CN113887633A - 基于il的闭源电力工控系统恶意行为识别方法及系统 - Google Patents

基于il的闭源电力工控系统恶意行为识别方法及系统 Download PDF

Info

Publication number
CN113887633A
CN113887633A CN202111169081.4A CN202111169081A CN113887633A CN 113887633 A CN113887633 A CN 113887633A CN 202111169081 A CN202111169081 A CN 202111169081A CN 113887633 A CN113887633 A CN 113887633A
Authority
CN
China
Prior art keywords
malicious behavior
closed
malicious
source power
power engineering
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202111169081.4A
Other languages
English (en)
Other versions
CN113887633B (zh
Inventor
陈岑
郭志民
吕卓
杨文�
李暖暖
柴艳玉
张晓良
吴克河
张铮
蔡军飞
李鸣岩
张伟
常昊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
State Grid Corp of China SGCC
North China Electric Power University
Electric Power Research Institute of State Grid Henan Electric Power Co Ltd
Original Assignee
State Grid Corp of China SGCC
North China Electric Power University
Electric Power Research Institute of State Grid Henan Electric Power Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by State Grid Corp of China SGCC, North China Electric Power University, Electric Power Research Institute of State Grid Henan Electric Power Co Ltd filed Critical State Grid Corp of China SGCC
Priority to CN202111169081.4A priority Critical patent/CN113887633B/zh
Publication of CN113887633A publication Critical patent/CN113887633A/zh
Application granted granted Critical
Publication of CN113887633B publication Critical patent/CN113887633B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/21—Design or setup of recognition systems or techniques; Extraction of features in feature space; Blind source separation
    • G06F18/214—Generating training patterns; Bootstrap methods, e.g. bagging or boosting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/24—Classification techniques
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Artificial Intelligence (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Evolutionary Computation (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Computational Linguistics (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Biophysics (AREA)
  • Evolutionary Biology (AREA)
  • General Health & Medical Sciences (AREA)
  • Molecular Biology (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Image Analysis (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

基于IL的闭源电力工控系统恶意行为识别方法，包括如下步骤：获取闭源电力工控系统底层多域数据并对数据进行预处理，形成样本集；对样本集进行类别标注，并设定比例将图像随机划分为训练集和测试集；构建恶意行为分类模型并对其进行训练，得到经过训练的恶意行为分类模型；基于训练后的恶意行为分类模型对待分类恶意行为进行分类；当闭源电力工控系统出现新数据流时，结合新数据流基于增量学习动态调整恶意行为分类模型；基于调整后的恶意行为分类模型对待分类恶意行为进行分类。本发明能够在闭源电力工控系统中有新的数据流出现时，对分类模型进行动态调整从而确保其使用时的准确性，并通过调整样本集数量减小了模型动态更新的开销。

Description

基于IL的闭源电力工控系统恶意行为识别方法及系统
技术领域
本发明属于电力信息安全领域，更具体地，涉及一种基于IL的闭源电力工控系统恶意行为识别方法及系统。
背景技术
随着经济的不断发展，电力需求也越来越大，电力系统的整体运营和规划正受到各种科学技术发展的冲击，面临着各种各样的问题，电力行业的网络安全也日益严峻。恶意行为检测是信息安全领域的研究重点，在电力工控系统中也起到了非常重要的安全防护作用。恶意行为，是为实现一定的目的针对某一目标所采取的一系列操作的过程，是一个不断向攻击目的逼近的动态过程。通常采用扫描、口令攻击、恶意代码、缓冲区溢出、欺骗、后门、会话劫持、网络监听、拒绝服务等方法，对目标网络或系统产生影响和破坏，如篡改信息、骗取和假冒数据、盗取服务和资源、破坏系统可用性等。对恶意行为进行识别是保护电力行业网络安全的重要措施。
传统的识别恶意行为的方法主要是特征检测法。基于特征码的特征检测法只能对已存在于数据库中的恶意行为进行检测，对未知的恶意行为无能为力。并且，随着信息技术的不断发展，为避开检测系统对恶意行为的识别，攻击者将恶意行为转移至底层系统。如，Rootkit木马会对PLC系统底层组件构成威胁。除此之外，恶意行为识别在电力行业的研究还比较少。目前，电力行业的恶意行为防护大致有两种类型，即恶意行为的事前防御和恶意行为的事后清除。修改注册表、发恶意电子邮件、恶意网页攻击是当前恶意行为攻击的主要途径，可以通过修改注册表，设置相应的软件防患于未然，即恶意行为的事前防御。使用杀毒软件对恶意行为进行查杀、清除或者手动删除即恶意行为的事后清除。而对于未知及隐藏的恶意行为不能及时准确的进行识别和防护，从中可以看出目前电力行业的恶意行为识别仍然存在很多的问题和缺陷。
网络隔离技术是当前保障电力工业控制系统网络安全较为有效的措施之一，通过网络隔离装置，可以对服务进行过滤，对基于路由的攻击进行保护，并且将电力工控系统与其他系统划分开，以此实现网段隔离，并对系统中的安全漏洞进行隐藏。目前在电力工控系统中还没有基于流量信息去检测恶意行为的技术，电力工控系统的恶意行为识别主要基于电力工控网络的日志和流量信息去检测未知的行为，以保障工控电力系统的安全，存在处理数据量、实时性、准确性和可靠性等方面的不足。
发明内容
为解决现有技术中存在的不足，本发明的目的在于，提供一种闭源电力工控系统恶意行为识别方法及系统，通过增量学习的方法，基于形式化表征的闭源电力工控系统底层多域数据，构建恶意行为识别的动态模型。
本发明采用如下的技术方案。
基于IL的闭源电力工控系统恶意行为识别方法，包括如下步骤：
步骤1，获取闭源电力工控系统底层多域数据并对数据进行预处理，将数据变换为图像并形成样本集；
步骤2，对样本集进行类别标注，类别包括图像是否属于恶意行为以及所属的恶意行为类别，并设定比例将图像随机划分为训练集和测试集；
步骤3，构建恶意行为分类模型并对其进行训练，得到经过训练的恶意行为分类模型；
步骤4，基于训练后的恶意行为分类模型对待分类恶意行为进行分类，得到恶意行为对应的类别；
步骤5，当闭源电力工控系统出现新数据流时，结合新数据流基于增量学习动态调整恶意行为分类模型；
步骤6，基于调整后的恶意行为分类模型对待分类恶意行为进行分类。
优选地，闭源电力工控系统的底层多域数据为二进制文件，对数据的预处理包括将闭源电力工控系统的底层多域数据由二进制文件转换为图像形式。
优选地，步骤1中对数据进行预处理还包括如下步骤：
读取二进制文件的长度，设定宽度并根据指定的宽度计算出多余的字节，去掉多余的字节将二进制文件读入一个unit8数组中；
变换数组的形式，将unit8数组转换为二维数组；
将二维数组转换为灰度图图像。
优选地，步骤2中：根据样本集中图像对应的底层多域数据是否为恶意行为、以及该恶意行为的类别，通过人工标注的方式对样本集进行类别标注。
优选地，步骤3中：基于最近均值分类策略构建恶意行为分类模型，基于步骤2中得到的训练集训练恶意行为识别模型，并在测试阶段使用测试集对恶意行为识别模型进行测试。
优选地，对恶意行为分类模型的训练还包括：通过提取图片特征来训练模型，基于特征的自动化最优选择策略，根据信息增益率以及皮尔逊相关系数三个指标的重要性度量，自动选择出最优的特征集合。
优选地，步骤4中，对待分类恶意行为进行分类还包括如下步骤：
步骤4-1，获取各类别样本集的原型，将每个类别的样本集中恶意行为特征向量的平均值作为该类别的原型；
步骤4-2，通过卷积神经网络提取待分类的恶意行为行为的特征向量；
步骤4-3，计算该特征向量与各类别的原型之间的距离，选取距离最近的原型对应的类别作为分类结果。
优选地，步骤5中，基于类增量学习动态调整恶意行为分类模型还包括如下步骤：
步骤5-1，基于新类样本集和旧类样本集训练更新恶意行为分类模型的参数；
步骤5-2，根据闭源电力工控系统的存储空间，获取每个类别可保留的样本数；
步骤5-3，进行样本管理，包括为新类别选取样本集，以及调整旧类别样本集的大小，；
步骤5-4，结合新类别样本集和旧类别样本集进行数据增广，构建最终训练数据集；
步骤5-5，提取样本在恶意行为分类模型的卷积神经网络上的响应；
步骤5-6，使用最终训练数据集对恶意行为分类模型进行训练，得到训练后的新恶意行为分类模型。
基于IL的闭源电力工控系统恶意行为识别系统，其特征在于，包括：数据预处理模块、恶意行为分类模块和动态调整模块；
数据处理模块用于接收闭源电力工控系统终的数据流，并对其进行预处理；
恶意行为分类模块用于对闭源电力工控系统终的恶意行为分类进行分类；
动态调整模块用于结合新数据流对恶意行为分类模块进行更新。
优选地，动态调整模块包括样本调整模块和训练模块；样本调整模块用于在闭源电力工控系统中出现新的数据流时，结合新数据流进行样本的更新和管理，训练模块能够基于更新后的样本集对恶意行为分类模块进行训练和调整，得到新的恶意行为分类模型。
本发明的有益效果在于，与现有技术相比，本发明基于增量学习机制，能够保证恶意行为分类模型在保留旧的知识的基础上学习新的知识，当闭源电力工控系统中有新的数据流出现时，就可以对模型进行训练，实现对模型的动态调整从而确保其使用时的准确性，并通过调整样本集数量，确保闭源电力工控系统的存储空间的充分利用，减小了模型动态更新的开销；
本发明的有益效果至少包括：
1、本发明通过从闭源工控系统底层多域数据中选出最能反映原始特征数据分布特性的一个最优子集实现数据降维，选取的子集不但能够降低学习机的计算开销，而且能去掉无关或冗余的特征，进而排除干扰并提高学习机的整体学习性能和泛化能力；
2、本发明能够根据闭源电力工控系统中的新数据流更新模型，对于任何时间在已经学习过的恶意行为类别中都能达到很好的分类效果；
3、在闭源电力工控系统中，增量学习的计算需求和内存占用是有限的或者随着当前类别的数量缓慢增加，通过调整样本集数量，保证可用内存始终被充分利用但不会超过。
附图说明
图1为本发明基于IL的闭源电力工控系统恶意行为识别方法的整体流程示意图；
图2为本发明中增量学习机制的示意图；
图3为本发明基于IL的闭源电力工控系统恶意行为识别系统的结构示意图。
具体实施方式
下面结合附图对本申请作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本申请的保护范围。
参照图1的示意，图1为本发明提供的基于IL的闭源电力工控系统恶意行为识别方法的整体流程示意图，该方法具体包括以下步骤：
步骤1，获取闭源电力工控系统底层多域数据并对数据进行预处理，将数据变换为图像并形成样本集；
闭源电力工控系统具有封闭、代码不开源、部分协议私有等特点，且闭源电力工控系统中底层多域数据的类型繁多，不仅增加了存储的开销，还会对分类模型的训练效率和性能产生很大的影响，因此需要对数据进行预处理。
获取的底层多域数据为二进制文件，本发明中对数据的预处理包括将闭源电力工控系统的底层多域数据由二进制文件转换为图像形式，具体包括以下步骤：
读取二进制文件的长度，根据指定的宽度，计算出多余的字节，并去掉多余的字节将二进制文件读入一个unit8数组中；其中，本实施例中指定的宽度为128字节。
使用reshape()方法变换数组的形式，将unit8数组变换为二维数组；
进一步将二维数组转换为灰度图图像，将灰度图图像的集合作为样本集。
需要注意的是，样本集中应当包含各种类别的恶意行为对应的图像，可以通过下载现有已做好分类的数据集对样本集进行补充。
步骤2，对样本集进行类别标注，类别包括图像是否属于恶意行为以及所属的恶意行为类别，并设定比例将图像随机划分为训练集和测试集；
步骤2中：根据样本集中图像对应的底层多域数据是否为恶意行为、以及该恶意行为的类别，通过人工标注的方式对样本集进行类别标注。
根据数据是否为恶意行为，将其对应的灰度图图像进行分类，具体的，将恶意行为对应的灰度图图像类别标记为0，良性行为对应的灰度图图像类别标记为1。
设定比例将样本集图像进行划分，本实施例中按照8∶2的比例随机将样本集图像划分为训练集和测试集。
步骤3，构建恶意行为分类模型并对其进行训练，得到经过训练的恶意行为分类模型；
具体的，基于步骤2中得到的训练集训练恶意行为识别模型，并在测试阶段使用测试集对恶意行为识别模型进行测试，测试时，通过训练后的恶意行为识别模型识别样本的恶意行为类别，比较预测的类别和实际类别是否一致，从而得到识别的准确率。本发明基于最近均值分类策略(Nearest-Mean-of-Exemplars Classfication，NME)构建恶意行为分类模型并对恶意行为进行分类，
进一步的，本发明通过提取图片特征来训练模型，为了能够降低学习机的计算开销，而且能去掉无关或冗余的特征，进而排除干扰并提高学习机的整体学习性能和泛化能力，通过特征选择选取出最能反映原始特征数据分布特性的最优子集实现数据降维。本实施例引入基于特征的自动化最优选择策略，根据信息增益率以及皮尔逊相关系数三个指标的重要性度量，自动选择出最优的特征集合。
本发明中，以信息增益度量特征辨识能力(辨识度)，以皮尔森相关系数度量特征独立性，通过将所有特征散列在以辨识度为横坐标、独立性为纵坐标的空间，综合选择位于空间区域辨识度和独立性都较大的特征。
其中，基于信息增益的特征选择包括：
令X为随机变量，如果X随机变量的变化越多，通过它获取的信息量就越大，X的信息熵定义为：
Figure BDA0003290068680000061
熵在信息理论表示任何一种能量在空间中分布的均匀程度，能量分布越均匀，越不确定，熵就越大，而信息熵是信息的量化度量，是衡量一个随机变量取值的不确定性程度。信息增益是信息熵的差，表示在消除不确定性后获得的信息量。
通过观察随机变量Y获得的关于随机变量X的信息熵定义为
Figure BDA0003290068680000062
信息增益是信息熵的差，表示在消除不确定性后获得的信息量，定义为：
IG(X，Y)＝H(X)-H(X|Y)
信息增益是信息论中的一个重要概念，被广泛应用在机器学习领域。对分类系统来说，计算信息增益是针对一个一个的特征项而言的，它通过统计某一个特征项t在类别C中出现与否的数量来计算特征项t对类别C的信息增益，定义为考虑出现前后的信息熵之差，定义为：
Figure BDA0003290068680000071
算法ID3就是采用信息增益来作为判断是否用该属性划分数据集的标准。
其中，基于皮尔森的特征选择包括：
皮尔逊相关系数法是一种准确度量两个变量之间的关系密切程度的统计学的方法。对于两个变量x和y，通过试验可以得到若干组数据，记为(xi，yi)(i＝1，2，...，n)，则相关系数的数学表达式为：
Figure BDA0003290068680000072
式(1)中，
Figure BDA0003290068680000073
分别为n个试验值的均值。相关系数r的取值范围在-1和+1之间，即|r|≤1。|r|越接近1，则表明x与y线性相关程度越高。若r＝-1，表明x与y之间为完全负线性相关关系；若r＝+1，表明x与y之间为完全正线性相关关系；若r＝0，表明两者不存在线性相关关系。
一般情况下，r的取值在(-1，1)之间，相关程度可分为以下几种情况：当|r|≥0.8时，可视为高度相关；0.5≤|r|＜0.8时，视为中度相关；0.3≤|r|＜0.5时，视为低度相关；当|r|＜0.3时，说明两个变量之间的相关程度极弱，可视为非线性相关。
步骤4，通过恶意行为分类模型对待分类恶意行为进行分类，得到恶意行为对应的类别；
步骤4具体包括以下步骤：
步骤4-1，获取各类别样本集的原型；
其中，各类别的初始样本集可以为现有已经分类好的样本集，将各类别的现有样本集作为初始的样本集，通过提取每个类别的样本集包含的m个恶意行为的特征向量，并求得平均值μy，将得到的平均值μy作为该类别的原型，即特征向量；
定义类别y，其平均值μy的计算式为：
Figure BDA0003290068680000081
其中，
Figure BDA0003290068680000082
表示类别y的样本集中第p个样本对应的特征向量，Py＝m。
步骤4-2，提取待分类恶意行为对应的特征向量；
本发明采用卷积神经网络(CNN)作为特征提取器
Figure BDA0003290068680000083
提取特征向量的过程还包括：
步骤4-2-1，在卷积神经网络的卷积层使用3*3的卷积核对输入层输入的待分类恶意行为对应的灰度图图像进行卷积，通过卷积滤波器提取局部特征；
步骤4-2-2，在采样层基于局部相关性原理对提取到的局部特征进行亚采样，从而在减少数据量的同时保留有用信息；
步骤4-2-3，通过复合卷积层和采样层将原始待分类恶意行为的图像x映射成为特征向量
Figure BDA0003290068680000084
步骤4-3，计算该特征向量与各类别的原型μy之间的距离，选取距离最近的原型对应的类别作为分类结果。
具体的，定义y*为待分类恶意行为对应的类别，y*满足：
Figure BDA0003290068680000085
其中，argmin表示取最小值，t表示类别总数。
步骤5，当闭源电力工控系统出现新数据流时，结合新数据流基于增量学习动态调整恶意行为分类模型；
参照图2的示意，当闭源电力工控系统出现新数据流时，基于增量学习机制动态调整恶意行为分类模型，能够保证模型在已经学习过的恶意行为类别和新数据的恶意行为类别中都能达到很好的分类效果。
具体的，本发明采用基于回放的类增量学习方法训练恶意行为分类模型实现对其的动态调整。类增量学习方法能够一次处理成批的类，处理时每次按照优先级原则，选取每个类中最接近平均特征向量的前m个样本加入到样本集中，与新数据一起训练，从而保证分类模型在学习新知识时不会遗忘学到的旧知识，使分类模型能够根据恶意行为信息流不断的更新模型，并且能够通过不断训练和更新分类模型解决随着时间变化分类模型可能会出现的概念漂移问题。
基于类增量学习训练恶意行为分类模型还包括以下步骤，
步骤5-1，基于新类样本集Xs，Xs+1，...，Xt和旧类样本集X1，X2，...，Xs-1训练更新恶意行为分类模型的参数Θ；其中，新类样本集为基于新数据流得到的样本集，在此之前的样本集作为旧类样本集。
使用卷积神经网络作为一个可训练的特征提取器，且：
Figure BDA0003290068680000091
其中，
Figure BDA0003290068680000092
表示提取得到的特征向量，
Figure BDA0003290068680000093
表示样本空间，
Figure BDA0003290068680000094
表示特征提取器。
参数Θ包括固定数量的特征提取参数和可变数量的权重向量，定义y表示类别，t为类别总个数，则y∈{1，2，...，t}。对于任何类别y，得到的卷积神经网络输出gy(x)为：
Figure BDA0003290068680000095
其中，ay(x)表示中间变量，
Figure BDA0003290068680000096
表示权值向量的转置。
步骤5-2，根据闭源电力工控系统的存储空间，获取每个类别可保留的样本数；
具体的，定义k为存储空间，即样本集中可以保留的样本总数量为k，存储空间由闭源电力工控系统决定，每个类别可保留的样本数m的计算式如下：
m＝k/t
其中，t表示类别总数。
步骤5-3，进行样本管理，所述样本管理包括为新类别选取样本集，以及调整旧类别样本集的大小，样本管理还包括以下步骤：
步骤5-3-1，构建新类别y∈{s，s+1，...，t}的样本集Xs，Xs+1，...，Xt，且每个类别包括m个样本；
具体的，计算新类样本集的类平均向量μ，选取前m个最接近类平均向量的恶意行为加入到对应类的样本集中，并保证样本集的有序性：
Figure BDA0003290068680000101
Figure BDA0003290068680000102
其中，X表示新类样本集，新类样本集X中包含n个样本，
Figure BDA0003290068680000103
表示样本x的特征向量，
步骤5-3-2，对旧类别y∈{1，2，...，s-1}的样本集X1，X2，...，Xs-1中的样本进行删减，删减后每个类别的样本数为m；
由于旧类样本集是有序的因此，在进行旧类别样本选取的时候只需要按照优先级选取靠前的m个样本作为更新后的旧类样本集即可。
步骤5-4，构建最终训练数据集；
具体的，结合新类别的样本集Xs，Xs+1，...，Xt和旧类别的样本集X1，X2，...，Xs-1共同进行数据增广，作为最终训练数据集；
步骤5-5，提取样本在恶意行为分类模型的卷积神经网络上的响应
Figure BDA0003290068680000104
满足以下计算式：
Figure BDA0003290068680000105
其中，xi表示样本。
步骤5-6，使用最终训练数据集对恶意行为分类模型进行训练，得到训练后的新恶意行为分类模型。
每个训练步骤由70个epochs组成，学习率从2.0开始，在经过49个epochs之后变为0.4，63个epochs之后变为0.08。每一轮训练过程中使用的损失函数包括分类损失函数和蒸馏损失函数，即损失函数l(Θ)满足：
l(Θ)＝lclassfication(θ)+ldistillation(θ)
其中，lclassfication(θ)表示分类损失函数，ldistillation(θ)表示蒸馏损失函数，且分类损失函数和蒸馏损失函数分别满足：
Figure BDA0003290068680000106
Figure BDA0003290068680000107
其中，D表示数据样本，
δ表示超参数。
其中，分类损失函数用于使数据能够区分为当前类别数据以及样本数据，蒸馏损失函数用于确保在训练新类别样本的过程中，过去学习的分类信息不会被遗忘，从而达到了防止或减轻灾难性遗忘问题的效果。
步骤6，基于调整后的恶意行为分类模型对待分类恶意行为进行分类。
具体的，将步骤5中得到的训练后的新恶意行为分类模型用于待分类恶意行为的分类，得到待分类恶意行为的对应类别。
参照图3的示意，本发明还提供了基于IL的闭源电力工控系统恶意行为识别系统，上述基于IL的闭源电力工控系统恶意行为识别方法能够基于该系统实现。基于IL的闭源电力工控系统恶意行为识别系统包括：数据预处理模块、恶意行为分类模块和动态调整模块；
其中，数据预处理模块用于接收闭源电力工控系统终的数据流，并对其进行预处理；
恶意行为分类模块用于对闭源电力工控系统终的恶意行为分类进行分类；
动态调整模块用于结合新数据流对恶意行为分类模块进行更新。
动态调整模块包括样本调整模块和训练模块，样本调整模块用于在闭源电力工控系统中出现新的数据流时，结合新数据流进行样本的更新和管理，训练模块能够基于更新后的样本集对恶意行为分类模块进行训练和调整，得到新的恶意行为分类模型。
名词释义：
IL：Incremental Learning，增量学习。
本发明申请人结合说明书附图对本发明的实施示例做了详细的说明与描述，但是本领域技术人员应该理解，以上实施示例仅为本发明的优选实施方案，详尽的说明只是为了帮助读者更好地理解本发明精神，而并非对本发明保护范围的限制，相反，任何基于本发明的发明精神所作的任何改进或修饰都应当落在本发明的保护范围之内。

Claims (10)

1.基于IL的闭源电力工控系统恶意行为识别方法，其特征在于，包括如下步骤：
步骤1，获取闭源电力工控系统底层多域数据并对数据进行预处理，将数据变换为图像并形成样本集；
步骤2，对样本集进行类别标注，类别包括图像是否属于恶意行为以及所属的恶意行为类别，并设定比例将图像随机划分为训练集和测试集；
步骤3，构建恶意行为分类模型并对其进行训练，得到经过训练的恶意行为分类模型；
步骤4，基于训练后的恶意行为分类模型对待分类恶意行为进行分类，得到恶意行为对应的类别；
步骤5，当闭源电力工控系统出现新数据流时，结合新数据流基于增量学习动态调整恶意行为分类模型；
步骤6，基于调整后的恶意行为分类模型对待分类恶意行为进行分类。
2.根据权利要求1所述的基于IL的闭源电力工控系统恶意行为识别方法，其特征在于：
闭源电力工控系统的底层多域数据为二进制文件，对数据的预处理包括将闭源电力工控系统的底层多域数据由二进制文件转换为图像形式。
3.根据权利要求2所述的基于IL的闭源电力工控系统恶意行为识别方法，其特征在于：
步骤1中对数据进行预处理还包括如下步骤：
读取二进制文件的长度，设定宽度并根据指定的宽度计算出多余的字节，去掉多余的字节将二进制文件读入一个unit8数组中；
变换数组的形式，将unit8数组转换为二维数组；
将二维数组转换为灰度图图像。
4.根据权利要求1所述的基于IL的闭源电力工控系统恶意行为识别方法，其特征在于：
步骤2中：根据样本集中图像对应的底层多域数据是否为恶意行为、以及该恶意行为的类别，通过人工标注的方式对样本集进行类别标注。
5.根据权利要求1所述的基于IL的闭源电力工控系统恶意行为识别方法，其特征在于：
步骤3中：基于最近均值分类策略构建恶意行为分类模型，基于步骤2中得到的训练集训练恶意行为识别模型，并在测试阶段使用测试集对恶意行为识别模型进行测试。
6.根据权利要求1或5所述的基于IL的闭源电力工控系统恶意行为识别方法，其特征在于：
对恶意行为分类模型的训练还包括：通过提取图片特征来训练模型，基于特征的自动化最优选择策略，根据信息增益率以及皮尔逊相关系数三个指标的重要性度量，自动选择出最优的特征集合。
7.根据权利要求1所述的基于IL的闭源电力工控系统恶意行为识别方法，其特征在于：
步骤4中，对待分类恶意行为进行分类还包括如下步骤：
步骤4-1，获取各类别样本集的原型，将每个类别的样本集中恶意行为特征向量的平均值作为该类别的原型；
步骤4-2，通过卷积神经网络提取待分类的恶意行为行为的特征向量；
步骤4-3，计算该特征向量与各类别的原型之间的距离，选取距离最近的原型对应的类别作为分类结果。
8.根据权利要求1所述的基于IL的闭源电力工控系统恶意行为识别方法，其特征在于，
步骤5中，基于类增量学习动态调整恶意行为分类模型还包括如下步骤：
步骤5-1，基于新类样本集和旧类样本集训练更新恶意行为分类模型的参数；
步骤5-2，根据闭源电力工控系统的存储空间，获取每个类别可保留的样本数；
步骤5-3，进行样本管理，包括为新类别选取样本集，以及调整旧类别样本集的大小，；
步骤5-4，结合新类别样本集和旧类别样本集进行数据增广，构建最终训练数据集；
步骤5-5，提取样本在恶意行为分类模型的卷积神经网络上的响应；
步骤5-6，使用最终训练数据集对恶意行为分类模型进行训练，得到训练后的新恶意行为分类模型。
9.利用权利要求1～8中任一权利要求所述基于IL的闭源电力工控系统恶意行为识别方法的基于IL的闭源电力工控系统恶意行为识别系统，其特征在于，包括：数据预处理模块、恶意行为分类模块和动态调整模块；
数据处理模块用于接收闭源电力工控系统终的数据流，并对其进行预处理；
恶意行为分类模块用于对闭源电力工控系统终的恶意行为分类进行分类；
动态调整模块用于结合新数据流对恶意行为分类模块进行更新。
10.根据权利要求9所述的基于IL的闭源电力工控系统恶意行为识别系统，其特征在于，
动态调整模块包括样本调整模块和训练模块；样本调整模块用于在闭源电力工控系统中出现新的数据流时，结合新数据流进行样本的更新和管理，训练模块能够基于更新后的样本集对恶意行为分类模块进行训练和调整，得到新的恶意行为分类模型。
CN202111169081.4A 2021-09-30 2021-09-30 基于il的闭源电力工控系统恶意行为识别方法及系统 Active CN113887633B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111169081.4A CN113887633B (zh) 2021-09-30 2021-09-30 基于il的闭源电力工控系统恶意行为识别方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111169081.4A CN113887633B (zh) 2021-09-30 2021-09-30 基于il的闭源电力工控系统恶意行为识别方法及系统

Publications (2)

Publication Number Publication Date
CN113887633A true CN113887633A (zh) 2022-01-04
CN113887633B CN113887633B (zh) 2023-06-27

Family

ID=79005496

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111169081.4A Active CN113887633B (zh) 2021-09-30 2021-09-30 基于il的闭源电力工控系统恶意行为识别方法及系统

Country Status (1)

Country Link
CN (1) CN113887633B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114257454A (zh) * 2021-12-27 2022-03-29 电子科技大学 适用于工控系统中基于特征热力图的恶意流量识别方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110765458A (zh) * 2019-09-19 2020-02-07 浙江工业大学 一种基于深度学习的恶意软件检测方法及其装置
JP2020191080A (ja) * 2019-05-21 2020-11-26 富士通株式会社 増分学習のためのデータ認識方法
CN112883995A (zh) * 2020-12-30 2021-06-01 华北电力大学 基于集成学习的闭源电力工控系统恶意行为识别方法及装置
CN112906002A (zh) * 2021-03-26 2021-06-04 山西三友和智慧信息技术股份有限公司 一种基于深度学习的恶意软件识别方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020191080A (ja) * 2019-05-21 2020-11-26 富士通株式会社 増分学習のためのデータ認識方法
CN110765458A (zh) * 2019-09-19 2020-02-07 浙江工业大学 一种基于深度学习的恶意软件检测方法及其装置
CN112883995A (zh) * 2020-12-30 2021-06-01 华北电力大学 基于集成学习的闭源电力工控系统恶意行为识别方法及装置
CN112906002A (zh) * 2021-03-26 2021-06-04 山西三友和智慧信息技术股份有限公司 一种基于深度学习的恶意软件识别方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
李旭阳 等: "基于集成学习的智能电网主机恶意软件检测方法" *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114257454A (zh) * 2021-12-27 2022-03-29 电子科技大学 适用于工控系统中基于特征热力图的恶意流量识别方法

Also Published As

Publication number Publication date
CN113887633B (zh) 2023-06-27

Similar Documents

Publication Publication Date Title
CN109768985B (zh) 一种基于流量可视化与机器学习算法的入侵检测方法
CN111585997B (zh) 一种基于少量标注数据的网络流量异常检测方法
CN109962909B (zh) 一种基于机器学习的网络入侵异常检测方法
CN111818198B (zh) 域名检测方法、域名检测装置和设备以及介质
CN111143838B (zh) 数据库用户异常行为检测方法
Xu Adaptive intrusion detection based on machine learning: feature extraction, classifier construction and sequential pattern prediction
CN110351291B (zh) 基于多尺度卷积神经网络的DDoS攻击检测方法及装置
Wei et al. Strategic application of ai intelligent algorithm in network threat detection and defense
CN117614742B (zh) 一种蜜点感知增强的恶意流量检测方法
CN115811440B (zh) 一种基于网络态势感知的实时流量检测方法
Karanam et al. Intrusion detection mechanism for large scale networks using CNN-LSTM
CN114547598A (zh) 一种改进byol自监督学习的网络入侵检测方法
CN117040939A (zh) 基于改进视觉自注意力模型的车载网络入侵检测方法
CN116707992A (zh) 一种基于生成对抗网络的恶意流量规避检测方法
CN110097120B (zh) 网络流量数据分类方法、设备及计算机存储介质
CN113887633A (zh) 基于il的闭源电力工控系统恶意行为识别方法及系统
CN116756578A (zh) 车辆信息安全威胁聚合分析预警方法及系统
Ghazal et al. Cybersecurity in deep learning techniques: Detecting network attacks
Rinish Reddy et al. Convolutional neural network based intrusion detection system and predicting the DDoS attack
Jeyanna et al. A network intrusion detection system using clustering and outlier detection
Sivanantham et al. Web Hazard Identification and Detection Using Deep Learning-A Comparative Study
Wu et al. AMS Intrusion Detection Method Based on Improved Generalized Regression Neural Network
CN116647374B (zh) 一种基于大数据的网络流量入侵检测方法
Gyamfi et al. Automated system-level anomaly detection and classification using modified random forest
CN115442309B (zh) 一种基于图神经网络的包粒度网络流量分类方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant