，利用信号处理的方法将时域的流量信号变换到频域，使流量特点更加明显，然后根据正常流量和异常流量的功率谱密度在低频中的特点，提出以低频功率和为检测指标的检测方法，找到一个低频功率和的临界值，若待检测样本的低频功率和大于此临界值，则认为该样本流量为异常流量。

发明内容：

针对上述问题，本发明提出了一种针对工业控制系统网络流量的异常检测方法，采集工业网络流量，通过对流量特性的分析发现采用数字信号处理的方法，将流量信号由时域变换到频域，工业网络中的正常流量和异常流量采样在功率谱密度上存在一定的差异，通过分析大量历史数据，发现异常流量的功率谱值比正常流量的功率谱值在低频部分大，因此提出以低频功率和为检测指标的检测方法，找到一个低频功率和的临界值，若待检测样本的低频功率和大于此临界值，则认为该样本流量为异常流量。

本方法包括以下步骤：

首先进行数据预处理：在工业网络的上位机上捕获数据包，并对数据包进行采样，采样频率需大于包最高频率的2倍，采样值为单位时间接收到的数据包的字节数，采样窗口大小至少要包含3个周期的流量序列，通过一个窗口的采样可以得到一个离散时间序列x(n)。该过程可用如下随机过程模型来表示：{x(n),t=nΔ,n∈N}。其中Δ是一个常数，代表采样间隔。N是全部的取样点数,即离散时间序列的长度。x(n)是一个随机变量，表示在(t-Δ,t)间隔内捕获到的数据包的字节数。然后，对每个离散时间序列x(n)计算其功率谱密度，即相对频率幅度谱。这里的功率谱密度通过计算x(n)的自相关序列的离散傅里叶变换得到。最后，计算低频功率和。下面给出相关的定义：

定义1定义离散时间序列x(n)的自相关序列的计算公式为 $R_{\mathrm{xx}}\left[m\right]=\frac{1}{N-m}{\mathrm{\Σ}}_{n=0}^{N-m-1}\left(x\left(n\right)x(n+m)\right),$ 其中N是离散时间序列x(n)的长度，n,n+m∈N，得到长度为m的自相关序列。

定义2定义功率谱密度的计算公式为其中f是采样频率，0≤k≤m，m是自相关序列的长度，i是虚数单位，即i²＝-1。

定义3定义低频功率和的计算公式为

其中a是低频频率段右端点，其值应满足

PSD(f)是对应频率f的功率谱密度。

然后，对流量进行建模：统计大量的正常流量和异常流量采样的功率谱密度的低频功率和，计算其低频功率和的概率密度分布，利用正态分布对数据进行拟合，分别建立正常流量模型和异常流量模型，得到正常流量和异常流量低频功率和的正态分布概率密度函数，设两个概率密度函数曲线的交点为临界点。

最后，对未知流量进行检测：对未知流量进行数据预处理，得到其低频功率和，和低频功率和临界值进行对比，若超过此临界值就判定为异常流量。

附图说明

图1是本发明实现工业控制系统网络流量的异常检测方法的流程图。

具体实施方式

下面结合附图1具体介绍本发明实现方法的步骤：

参见附图1，本发明是一种工业控制系统网络流量的异常检测方法。检测方法分为三个模块：1数据预处理模块负责前期的数据流量的处理；2流量建模模块根据正常流量和异常流量的低频功率和分布建立正常模型和异常模型，从而计算得到低频功率和临界值；3异常检测模块根据低频功率和临界值对未知流量进行异常检测。具体流程如下：

首先，使用数据预处理模块对工业控制系统网络流量进行数据预处理。

这里的工业控制系统实验平台采用浙大中控的WebField JX-300XP工业控制系统，三层架构中，上位机层仅由一台工程师站构成，其通过SCNet II工业以太网（符合IEEE802.3标准）与一块负责数据计算、传输的主控卡，即：PLC进行数据通信，其上的数据传输流量由工程师站主机通过Wireshark获取。为模拟实际工厂复杂的工作环境，现场设备层包含精馏塔、一阶单容上水箱各两个，其中精馏塔作为主要控制设备，一阶单容上水箱作为辅助设备，共100个传感器点，分别通过SBUS现场总线与PLC的数据输入卡相连。震网病毒是典型针对工业控制系统的攻击，它初始设计目的是恶意代码在感染USB驱动器后逐步渗透进装有WinCC组态软件的工作站，将其与PLC的通信模块重新封装，当工作站连接到PLC时，根据PLC自身情况将恶意代码部署进PLC中，由PLC向核电站的蒸汽阀门发送短时间内重复开关指令，致使铀浓缩过程中离心机快速重复加速、减速，不能正常运转，最终导致机器在物理上损坏。，根据震网攻击原理，由上位机向PLC传输更改相应阀门阀开度的恶意代码，为使得阀门能够完全打开或关闭，且不违背工业网络的攻击持续时间较短这一原则，模拟攻击代码固定40s开关精馏塔的关键阀门一次来模拟异常流量。

在工业网络的上位机上获取数据包，分别采集正常流量和异常流量。根据Nyquist采样定理，采样频率必须高于信号带宽一倍，采样值为单位时间接收到的数据包的字节数，采样窗口大小至少要包含3个周期的流量序列，通过一个窗口的采样可以得到一个离散时间序列x(n)。该过程可用如下随机过程模型来表示：{x(n),t=nΔ,n∈N}。其中Δ是一个常数，代表采样间隔。N是全部的取样点数。x(n)是一个随机变量，表示在(t-Δ,t)间隔内捕获到的数据包的字节数。

然后对每个离散时间序列x(n)计算其功率谱密度，即相对频率幅度谱。这里的功率谱密度通过计算x(n)的自相关序列的离散傅里叶变换得到。首先，计算离散时间序列x(n)的自相关序列： $R_{\mathrm{xx}}\left[m\right]=\frac{1}{N-m}{\mathrm{\Σ}}_{n=0}^{N-m-1}\left(x\left(n\right)x(n+m)\right),$ 其中N是离散时间序列x(n)的长度，n,n+m∈N，得到长度为m的自相关序列。然后通过这个自相关序列来计算功率谱密度：

其中f是频率，m是自相关序列的长度。最后再计算功率谱中低频部分的功率和：

其中a是低频频率段右端点，其值应满足

PSD是对应频率f的功率谱密度。

计算大量正常流量和异常流量的低频功率和，这里正常流量和异常流量的采样应分别不少于1000个。

然后，对流量进行建模。统计正常流量的低频功率和，计算低频功率和的最大值和最小值，然后从最小值到最大值依次将功率和分成等大小的段，为获得较理想的效果，段的个数应不小于10，分别统计各个段内的低频功率和概率，应用matlab利用此概率分布拟合正态分布，得到正常流量低频功率和正态分布概率密度函数，即正常流量模型。同理，得到异常流量模型。求得到的正常流量和异常流量低频功率和的正态分布概率密度函数曲线的交点，此交点即为低频功率和临界值。

最后，异常检测模块对未知流量进行检测。利用数据预处理模块对未知流量进行数据预处理，得到其低频功率和，和流量建模模块得到的低频功率和临界值进行对比，若超过此临界值就判定为异常流量。若没有超过此临界值就判定为正常流量。

本发明利用该方法在工业控制系统实验平台上分别采集正常流量和异常流量进行实验，检测误报率为6.1%，漏报率为9.3%。

Claims (1)

1.一种针对工业网络流量的异常检测方法，其特征在于包括以下步骤：

首先进行数据预处理：在工业网络的上位机上捕获数据包，并对数据包进行采样，根据Nyquist采样定理，采样频率需大于包最高频率的2倍，采样值为单位时间接收到的数据包的字节数，采样窗口大小至少要包含3个周期的流量序列，通过一个窗口的采样得到一个离散时间序列x(n)；该过程用如下随机过程模型来表示：{x(n),t=nΔ,n∈N}；其中Δ是一个常数，代表采样间隔；N是全部的取样点数,即离散时间序列的长度；x(n)是一个随机变量，表示在(t-Δ,t)间隔内捕获到的数据包的字节数；然后，对每个离散时间序列x(n)计算其功率谱密度，即相对频率幅度谱；这里的功率谱密度通过计算x(n)的自相关序列的离散傅里叶变换得到；最后，计算低频功率和；下面给出相关的定义：

定义1定义离散时间序列x(n)的自相关序列的计算公式为 $R_{\mathrm{xx}}\left[m\right]=\frac{1}{N-m}{\mathrm{\Σ}}_{n=0}^{N-m-1}\left(x\left(n\right)x(n+m)\right),$ 其中N是离散时间序列x(n)的长度，n,n+m∈N，得到长度为m的自相关序列；

定义2定义功率谱密度的计算公式为

其中f是采样频率，0≤k≤m，m是自相关序列的长度，i是虚数单位，即i²＝-1；

定义3定义低频功率和的计算公式为其中a是低频频率段右端点，其值应满足

PSD(f)是对应频率f的功率谱密度；

正常流量和异常流量的采样应分别不少于1000个；

然后，对流量进行建模：统计大量的正常流量和异常流量采样的功率谱密度的低频功率和，计算其低频功率和的概率密度分布，利用正态分布对数据进行拟合，分别建立正常流量模型和异常流量模型，得到正常流量和异常流量低频功率和的正态分布概率密度函数，设两个概率密度函数曲线的交点为临界值；

最后，对未知流量进行检测：对未知流量进行数据预处理，得到其低频功率和，和低频功率和临界值进行对比，若超过此临界值就判定为异常流量。

Images