CN110278203A - 一种基于单分类支持向量机的燃气scada系统中间人攻击检测方法 - Google Patents

Abstract

一种基于单分类支持向量机的燃气SCADA系统中间人攻击检测方法，包括如下步骤：1)对于燃气管网SCADA系统传感器返回的阀门开关信号的数据进行特征提取；2)首先使用燃气SCADA系统所有正常工况下运行出来的数据集去训练单分类支持向量机模型，然后用验证集验证模型的准确率，使用测试集去检验单分类支持向量机模型的泛化能力，通过不断调节核函数和惩罚参数，找到一个最优的单分类支持向量机模型；3)实时攻击检测，按照采样时间实时的返回燃气SCADA系统的阀门开关信号，对信号进行编码计算，将数据特征放入训练好的支持向量机模型中，判断该采样时刻点的阀门是否受到攻击。本发明有效检测燃气SCADA系统中间人攻击。

Description

一种基于单分类支持向量机的燃气SCADA系统中间人攻击检 测方法

技术领域

本发明涉及燃气SCADA系统攻击检测领域，具体设计一种基于单分类支持向量机的燃气SCADA系统中间人攻击检测方法。

背景技术

天然气作为一种清洁、低排放的高效能源，在发电、交通运输、化工等方面都有着对传统能源良好的替代性。随着城市天然气管网规模的不断扩大，手工的管理模式和管理手段已无法满足“合理规划、科学管理、安全用气”的要求。对于突发事故的应变能力和处理效率难以适应城市建设高速发展的需求。为此，天然气企业需要一种更为方便、及时的方式，实现管网运行、管网维修、管网分析、管网决策的自动化和科学化。城市燃气高压管网中的控制系统主要以SCADA系统为主，其中还包括现场控制系统(PLC、DCS、SIS等)、远程RTU、仪表及执行机构等。SCADA系统连接整个燃气工业控制网络内的相关设备，通过数据采集及相关通讯技术可以对现场的运行设备进行监视和控制，以实现数据采集、设备控制、测量、参数调节以及各类信号报警等各项功能。现场控制系统主要是接收调度中心及现场控制人员的控制指令以及自定义的控制策略进行对现场阀门或者其它执行机构的控制及保护功能,并能实时的把运行数据传输至远程调度中心。

在实际生活中燃气SCADA系统很可能遭受攻击，其中中间人攻击是一种典型攻击方式。中间人攻击是指攻击的一方与通讯者的两端分别创建了独立的连接，并可以交换其所收到的数据，使通讯的两端认为他们正在通过一个私密的连接与对方直接对话，但在通讯过程中所有通信内容已经被攻击者完全控制，中间人攻击过程中，攻击者可以在通信过程中插入新的内容。

城市燃气高压管网对整个城市的影响最大，由于中间人攻击入侵到了燃气SCADA系统的内部，难以在网络层进行检测，一旦出现中间人攻击可能就会造成人员伤亡和重大财产损失，并且影响到人们的正常生产、生活。SCADA系统是高压管网的核心中枢，直接监视控制着整个管网的安全运行，所以对燃气管网SCADA系统安全的分析研究有重要意义，而中间人攻击检测是必不可少的一个环节

发明内容

假设中间人攻击入侵到燃气管网SCADA系统，篡改阀门控制指令，导致燃气管网SCADA阀门开关状态改变，为了有效检测出燃气管网SCADA系统中存在的该类攻击，本发明提出了一种基于单分类支持向量机的燃气SCADA系统中间人攻击检测方法，从传感器采样的控制指令的数据特征来检测是否存在攻击。

本发明采用的技术方案如下:

一种基于单分类支持向量机的燃气SCADA系统中间人攻击检测方法，所述方法包括如下步骤：

1)数据预处理，对于燃气管网SCADA系统传感器返回的阀门开关信号的数据需要进行特征提取，首先对数据进行降维，然后将采样时间序列作为第一维特征，将降维后的燃气管网SCADA系统的阀门开关信号编码作为第二维特征；

2)模型训练，采用单分类支持向量机模型进行攻击检测，首先使用燃气SCADA系统所有正常工况下运行出来的数据集去训练单分类支持向量机模型，然后用验证集验证模型的准确率，使用测试集去检验单分类支持向量机模型的泛化能力，通过不断调节核函数和惩罚参数，找到一个最优的单分类支持向量机模型；

3)实时攻击检测，按照采样时间实时的返回燃气SCADA系统的阀门开关信号，对信号进行编码计算，将数据特征放入训练好的支持向量机模型中，判断该采样时刻点的阀门是否受到攻击。

进一步，所述步骤1)中，燃气管网SCADA实验平台系统包括各类门站、中低压站和中压阀室，用多个双色指示灯表示门站的工作情况，如果指示灯颜色为绿色，表明门站处于正常工作状态；如果指示灯的颜色变为红色，则表明门站被攻击，不能正常工作；指示灯的颜色即可表示为阀门的开和关两种状态，其中所有门站的阀门开关都可由上位机向下位机发送相应控制指令进行控制，阀门开关状态将其表示为1和0的开关信号，1代表阀门为打开状态，0代表阀门为关闭状态，每次采样所有门站的开关信号，进行编码处理，处理公式如下所示：

θ＝(D₁,D₂,D₃,...,D_T)

其中T是周期的大小，t是采样时间点，每次采样都会才获取到N个门站的电信号，B_i是每个门站对应的开关信号状态是0或者1，D_t是每次采样之后电信号进行编码转换的值，在每个运行周期中，每个采样时刻对应一个相应的阀门电信号编码值。

再进一步，所述步骤2)中，支持向量机模型由以下组成

s.t. (w^Tφ(x_i))＞ρ-ζ_i,i＝1,...,n

ζ_i＞0

它的对偶问题为：

s.t α_i≥0

其中α＝(α₁,α₂,...,α_N)^T为拉格朗日乘子向量，一个变量α_i对应于一个样本点(x_i,y_i)；n代表的是训练样本的容量,ζ_i表示的是松弛变量。K(x_i,x_j)是核函数，核函数是用于求解非线性的问题，使用一个变换将原空间的数据映射到新空间，然后在新空间用线性分类方法得到超平面。ν为惩罚参数，一般由应用问题决定，ν值大时对误分类的惩罚增大，ν值小时对误分类的惩罚减小。(2)式为支持向量机模型的分类决策函数。

优选的，核函数和惩罚参数的选择：首先初始化模型参数，核函数选择linear，惩罚参数C选择为1。

所述模型训练的过程如下：

2.1)将已有的数据集分为三类，选取所有燃气SCADA系统正常运作情况下的阀门开关信号作为训练集T＝{(x₁,y₁),(x₂,y₂),...(x_n,y_n)}y∈{1}ⁿ，所有训练样本都为+1，随机选取一部分带有正常和受攻击的燃气SCADA数据集分为两类，一类为验证集，一类为测试集，训练集用来训练模型，验证集用于模型的选择，测试集用来验证模型的泛化能力；

2.2)进行交叉验证实验，首先使用初始化模型参数对训练集训练，再在验证集上进行验证，然后通过不断得改变核函数和惩罚参数继续训练，得到测试误差最小得模型，此时得到的核函数参数和惩罚参数为最优的支持向量机模型。

更进一步，所述步骤3)的过程如下：

步骤3.1)实时进行电信号编码处理

燃气SCADA系统传感器会实时返回各个阀门的开关电信号，实时对传回来的阀门电信号进行编码，每采样一次就会就会进行一次编码计算，将当前采样时刻的编码值进行保存；

步骤3.2)实时攻击检

根据上一步得到的电信号编码值，放入训练好的支持向量机模型中进行检测；训练好的支持向量机模型会判断当前采样点进来的电信号编码值是否在正常的范围内，若当前次采样时刻的电信号编码值未在正常范围之内，则认为燃气SCADA系统受到了攻击；通过实时计算传感器返回的各个采样点电信号编码值，可以高效的检测出系统受到的攻击。

本发明的有益效果表现在：

1.基于支持向量机模型的检测方法，对比的是对应采样时刻下的正常开关信号的编码数据值和受到攻击之后的开关信号编码数据值，只要受到攻击，当前采样时刻编码的数据值就会发生改变，特征变化大，检测效果明显。

2.检测方法中采用的数据预处理方法通过编码的方式进行降维处理，将与阀门数量相关的多维开关信号编码为一维数据特征，大大降低了数据的维度，且在降维过程中没有丢失任何的特征信息。

3.检测方法使用的是单分类支持向量机模型，训练简单，参数调节效果明显，且泛化能力很强。只需要训练所有燃气SCADA系统正常运行下对应时刻的采样信号编码值，与二分类支持向量机相比，单分类支持向量机具有更好的检测效果。

附图说明

图1是燃气SCADA系统结构框图。

图2是燃气SCADA系统发生中间人攻击的流程图。

图3是基于单分类支持向量机的燃气SCADA系统中间人攻击检测方法的具体流程图。

具体实施方式

为了使本发明的技术方案、设计思路能更加清晰，我们结合附图进行详尽的描述。

参照图1，一种燃气SCADA系统，包括现场控制系统(PLC、DCS、SIS等)、远程RTU、仪表及执行机构等。参照图2，中间人攻击是指攻击的一方与通讯者的两端分别创建了独立的连接，并可以交换其所收到的数据，使通讯的两端认为他们正在通过一个私密的连接与对方直接对话，但在通讯过程中所有通信内容已经被攻击者完全控制，中间人攻击过程中，攻击者可以在通信过程中插入新的内容。所采用的中间人攻击方式为xPot，xPot是一个4G接口设备，可以作为内部入侵的小型设备，它由内部人员携入，通过以太网口接入核心交换机中。此时，用户就可以通过任意一个手机号码，向xPot中固定的手机号码发送短信，从而获取整个网段下的全部设备信息，例如IP、MAC地址、端口号PORT以及当前的状态和协议，而且设备的生产厂商及操作系统的信息也会给出。此时向燃气SCADA系统发送指令时，可对燃气阀门开关状态进行改变。

参照图3，一种基于单分类支持向量机模型的中间人攻击检测方法，所述方法包括如下步骤：

1)数据预处理(特征提取)

燃气管网SCADA实验平台系统由多个门站(其中包含各类门站、中低压站、中压阀室)组成，用多个双色指示灯表示门站的工作情况，如果指示灯颜色为绿色，表明门站处于正常工作状态。如果指示灯的颜色变为红色，则表明门站被攻击，不能正常工作。指示灯的颜色即可表示为阀门的开和关两种状态，其中所有门站的阀门开关都可由上位机向下位机发送相应控制指令进行控制，阀门开关状态我们可将其表示为1和0的开关信号。1代表阀门为打开状态，0代表阀门为关闭状态。每次采样所有门站的开关信号，进行编码处理，处理公式如下所示：

θ＝(D₁,D₂,D₃,...,D_T)

其中T是周期的大小，t是采样时间点，每次采样都会才获取到N个门站的电信号，B_i是每个门站对应的开关信号状态是0或者1，D_t是每次采样之后电信号进行编码转换的值，在每个运行周期中，每个采样时刻对应一个相应的阀门电信号编码值。

2)训练模型

支持向量机模型由以下组成

s.t. (w^Tφ(x_i))＞ρ-ζ_i,i＝1,...,n

ζ_i＞0

它的对偶问题为：

s.t α_i≥0

其中α＝(α₁,α₂,...,α_N)^T为拉格朗日乘子向量，一个变量α_i对应于一个样本点(x_i,y_i)；n代表的是训练样本的容量,ζ_i表示的是松弛变量。K(x_i,x_j)是核函数，核函数是用于求解非线性的问题，使用一个变换将原空间的数据映射到新空间，然后在新空间用线性分类方法得到超平面。ν为惩罚参数，一般由应用问题决定，ν值大时对误分类的惩罚增大，ν值小时对误分类的惩罚减小。(2)式为支持向量机模型的分类决策函数。

核函数和惩罚参数的选择：首先初始化模型参数，核函数选择linear，惩罚参数C选择为1。

所述模型训练过程如下：

2.1)将已有的数据集分为三类，选取所有燃气SCADA系统正常运作情况下的阀门开关信号作为训练集T＝{(x₁,y₁),(x₂,y₂),...(x_n,y_n)}y∈{1}ⁿ，所有训练样本都为+1，随机选取一部分带有正常和受攻击的燃气SCADA数据集分为两类，一类为验证集，一类为测试集，训练集用来训练模型，验证集用于模型的选择，测试集用来验证模型的泛化能力。

2.2)进行交叉验证实验，首先使用初始化模型参数对训练集训练，再在验证集上进行验证，然后通过不断得改变核函数和惩罚参数继续训练，得到测试误差最小得模型，此时得到的核函数参数和惩罚参数为最优的支持向量机模型；

3)攻击检测阶段，过程如下：

步骤3.1)实时进行电信号编码处理

燃气SCADA系统传感器会实时返回各个阀门的开关电信号，实时对传回来的阀门电信号进行编码，每采样一次就会就会进行一次编码计算，将当前采样时刻的编码值进行保存；

步骤3.2)实时攻击检测

根据上一步得到的电信号编码值，放入训练好的支持向量机模型中进行检测，训练好的支持向量机模型会判断当前采样点进来的电信号编码值是否在正常的范围内，若当前次采样时刻的电信号编码值未在正常范围之内，则认为燃气SCADA系统受到了攻击；通过实时计算传感器返回的各个采样点电信号编码值，可以高效的检测出系统受到的攻击。

Claims (6)

1.一种基于单分类支持向量机的燃气SCADA系统中间人攻击检测方法，其特征在于，所述方法包括如下步骤：

1)数据预处理，对于燃气管网SCADA系统传感器返回的阀门开关信号的数据需要进行特征提取，首先对数据进行降维，然后将采样时间序列作为第一维特征，将降维后的燃气管网SCADA系统的阀门开关信号编码作为第二维特征；

2)模型训练，采用单分类支持向量机模型进行攻击检测，首先使用燃气SCADA系统所有正常工况下运行出来的数据集去训练单分类支持向量机模型，然后用验证集验证模型的准确率，使用测试集去检验单分类支持向量机模型的泛化能力，通过不断调节核函数和惩罚参数，找到一个最优的单分类支持向量机模型；

3)实时攻击检测，按照采样时间实时的返回燃气SCADA系统的阀门开关信号，对信号进行编码计算，将数据特征放入训练好的支持向量机模型中，判断该采样时刻点的阀门是否受到攻击。

2.如权利要求1所述的一种基于单分类支持向量机的燃气SCADA系统中间人攻击检测方法，其特征在于，所述步骤1)中，燃气管网SCADA实验平台系统包括各类门站、中低压站和中压阀室，用多个双色指示灯表示门站的工作情况，如果指示灯颜色为绿色，表明门站处于正常工作状态；如果指示灯的颜色变为红色，则表明门站被攻击，不能正常工作；指示灯的颜色即可表示为阀门的开和关两种状态，其中所有门站的阀门开关都可由上位机向下位机发送相应控制指令进行控制，阀门开关状态将其表示为1和0的开关信号，1代表阀门为打开状态，0代表阀门为关闭状态，每次采样所有门站的开关信号，进行编码处理，处理公式如下所示：

θ＝(D₁,D₂,D₃,...,D_T)

其中T是周期的大小，t是采样时间点，每次采样都会才获取到N个门站的电信号，B_i是每个门站对应的开关信号状态是0或者1，D_t是每次采样之后电信号进行编码转换的值，在每个运行周期中，每个采样时刻对应一个相应的阀门电信号编码值。

3.如权利要求1或2所述的一种基于单分类支持向量机的燃气SCADA系统中间人攻击检测方法，其特征在于，所述步骤2)中，支持向量机模型由以下组成

s.t. (w^Tφ(x_i))＞ρ-ζ_i,i＝1,...,n

ζ_i＞0

它的对偶问题为：

s.t α_i≥0

其中α＝(α₁,α₂,...,α_N)^T为拉格朗日乘子向量，一个变量α_i对应于一个样本点(x_i,y_i)；n代表的是训练样本的容量,ζ_i表示的是松弛变量；K(x_i,x_j)是核函数，核函数是用于求解非线性的问题，使用一个变换将原空间的数据映射到新空间，然后在新空间用线性分类方法得到超平面，ν为惩罚参数，ν值大时对误分类的惩罚增大，ν值小时对误分类的惩罚减小；(2)式为支持向量机模型的分类决策函数。

4.如权利要求3所述的一种基于单分类支持向量机的燃气SCADA系统中间人攻击检测方法，其特征在于，核函数和惩罚参数的选择：首先初始化模型参数，核函数选择linear，惩罚参数C选择为1。

5.如权利要求3所述的一种基于单分类支持向量机的燃气SCADA系统中间人攻击检测方法，其特征在于，所述模型训练的过程如下：

2.1)将已有的数据集分为三类，选取所有燃气SCADA系统正常运作情况下的阀门开关信号作为训练集T＝{(x₁,y₁),(x₂,y₂),...(x_n,y_n)}y∈{1}ⁿ，所有训练样本都为+1，随机选取一部分带有正常和受攻击的燃气SCADA数据集分为两类，一类为验证集，一类为测试集，训练集用来训练模型，验证集用于模型的选择，测试集用来验证模型的泛化能力；

2.2)进行交叉验证实验，首先使用初始化模型参数对训练集训练，再在验证集上进行验证，然后通过不断得改变核函数和惩罚参数继续训练，得到测试误差最小得模型，此时得到的核函数参数和惩罚参数为最优的支持向量机模型。

6.如权利要求1或2所述的一种基于单分类支持向量机的燃气SCADA系统中间人攻击检测方法，其特征在于，所述步骤3)的过程如下：

步骤3.1)实时进行电信号编码处理

燃气SCADA系统传感器会实时返回各个阀门的开关电信号，实时对传回来的阀门电信号进行编码，每采样一次就会就会进行一次编码计算，将当前采样时刻的编码值进行保存；

步骤3.2)实时攻击检

根据上一步得到的电信号编码值，放入训练好的支持向量机模型中进行检测；训练好的支持向量机模型会判断当前采样点进来的电信号编码值是否在正常的范围内，若当前次采样时刻的电信号编码值未在正常范围之内，则认为燃气SCADA系统受到了攻击；通过实时计算传感器返回的各个采样点电信号编码值，可以高效的检测出系统受到的攻击。