CN109685200A - 基于生成对抗网络的雾计算工业协议构建方法及构建系统 - Google Patents

Abstract

本发明公开了一种基于生成对抗网络的雾计算工业协议构建方法，与传统的防御方法不同，采用一种雾计算的工控系统模型，利用深度卷积对抗生成网络构建可部署到蜜罐系统的仿真协议，进而将基于蜜罐技术的主动防御与被动防御相结合来保护工业系统。部署在系统外部的蜜罐不仅能用于了解攻击者的恶意行为捕获漏洞，还能在一定程度上阻止和防御黑客的攻击，所以类似于蜜罐这样的主动防御技术对安全性较低的雾计算工业系统是很有必要的。在蜜罐中部署实际的工业协议会耗时耗力，且会暴露协议信息，带来安全隐患，这并不切实际，而直接模拟低交互的静态协议流并不能很好地达到欺骗攻击者的目的。因此，构建逼真的仿真协议来欺骗攻击者就显得尤为重要。

Description

基于生成对抗网络的雾计算工业协议构建方法及构建系统

技术领域

本发明涉及雾计算工业安全领域，尤其涉及一种基于生成对抗网络的雾计算工业协议构 建方法及构建系统。

背景技术

目前，一方面随着工业控制系统从隔离系统发展到交互式系统，安全问题变得更具挑战 性。安全事件(如Stuxnet和Duqu)带来了严重的危害，因此工业控制系统的安全已经上升 到国家战略层面，在全球网络物理空间中得到推广。近年来，雾计算范式的提出使得智能下 降到工业设备以便提高本地计算能力，这使得安全的概念进一步延伸到了工业网络边界。在 雾计算环境下，面对日益复杂的工业网络，仅仅依靠被动防御是远远不够的，还需要以蜜罐 为代表的主动防御来防御和分析一些未知攻击。在部署蜜罐时直接使用实际协议并不切实际， 因此需要构建仿真协议来完成蜜罐的部署。

另一方面，从人工智能称为一大研究热点至今，已有许多机器学习算法被提出并得到运 用，而生成对抗网络作为一种比较新的深度学习模型在图像生成方面具有强大的能力。近年 来，机器学习的运用已不仅限于人工智能，在生物、化学等领域也有一定运用。而在安全领 域，也有一些研究使用了机器学习模型，但生成对抗网络这一新模型还未有深入的运用。

发明内容

基于上述两点，以雾计算中工业系统的主动防御作为切入点，从蜜罐技术的角度出发， 结合生成对抗网络来实现工业协议构建方案。

通过传统技术在基于雾计算的工业系统中部署蜜罐，但部署蜜罐时不使用实际工业协议， 而是采用仿真协议。对于雾计算使用的工业协议，其有效载荷字节可以用[0，255]中的值表示， 这与灰度图的像素格式相一致。因此，工业协议流可以转化为单通道的灰度图，例如十六进 制的西门子S7通讯协议可以10×10的灰度图。在得到有纹理特征的灰度图后，可以使用 这些灰度图来训练深度生成对抗网络模型。

在基础生成对抗网络模型中，有一个生成器G和一个判别器D。生成器E用于生成伪样 本，也就是仿真协议；判别器D用于辨别数据的真伪。生成器G输入随机噪声样本z，生成伪样本G(z)；而判别器D输入伪样本或真实样本，输出为输入样本为真实样本的概率。生成对抗网络训练的过程可以看成是判别器和生成器相互对抗的过程，判别器需要不断提升识别 协议真假的准确率，生成器需要不断提升生成更加逼真的协议数据来欺骗判别器。最终我们 可以得到一个用于协议识别的判别器和一个用于协议构建的生成器，从而实现同时考虑协议 识别和协议构建的主动防御。训练时先固定生成器G，优化判别器D，再固定辨别器D，优 化生成器G，反复迭代两个过程到结束条件。基础生成对抗网络的价值函数为：

其中，是期望值，x是从实际数据分布p_data中采样得到的样本，p_z(z)是先验分布。G是 一个可微函数，它表示一个参数为θ_g的多层感知机；D是一个以单个标量为输出的多层感知 器。

本发明使用的深度卷积生成对抗网络结合了卷积神经网络和生成对抗网络。其在传统生 成对抗模型的基础上做了改进。判别器和生成器使用两种卷积神经网络变体，使得判别器可 以通过卷积来提取灰度图纹理特征。两种卷积神经网络变体的改进措施可以概括为：除传输 层外，G和D都进行归一化，两者都移除了全连接层；对于判别器D，所有池化层使用跨步 长的卷积代替，激活函数全部使用Leaky RELU；对于生成器G，池化成使用跨步长的反卷积 代替，除输出层外，激活函数使用RELU，输出层激活函数使用Tanh。

所述的基于生成对抗网络的雾计算工业协议构建方案的具体实现步骤如下：

步骤1：收集工业协议数据流，需要先对数据包空位进行填充0x00，使得其能转化为固 定尺寸的灰度图。

步骤2：使用深度卷积生成对抗网络构建仿真工业协议，可以使用梯度下降法来训练模 型。训练过程可以理解为：分别有实际数据分布p_data(真实协议数据集)和生成的数据分布p_g (仿真协议)两个数据源，为了生成高质量的仿真协议，需要使p_g尽可能接近p_data，也就是 要令仿真协议数据的分布更接近于实际协议数据集的分布。

步骤2.1：假设由协议转化得到的灰度图有m张，将其作为样本标记为{x¹，x²，…，x^m}；

步骤2.2：选取一个先验分布p_prior(z)(可以选用均匀分布或正态分布)，抽取m个噪声 样本{z¹，z²，…，z^m}；

步骤2.3：将噪声样本投入生成器G，生成数据

步骤2.4：固定生成器G，通过最大化价值函数V的近似而更新判别器参数即极大 化得到新的判别器D^*；

步骤2.5：固定判别器D^*，计算以求得更新后的G^*；

步骤2.6：迭代步骤2.3和2.5直到收敛。

步骤3：输出雾计算工业协议构建模型，将判别器用于协议识别，将生成器用于协议构 建，生成器生成的协议流用于部署蜜罐。

至此，关于基于生成对抗网络的雾计算工业协议构建方案执行完毕。

基于以上方法，本发明还提出了一种基于生成对抗网络的雾计算工业协议系统，包括：

数据流转化模块，其用于收集工业协议数据流，对数据包空位进行填充，使得其转化为 固定尺寸的灰度图；

模型训练模块，其使用深度卷积生成对抗网络构建仿真工业协议，使用梯度下降法训练 模型；

蜜罐部署模块，其用于输出雾计算工业协议构建模型，将判别器D^*用于协议识别，将生 成器G^*用于协议构建，生成器G^*生成的协议流用于部署蜜罐。

可将本发明实现的雾计算工业协议构建模型的生成器用于构建高质量的仿真工业协议以 便部署工业蜜罐，判别器用来识别协议类型，进而实现主动防御。具体应用场景如下所述： 考虑图1所示的基于雾计算的工业控制系统模型，该模型由工业边界网络、雾资源池、管理 中心三个组成部分。在该模型中，云计算被拓展到了边界网络，本地服务被下放到雾计算节 点，这使得安全问题同样被下移。有别于传统计算机信息系统，工业控制系统被赋予了频繁 的交互性、高瞬时性、传输方向性、时空顺序等特征，这使得工控系统的安全要求也更加严 格。

因此，对基于雾计算的工业控制系统而言，主动防御是必不可少的。蜜罐作为一种入侵 检测和研究对计算机系统攻击的常用工具，是一种重要的主动防御技术。在工业系统和外部 网络之间部署蜜罐可以达到迷惑攻击者、发现已知和未知攻击行为、防御入侵的目的。协议 对雾计算系统各节点、各元素间的通信必不可少。为了更可信，蜜罐试图表现得像是正常使 用的真实系统，而直接部署真实的工业协议不仅需要更大代价，还增加了潜在的安全隐患。 所以需要本发明所述方法来生成仿真协议来欺骗攻击者，提升蜜罐的安全性。而对于发现攻 击行为和防御攻击，协议识别也是一项非常有用的技术。

附图说明

图1是基于雾计算的工控系统模型示意图。

图2是生成对抗网络模型示意图。

图3是深度卷积生成对抗网络模型生成器示意图。

图4是工业协议构建模型训练流程示意图。

图5是基于生成对抗网络的雾计算工业协议系统的示意图。

具体实施方式

结合以下具体实施例和附图，对发明作进一步的详细说明。实施本发明的过程、条件、 实验方法等，除以下专门提及的内容之外，均为本领域的普遍知识和公知常识，本发明没有 特别限制内容。

通过传统技术在基于雾计算的工业系统中部署蜜罐，但部署蜜罐时不使用实际工业协议， 而是采用仿真协议。对于雾计算使用的工业协议，其有效载荷字节可以用[0，255]中的值表示， 这与灰度图的像素格式相一致。因此，工业协议流可以转化为单通道的灰度图，例如十六进 制的西门子S7通讯协议可以10×10的灰度图。在得到有纹理特征的灰度图后，可以使用 这些灰度图来训练深度生成对抗网络模型。

在基础生成对抗网络模型中，有一个生成器G和一个判别器D。生成器G用于生成伪样 本，也就是仿真协议；判别器D用于辨别数据的真伪。生成器G输入随机噪声样本z，生成伪样本G(z)；而判别器D输入伪样本或真实样本，输出为输入样本为真实样本的概率。生成对抗网络训练的过程可以看成是判别器和生成器相互对抗的过程，判别器需要不断提升识别 协议真假的准确率，生成器需要不断提升生成更加逼真的协议数据来欺骗判别器。最终我们 可以得到一个用于协议识别的判别器和一个用于协议构建的生成器，从而实现同时考虑协议 识别和协议构建的主动防御。训练时先固定生成器G，优化判别器D，再固定辨别器D，优 化生成器G，反复迭代两个过程到结束条件。基础生成对抗网络的价值函数为：

其中，是期望值，x是从实际数据分布p_data中采样得到的样本，p_z(z)是先验分布。G是 一个可微函数，它表示一个参数为θ_g的多层感知机；D是一个以单个标量为输出的多层感知 器。

本发明使用的深度卷积生成对抗网络结合了卷积神经网络和生成对抗网络。其在传统生 成对抗模型的基础上做了改进。判别器和生成器使用两种卷积神经网络变体，使得判别器可 以通过卷积来提取灰度图纹理特征。两种卷积神经网络变体的改进措施可以概括为：除传输 层外，G和D都进行归一化，两者都移除了全连接层；对于判别器D，所有池化层使用跨步 长的卷积代替，激活函数全部使用Leaky RELU；对于生成器G，池化成使用跨步长的反卷积 代替，除输出层外，激活函数使用RELU，输出层激活函数使用Tanh。

所述的基于生成对抗网络的雾计算工业协议构建方案的具体实现步骤如下：

步骤1：收集工业协议数据流，需要先对数据包空位进行填充0x00，使得其能转化为固 定尺寸的灰度图。

步骤2：使用深度卷积生成对抗网络构建仿真工业协议，可以使用梯度下降法来训练模 型。训练过程可以理解为：分别有实际数据分布p_data(真实协议数据集)和生成的数据分布p_g (仿真协议)两个数据源，为了生成高质量的仿真协议，需要使p_g尽可能接近p_data，也就是 要令仿真协议数据的分布更接近于实际协议数据集的分布。

步骤2.1：假设由协议转化得到的灰度图有m张，将其作为样本标记为{x¹，x²，…，x^m}；

步骤2.2：选取一个先验分布p_prior(z)(可以选用均匀分布或正态分布)，抽取m个噪声 样本{z¹，z²，…，z^m}；

步骤2.3：将噪声样本投入生成器G，生成数据

步骤2.4：固定生成器G，通过最大化价值函数V的近似而更新判别器参数即极大化得到新的判别器D^*；

步骤2.5：固定判别器D^*，计算以求得更新后的G^*；

步骤2.6：迭代步骤2.3和2.5直到收敛。

步骤3：输出雾计算工业协议构建模型，将判别器用于协议识别，将生成器用于协议构 建，生成器生成的协议流用于部署蜜罐。

至此，关于基于生成对抗网络的雾计算工业协议构建方案执行完毕。

如图5所示，本发明还提出了一种基于生成对抗网络的雾计算工业协议系统，包括：

数据流转化模块，其用于收集工业协议数据流，对数据包空位进行填充，使得其转化为 固定尺寸的灰度图；

模型训练模块，其使用深度卷积生成对抗网络构建仿真工业协议，使用梯度下降法训练 模型；

蜜罐部署模块，其用于输出雾计算工业协议构建模型，将判别器D^*用于协议识别，将生 成器G^*用于协议构建，生成器G^*生成的协议流用于部署蜜罐。

本发明实施公开了一种雾计算中基于生成对抗网络的工业协议构造方法。所述方法与传 统的防御方法不同，采用一种雾计算的工控系统模型，利用深度卷积对抗生成网络(DCGAN) 构建可部署到蜜罐系统的仿真协议，进而将基于蜜罐技术的主动防御与被动防御相结合来保 护工业系统。部署在系统外部的蜜罐不仅能用于了解攻击者的恶意行为捕获漏洞，还能在一 定程度上阻止和防御黑客的攻击，所以类似于蜜罐这样的主动防御技术对安全性较低的雾计 算工业系统是很有必要的。在蜜罐中部署实际的工业协议会耗时耗力，且会暴露协议信息， 带来安全隐患，这并不切实际，而直接模拟低交互的静态协议流并不能很好地达到欺骗攻击 者的目的。因此，构建逼真的仿真协议来欺骗攻击者就显得尤为重要。本发明提出的方法， 将工业协议流有效载荷转换得到灰度图，再用得到的灰度图训练DCGAN模型，最终可以得到 一个判别器用于协议识别，以及一个生成器，用于生成高质量的仿真协议流，提高欺骗攻击 者的能力。

本发明的保护内容不局限于以上实施例。在不背离发明构思的精神和范围下，本领域技 术人员能够想到的变化和优点都被包括在本发明中，并且以所附的权利要求书为保护范围。

Claims (5)

1.一种基于生成对抗网络的雾计算工业协议构建方法，其特征在于，包括以下步骤：

步骤1：收集工业协议数据流，对数据包空位进行填充，使得其转化为固定尺寸的灰度图；

步骤2：使用深度卷积生成对抗网络构建仿真工业协议，使用梯度下降法训练模型；

步骤2.1：假设由所述工业协议数据流转化得到的灰度图有m张，将其作为样本标记为{x¹，x²，...，x^m}；

步骤2.2：选取一个先验分布p_prior(z)，抽取m个噪声样本{z¹，z²，...，z^m}；

步骤2.3：将噪声样本投入生成器G，生成数据

步骤2.4：固定生成器G，通过最大化价值函数V的近似而更新判别器参数即极大化得到新的判别器D^*；

步骤2.5：固定判别器D^*，计算以求得更新后的生成器G^*；

步骤2.6：迭代步骤2.3和2.5直到收敛；

步骤3：输出雾计算工业协议构建模型，将判别器D^*用于协议识别，将生成器G^*用于协议构建，生成器G^*生成的协议流用于部署蜜罐。

2.根据权利要求1所述的基于生成对抗网络的雾计算工业协议构建方法，其特征在于，步骤2.2中可以选用均匀分布或正态分布。

3.根据权利要求1所述的基于生成对抗网络的雾计算工业协议构建方法，其特征在于，价值函数为：

其中，是期望值，x是从实际数据分布p_data中采样得到的样本，p_z(z)是先验分布；G是一个可微函数，它表示一个参数为θ_g的多层感知机；D是一个以单个标量为输出的多层感知器。

4.根据权利要求1所述的基于生成对抗网络的雾计算工业协议构建方法，其特征在于，雾计算使用的工业协议，其有效载荷字节用[0，255]中的值表示。

5.一种基于生成对抗网络的雾计算工业协议系统，其特征在于，其采用如权利要求1-4之任一项所述的构建方法，包括以下步骤：

数据流转化模块，其用于收集工业协议数据流，对数据包空位进行填充，使得其转化为固定尺寸的灰度图；

模型训练模块，其使用深度卷积生成对抗网络构建仿真工业协议，使用梯度下降法训练模型；

蜜罐部署模块，其用于输出雾计算工业协议构建模型，将判别器D^*用于协议识别，将生成器G^*用于协议构建，生成器G^*生成的协议流用于部署蜜罐。