CN110909811A - 一种基于ocsvm的电网异常行为检测、分析方法与系统 - Google Patents

Abstract

本发明公开了一种基于OCSVM的电网异常行为检测、分析方法与系统，该方案通过收集工控场景的资产信息和配置信息建立有向图模型，充分了解工控网络下的设备间的交互和控制流的路径，对全局进行把握；对发现异常后建立异常风险有向图模型，有利于异常行为的检测以及发现异常后的关联分析；通过对监测的数据包进行协议解析和行为提取，采用基于时间窗口划分出行为序列，使用基于Fisher‑OCSVM的异常行为检测模型对获取的行为序列进行检测，并对检测出的异常行为序列进行重检测和异常行为关联分析，将基于网络和基于主机相结合，减少了漏报率和误报率，并且对分析结果评估上报，以保障系统能正常运行。

Description

一种基于OCSVM的电网异常行为检测、分析方法与系统

技术领域

本发明涉及工业控制系统安全领域，特别涉及一种基于OCSVM的电网异常行为检测、分析方法与系统。

背景技术

近年来，工控安全事件频发，2010年伊朗布什尔核电站遭遇“震网”病毒攻击，“震网”病毒通过向工控设备发送短时间内重复开关指令，使得工控设备不能正常运转，以此破坏电力系统的运行达到攻击的目的。2015年，乌克兰电网遭受黑客攻击引发大规模停电事件，攻击者植入恶意软件，导致发电厂跳闸断电，并且多家电力公司同时遭到拒绝式服务攻击，造成巨大影响。这些工控安全事件都暴露出了电网普遍存在的一些薄弱环节，特别是其监控系统不能有效观察到攻击行为的发生、轨迹及动向，因此导致了严重的后果。

受各类工控安全事件的影响，国网公司加大了对工控安全防护研究与建设的投入，通过多年的安全建设，整体安全防护能力提升很大，但是这些安全建设目前主要是集中在电网侧，并且主要应对的是来自信息网的行为威胁，对于工控网络以及电网接入侧的安全防护目前还主要依赖于横向隔离、纵向加密技术等边界基本防护问题，对于接入端的内部，如电厂内部的安全并无有效的安全防护能力。随着越来越多的新能源企业和智能变电站接入调度数据网，使得电网不再是一个相对独立安全的孤岛，很容易遭受外部通过新能源发电站或变电站发起的渗透攻击，攻击的后果有可能严重影响调度中心和新能源发电站之间的通信甚至把边界设备作为跳板攻击电网内部的工业控制系统。因此，必须对于接入端尤其是接入端内部进行安全监测，并及时发现可能存在的安全问题，防止造成更大的影响。

发明内容

本发明主要解决的技术问题是提供一种基于OCSVM的电网异常行为检测、分析方法与系统，能够对电网接入侧中的厂站进行安全检测，提高电网的安全性和可靠性。

一种基于OCSVM的电网异常行为检测方法，包括以下步骤：

步骤1：获取待检测区域的电网历史运行数据，构建电力设备工控有向图，并对电网历史运行数据中的通信数据包采用结构化表示；

步骤2：按照设定的检测规则，基于电力设备工控有向图中的节点和连接边对采用结构化表示的通信数据包进行检测，获得通信数据包的检测标签，所述检测标签包括正常数据包、异常数据包以及风险数据包；

步骤3：构建异常行为检测模型；

提取电力设备工控有向图中有向边上的历史通信数据包中的操作码的周期序列，并对操作码的周期序列对应的电网运行行为进行人工标记，获得电网运行行为标签；将操作码的周期序列使用长度为L的时间窗口截取周期序列的子操作序列，构造出电网运行行为的操作集合对应的电网运行行为特征，以电网运行行为特征作为输入数据，以对应的电网运行行为标签作为输出数据，构建并训练基于OCSVM的异常行为检测模型；

步骤4：从电网运行数据中的通信数据包中选出通信数据包中操作码的周期序列，使用长度为L的时间窗口截取周期序列的子操作序列构造出电网运行行为的操作集合对应的电网运行行为特征，并输入所构建的异常行为检测模型，获得电网运行行为标签；

其中，L≤周期序列长度。

进一步地，所述通信数据包采用结构p表示：

p＝<s_ip,d_ip,s_port,d_port,protocol,length,cont,opera>

其中，s_ip表示数据包源地址，d_ip表示数据包目的地址，s_port表示源端口号，d_port表示目的端口号，length表示数据包长度，protocol表示协议标识符，cont表示数据包的关键内容，包括控制命令或传输数据，opera是根据工控协议解析得到的功能码、数据地址映射其在工控系统中对应的操作。

进一步地，通信数据包的检测标签按照数据包的异常参数ψ_p确定：

若ψ_p<1，则标记该数据包为正常数据包，若ψ_p＝1，则标记该数据包为异常数据包，若ψ_p>1，则标记该数据包为风险数据包；

其中，α_ip为IP地址异常参数，α_port为端口号异常参数，α_t为协议异常参数，α_c为内容异常参数和α_w为事件异常参数。

进一步地，所述IP地址异常参数，端口号异常参数，协议异常参数，内容异常参数和事件异常参数分别按照以下规定进行取值：

α_ip：判断s_ip和目的d_ip是否在数据包发送端和接收端相互的发送/接收IP白名单中，若不在，令α_ip＝1；若都在白名单中，则根据交互频率表计算出α_ip＝-log₂p(d_ip)，其中p(d_ip)表示s_ip向d_ip发送数据包发生的概率；

α_port：判断s_port和d_port是否为在数据包发送端和接收端相互的开放端口白名单中，若不在，令α_port＝1，若在，则根据交互频率表计算出α_port＝-log₂ p(d_port)，其中p(d_port)表示s_port向d_port发送数据包发生的概率；

α_t和α_c：判断protocol所表示的协议是否为接收端协议白名单中允许执行的协议，若不是，令α_t＝1；若是，则进一步检查length是否在该协议正常的阈值范围内、解析cont中的功能码和数据地址是否正常，若异常，α_c＝1，表示内容异常参数；若正常，根据交互频率表计算α_t＝-log₂p(protocol)，其中p(protocol)表示发送端与接收端通信使用的协议为protocol发生的概率；

α_w：判断opera所表示的操作是否存在接收端事件集白名单中，若不在，α_w＝1；若在，则根据交互频率表计算出α_w＝-log₂ p(w)，其中p(w)表示操作在接收端发送的概率。

进一步地，选择基于OCSVM的异常行为检测模型中的OCSVM的核函数并对所述OCSVM的参数进行调优，获得最佳的基于OCSVM的异常行为检测模型，具体步骤如下：

S231、对于电网运行行为的操作集合I＝{X₁,X₂,...,X_i,...,X_n}，其中X_i是使用大小为L的滑动时间窗口划分周期序列得到的子操作序列；假设滑动窗口L中共包含了t个数据包，X_i表示为{x_i}，1≤i≤t，其中x_i是每个数据包解析出来对应的工控操作；

x_i作为X_i的特征且假设符合一定的分布并且分布之间相互独立的；

S232、使用Fisher向量将包含数据包数量长度不定的输入序列X_i进行归一化处理，转换成具有固定长度的梯度向量作为特征，采用Fisher核函数来衡量序列X_i和X_j之间的距离，即不同序列之间的相似度；

相似度采用Fisher核函数来衡量：

其中φ_X是Fisher向量，它由Fisher分数U_X归一化得到

X服从分布p，p的参数是λ，即序列X关于参数λ下模型的对数似然的梯度，F_λ是Fisher信息矩阵，用于实现梯度特征向量的归一化，

S233、将训练集I输入到OCSVM中进行训练，通过引入拉格朗日函数和Fisher核函数得到OCSVM的决策函数：

其中，α_i为拉格朗日因子，K(X_i，X_j)表示序列X_i和X_j之间的相似度，ρ是特征空间中所需超平面的补偿量，l为训练集的数据量；

当f(X_j)≥0时，则认为X_j判定为“正常”，即位于训练集一侧，否则，则判定为“异常”。

其中，OCSVM对应的二次优化问题等价于：

s.t.φ(X_i)ω≥ρ-ξ_i,ξ_i>0,i＝1,...,l

X_i是训练集中的数据，l为训练集的数据量，φ是原始特征空间到高维特征空间的映射，v∈(0,1]是权衡参数，ξ_i为惩罚因子，ω和ρ分别是特征空间中所需超平面的法向量和补偿；

进一步地，利用K-CV方法和网格参数法对基于OCSVM的异常行为检测模型中的OCSVM的核函数的参数和特征空间中所需超平面的惩罚因子ξ_i进行参数调优，并调整滑动窗口的长度L进行多次测试，选取出准确率最高的长度L’，完成所述OCSVM的构建；

准确率是指，采用长度为L的窗口获取到的样本进行训练与测试，被正确分类的样本数和全部样本数的百分比。

一种基于OCSVM的电网异常行为分析方法，若从电网运行数据中的通信数据包属于风险数据包或者异常数据包时，将风险数据包、异常数据包和获得的带有电网运行行为标签的电网运行行为序列输入到异常行为分析模型进行分析，生成分析报告；

其中，风险数据包、异常数据包和电网运行行为标签采用权利要求1-6任一项所述方法获得；

若电网运行数据中的通信数据包中操作码的周期序列对应的电网运行行为序列被若判定为“异常”，则开辟一个新的进程，扩大滑动窗口，对选出通信数据包中操作码的周期序列分别从前向、后向和双向重新截取行为序列，依次输入到基于OCSVM的异常行为检测模型中进行重检测，若每个序列都判定为“正常”，则更改标签为“正常行为序列”，若其中任一序列判定仍为“异常”，则标签仍为“异常行为序列”，并将选出通信数据包中操作码的周期序列提交至异常行为分析模型进行分析；

S3、所述异常行为分析模型对标记为“风险数据包”、“异常数据包”的通信数据包和标记为“异常行为序列”的电网运行行为序列进行已知攻击匹配和未知异常关联分析，其具体步骤如下：

S31、首先通过与知识库中的已知攻击行为的行为序列进行比较进行已知攻击匹配；

若已知攻击行为序列与“异常行为序列”的长度相差较大，则先求出已知攻击行为序列与“异常行为序列”的最长公共子序列，再使用距离算法计算其相似度，若相似度达到设定阈值，则认为发生了对应的攻击行为，并设置该序列的标签为“已知攻击序列”，生成攻击行为报为报告，并将报告上传至监控中心，监控中心根据攻击行为报告做出决策，并将攻击警示给其他接入侧的厂站；否则设置该序列的标签为“非已知攻击异常”；

S32、对于“风险数据包”、“异常数据包”和“非已知攻击异常序列”，通过建立异常风险有向图，对与异常风险根节点进行信息获取的其他节点展开未知异常关联分析：

异常风险有向图定义为G′＝<R,S>，是所述电力设备工控有向图G＝<V,E>的子图；定义“风险数据包”、“异常数据包”的发起节点为异常风险根节点；设所述“非已知攻击异常序列”发生在有向边s＝(r₁,r₂)，其中r₁,r₂∈V,s∈E；定义“非已知攻击异常序列”第一个数据包的时间戳为T₀，定义该“非已知攻击异常序列”的第一个数据包的发起节点r₁为异常风险根节点；

设置风险深度为h，将风险根节点在图G＝<V,E>的后继节点和有向边添加入异常风险有向图中，再以图中各节点为起点加入它们在图G＝<V,E>中的后继节点进行图扩展，共进行h次扩展，则图的最长路径长度为h；

最后得到异常风险有向图G′＝<R,S>，其节点集合为R＝{r₁,r₂,...,r_x,...,r_n}和有向边集合S＝{s₁,s₂,...,s_n}，定义I为异常风险节点集合，S为异常风险有向边集合；

S33、收集异常风险有向图上各节点的安全信息，对日志文件进行解析，生成节点的异常矩阵，进而可根据矩阵快速查看主机异常行为发生的时间段、发生的先后顺序安全信息；

对与异常风险有向图G′＝<R,S>中的每个节点r_x，定义r_x{a₁,a₂,...,a_k}，其中a_k表示在该异常风险节点上可能发生的主机异常行为，包括权限扩大、频繁扫描、越权操作、错误密码尝试、非法连接；

收集异常风险有向图上各个节点的日志信息分析是否发生上述主机异常行为：

定义a_k对应的列向量为

记录a_k在时间点T₀后每个时间段的异常情况，初始化为零向量；对日志文件进行解析，当检测到有主机异常行为a_k发生时，

在对应时间段上的值由0变为1，并且之后都为1，最后生成节点的异常矩阵为

进而根据异常矩阵快速查看主机异常行为发生的具体时间点、异常行为之间发生的先后顺序信息；

S34、收集异常风险有向图上各边上的安全信息；

对于每条边s_x，定义s_x{b₁,b₂,...,b_k}，其中b_k表示在该异常风险有向边上可能发生的网络异常行为，包括IP异常、端口异常、未知协议、流量增加、行为异常；

通过遍历搜索异常库中收集到的其他网络异常事件进行关联分析：在异常数据库中遍历异常风险有向图中每条有向边上是否存在网络异常事件，进而计算出该条有向边的异常系数

并将

作为该条有向边的权值；所述异常库中收集到达其他网络异常事件为收集的风险数据包，所述

为搜集到的风险数据包的异常参数ψ_p的和；

S35、根据收集到的安全信息在异常风险有向图模型上进行路径匹配分析；

以异常风险根节点为起点，使用广度优先遍历算法，查看各节点的主机行为异常矩阵，若矩阵有值为1的元素，则认为有异常主机行为发生并进行标记，进而对各异常行为矩阵进行矩阵相似度关联分析，查看各主机异常行为发生的时间关联、顺序关联；

结合有向边的异常系数，对于异常系数值较高的有向边和有向边对应的节点进行连通图分析，判断这些节点和有向边是否互联形成异常生成路径，生成未知异常分析报告，作为判定是否发生攻击的判断依据，并将报告上传至监控中心，监控中心根据异常行为报告做出决策，并将异常行为的分析报告共享给其他接入侧的厂站。

一种基于OCSVM的电网异常行为检测系统，包括：

电网历史运行数据预处理模块：获取待检测区域的电网历史运行数据，构建电力设备工控有向图，并对电网历史运行数据中的通信数据包采用结构化表示；

通信数据包标记模块：按照设定的检测规则，基于电力设备工控有向图中的节点和连接边对采用结构化表示的通信数据包进行检测，获得通信数据包的检测标签，所述检测标签包括正常数据包、异常数据包以及风险数据包；

异常行为检测模型构建模块：提取电力设备工控有向图中有向边上的历史通信数据包中的操作码的周期序列，并对操作码的周期序列对应的电网运行行为进行人工标记，获得电网运行行为标签；将操作码的周期序列使用长度为L的时间窗口截取周期序列的子操作序列，构造出电网运行行为的操作集合对应的电网运行行为特征，以电网运行行为特征作为输入数据，以对应的电网运行行为标签作为输出数据，构建并训练基于OCSVM的异常行为检测模型；

电网运行行为标签实时获取模块：从电网运行数据中的通信数据包中选出通信数据包中操作码的周期序列，使用长度为L的时间窗口截取周期序列的子操作序列构造出电网运行行为的操作集合对应的电网运行行为特征，并输入所构建的异常行为检测模型，获得电网运行行为标签；

其中，L≤周期序列长度。

一种可读存储介质，包括计算机程序，所述计算机程序指令被处理终端执行时使所述处理终端执行上述一种基于OCSVM的电网异常行为检测方法。

有益效果

与现有技术相比，本发明具有如下优点及有益效果：

1、本发明通过收集工控场景的资产信息和配置信息建立有向图模型，充分了解工控网络下的设备间的交互和控制流的路径，对全局进行把握；对发现异常后建立异常风险有向图模型，有利于异常行为的检测以及发现异常后的关联分析。

2、由于工控系统具有高实时性、难暂停更新等特点，不能因为误报导致系统停滞，否则会给系统、资源带来巨大的损害，本发明对监测的数据包进行协议解析和行为提取，采用基于时间窗口划分出行为序列，使用基于Fisher-OCSVM的异常行为检测模型对获取的行为序列进行检测，并对检测出的异常行为序列进行重检测和异常行为关联分析，将基于网络和基于主机相结合，减少了漏报率和误报率，并且对分析结果评估上报，以保障系统能正常运行。

附图说明

图1为本发明实施例中基于异常行为检测与分析的方法的流程图；

图2为本发明实施例中数据预处理模型的一个具体示例的流程图；

图3为本发明实施例中异常行为检测模型的一个具体示例的流程图；

图4为本发明实施例中异常行为分析模型的一个具体示例的流程图。

具体实施方式

为使本发明的技术方案及优点更加清楚，作为本发明的一部分，以下结合附图及具体实施例，对本发明作进一步详细的说明。

本发明提供一种基于OCSVM的电网异常行为检测与分析方法，所述方法包括数据预处理模型、异常行为检测模型和异常行为分析模型，如图1所示，所述数据预处理模型连接异常行为检测模型和异常行为分析模型，异常行为检测模型连接异常行为分析模型。

S1、所述的数据预处理模型包括获取待检测区域的电网历史运行数据，构建电力设备工控有向图，并对电网历史运行数据中的通信数据包采用结构化表示；其具体步骤如下：

S11、收集待检测区域电力工控系统的资产信息，建立电力工控系统各类设备配置清单，在获取设备的资产信息和配置清单后，根据电力工控流程建立工控设备白名单，建立工控网络各类设备间数据交互的有向图，并搜集工控设备的日志信息建立交互频率表。

所述的配置清单包括设备安全策略配置信息、账户管理配置信息、连接与访问权限配置信息，并检查工控设备配置是否达到电力行业安全防护的基线，当发生未知攻击时，通过与配置信息进行对比，作为判断是否遭受攻击的依据。

所述的工控设备白名单进一步包括IP地址白名单、端口号白名单、协议白名单、事件集白名单，指示工控设备上所能通信的IP地址、端口号、协议和通信触发的工控操作。进一步的，根据搜集工控设备的日志信息统计与工控设备进行交互的IP地址及其频率、端口号及其频率、协议及其频率、事件及其频率，生成白名单中各项的发生概率值。

所述的有向图定义为G＝<V,E>，其中V＝{v₁,v₂,...,v_n}表示有向图的节点的集合，代表电力工控场景下的设备，包括人机界面、操作员站、测量仪表、服务器等；E＝{e₁,e₂,...,e_n}表示有向图的有向边的集合，有向边e＝(v₁,v₂)表示设备节点v₁可以对设备节点v₂进行命令发送或数据发送。

S12、通过对交换机或路由器设置端口镜像，将通信流量镜像到一个空闲的网络端口进行电网历史运行数据采集，并采用结构化表示，所述通信数据包采用结构p表示：

p＝<s_ip,d_ip,s_port,d_port,protocol,length,cont,opera>

其中，s_ip表示数据包源地址，d_ip表示数据包目的地址，s_port表示源端口号，d_port表示目的端口号，length表示数据包长度，protocol表示协议标识符，cont表示数据包的关键内容，包括控制命令或具体的传输数据，opera是根据工控协议解析得到的功能码、数据地址映射其在工控系统中对应的操作，如Modbus协议中，功能码O1H对应读取线圈状态，02H对应读取输入状态，进一步的，所述opera操作集合为O＝{o₁,o₂,...,o_m}，其中m为控制操作类型数。

S2、按照设定的检测规则，基于电力设备工控有向图中的节点和连接边对采用结构化表示的通信数据包进行检测，获得通信数据包的检测标签，所述检测标签包括正常数据包、异常数据包以及风险数据包；具体的：

S21、根据通信数据包的结构化表示p通过规则匹配对该数据包进行异常检测，具体的，跟据通信数据包结构化表示p中的s_ip和d_ip定位有向图模型中的节点v_x和v_y(v_x,v_y∈V)和v_x到v_y的有向边e_z(e_z∈E)，并根据v_x和v_y获取对应设备的IP地址白名单、端口号白名单、事件集白名单进行检测。可选的，异常检测进一步包括网络层、传输层和应用层异常检测，标记并计算IP地址异常参数α_ip、端口号异常参数α_p、协议异常参数α_t、内容异常参数α_c和事件异常参数α_w，进而计算数据包的异常参数ψ_p，定义计算规则具体为：

α_ip：判断s_ip和目的d_ip是否在数据包发送端和接收端相互的发送/接收IP白名单中，若不在，令α_ip＝1；若都在白名单中，则根据交互频率表计算出α_ip＝-log₂p(d_ip)，其中p(d_ip)表示s_ip向d_ip发送数据包发生的概率。

α_port：判断s_port和d_port是否为在数据包发送端和接收端相互的开放端口白名单中，若不在，令α_port＝1，若在，则根据交互频率表计算出α_port＝-log₂p(d_port)，其中p(d_port)表示s_port向d_port发送数据包发生的概率。

α_t和α_c：判断protocol所表示的协议是否为接收端协议白名单中允许执行的协议，若不是，令α_t＝1；若是，则进一步检查length是否在该协议正常的阈值范围内、解析cont中的功能码和数据地址是否正常，若异常，α_c＝1，表示内容异常参数；若正常，根据交互频率表计算α_type＝-log₂ p(protocol)，其中p(protocol)表示发送端与接收端通信使用的协议为protocol发生的概率。

α_w：判断opera所表示的操作是否存在接收端事件集白名单中，若不在，α_w＝1；若在，则根据交互频率表计算出α_w＝-log₂ p(w)，其中p(w)表示操作在接收端发送的概率。

S22、根据α_ip、α_port、α_t、α_c和α_w，计算数据包的异常参数ψ_p，并根据异常参数ψ_p获得通信数据包的检测标签，所述检测标签包括正常数据包、异常数据包以及风险数据包，具体的：

若ψ_p<1，则标记该数据包为正常数据包，若ψ_p＝1，则标记该数据包为异常数据包，若ψ_p>1，则标记该数据包为风险数据包；

S3、构建异常行为检测模型；

提取电力设备工控有向图中有向边上的历史通信数据包中的操作码的周期序列，并对操作码的周期序列对应的电网运行行为进行人工标记，获得电网运行行为标签；将操作码的周期序列使用长度为L的时间窗口截取周期序列的子操作序列，构造出电网运行行为的操作集合对应的电网运行行为特征，以电网运行行为特征作为输入数据，以对应的电网运行行为标签作为输出数据，构建并训练基于OCSVM的异常行为检测模型，如图3所示，其具体步骤如下：

S31、获取电网历史运行数据中的通信数据包，对数据包进行解析，获取操作码的周期序列。具体的，在正常的工控网络下对使用S12中的方法对收集到的数据包进行深度解析，根据解析的功能码、数据地址提取其在工控系统中对应的操作opera，作为该数据包的特征，进而得到操作序列集合O＝{opera₁,opera₂,...,opera_n}。由于工作流程的循环往复，工控设备之间的网络交互存在着明显的周期性、有限性，通过对操作码序列集合O进行周期性检测，检测出操作码流中的周期序列。

所述操作序列周期性检测具体为，使用两个指针遍历序列O，两个指针的间隔由1,2,3依次增大，判断指针所指示的操作是否相同，相同时，开始记录重复子序列及其长度，并将两个指针同时右移，否则，继续移动指针进行匹配，最后得到序列O中最长的重复子序列，将该重复子序列从序列O中移除，重新执行查找操作，得到操作流中周期性的子操作序列集合。

S32、将操作码的周期序列使用长度为L的时间窗口截取周期序列的子操作序列，构造出电网运行行为的操作集合对应的电网运行行为特征，具体的：

对于电网运行行为的操作集合I＝{X₁,X₂,...,X_i,...,X_n}，其中X_i是使用大小为L的滑动时间窗口划分周期序列得到的子操作序列；假设滑动窗口L中共包含了t个数据包，X_i表示为{x_i}，1≤i≤t，其中x_i是每个数据包解析出来对应的工控操作；

x_i作为X_i的特征且假设符合一定的分布并且分布之间相互独立的；

S33、使用Fisher向量将包含数据包数量长度不定的输入序列X_i进行归一化处理，转换成具有固定长度的梯度向量作为特征，采用Fisher核函数来衡量序列X_i和X_j之间的距离，即不同序列之间的相似度；

相似度采用Fisher核函数来衡量：

其中φ_X是Fisher向量，它由Fisher分数U_X归一化得到

X服从分布p，p的参数是λ，即序列X关于参数λ下模型的对数似然的梯度，F_λ是Fisher信息矩阵，用于实现梯度特征向量的归一化，

S34、以电网运行行为特征作为输入数据，以对应的电网运行行为标签作为输出数据，构建并训练基于OCSVM的异常行为检测模型，具体的：

将训练集I输入到OCSVM中进行训练，通过引入拉格朗日函数和Fisher核函数得到OCSVM的决策函数：

其中，α_i为拉格朗日因子，K(X_i，X_j)表示序列X_i和X_j之间的相似度，ρ是特征空间中所需超平面的补偿量，l为训练集的数据量；

当f(X_j)≥0时，则认为X_j判定为“正常”，即位于训练集一侧，否则，则判定为“异常”。

其中OCSVM对应的二次优化问题等价于：

s.t.φ(X_i)ω≥ρ-ξ_i,ξ_i>0,i＝1,...,l

X_i是训练集中的数据，l为训练集的数据量，φ是原始特征空间到高维特征空间的映射，v∈(0,1]是权衡参数，ξ_i为惩罚因子，ω和ρ分别是特征空间中所需超平面的法向量和补偿；S35、利用K-CV方法和网格参数法对核函数的参数和特征空间中所需超平面的惩罚因子ξ_i进行参数调优，并调整滑动窗口的长度L进行多次测试，选取出准确率最高的长度L′，完成OCSVM的构建。

准确率是指，采用长度为L的窗口获取到的样本进行训练与测试，被正确分类的样本数和全部样本数的百分比。

S4：从电网运行数据中的通信数据包中选出通信数据包中操作码的周期序列，使用长度为L的时间窗口截取周期序列的子操作序列构造出电网运行行为的操作集合对应的电网运行行为特征，并输入所构建的异常行为检测模型，获得电网运行行为标签；

其中，L≤周期序列长度。

S5、若从电网运行数据中的通信数据包属于风险数据包或者异常数据包时，将风险数据包、异常数据包和获得的带有电网运行行为标签的电网运行行为序列输入到异常行为分析模型进行分析，生成分析报告；如图4所示，其具体步骤如下：

S51、首先通过与知识库中的已知攻击行为的行为序列进行比较进行已知攻击匹配；

若已知攻击行为序列与“异常行为序列”的长度相差较大，则先求出已知攻击行为序列与“异常行为序列”的最长公共子序列，再使用距离算法计算其相似度，若相似度达到某个阈值，则认为发生了对应的攻击行为，并设置该序列的标签为“已知攻击序列”，生成攻击行为报为报告，并将报告上传至监控中心，监控中心根据攻击行为报告做出决策，并将攻击警示给其他接入侧的厂站；否则设置该序列的标签为“非已知攻击异常”。

S52、对于“风险数据包”、“异常数据包”和“非已知攻击异常序列”，通过建立异常风险有向图，对与异常风险根节点进行信息获取的其他节点展开未知异常关联分析：

异常风险有向图定义为G′＝<R,S>，是所述电力设备工控有向图G＝<V,E>的子图；定义“风险数据包”、“异常数据包”的发起节点为异常风险根节点；设所述“非已知攻击异常序列”发生在有向边s＝(r₁,r₂)，其中r₁,r₂∈V,s∈E；定义“非已知攻击异常序列”第一个数据包的时间戳为T₀，定义该“非已知攻击异常序列”的第一个数据包的发起节点r₁为异常风险根节点；

设置风险深度为h，将风险根节点在图G＝<V,E>的后继节点和有向边添加入异常风险有向图中，再以图中各节点为起点加入它们在图G＝<V,E>中的后继节点进行图扩展，共进行h次扩展，则图的最长路径长度为h；

最后得到异常风险有向图G′＝<R,S>，其节点集合为R＝{r₁,r₂,...,r_x,...,r_n}和有向边集合S＝{s₁,s₂,...,s_n}，定义I为异常风险节点集合，S为异常风险有向边集合；

S53、收集异常风险有向图上各节点的安全信息，对日志文件进行解析，生成节点的异常矩阵，进而可根据矩阵快速查看主机异常行为发生的时间段、发生的先后顺序安全信息；

对与异常风险有向图G′＝<R,S>中的每个节点r_x，定义r_x{a₁,a₂,...,a_k}，其中a_k表示在该异常风险节点上可能发生的主机异常行为，包括权限扩大、频繁扫描、越权操作、错误密码尝试、非法连接；

收集异常风险有向图上各个节点的日志信息分析是否发生上述主机异常行为：

定义a_k对应的列向量为

记录a_k在时间点T₀后每个时间段的异常情况，初始化为零向量；对日志文件进行解析，当检测到有主机异常行为a_k发生时，

在对应时间段上的值由0变为1，并且之后都为1，最后生成节点的异常矩阵为

进而根据异常矩阵快速查看主机异常行为发生的具体时间点、异常行为之间发生的先后顺序信息；

S54、收集异常风险有向图上各边上的安全信息；

对于每条边s_x，定义s_x{b₁,b₂,...,b_k}，其中b_k表示在该异常风险有向边上可能发生的网络异常行为，包括IP异常、端口异常、未知协议、流量增加、行为异常；

通过遍历搜索异常库中收集到的其他网络异常事件进行关联分析：在异常数据库中遍历异常风险有向图中每条有向边上是否存在网络异常事件，进而计算出该条有向边的异常系数

并将

作为该条有向边的权值；所述异常库中收集到达其他网络异常事件为收集的风险数据包，所述

为搜集到的风险数据包的异常参数ψ_p的和；

S55、根据收集到的安全信息在异常风险有向图模型上进行路径匹配分析；

以异常风险根节点为起点，使用广度优先遍历算法，查看各节点的主机行为异常矩阵，若矩阵有值为1的元素，则认为有异常主机行为发生并进行标记，进而对各异常行为矩阵进行矩阵相似度关联分析，查看各主机异常行为发生的时间关联、顺序关联；

结合有向边的异常系数，对于异常系数值较高的有向边和有向边对应的节点进行连通图分析，判断这些节点和有向边是否互联形成异常生成路径，生成未知异常分析报告，作为判定是否发生攻击的判断依据，并将报告上传至监控中心，监控中心根据异常行为报告做出决策，并将异常行为的分析报告共享给其他接入侧的厂站。

一种基于OCSVM的电网异常行为检测系统，包括：

电网历史运行数据预处理模块：获取待检测区域的电网历史运行数据，构建电力设备工控有向图，并对电网历史运行数据中的通信数据包采用结构化表示；

通信数据包标记模块：按照设定的检测规则，基于电力设备工控有向图中的节点和连接边对采用结构化表示的通信数据包进行检测，获得通信数据包的检测标签，所述检测标签包括正常数据包、异常数据包以及风险数据包；

异常行为检测模型构建模块：提取电力设备工控有向图中有向边上的历史通信数据包中的操作码的周期序列，并对操作码的周期序列对应的电网运行行为进行人工标记，获得电网运行行为标签；将操作码的周期序列使用长度为L的时间窗口截取周期序列的子操作序列，构造出电网运行行为的操作集合对应的电网运行行为特征，以电网运行行为特征作为输入数据，以对应的电网运行行为标签作为输出数据，构建并训练基于OCSVM的异常行为检测模型；

电网运行行为标签实时获取模块：从电网运行数据中的通信数据包中选出通信数据包中操作码的周期序列，使用长度为L的时间窗口截取周期序列的子操作序列构造出电网运行行为的操作集合对应的电网运行行为特征，并输入所构建的异常行为检测模型，获得电网运行行为标签；

其中，L≤周期序列长度。

应当理解，本发明各个实施例中的功能单元模块可以集中在一个处理单元中，也可以是各个单元模块单独物理存在，也可以是两个或两个以上的单元模块集成在一个单元模块中，可以采用硬件或软件的形式来实现。

本发明实施例还提供一种可读存储介质，包括计算机程序指令，所述计算机程序指令被处理终端执行时使所述处理终端执行所述一种基于OCSVM的电网异常行为检测方法，其有益效果参见方法部分的有益效果，在此不再赘述。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，尽管参照上述实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者等同替换，而未脱离本发明精神和范围的任何修改或者等同替换，其均应涵盖在本发明的权利要求保护范围之内。

Claims (9)

1.一种基于OCSVM的电网异常行为检测方法，其特征在于，包括以下步骤：

步骤1：获取待检测区域的电网历史运行数据，构建电力设备工控有向图，并对电网历史运行数据中的通信数据包采用结构化表示；

步骤2：按照设定的检测规则，基于电力设备工控有向图中的节点和连接边对采用结构化表示的通信数据包进行检测，获得通信数据包的检测标签，所述检测标签包括正常数据包、异常数据包以及风险数据包；

步骤3：构建异常行为检测模型；

提取电力设备工控有向图中有向边上的历史通信数据包中的操作码的周期序列，并对操作码的周期序列对应的电网运行行为进行人工标记，获得电网运行行为标签；将操作码的周期序列使用长度为L的时间窗口截取周期序列的子操作序列，构造出电网运行行为的操作集合对应的电网运行行为特征，以电网运行行为特征作为输入数据，以对应的电网运行行为标签作为输出数据，构建并训练基于OCSVM的异常行为检测模型；

步骤4：从电网运行数据中的通信数据包中选出通信数据包中操作码的周期序列，使用长度为L的时间窗口截取周期序列的子操作序列构造出电网运行行为的操作集合对应的电网运行行为特征，并输入所构建的异常行为检测模型，获得电网运行行为标签；

其中，L≤周期序列长度。

2.根据权利要求1所述的方法，其特征在于，所述通信数据包采用结构p表示：

p＝<s_ip,d_ip,s_port,d_port,protocol,length,cont,opera>

其中，s_ip表示数据包源地址，d_ip表示数据包目的地址，s_port表示源端口号，d_port表示目的端口号，length表示数据包长度，protocol表示协议标识符，cont表示数据包的关键内容，包括控制命令或传输数据，opera是根据工控协议解析得到的功能码、数据地址映射其在工控系统中对应的操作。

3.根据权利要求2所述的方法，其特征在于，通信数据包的检测标签按照数据包的异常参数ψ_p确定：

若ψ_p<1，则标记该数据包为正常数据包，若ψ_p＝1，则标记该数据包为异常数据包，若ψ_p>1，则标记该数据包为风险数据包；

其中，α_ip为IP地址异常参数，α_port为端口号异常参数，α_t为协议异常参数，α_c为内容异常参数和α_w为事件异常参数。

4.根据权利要求3所述的方法，其特征在于，所述IP地址异常参数，端口号异常参数，协议异常参数，内容异常参数和事件异常参数分别按照以下规定进行取值：

α_ip：判断s_ip和目的d_ip是否在数据包发送端和接收端相互的发送/接收IP白名单中，若不在，令α_ip＝1；若都在白名单中，则根据交互频率表计算出α_ip＝-log₂ p(d_ip)，其中p(d_ip)表示s_ip向d_ip发送数据包发生的概率；

α_port：判断s_port和d_port是否为在数据包发送端和接收端相互的开放端口白名单中，若不在，令α_port＝1，若在，则根据交互频率表计算出α_port＝-log₂ p(d_port)，其中p(d_port)表示s_port向d_port发送数据包发生的概率；

α_t和α_c：判断protocol所表示的协议是否为接收端协议白名单中允许执行的协议，若不是，令α_t＝1；若是，则进一步检查length是否在该协议正常的阈值范围内、解析cont中的功能码和数据地址是否正常，若异常，α_c＝1，表示内容异常参数；若正常，根据交互频率表计算α_t＝-log₂ p(protocol)，其中p(protocol)表示发送端与接收端通信使用的协议为protocol发生的概率；

α_w：判断opera所表示的操作是否存在接收端事件集白名单中，若不在，α_w＝1；若在，则根据交互频率表计算出α_w＝-log₂ p(w)，其中p(w)表示操作在接收端发送的概率。

5.根据权利要求1-4任一项所述的方法，其特征在于，选择基于OCSVM的异常行为检测模型中的OCSVM的核函数并对所述OCSVM的参数进行调优，获得最佳的基于OCSVM的异常行为检测模型，具体步骤如下：

S231、对于电网运行行为的操作集合I＝{X₁,X₂,...,X_i,...,X_n}，其中X_i是使用大小为L的滑动时间窗口划分周期序列得到的子操作序列；假设滑动窗口L中共包含了t个数据包，X_i表示为{x_i}，1≤i≤t，其中x_i是每个数据包解析出来对应的工控操作；

S232、使用Fisher向量将包含数据包数量长度不定的输入序列X_i进行归一化处理，转换成具有固定长度的梯度向量作为特征，采用Fisher核函数来衡量序列X_i和X_j之间的距离，即不同序列之间的相似度；

相似度采用Fisher核函数来衡量：

其中φ_X是Fisher向量，它由Fisher分数U_X归一化得到

X服从分布p，p的参数是λ，即序列X关于参数λ下模型的对数似然的梯度，F_λ是Fisher信息矩阵，用于实现梯度特征向量的归一化，

S233、将训练集I输入到OCSVM中进行训练，通过引入拉格朗日函数和Fisher核函数得到OCSVM的决策函数：

其中，α_i为拉格朗日因子，K(X_i，X_j)表示序列X_i和X_j之间的相似度，ρ是特征空间中所需超平面的补偿量，l为训练集的数据量；

当f(X_j)≥0时，则认为X_j判定为“正常”，即位于训练集一侧，否则则判定为“异常”。

6.根据权利要求5所述的方法，其特征在于，利用K-CV方法和网格参数法对基于OCSVM的异常行为检测模型中的OCSVM的核函数的参数和特征空间中所需超平面的惩罚因子ξ_i进行参数调优，并调整滑动窗口的长度L进行多次测试，选取出准确率最高的长度L’，完成所述OCSVM的构建；

准确率是指，采用长度为L的窗口获取到的样本进行训练与测试，被正确分类的样本数和全部样本数的百分比。

7.一种基于OCSVM的电网异常行为分析方法，其特征在于，若从电网运行数据中的通信数据包属于风险数据包或者异常数据包时，将风险数据包、异常数据包和获得的带有电网运行行为标签的电网运行行为序列输入到异常行为分析模型进行分析，生成分析报告；

其中，风险数据包、异常数据包和电网运行行为标签采用权利要求1-6任一项所述方法获得；

若电网运行数据中的通信数据包中操作码的周期序列对应的电网运行行为序列被若判定为“异常”，则开辟一个新的进程，扩大滑动窗口，对选出通信数据包中操作码的周期序列分别从前向、后向和双向重新截取行为序列，依次输入到基于OCSVM的异常行为检测模型中进行重检测，若每个序列都判定为“正常”，则更改标签为“正常行为序列”，若其中任一序列判定仍为“异常”，则标签仍为“异常行为序列”，并将选出通信数据包中操作码的周期序列提交至异常行为分析模型进行分析；

S3、所述异常行为分析模型对标记为“风险数据包”、“异常数据包”的通信数据包和标记为“异常行为序列”的电网运行行为序列进行已知攻击匹配和未知异常关联分析，其具体步骤如下：

S31、首先通过与知识库中的已知攻击行为的行为序列进行比较进行已知攻击匹配；

若已知攻击行为序列与“异常行为序列”的长度相差较大，则先求出已知攻击行为序列与“异常行为序列”的最长公共子序列，再使用距离算法计算其相似度，若相似度达到设定阈值，则认为发生了对应的攻击行为，并设置该序列的标签为“已知攻击序列”，生成攻击行为报为报告，并将报告上传至监控中心，监控中心根据攻击行为报告做出决策，并将攻击警示给其他接入侧的厂站；否则设置该序列的标签为“非已知攻击异常”；

S32、对于“风险数据包”、“异常数据包”和“非已知攻击异常序列”，通过建立异常风险有向图，对与异常风险根节点进行信息获取的其他节点展开未知异常关联分析：

异常风险有向图定义为G′＝<R,S>，是所述电力设备工控有向图G＝<V,E>的子图；定义“风险数据包”、“异常数据包”的发起节点为异常风险根节点；设所述“非已知攻击异常序列”发生在有向边s＝(r₁,r₂)，其中r₁,r₂∈V,s∈E；定义“非已知攻击异常序列”第一个数据包的时间戳为T₀，定义该“非已知攻击异常序列”的第一个数据包的发起节点r₁为异常风险根节点；

设置风险深度为h，将风险根节点在图G＝<V,E>的后继节点和有向边添加入异常风险有向图中，再以图中各节点为起点加入它们在图G＝<V,E>中的后继节点进行图扩展，共进行h次扩展，则图的最长路径长度为h；

最后得到异常风险有向图G′＝<R,S>，其节点集合为R＝{r₁,r₂,...,r_x,...,r_n}和有向边集合S＝{s₁,s₂,...,s_n}，定义I为异常风险节点集合，S为异常风险有向边集合；

S33、收集异常风险有向图上各节点的安全信息，对日志文件进行解析，生成节点的异常矩阵，进而可根据矩阵快速查看主机异常行为发生的时间段、发生的先后顺序安全信息；

对与异常风险有向图G′＝<R,S>中的每个节点r_x，定义r_x{a₁,a₂,...,a_k}，其中a_k表示在该异常风险节点上可能发生的主机异常行为，包括权限扩大、频繁扫描、越权操作、错误密码尝试、非法连接；

收集异常风险有向图上各个节点的日志信息分析是否发生上述主机异常行为：

定义a_k对应的列向量为

记录a_k在时间点T₀后每个时间段的异常情况，初始化为零向量；对日志文件进行解析，当检测到有主机异常行为a_k发生时，

在对应时间段上的值由0变为1，并且之后都为1，最后生成节点的异常矩阵为

进而根据异常矩阵快速查看主机异常行为发生的具体时间点、异常行为之间发生的先后顺序信息；

S34、收集异常风险有向图上各边上的安全信息；

对于每条边s_x，定义s_x{b₁,b₂,...,b_k}，其中b_k表示在该异常风险有向边上可能发生的网络异常行为，包括IP异常、端口异常、未知协议、流量增加、行为异常；

通过遍历搜索异常库中收集到的其他网络异常事件进行关联分析：在异常数据库中遍历异常风险有向图中每条有向边上是否存在网络异常事件，进而计算出该条有向边的异常系数

并将

作为该条有向边的权值；所述异常库中收集到达其他网络异常事件为收集的风险数据包，所述

为搜集到的风险数据包的异常参数ψ_p的和；

S35、根据收集到的安全信息在异常风险有向图模型上进行路径匹配分析；

以异常风险根节点为起点，使用广度优先遍历算法，查看各节点的主机行为异常矩阵，若矩阵有值为1的元素，则认为有异常主机行为发生并进行标记，进而对各异常行为矩阵进行矩阵相似度关联分析，查看各主机异常行为发生的时间关联、顺序关联；

结合有向边的异常系数，对于异常系数值较高的有向边和有向边对应的节点进行连通图分析，判断这些节点和有向边是否互联形成异常生成路径，生成未知异常分析报告，作为判定是否发生攻击的判断依据，并将报告上传至监控中心，监控中心根据异常行为报告做出决策，并将异常行为的分析报告共享给其他接入侧的厂站。

8.一种基于OCSVM的电网异常行为检测系统，其特征在于，包括：

电网历史运行数据预处理模块：获取待检测区域的电网历史运行数据，构建电力设备工控有向图，并对电网历史运行数据中的通信数据包采用结构化表示；

通信数据包标记模块：按照设定的检测规则，基于电力设备工控有向图中的节点和连接边对采用结构化表示的通信数据包进行检测，获得通信数据包的检测标签，所述检测标签包括正常数据包、异常数据包以及风险数据包；

异常行为检测模型构建模块：提取电力设备工控有向图中有向边上的历史通信数据包中的操作码的周期序列，并对操作码的周期序列对应的电网运行行为进行人工标记，获得电网运行行为标签；将操作码的周期序列使用长度为L的时间窗口截取周期序列的子操作序列，构造出电网运行行为的操作集合对应的电网运行行为特征，以电网运行行为特征作为输入数据，以对应的电网运行行为标签作为输出数据，构建并训练基于OCSVM的异常行为检测模型；

电网运行行为标签实时获取模块：从电网运行数据中的通信数据包中选出通信数据包中操作码的周期序列，使用长度为L的时间窗口截取周期序列的子操作序列构造出电网运行行为的操作集合对应的电网运行行为特征，并输入所构建的异常行为检测模型，获得电网运行行为标签；

其中，L≤周期序列长度。

9.一种可读存储介质，包括计算机程序，其特征在于，所述计算机程序指令被处理终端执行时使所述处理终端执行权利要求1至6任一项所述的方法。

Images