CN108055228A - 一种智能电网入侵检测系统及方法 - Google Patents

一种智能电网入侵检测系统及方法 Download PDF

Info

Publication number
CN108055228A
CN108055228A CN201710929390.4A CN201710929390A CN108055228A CN 108055228 A CN108055228 A CN 108055228A CN 201710929390 A CN201710929390 A CN 201710929390A CN 108055228 A CN108055228 A CN 108055228A
Authority
CN
China
Prior art keywords
data
intelligent grid
message
power equipment
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201710929390.4A
Other languages
English (en)
Other versions
CN108055228B (zh
Inventor
张涛
费稼轩
周诚
马媛媛
邵志鹏
石聪聪
范杰
黄秀丽
汪晨
陈牧
陈璐
戴造建
李尼格
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
State Grid Corp of China SGCC
Global Energy Interconnection Research Institute
Original Assignee
State Grid Corp of China SGCC
Global Energy Interconnection Research Institute
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by State Grid Corp of China SGCC, Global Energy Interconnection Research Institute filed Critical State Grid Corp of China SGCC
Priority to CN201710929390.4A priority Critical patent/CN108055228B/zh
Publication of CN108055228A publication Critical patent/CN108055228A/zh
Application granted granted Critical
Publication of CN108055228B publication Critical patent/CN108055228B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/23—Clustering techniques
    • G06F18/231—Hierarchical techniques, i.e. dividing or merging pattern sets so as to obtain a dendrogram
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Artificial Intelligence (AREA)
  • Computing Systems (AREA)
  • Evolutionary Computation (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Molecular Biology (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Biophysics (AREA)
  • Computational Linguistics (AREA)
  • General Health & Medical Sciences (AREA)
  • Evolutionary Biology (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种智能电网入侵检测系统及方法，其中系统包括：监控模块，用于获取智能电网中电力设备的数据；信息预处理模块，用于对电力设备中的数据进行预处理生成电网信息数据；数据关联模块，用于将电网信息数据进行集中和融合形成融合数据；深度检测模块，用于分析智能电网的融合数据识别入侵攻击的类型。本发明提供的智能电网入侵检测系统及方法可以全面地获取信息系统中的运行数据，从而有效识别恶意攻击行为，在提高了智能电网的入侵检测精度的同时增强了入侵检测的可扩展性，降低智能电网的入侵攻击误报率和漏报率。

Description

一种智能电网入侵检测系统及方法
技术领域
本发明涉及信息技术安全领域，具体涉及一种智能电网入侵检测系统及方法。
背景技术
随着智能电网的兴起，智能电网中不良数据注入、篡改设备状态等攻击方式，针对智能电网中由信息技术引入地安全威胁，许多研究者提出利用信息网络中的入侵检测方法来保护智能电网。入侵检测是通过计算机系统或网络中的若干关键点收集和分析审计记录、安全日志、用户行为以及网络数据包等信息，检查网络或系统中当前是否存在违反安全策略的入侵行为和被攻击的迹象。然而当前大部分入侵检测系统的构建都是基于某种规则的设计，不仅存在误报率较高的问题，而且难以察觉其他未知攻击。
针对智能电网当中可能存在的各种攻击手段，当前大多数检测系统的检测精度普遍不理想，大量误报和漏报现象使得检测系统的可用性遭到了质疑，其原因在于不能充分发掘智能电网海量数据的潜在信息。除此之外，检测规则一旦确定便无法修改。这将导致系统无法准确识别未知攻击，严重制约系统的可扩展性。然而随着传输边界的不断扩张，智能电网面对的攻击手段变得纷繁复杂，因此如何及时有效地检测攻击，提高检测的可用性和可扩展性，是保障智能电网安全亟待解决的问题。
发明内容
因此，本发明为了克服现有技术中智能电网入侵检测不能有效检测攻击可扩展性差的原因，从而提供一种智能电网入侵检测系统及方法，降低智能电网的入侵攻击误报率和漏报率，提高入侵检测的精度，增强了攻击检测的可扩展性，强化了智能电网的主动防御能力。
本发明提供的一种智能电网入侵检测系统，包括：监控模块，用于获取所述智能电网中电力设备的数据；信息预处理模块，用于对所述电力设备中的数据进行预处理生成电网信息数据；数据关联模块，用于将所述电网信息数据进行集中和融合，形成融合数据；深度检测模块，用于分析所述智能电网的融合数据，识别入侵攻击的类型。
优选地，所述电力设备的数据包括：所述电力设备的报文及一次线路中电力设备的量测量；所述监控模块，包括：网络单元及智能设备，其中：所述网络单元收集所述电力设备的报文；所述智能设备采集所述一次线路中电力设备的量测量。
优选地，所述信息预处理模块包括：报文特征提取单元、量测量检测单元以及设备状态估计单元，其中：所述报文特征提取单元分析所述报文，获取所述报文的基本信息及特征信息；所述设备状态估计单元获取所述量测量，通过最小二乘法计算出设备状态估计向量；所述量测量检测单元根据所述量测量及所述设备状态估计向量计算生成量测量异常度向量。
优选地，所述数据关联模块具体用于：根据预设的映射关系表将时间信息、所述报文的基本信息、设备状态估计向量、量测量异常度向量进行关联，生成所述融合数据。
优选地，所述深度检测模块包括：快速建模单元，所述快速建模单元通过聚类算法，根据所述融合数据识别入侵攻击的类型。
优选地，所述深度检测模块还包括：扩展单元，所述扩展单元通过增量式GHSOM算法分析所述快速建模单元无法识别的入侵攻击，输出分析结果。
本发明提供的一种智能电网入侵检测方法，包括如下步骤：获取智能电网中电力设备的数据；对所述电力设备的数据进行预处理生成电网信息数据；将所述电网信息数据进行集中和融合，形成融合数据；分析所述智能电网的融合数据，识别入侵攻击的类型。
优选地，所述电力设备的数据包括：所述电力设备的报文及一次线路中电力设备的量测量。
优选地，所述对所述电力设备的数据进行预处理生成电网信息数据，包括：分析所述报文，获取所述报文的基本信息及特征信息；获取所述量测量，利用最小二乘法计算得出设备状态估计向量；根据所述量测量及所述设备状态估计向量计算生成量测量异常度向量。
优选地，所述将所述电网信息数据进行集中和融合，形成融合数据，包括：根据预设的映射关系表将时间信息、所述报文的基本信息、设备状态估计向量、量测量异常度向量进行关联，生成所述融合数据。
优选地，所述分析所述智能电网的融合数据，识别入侵攻击的类型，包括：通过聚类算法，根据所述融合数据识别入侵攻击的类型；通过增量式GHSOM算法分析聚类算法无法识别的入侵攻击，输出分析结果。
本发明提供的一种智能电网入侵检测设备，包括：至少一个处理器；以及与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器执行上述方法的步骤。
本发明提供的一种非暂态计算机可读存储介质，其上存储有计算机指令，该指令被处理器执行时实现上述方法的步骤。
本发明技术方案，具有如下优点：
1.本发明提供的智能电网入侵检测系统，用于检测智能电网当中潜在的入侵攻击行为，可以全面地获取信息系统中上下行报文特征、物理系统中设备量测信息和运行状态，从而有效识别、定位、评估各类恶意攻击行为并及时做出调整，提高了智能电网的入侵检测精度，同时增强了入侵检测的可扩展性。
2.本发明提供的智能电网入侵检测方法，可以降低智能电网的入侵攻击误报率和漏报率，提高入侵检测的精度，增强了攻击检测的可扩展性，强化了智能电网的主动防御能力。
附图说明
为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例1中一种智能电网入侵检测系统的一个具体示例的原理框图；
图2为本发明实施例1中一种智能电网入侵检测系统的另一个具体示例的原理框图；
图3为本发明实施例2中一种智能电网入侵检测方法的一个具体示例的流程图；
图4为本发明实施例3中一种智能电网入侵检测设备的一个具体示例的原理框图。
具体实施方式
下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，还可以是两个元件内部的连通，可以是无线连接，也可以是有线连接。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。
此外，下面所描述的本发明不同实施方式中所涉及的技术特征只要彼此之间未构成冲突就可以相互结合。
实施例1
本发明实施例提供一种智能电网入侵检测系统，如图1所示，包括：监控模块1、信息预处理模块2、数据关联模块3、深度检测模块4，其中：
如图2所示，监控模块1，用于获取智能电网中电力设备的数据，在一实施例中，该电力设备的数据主要包括：电力设备的报文及一次线路中电力设备的量测量。具体地，该监控模块1包括网络单元11和智能设备12，其中：网络单元11收集电力设备的报文；智能设备12采集一次线路中电力设备的量测量。
本发明实施例将监控模块1分布式地部署在智能电网当中同时收集信息系统和电力系统中的有用信息，每一个监控模块1包含网络单元11与智能设备12两块核心部件。网络单元11负责将监控模块1连接在统一的信息系统当中，每一块网络单元11拥有唯一的电网内IP地址，各监控模块1通过网络单元11进行互相间的通信与协作控制。智能设备12负责将监控模块1部署在物理系统当中，每一块智能设备12在逻辑上连接了一次线路当中的若干电力设备，负责这些设备的配置、检测以及控制工作。
在一实施例中，设在智能设备12二次线路中总共部署了n个监控模块1(M1,M2,…,Mn)，这n个监控模块1包含了n个智能设备12(T1,T2,…,Tn)以及n个网络单元11(W1,W2,…,Wn)。管理员在启动监控模块1后，首先为各网络单元11分配IP地址(IP1,IP2,…,IPn)并完成通信相关的初始化操作，然后为各智能设备12分配目标电力设备群组。假定第i个监控模块1的智能设备12负责配置、检测、控制一次线路中的m个目标电力设备，这些目标电力设备构成一个目标电力设备群组。设获取了目标电力设备群组的l个量测量Pi＝(pi,1,pi,2,…,pi,l)，则Ti将Pi发送给信息预处理模块2。同时Mi的网络单元11Mi将收集的所有上行下行报文镜像给信息预处理模块2。监控模块1不仅为智能电网的入侵检测分析提供全方位的数据支撑，还能够凭借入侵检测的反馈机制以及装置间的配合协作实现电网的自适应调整
信息预处理模块2，用于对电力设备中的数据进行预处理生成电网信息数据。具体地，该信息预处理模块2包括：报文特征提取单元21、量测量检测单元22以及设备状态估计单元23，其中：报文特征提取单元21分析报文，获取报文的基本信息及特征信息；设备状态估计单元22获取量测量，通过最小二乘法计算出设备状态估计向量；量测量检测单元23根据量测量及设备状态估计向量计算生成量测量异常度向量。
在本发明实施例中，报文特征提取单元21按照如下表1所示的特征向量解析镜像得到的所有上行或下行报文：
表1
报文编号 协议类型 源Ip 目的Ip 报文内容 异常类型 报警时间
如特征向量所示，该单元会为所有报文给予单独的编号，并将报文与特征库进行匹配最终获取电网协议类型、源IP、目的IP，报文内容即为解析后得到的明文。随后报文特征提取单元21采用一种基于状态转移分析的误用检测方法，通过对报文产生事件序列进行分析并赋予报文相应的异常类型。每个报文的异常类型将用一个有限长度的二进制序列表示，表示形式如下表2所示：
表2
如表2中所示，被标识为normal的报文为正常报文；被标识为unknown的报文为经过特征提取后无法归类为已知类型的报文；flood、teardrop、backdoor、smurf、buffoverflow等标识均为当前系统已知的各类网络攻击手段。对于异常类型标识为正常(normal)的报文，特征向量中的报警时间则为保留字段。若报文经解析后被标识为其他异常类型，那么报文特征提取单元21将在其特征信息中记录报警时间。
当Ti将目标电力设备群组Gi的l个量测量Pi＝(pi,1,pi,2,…,pi,l)发送给信息预处理模块2，其中的设备状态估计单元23采用最小二乘法计算得出各电力设备的状态估计矩阵Si＝(si,1,si,2,…,si,m)。与此同时，量测量检测单元22利用目标函数评价各量测量，给出所有量测量的异常度向量Ei＝(ei,1,ei,2,…,ei,l)。最终，信息预处理模块2完成了智能电网的信息系统和电力系统所有有关数据的分析、提取、结构化预处理工作。
数据关联模块3，用于将电网信息数据进行集中和融合，形成融合数据，具体地，该数据关联模块3用于根据预设的映射关系表将时间信息、报文的基本信息、设备状态估计向量、量测量异常度向量进行关联，生成所述融合数据。
本发明实施例中，可根据一预设的关联规则生成该融合数据，基于该关联规则在系统中设置了数据关联模块3，用以增强局部地区的数据关联性。假设某监控模块1Mj的网络单元11Wj为其在信息系统中配备了一个IP地址，设该地址为IPj。同时为该装置的智能设备12Tj分配了目标电力设备群组Gj＝(gj,1,gj,2,…,gj,m)，群组中包含了m台一次线路电力设备，Tj获取的l个量测量为Pj＝(pj,1,pj,2,…,pj,l)。在本发明实施例中采用了一种映射表进行数据的关联操作，该映射表为：
<时间片段，状态估计，量测量异常度，源地址报文集合，目的报文集合>
设数据收集的起止时间为t0和t1，时间片段为(t0,t1)。以IPj为源地址的报文集合为Cj＝{m|from IPj}，以IPj为目的地址的报文集合为Dj＝{m|to IPj}。目标电力设备群组的设备状态估计为Sj＝(sj,1,sj,2,…,sj,m)，量测量异常度向量为Ej＝(ej,1,ej,2,…,ej,l)。那么，在该时间片段内关于监控模块1Mj的融合数据为＜(t0,t1),Sj,Ej,Cj,Dj＞。融合后的数据将交由深度检测模块4执行入侵检测操作。
深度检测模块4，用于分析智能电网的融合数据，识别入侵攻击的类型。具体地，该深度检测模块4包括：快速建模单元41，快速建模单元41通过聚类算法，根据融合数据识别入侵攻击的类型；扩展单元42，扩展单元42通过增量式GHSOM算法分析快速建模单元41无法识别的入侵攻击，输出分析结果。攻击检测日志记录下所有分析结果，并将结果反馈给监控装置1用以调整电网系统。
本发明实施例的深度检测模块4是基于集成分类器思想，快速建模单元41的核心算法为基于主方向分裂划分层次聚类算法，该算法对于初始值和融合数据的输入顺序不敏感，对于已知入侵攻击，不仅检测率高而且检测速度快，适用于入侵检测的快速建模。但对于未知的变种入侵攻击，其识别效果不甚理想。扩展单元42基于增量式GHSOM算法构建，该算法是一种具备较强适应性的神经网络算法，适用于进一步检测未知的入侵攻击，因此有助于构建对扩展性有一定要求的攻击检测模型。
深度检测模块4采用串行条件结构连接快速建模单元41和扩展单元42，快速建模单元41作为基分类器，扩展单元42作为下一分类器，根据基分类器的分类结果确定是否需要继续使用下一分类器。
深度检测模4首先将融合数据矩阵输入快速建模单元41进行聚类分析，所有融合数据将被划分为正常、已知入侵攻击以及未知三大类，其中已知入侵攻击被细分为各类入侵攻击。对于被划分为已知入侵攻击的融合数据实例，快速建模单元41会输出详细的评估信息；对于被划分为未知的融合数据，快速建模单元41将启动扩展单元42，并将被划分为未知的融合数据发送给扩展单元42。经过扩展单元42的检测识别，被划分为未知的融合数据又进一步被划分为正常、入侵攻击两大类，其中入侵攻击类型随着检测系统的使用将会不断细分为各类入侵攻击。对于被划分为入侵攻击的融合数据实例，扩展单元42最终将输出详细的相关评估信息。深度检测模4输出的入侵攻击评估信息包含发动时间t，目标设备群组G，设备状态向量S，目标量测量向量P，威胁评估R等关键信息，即输出信息的元组为：＜t,G,S,P,R＞。基于串行条件结构，深度检测模4首先把易分类的已知入侵攻击过滤掉，少数难分的实例将保留下来让扩展单元42继续进行分类，调整好快速建模单41的阈值参数，在控制好其错分率的前提下就能提高最终的识别精度。
实施例2
本发明实施例提供一种智能电网入侵检测方法，如图3所示，包括如下步骤：
步骤S1：获取智能电网中电力设备的数据。在一实施例中，该电力设备的数据包括：电力设备的报文及一次线路中电力设备的量测量。
在一实施例中，设在智能电网二次线路中总共部署了n个监控模块(M1,M2,…,Mn)，这n个监控模块包含了n个智能设备(T1,T2,…,Tn)以及n个网络单元(W1,W2,…,Wn)。管理员在启动监控模块后，首先为各网络单元分配IP地址(IP1,IP2,…,IPn)并完成通信相关的初始化操作，然后为各智能设备分配目标电力设备群组。假定第i个监控模块Mi的智能设备Ti负责配置、检测、控制一次线路中的m个目标电力设备，这些目标电力设备构成一个目标电力设备群组Gi。设Ti获取了目标电力设备群组Gi的l个量测量Pi＝(pi,1,pi,2,…,pi,l)，同时Mi的网络单元Wi将收集的所有上行下行报文。至此完成了智能电网中电力设备的数据。
步骤S2：对电力设备的数据进行预处理生成电网信息数据。预处理生成电网信息数据的步骤，具体包括：分析步骤S1获取的电力设备报文，获取报文的基本信息及特征信息；获取量测量，利用最小二乘法计算得出设备状态估计向量；根据量测量及设备状态估计向量计算生成量测量异常度向量。
本发明实施例按照如表1所示的特征向量解析镜像得到的所有上行或下行报文。
如特征向量所示，该单元会为所有报文给予单独的编号，并将报文与特征库进行匹配最终获取电网协议类型、源IP、目的IP，报文内容即为解析后得到的明文。随后采用一种基于状态转移分析的误用检测方法，通过对报文产生事件序列进行分析并赋予报文相应的异常类型。每个报文的异常类型将用一个有限长度的二进制序列表示，表示形式如表2所示。
如表2中所示，被标识为normal的报文为正常报文；被标识为unknown的报文为经过特征提取后无法归类为已知类型的报文；flood、teardrop、backdoor、smurf、buffoverflow等标识均为当前系统已知的各类网络攻击手段。对于异常类型标识为正常(normal)的报文，特征向量中的报警时间则为保留字段。若报文经解析后被标识为其他异常类型，那么在其特征信息中记录报警时间。当接收到Ti将目标电力设备群组Gi的l个量测量Pi＝(pi,1,pi,2,…,pi,l)时采用最小二乘法计算得出各电力设备的状态估计矩阵Si＝(si,1,si,2,…,si,m)。与此同时利用目标函数评价各量测量，给出所有量测量的异常度向量Ei＝(ei,1,ei,2,…,ei,l)。最终完成了智能电网的信息系统和物理系统所有有关数据的分析、提取、结构化预处理工作。
步骤S3：将电网信息数据进行集中和融合，形成融合数据。具体来说是根据预设的映射关系表将时间信息、报文的基本信息、设备状态估计向量、量测量异常度向量进行关联，生成所述融合数据。本发明实施例中，可根据一预设的关联规则生成该融合数据，基于该关联规则用以增强局部地区的数据关联性。假设某监控模块Mj的网络单元Wj为其在信息系统中配备了一个IP地址，设该地址为IPj。同时为智能设备Tj分配了目标电力设备群组Gj＝(gj,1,gj,2,…,gj,m)，群组中包含了m台一次线路电力设备，Tj获取的l个量测量为Pj＝(pj,1,pj,2,…,pj,l)。在本发明中采用了一种映射表进行数据的关联操作，该映射表为：
<时间片段，状态估计，量测量异常度，源地址报文集合，目的报文集合>
设数据收集的起止时间为t0和t1，时间片段为(t0,t1)。以IPj为源地址的报文集合为Cj＝{m|from IPj}，以IPj为目的地址的报文集合为Dj＝{m|to IPj}。目标电力设备群组的设备状态估计为Sj＝(sj,1,sj,2,…,sj,m)，量测量异常度向量为Ej＝(ej,1,ej,2,…,ej,l)。那么，在该时间片段内关于监控模块Mj的融合数据为＜(t0,t1),Sj,Ej,Cj,Dj＞。
步骤S4：分析智能电网的融合数据，识别入侵攻击的类型。具体来说是通过聚类算法，根据所述融合数据识别入侵攻击的类型；通过增量式GHSOM算法分析聚类算法无法识别的入侵攻击，输出分析结果。
本发明实施例采用串行条件结构连接基分类器和下一分类器，首先将融合数据矩阵输入基分类器进行聚类分析，所有融合数据将被划分为正常、已知入侵攻击以及未知三大类，其中已知入侵攻击被细分为各类入侵攻击。对于被划分为已知入侵攻击的融合数据实例输出详细的评估信息；对于被划分为未知的融合数据又进一步被下一分类器划分为正常、入侵攻击两大类，其中入侵攻击类型随着检测系统的使用将会不断细分为各类入侵攻击。对于被划分为入侵攻击的融合数据实例最终将输出详细的相关评估信息。输出的入侵攻击评估信息包含发动时间t，目标设备群组G，设备状态向量S，目标量测量向量P，威胁评估R等关键信息，即输出信息的元组为：＜t,G,S,P,R＞。基于串行条件结构，首先把易分类的已知入侵攻击过滤掉，少数难分的实例将保留下来继续进行分类。调整好基分类器的阈值参数，在控制好其错分率的前提下就能提高最终的识别精度。
上述智能电网入侵检测方法，实现对潜在入侵攻击行为的即时发现、准确识别、深度分析、详细评估，保证智能电网构建有效的安全防护，提高其主动防御能力，进而促进整个电力系统安全的保障升级。
实施例3
本发明实施例提供一种智能电网入侵检测设备，如图4所示，包括：至少一个处理器210，例如CPU(Central Processing Unit，中央处理器)，以及与至少一个处理器通信连接的存储器220；图4中以一个处理器210为例。该系统还可以包括：输入单元230。
处理器210、存储器220、输入单元230可以通过总线200或者其他方式连接，图3中以通过总线200连接为例。
其中，存储器220存储有可被处理器210执行的指令，处理器210通过运行存储在存储器220中的非暂态软件程序、指令以及模块，从而执行服务器的各种功能应用以及数据处理，即实现实施例2中的方法。
输入单元230可接收输入的数字或字符信息，以及产生与列表项操作的处理装置的用户设置以及功能控制有关的键信号输入。
一个或者多个模块存储在存储器220中，当被一个或者多个处理器210执行时，执行如图3所示的方法。
上述产品可执行本发明实施例2所提供的方法，具备执行方法相应的功能模块和有益效果。未在本发明实施例中详尽描述的技术细节，具体可参见如图2所示的实施例中的相关描述。
本发明实施例还提供了一种非暂态计算机存储介质，其上存储有计算机存储介质存储有计算机可执行指令，该计算机可执行指令可执行实施例2中的智能电网入侵检测方法。其中，存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)、随机存储记忆体(Random Access Memory，RAM)、快闪存储器(Flash Memory)、硬盘(Hard Disk Drive，缩写：HDD)或固态硬盘(Solid-State Drive，SSD)等；存储介质还可以包括上述种类的存储器的组合。
显然，上述实施例仅仅是为清楚地说明所作的举例，而并非对实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。而由此所引伸出的显而易见的变化或变动仍处于本发明创造的保护范围之中。

Claims (13)

1.一种智能电网入侵检测系统，其特征在于，包括：
监控模块，用于获取所述智能电网中电力设备的数据；
信息预处理模块，用于对所述电力设备中的数据进行预处理生成电网信息数据；
数据关联模块，用于将所述电网信息数据进行集中和融合，形成融合数据；
深度检测模块，用于分析所述智能电网的融合数据，识别入侵攻击的类型。
2.根据权利要求1所述的智能电网入侵检测系统，其特征在于，
所述电力设备的数据包括：所述电力设备的报文及一次线路中电力设备的量测量；
所述监控模块，包括：网络单元及智能设备，其中：
所述网络单元收集所述电力设备的报文；
所述智能设备采集所述一次线路中电力设备的量测量。
3.根据权利要求2所述的智能电网入侵检测系统，其特征在于，所述信息预处理模块包括：报文特征提取单元、量测量检测单元以及设备状态估计单元，其中：
所述报文特征提取单元分析所述报文，获取所述报文的基本信息及特征信息；
所述设备状态估计单元获取所述量测量，通过最小二乘法计算出设备状态估计向量；
所述量测量检测单元根据所述量测量及所述设备状态估计向量计算生成量测量异常度向量。
4.根据权利要求3所述的智能电网入侵检测系统，其特征在于，所述数据关联模块具体用于：
根据预设的映射关系表将时间信息、所述报文的基本信息、设备状态估计向量、量测量异常度向量进行关联，生成所述融合数据。
5.根据权利要求4所述的智能电网入侵检测系统，其特征在于，所述深度检测模块包括：快速建模单元，所述快速建模单元通过聚类算法，根据所述融合数据识别入侵攻击的类型。
6.根据权利要求5所述的智能电网入侵检测系统，其特征在于，所述深度检测模块还包括：扩展单元，所述扩展单元通过增量式GHSOM算法分析所述快速建模单元无法识别的入侵攻击，输出分析结果。
7.一种智能电网入侵检测方法，其特征在于，包括如下步骤：
获取智能电网中电力设备的数据；
对所述电力设备的数据进行预处理生成电网信息数据；
将所述电网信息数据进行集中和融合，形成融合数据；
分析所述智能电网的融合数据，识别入侵攻击的类型。
8.根据权利要求7所述的智能电网入侵检测方法，其特征在于，所述电力设备的数据包括：所述电力设备的报文及一次线路中电力设备的量测量。
9.根据权利要求8所述的智能电网入侵检测方法，其特征在于，所述对所述电力设备的数据进行预处理生成电网信息数据，包括：
分析所述报文，获取所述报文的基本信息及特征信息；
获取所述量测量，利用最小二乘法计算得出设备状态估计向量；
根据所述量测量及所述设备状态估计向量计算生成量测量异常度向量。
10.根据权利要求9所述的智能电网入侵检测方法，其特征在于，所述将所述电网信息数据进行集中和融合，形成融合数据，包括：
根据预设的映射关系表将时间信息、所述报文的基本信息、设备状态估计向量、量测量异常度向量进行关联，生成所述融合数据。
11.根据权利要求10所述的智能电网入侵检测方法，其特征在于，所述分析所述智能电网的融合数据，识别入侵攻击的类型，包括：
通过聚类算法，根据所述融合数据识别入侵攻击的类型；
通过增量式GHSOM算法分析聚类算法无法识别的入侵攻击，输出分析结果。
12.一种智能电网入侵检测设备，其特征在于，包括：至少一个处理器；以及与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器执行权利要求7-11中任一项所述的方法的步骤。
13.一种非暂态计算机可读存储介质，其上存储有计算机指令，其特征在于，该指令被处理器执行时实现权利要求7-11中任一项所述的方法的步骤。
CN201710929390.4A 2017-10-09 2017-10-09 一种智能电网入侵检测系统及方法 Active CN108055228B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710929390.4A CN108055228B (zh) 2017-10-09 2017-10-09 一种智能电网入侵检测系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710929390.4A CN108055228B (zh) 2017-10-09 2017-10-09 一种智能电网入侵检测系统及方法

Publications (2)

Publication Number Publication Date
CN108055228A true CN108055228A (zh) 2018-05-18
CN108055228B CN108055228B (zh) 2019-11-15

Family

ID=62118660

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710929390.4A Active CN108055228B (zh) 2017-10-09 2017-10-09 一种智能电网入侵检测系统及方法

Country Status (1)

Country Link
CN (1) CN108055228B (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108877948A (zh) * 2018-06-05 2018-11-23 深圳先进技术研究院 多模态数据处理方法及系统
CN109375609A (zh) * 2018-10-18 2019-02-22 北京鼎力信安技术有限公司 异常攻击的检测方法及装置
CN109600365A (zh) * 2018-12-04 2019-04-09 沈阳安信合科技有限公司 基于电力网络iec规约的基因相似性入侵检测方法
CN110798484A (zh) * 2019-11-13 2020-02-14 珠海市鸿瑞信息技术股份有限公司 工控协议特征攻击过滤分析系统
WO2020082853A1 (zh) * 2018-10-24 2020-04-30 珠海格力电器股份有限公司 监控网络安全的方法及装置、空调器、家用电器
CN111144472A (zh) * 2019-12-23 2020-05-12 深圳供电局有限公司 基于gbdt算法的攻击识别方法及光伏并网接口装置

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102487293A (zh) * 2010-12-06 2012-06-06 中国人民解放军理工大学 基于网控的卫星通信网异常检测方法
US20130152197A1 (en) * 2011-12-12 2013-06-13 Neusoft Corporation Event detection method and apparatus in a distributed environment
US20130191916A1 (en) * 2010-11-01 2013-07-25 NSFOCUS Information Technology Co., Ltd. Device and method for data matching and device and method for network intrusion detection
CN105005570A (zh) * 2014-04-23 2015-10-28 国家电网公司 基于云计算的海量智能用电数据挖掘方法及装置
CN105205962A (zh) * 2015-10-28 2015-12-30 国网浙江杭州市萧山区供电公司 一种电网地下管线设施安全监测系统
CN105261135A (zh) * 2015-10-28 2016-01-20 国网浙江杭州市萧山区供电公司 一种电网地下管线设施的入侵定位方法
CN105681339A (zh) * 2016-03-07 2016-06-15 重庆邮电大学 一种融合粗糙集与ds证据理论的增量式入侵检测方法

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130191916A1 (en) * 2010-11-01 2013-07-25 NSFOCUS Information Technology Co., Ltd. Device and method for data matching and device and method for network intrusion detection
CN102487293A (zh) * 2010-12-06 2012-06-06 中国人民解放军理工大学 基于网控的卫星通信网异常检测方法
US20130152197A1 (en) * 2011-12-12 2013-06-13 Neusoft Corporation Event detection method and apparatus in a distributed environment
CN105005570A (zh) * 2014-04-23 2015-10-28 国家电网公司 基于云计算的海量智能用电数据挖掘方法及装置
CN105205962A (zh) * 2015-10-28 2015-12-30 国网浙江杭州市萧山区供电公司 一种电网地下管线设施安全监测系统
CN105261135A (zh) * 2015-10-28 2016-01-20 国网浙江杭州市萧山区供电公司 一种电网地下管线设施的入侵定位方法
CN105681339A (zh) * 2016-03-07 2016-06-15 重庆邮电大学 一种融合粗糙集与ds证据理论的增量式入侵检测方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
杨雅辉等: "基于增量式ＧＨＳＯＭ 神经网络模型的入侵检测研究", 《计算机学报》 *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108877948A (zh) * 2018-06-05 2018-11-23 深圳先进技术研究院 多模态数据处理方法及系统
CN109375609A (zh) * 2018-10-18 2019-02-22 北京鼎力信安技术有限公司 异常攻击的检测方法及装置
WO2020082853A1 (zh) * 2018-10-24 2020-04-30 珠海格力电器股份有限公司 监控网络安全的方法及装置、空调器、家用电器
CN109600365A (zh) * 2018-12-04 2019-04-09 沈阳安信合科技有限公司 基于电力网络iec规约的基因相似性入侵检测方法
CN110798484A (zh) * 2019-11-13 2020-02-14 珠海市鸿瑞信息技术股份有限公司 工控协议特征攻击过滤分析系统
CN110798484B (zh) * 2019-11-13 2021-10-01 珠海市鸿瑞信息技术股份有限公司 工控协议特征攻击过滤分析系统
CN111144472A (zh) * 2019-12-23 2020-05-12 深圳供电局有限公司 基于gbdt算法的攻击识别方法及光伏并网接口装置

Also Published As

Publication number Publication date
CN108055228B (zh) 2019-11-15

Similar Documents

Publication Publication Date Title
CN108055228B (zh) 一种智能电网入侵检测系统及方法
Rabbani et al. A hybrid machine learning approach for malicious behaviour detection and recognition in cloud computing
CN107666490B (zh) 一种可疑域名检测方法及装置
Garg et al. Statistical vertical reduction‐based data abridging technique for big network traffic dataset
EP2979424B1 (en) Method and apparatus for detecting a multi-stage event
KR101538709B1 (ko) 산업제어 네트워크를 위한 비정상 행위 탐지 시스템 및 방법
CN104899513B (zh) 一种工业控制系统恶意数据攻击的数据图检测方法
CN111049680B (zh) 一种基于图表示学习的内网横向移动检测系统及方法
Wang et al. Attentional heterogeneous graph neural network: Application to program reidentification
Niu et al. Identifying APT malware domain based on mobile DNS logging
CN105827594A (zh) 一种基于域名可读性及域名解析行为的可疑性检测方法
KR20130126814A (ko) 데이터마이닝을 이용한 트래픽 폭주 공격 탐지 및 심층적 해석 장치 및 방법
CN110798426A (zh) 一种洪水类DoS攻击行为的检测方法、系统及相关组件
Anumol Use of machine learning algorithms with SIEM for attack prediction
CN110474885A (zh) 基于时间序列与ip地址的报警关联分析方法
Fatma et al. A two-stage technique to improve intrusion detection systems based on data mining algorithms
CN113660273B (zh) 超融合架构下基于深度学习的入侵检测方法及装置
CN111726351B (zh) 基于Bagging改进的GRU并行网络流量异常检测方法
Dandıl C‐NSA: a hybrid approach based on artificial immune algorithms for anomaly detection in web traffic
CN110598794A (zh) 一种分类对抗的网络攻击检测方法及系统
Ebrahimi et al. Automatic attack scenario discovering based on a new alert correlation method
CN112235242A (zh) 一种c&amp;c信道检测方法及系统
CN113709097B (zh) 网络风险感知方法及防御方法
Tian et al. Network attack path reconstruction based on similarity computation
KR102311997B1 (ko) 인공지능 행위분석 기반의 edr 장치 및 방법

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB02 Change of applicant information

Address after: 102209 18 Riverside Avenue, Changping District science and Technology City, Beijing

Applicant after: Global energy Internet Institute, Inc.

Applicant after: State Grid Corporation of China

Address before: 102209 18 Riverside Avenue, Changping District science and Technology City, Beijing

Applicant before: Global energy Internet Institute, Inc.

Applicant before: State Grid Corporation of China

CB02 Change of applicant information
GR01 Patent grant
GR01 Patent grant