CN114826751A - 一种多目标信息融合的卡尔曼滤波网络防控方法 - Google Patents

一种多目标信息融合的卡尔曼滤波网络防控方法 Download PDF

Info

Publication number
CN114826751A
CN114826751A CN202210478615.XA CN202210478615A CN114826751A CN 114826751 A CN114826751 A CN 114826751A CN 202210478615 A CN202210478615 A CN 202210478615A CN 114826751 A CN114826751 A CN 114826751A
Authority
CN
China
Prior art keywords
expression
characteristic
data
linear
data stream
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202210478615.XA
Other languages
English (en)
Other versions
CN114826751B (zh
Inventor
戚建淮
刘航
崔宸
韩丹丹
唐娟
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shenzhen Y&D Electronics Information Co Ltd
Original Assignee
Shenzhen Y&D Electronics Information Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shenzhen Y&D Electronics Information Co Ltd filed Critical Shenzhen Y&D Electronics Information Co Ltd
Priority to CN202210478615.XA priority Critical patent/CN114826751B/zh
Publication of CN114826751A publication Critical patent/CN114826751A/zh
Application granted granted Critical
Publication of CN114826751B publication Critical patent/CN114826751B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Abstract

本发明公开了一种多目标信息融合的卡尔曼滤波网络防控方法，包括：识别合法操作链/数据流的特征数据，将特征数据采用第一线性特征表达式描述；利用多传感器卡尔曼跟踪融合算法对网络传感器实时探测得到的特征数据进行滤波处理，处理后得到对应的数据流/操作链的第二线性特征表达式；计算第一线性特征表达式与第二线性特征表达式的互相关系数，依据互相关系数确定第二线性特征表达式对应的操作链/数据流的合法性。本发明的有益效果：通过互相关系数确定操作链/数据流的合法性，结合上下文，对整条操作数据流的进行综合判断，提升对于未知的网络威胁的处理能力，在遇到新型入侵手段时可以有效防范。

Description

一种多目标信息融合的卡尔曼滤波网络防控方法
技术领域
本发明涉及网络防控技术领域，更具体地说，涉及一种多目标信息融合的卡尔曼滤波网络防控方法。
背景技术
当前网络安全管控方式主要是设置防火墙，或者采用入侵防御系统进行检测。
防火墙通过数据流进行异常状态检测过滤，对数据的源/目标地址、协议等方面进行检测控制，记录数据流在通过防火墙的属性状态，根据已有特征对异常数据进行拦截。
入侵检测系统一般分为误用检测模型与异常检测模型技术两种。第一种主要是检测与数据库内已有的不可接受行为之间的匹配程度，对不可接受的风险行为进行标记，当有该种类型的行为发生时，系统做出入侵预警。第二种是检测与可接受行为之间的偏差。
具体在进行对信息数据流的检测时，目前的实时检测时只能独立对当前字符、字段状态进行比对，在比较时无法结合上下文进行判断，且在判断时，无法基于业务或工作流进行非法状态/入侵检测，且由于算力不足，只能针对“黑名单”中列出的特征进行判断，对于未知的网络威胁缺乏处理能力，在遇到新型入侵手段时可能因无法防范而使客户面临损失。
当前在进行网络防控方法对信息数据流进行实时检测时只能对当前字符、字段状态进行独立比对，无法结合上下文，也即对整条操作数据流进行综合判断，且在判断时，无法基于业务需求或工作流进行非法状态/入侵检测，由于算力不足，只能针对“黑名单”中列出的特征进行判断，对于未知的网络威胁缺乏处理能力，在遇到新型入侵手段时可能因无法防范致使客户产生损失。
发明内容
本发明提供了一种多目标信息融合的卡尔曼滤波网络防控方法，解决现有技术在进行网络防控方法对信息数据流进行实时检测时只能对当前字符、字段状态进行独立比对，无法结合上下文，也即对整条操作数据流进行综合判断，且在判断时，无法基于业务需求或工作流进行非法状态/入侵检测，由于算力不足，只能针对“黑名单”中列出的特征进行判断，对于未知的网络威胁缺乏处理能力，在遇到新型入侵手段时可能因无法防范致使客户产生损失的问题。
为解决上述问题，一方面，本发明提供一种多目标信息融合的卡尔曼滤波网络防控方法，包括：
获取合法操作链/数据流，并识别所述合法操作链/数据流的特征数据，将所述特征数据采用第一线性特征表达式描述；
通过网络传感器对系统接收/发送的实时数据流/操作链进行实时探测以得到特征数据，利用多传感器卡尔曼跟踪融合算法对所述网络传感器实时探测得到的特征数据进行滤波处理，处理后得到对应的数据流/操作链的第二线性特征表达式；
根据得到的第二线性特征表达式查找近似的第一线性特征表达式，计算第一线性特征表达式与第二线性特征表达式的互相关系数，依据所述互相关系数确定第二线性特征表达式对应的操作链/数据流的合法性。
所述获取合法操作链/数据流，并识别所述合法操作链/数据流的特征数据，将所述特征数据采用第一线性特征表达式描述，包括：
通过机器学习方式获取系统的合法数据流；
获取所述合法数据流中的多个属性，多个属性分别采用多个特征属性表达式表示；
将多个所述特征属性表达式融合得到第一线性特征表达式。
所述获取合法操作链/数据流，并识别所述合法操作链/数据流的特征数据，将所述特征数据采用第一线性特征表达式描述，还包括：
判断所述特征数据是否线性化，若否，则采用泰勒级数展开实现线性化：
Figure 467506DEST_PATH_IMAGE001
其中，h(x)是所述特征数据的非线性函数表达式，μ是预设的展开点，Rn(x)为预设的观测误差。
所述通过网络传感器对系统接收/发送的实时数据流/操作链进行实时探测以得到特征数据，利用多传感器卡尔曼跟踪融合算法对所述网络传感器实时探测得到的特征数据进行滤波处理，处理后得到对应的数据流/操作链的第二线性特征表达式，包括：
通过多个子传感器对系统接收/发送的实时数据流/操作链进行实时探测以分别得到多个特征数据；其中，所述网络传感器包括多个子传感器；
依据多个所述特征数据分别形成多个单特征表达式；
利用多传感器卡尔曼跟踪融合算法对多个单特征表达式进行处理以得到融合后的第二线性特征表达式。
所述多传感器卡尔曼跟踪融合算法中的滤波结构包括集中式结构、分散式结构及分级式结构。
所述根据得到的第二线性特征表达式查找近似的第一线性特征表达式，计算第一线性特征表达式与第二线性特征表达式的互相关系数，依据所述互相关系数确定第二线性特征表达式对应的操作链/数据流的合法性，包括：
根据得到的第二线性特征表达式查找近似的第一线性特征表达式；
计算第一线性特征表达式与第二线性特征表达式的互相关系数；
设置阈值λ，并判断所述互相关系数是否大于所述阈值，当所述互相关系数大于所述阈值时，认为第二线性特征表达式对应的操作链/数据流合法，否则认为第二线性特征表达式对应的操作链/数据流非法。
所述将多个所述特征属性表达式融合得到第一线性特征表达式，包括：
将所述合法数据流中符合预设排列规律的特征字符/字符串用第一特征属性表达式表示，第一特征属性表达式为F1(x)；
将所述合法数据流中的特征字符/字符串每次在整个数据流出现时的时延要求用第二特征属性表达式表示，第二特征属性表达式为F2(y)；
将第一特征属性表达式及第二特征属性表达式融合得到第一线性特征表达式，所述第一线性特征表达式为F(x,y)。
所述利用多传感器卡尔曼跟踪融合算法对多个单特征表达式进行处理以得到融合后的第二线性特征表达式，包括：
将所述实时数据流/操作链中符合预设排列规律的特征字符/字符串用第一单特征表达式表示，第一单特征表达式为fa(x)；
将所述实时数据流/操作链中的特征字符/字符串每次在整个数据流出现时的时延要求用第二单特征表达式表示，第二单特征表达式为fb(y)；
将fa(x)、fb(y)融合为第二线性特征表达式，所述第二线性特征表达式为f(x,y)。
所述根据得到的第二线性特征表达式查找近似的第一线性特征表达式，计算第一线性特征表达式与第二线性特征表达式的互相关系数，依据所述互相关系数确定第二线性特征表达式对应的操作链/数据流的合法性，包括：
计算F1(x)与fa(x)的互相关系数r1，及计算F2(x)与fb(x)的互相关系数r2；
设置阈值λ；
若r1及r2均大于λ，则对应的操作链/数据流合法；
若r1和/或r2不大于λ，则对应的操作链/数据流非法。
一方面，提供一种计算机可读存储介质，所述存储介质中存储有多条指令，所述指令适于由处理器加载以执行以上所述的一种多目标信息融合的卡尔曼滤波网络防控方法。
本发明的有益效果是：通过互相关系数确定操作链/数据流的合法性，结合上下文，对整条操作数据流的进行综合判断，提升对于未知的网络威胁的处理能力，在遇到新型入侵手段时可以有效防范。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明一实施例提供的一种多目标信息融合的卡尔曼滤波网络防控方法的流程图；
图2是本发明一实施例提供的一种多目标信息融合的卡尔曼滤波网络防控方法的流程示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
在本发明的描述中，需要理解的是，术语“中心”、“纵向”、“横向”、“长度”、“宽度”、“厚度”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括一个或者更多个特征。在本发明的描述中，“多个”的含义是两个或两个以上，除非另有明确具体的限定。
在本发明中，“示例性”一词用来表示“用作例子、例证或说明”。本发明中被描述为“示例性”的任何实施例不一定被解释为比其它实施例更优选或更具优势。为了使本领域任何技术人员能够实现和使用本发明，给出了以下描述。在以下描述中，为了解释的目的而列出了细节。应当明白的是，本领域普通技术人员可以认识到，在不使用这些特定细节的情况下也可以实现本发明。在其它实例中，不会对公知的结构和过程进行详细阐述，以避免不必要的细节使本发明的描述变得晦涩。因此，本发明并非旨在限于所示的实施例，而是与符合本发明所公开的原理和特征的最广范围相一致。
参见图1，图1是本发明一实施例提供的一种多目标信息融合的卡尔曼滤波网络防控方法的流程图，该卡尔曼滤波网络防控方法包括步骤S1-S3：
S1、获取合法操作链/数据流，并识别所述合法操作链/数据流的特征数据，将所述特征数据采用第一线性特征表达式描述；步骤S1包括步骤S11-S14：
S11、通过机器学习方式获取系统的合法数据流。
本实施例中，采用机器学习方式获取某系统可能发生的合法数据流——合法网络报文集，也即根据系统可能产生的业务或操作需求，推导出合法操作链集。即获取系统可能发生的合法数据流——合法网络报文集，也即根据系统可能产生的业务或操作需求，推导出合法操作链集，对该集合归类。其中，可利用类脑计算能力，通过深度学习/迁移学习等机器学习方式获取某系统可能发生的合法数据流，该合法数据流可通过穷举系统可能产生的合法业务或操作需求获得。该合法操作链集合可通过归类合并出不同的类别（例如采用聚类等算法）。
S12、获取所述合法数据流中的多个属性，多个属性分别采用多个特征属性表达式表示。
本实施例中，利用机器学习方法对该合法操作链集合进行归类（采用聚类等归类算法）。识别出步骤S11以上集合中能够代表某条或某类合法操作链/数据流的特征，包括并不限于数据流中部分或全部字符排列顺序、数据传输时出现的时延、数据包头/包尾特征、数据校验特征、数据流/操作链发送方向、通讯协议、编码等。
S13、将多个所述特征属性表达式融合得到第一线性特征表达式。步骤S13包括步骤S131-S133：
S131、将所述合法数据流中符合预设排列规律的特征字符/字符串用第一特征属性表达式表示，第一特征属性表达式为F1(x)。
本实施例中，可选择步骤S11中数据流集合中某个数据流的某特征字符/字符串的排列规律（例如该特征字符或特殊含义的字符串在数据流中多次出现时的位置），用特征表达式F1(x)表示。
S132、将所述合法数据流中的特征字符/字符串每次在整个数据流出现时的时延要求用第二特征属性表达式表示，第二特征属性表达式为F2(y)。
本实施例中，将某特征字符/字符串每次在整个数据流出现时的时延要求，用特征表达式F2(y)表示。
S133、将第一特征属性表达式及第二特征属性表达式融合得到第一线性特征表达式，所述第一线性特征表达式为F(x,y)。
本实施例中，将F1(x)及F2(y)通过某种方式融合后得到的特征表达式F(x,y)可认为是对该数据流的一种有效表达方式。即识别出步骤以上集合中能代表某条或某类合法操作链/数据流的特征，将其采用线性化特征表达式F(x)描述，将步骤S11中的合法操作链/数据流集合转为合法的特征表达式库。关于函数F1(x)及F2(y)融合的方式，包括并不限于线性加权融合、交叉融合、分步融合、预测融合等。
本案提供如下实施例（1）：
设某信息流是语音及手动按键的操作组合，例如进行某种购票或办卡操作，需要按屏幕提示按下某些屏幕按键，其中某些时段伴随录入语音信息；某些按键操作存在排列顺序，而按键操作有操作时限（每个按键有时间间隔要求，每个按键操作时间有限制）；
因此可设表达式F1(x)表示信息流中语音信息的某个字所代表的字符串在信息流中的位置，设有F1(x)=2x,(x=1,2,3)；也即该字符串在整个数据流中1，2，4,…位置出现；
设F2(y)为某个按键操作的时延表达式（也即按下某按键后，间隔一段时间再按下一次，作为一种密码保护特征）；则设代表该种操作特征的表达式为F2(y)=y（单位为秒）。
综上，单独F1(x)或F2(y)表达式，均无法完整描述该信息流的整体特征，因此需要将两者（或者更多表达式）融合后对该信息流进行描述，例如上例的信息流可描述为：
F(x,y)=[ F1(x),F2(y)]=[2x,y], (x,y=1,2,3)
可将该表达式加入表达式库作为匹配目标之一。
S14、判断所述特征数据是否线性化，若否，则采用泰勒级数展开实现线性化：
Figure 247243DEST_PATH_IMAGE001
其中，h(x)是所述特征数据的非线性函数表达式，μ是预设的展开点，Rn(x)为预设的观测误差。
本实施例中，对非线性的特征数据需首先线性化，一般采用泰勒级数展开实现近似逼近。总之，将以上部分或全部特征采用线性特征表达式F(x)来描述（一般的，可通过泰勒级数将非线性表达式线性化），可近似认为特征表达式F(x)是对该条或该类操作链/数据流的有效表达，因此可将步骤S11中的合法操作链/数据流的集合转为合法的特征表达式库。
S2、通过网络传感器对系统接收/发送的实时数据流/操作链进行实时探测以得到特征数据，利用多传感器卡尔曼跟踪融合算法对所述网络传感器实时探测得到的特征数据进行滤波处理，处理后得到对应的数据流/操作链的第二线性特征表达式；步骤S2包括步骤S21-S23：
S21、通过多个子传感器对系统接收/发送的实时数据流/操作链进行实时探测以分别得到多个特征数据；其中，所述网络传感器包括多个子传感器。
本实施例中，在该系统传输数据时，通过多个网络传感器对系统接收/发送的数据流/操作链的各种信息进行实时探测，包括并不限于对数据流中部分或全部字符排列顺序、数据传输时出现的时延、数据包头/包尾特征、数据校验特征、数据流/操作链发送方向、通讯协议、编码等，在系统传输某个数据流时，优选的，可使用网络传感器对如下特征进行探测：（a）该数据流中某特征字符/字符串的排列规律（例如该特征字符或特殊含义的字符串在数据流中多次出现时的位置），（b）该数据流中某特征字符/字符串每次在整个数据流出现时的时延，作为网络传感器的探测目标，（c）其他特征。
S22、依据多个所述特征数据分别形成多个单特征表达式。
本实施例中，参见图2，图2是本发明一实施例提供的一种多目标信息融合的卡尔曼滤波网络防控方法的流程示意图，图2可以更加直观地看到多个单特征表达式的形成过程，上述经传感器探测得到的特征数据应是线性的，或经处理后是线性的，需符合高斯分布，以便采用卡尔曼滤波方法对其进行跟踪滤波。每个传感器测得数据可形成单特征表达式；由于采用上述特征中单独一种无法全面描述该信息流的特征，因此上述多种特征数据需要通过多目标信息融合的卡尔曼滤波方法进行处理。之后利用类脑算力，采用存算一体的方式，利用多传感器卡尔曼跟踪融合算法对以上各传感器实时探测得到的特征数据进行滤波处理（滤波前，对非线性化数据需先进行线性化），处理后得到该条数据流/操作链的线性化特征表达式f(x)。
S23、利用多传感器卡尔曼跟踪融合算法对多个单特征表达式进行处理以得到融合后的第二线性特征表达式。所述多传感器卡尔曼跟踪融合算法中的滤波结构包括集中式结构、分散式结构及分级式结构。步骤S23包括步骤S231-S233：
S231、将所述实时数据流/操作链中符合预设排列规律的特征字符/字符串用第一单特征表达式表示，第一单特征表达式为fa(x)。
S232、将所述实时数据流/操作链中的特征字符/字符串每次在整个数据流出现时的时延要求用第二单特征表达式表示，第二单特征表达式为fb(y)。
本实施例中，设当待测数据流通过网络传感器时，按照以下两种方式筛选特征：（a）该数据流中某特征字符/字符串的排列规律（例如该特征字符或特殊含义的字符串在数据流中多次出现时的位置），（b）该数据流中某特征字符/字符串每次在整个数据流出现时的时延；通过以上筛选后可得到对该数据流的两个特征表达式fa(x)（某种字符排列位置）；fb(y)（某种字符出现的时延）。
S233、将fa(x)、fb(y)融合为第二线性特征表达式，所述第二线性特征表达式为f(x,y)。
本实施例中，针对得到的两个单特征表达式，通过预处理，变为更适合卡尔曼滤波算法处理的数据。例如对上述的两个传感器的应用场景，可以使用状态向量D记录某特征字符的位置及时延信息，可表示为D=[a,b]T；根据已有特征表达式的构建方式，采用适当的融合方式，包括并不限于线性加权融合、交叉融合、分步融合、预测融合等，将fa(x)、fb(y)融合为特征表达式f(x,y)，使得该表达式可以综合表现整个数据流的状态特征。
通过多目标信息融合卡尔曼滤波方法进行处理后可得到信息融合后的特征表达式f(x,y)。需要说明，多传感器进行实时信息融合滤波需要计算资源庞大，需采用存算一体的类脑智能计算算力进行处理，以确保滤波的实时性。这里采用的多目标信息融合卡尔曼滤波方法，其滤波结构可以是集中式、分散式、分级式结构，其中分级式结构还可分为有反馈结构和无反馈结构的。卡尔曼滤波状态转移方程和观测方程如下所示：
xt=At|t-1xt-1+wt-1;
zt=Hxt+vt;
zt表示t时刻的观测状态；
xt与xt-1为t及t-1时刻系统状态；
At|t-1是状态转移矩阵；
H是观测矩阵；
vt是测量噪声，其协方差为R；
wt是系统噪声，协方差为Q；
预测和更新方程如下所示：
xˉt|t-1=At|t-1xu t-1;
Pˉt|t-1=At|t-1Pt-1AT t|t-1+Qt-1;
Kt=Pˉt|t-1HT(HPˉt|t-1HT+Rt)-1;
xu t=xˉt|t-1+Kt(zt-Hxˉt|t-1);
Pt=Pˉt|t-1-KtHPˉt|t-1;
xu t-1是t-1时刻的最优估计状态；
xˉt|t-1是在最优估计基础上的预测状态；
Pt-1是t-1时刻更新后的误差协方差矩阵；
Pˉt|t-1是误差协方差的预测值；
Kt是t时刻的卡尔曼增益；
xu t是t时刻最优预测值；
Pt是t时刻最优估计值。
系统传输信息时，通过多个网络传感器对数据流信息进行探测，采用类脑智能算力，利用多传感器卡尔曼跟踪融合算法对实时探测到特征数据滤波处理，得到该条数据流的线性化特征表达式f(x)。
本案提供如下实施例（2）：
接实施例（1），针对某个信息流，采用了两个网络传感器进行探测，传感器A探测某字符串的位置（实施例（1）中语音信息中某特殊字符串的探测传感器），测得位置信息经卡尔曼滤波，经数据拟合得到空间特征表达式fa(x)=2x+0.001,(x=1,2,3)；传感器B探测某个字符串出现的时延（实施例（1）中某按键时延探测传感器），测得时延信息经卡尔曼滤波，假设经数据拟合得到时间特征表达式fb(y)=0.99y,(y=1,2,3);
最终融合后的特征表达式：
f(x,y)=[fa(x),fb(y)]=[2x+0.001,0.99y],(x,y=1,2,3)，该表达式可表达该信息流的时空特征。
S3、根据得到的第二线性特征表达式查找近似的第一线性特征表达式，计算第一线性特征表达式与第二线性特征表达式的互相关系数，依据所述互相关系数确定第二线性特征表达式对应的操作链/数据流的合法性。步骤S3包括步骤S31-S33：
S31、根据得到的第二线性特征表达式查找近似的第一线性特征表达式。
本实施例中，根据步骤S2得到的特征表达式f(x)，在步骤S1的函数库中查找近似表达式F(x)。
S32、计算第一线性特征表达式与第二线性特征表达式的互相关系数。
本实施例中，函数F(x)与f(x)互相关系数r的计算方法如下所示：
Figure 642452DEST_PATH_IMAGE002
。
S33、设置阈值λ，并判断所述互相关系数是否大于所述阈值，当所述互相关系数大于所述阈值时，认为第二线性特征表达式对应的操作链/数据流合法，否则认为第二线性特征表达式对应的操作链/数据流非法。
本实施例中，一般有r≤1，选择阈值λ(一般选择0.9<λ<0.99)，当r>λ时，认为该信息流合法，否则认为信息流非法。计算F(x)与f(x)的互相关系数r高于某个阈值λ，认为步骤S3的特征表达式合法以及该特征表达式代表的操作链/数据流合法；否则认为操作链/数据流非法。
针对合法数据流中符合预设排列规律的特征字符/字符串分类以及合法数据流中的特征字符/字符串每次在整个数据流出现时的时延要求分类的情况，步骤S3包括步骤S34-S37：
S34、计算F1(x)与fa(x)的互相关系数r1，及计算F2(x)与fb(x)的互相关系数r2；
S35、设置阈值λ；
S36、若r1及r2均大于λ，则对应的操作链/数据流合法；
S37、若r1和/或r2不大于λ，则对应的操作链/数据流非法。
本案提供如下实施例（3）：
在实施例（2）中经多目标融合的卡尔曼滤波处理后的表达式f(x,y)=[fa(x),fb(y)]=[2x+0.001,0.99y],(x,y=1,2,3)可匹配到表达式库中的表达式F(x,y)=[F1(x),F2(y)]=[2x,y], (x,y=1,2,3)，经计算得到fa(x)与F1(x)互相关系数r1及fb(y)与F2(y)互相关系数r12，如1≥r1＞λ与1≥r12＞λ同时成立，表示该数据流合法；若1≥r1＞λ与1≥r12＞λ有一个不成立或均不成立，表示数据流非法。
本领域普通技术人员可以理解，上述实施例的各种方法中的全部或部分步骤可以通过指令来完成，或通过指令控制相关的硬件来完成，该指令可以存储于一计算机可读存储介质中，并由处理器进行加载和执行。为此，本发明实施例提供一种存储介质，其中存储有多条指令，该指令能够被处理器进行加载，以执行本发明实施例所提供的任一种多目标信息融合的卡尔曼滤波网络防控方法中的步骤。
其中，该存储介质可以包括：只读存储器(ROM，Read Only Memory)、随机存取记忆体(RAM，Random Access Memory)、磁盘或光盘等。
由于该存储介质中所存储的指令，可以执行本发明实施例所提供的任一种多目标信息融合的卡尔曼滤波网络防控方法中的步骤，因此，可以实现本发明实施例所提供的任一种多目标信息融合的卡尔曼滤波网络防控方法所能实现的有益效果，详见前面的实施例，在此不再赘述。
以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种多目标信息融合的卡尔曼滤波网络防控方法，其特征在于，包括：
获取合法操作链/数据流，并识别所述合法操作链/数据流的特征数据，将所述特征数据采用第一线性特征表达式描述；
通过网络传感器对系统接收/发送的实时数据流/操作链进行实时探测以得到特征数据，利用多传感器卡尔曼跟踪融合算法对所述网络传感器实时探测得到的特征数据进行滤波处理，处理后得到对应的数据流/操作链的第二线性特征表达式；
根据得到的第二线性特征表达式查找近似的第一线性特征表达式，计算第一线性特征表达式与第二线性特征表达式的互相关系数，依据所述互相关系数确定第二线性特征表达式对应的操作链/数据流的合法性。
2.根据权利要求1所述的卡尔曼滤波网络防控方法，其特征在于，所述获取合法操作链/数据流，并识别所述合法操作链/数据流的特征数据，将所述特征数据采用第一线性特征表达式描述，包括：
通过机器学习方式获取系统的合法数据流；
获取所述合法数据流中的多个属性，多个属性分别采用多个特征属性表达式表示；
将多个所述特征属性表达式融合得到第一线性特征表达式。
3.根据权利要求2所述的卡尔曼滤波网络防控方法，其特征在于，所述获取合法操作链/数据流，并识别所述合法操作链/数据流的特征数据，将所述特征数据采用第一线性特征表达式描述，还包括：
判断所述特征数据是否线性化，若否，则采用泰勒级数展开实现线性化：
Figure 775402DEST_PATH_IMAGE001
其中，h(x)是所述特征数据的非线性函数表达式，μ是预设的展开点，Rn(x)为预设的观测误差。
4.根据权利要求2所述的卡尔曼滤波网络防控方法，其特征在于，所述通过网络传感器对系统接收/发送的实时数据流/操作链进行实时探测以得到特征数据，利用多传感器卡尔曼跟踪融合算法对所述网络传感器实时探测得到的特征数据进行滤波处理，处理后得到对应的数据流/操作链的第二线性特征表达式，包括：
通过多个子传感器对系统接收/发送的实时数据流/操作链进行实时探测以分别得到多个特征数据；其中，所述网络传感器包括多个子传感器；
依据多个所述特征数据分别形成多个单特征表达式；
利用多传感器卡尔曼跟踪融合算法对多个单特征表达式进行处理以得到融合后的第二线性特征表达式。
5.根据权利要求4所述的卡尔曼滤波网络防控方法，其特征在于，所述多传感器卡尔曼跟踪融合算法中的滤波结构包括集中式结构、分散式结构及分级式结构。
6.根据权利要求4所述的卡尔曼滤波网络防控方法，其特征在于，所述根据得到的第二线性特征表达式查找近似的第一线性特征表达式，计算第一线性特征表达式与第二线性特征表达式的互相关系数，依据所述互相关系数确定第二线性特征表达式对应的操作链/数据流的合法性，包括：
根据得到的第二线性特征表达式查找近似的第一线性特征表达式；
计算第一线性特征表达式与第二线性特征表达式的互相关系数；
设置阈值λ，并判断所述互相关系数是否大于所述阈值，当所述互相关系数大于所述阈值时，认为第二线性特征表达式对应的操作链/数据流合法，否则认为第二线性特征表达式对应的操作链/数据流非法。
7.根据权利要求6所述的卡尔曼滤波网络防控方法，其特征在于，所述将多个所述特征属性表达式融合得到第一线性特征表达式，包括：
将所述合法数据流中符合预设排列规律的特征字符/字符串用第一特征属性表达式表示，第一特征属性表达式为F1(x)；
将所述合法数据流中的特征字符/字符串每次在整个数据流出现时的时延要求用第二特征属性表达式表示，第二特征属性表达式为F2(y)；
将第一特征属性表达式及第二特征属性表达式融合得到第一线性特征表达式，所述第一线性特征表达式为F(x,y)。
8.根据权利要求7所述的卡尔曼滤波网络防控方法，其特征在于，所述利用多传感器卡尔曼跟踪融合算法对多个单特征表达式进行处理以得到融合后的第二线性特征表达式，包括：
将所述实时数据流/操作链中符合预设排列规律的特征字符/字符串用第一单特征表达式表示，第一单特征表达式为fa(x)；
将所述实时数据流/操作链中的特征字符/字符串每次在整个数据流出现时的时延要求用第二单特征表达式表示，第二单特征表达式为fb(y)；
将fa(x)、fb(y)融合为第二线性特征表达式，所述第二线性特征表达式为f(x,y)。
9.根据权利要求8所述的卡尔曼滤波网络防控方法，其特征在于，所述根据得到的第二线性特征表达式查找近似的第一线性特征表达式，计算第一线性特征表达式与第二线性特征表达式的互相关系数，依据所述互相关系数确定第二线性特征表达式对应的操作链/数据流的合法性，包括：
计算F1(x)与fa(x)的互相关系数r1，及计算F2(x)与fb(x)的互相关系数r2；
设置阈值λ；
若r1及r2均大于λ，则对应的操作链/数据流合法；
若r1和/或r2不大于λ，则对应的操作链/数据流非法。
10.一种计算机可读存储介质，其特征在于，所述存储介质中存储有多条指令，所述指令适于由处理器加载以执行权利要求1至9任一项所述的一种多目标信息融合的卡尔曼滤波网络防控方法。
CN202210478615.XA 2022-05-05 2022-05-05 一种多目标信息融合的卡尔曼滤波网络防控方法 Active CN114826751B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210478615.XA CN114826751B (zh) 2022-05-05 2022-05-05 一种多目标信息融合的卡尔曼滤波网络防控方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210478615.XA CN114826751B (zh) 2022-05-05 2022-05-05 一种多目标信息融合的卡尔曼滤波网络防控方法

Publications (2)

Publication Number Publication Date
CN114826751A true CN114826751A (zh) 2022-07-29
CN114826751B CN114826751B (zh) 2022-10-28

Family

ID=82511914

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210478615.XA Active CN114826751B (zh) 2022-05-05 2022-05-05 一种多目标信息融合的卡尔曼滤波网络防控方法

Country Status (1)

Country Link
CN (1) CN114826751B (zh)

Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101206717A (zh) * 2006-12-15 2008-06-25 索尼株式会社 验证设备、验证方法和程序
US20110185422A1 (en) * 2010-01-22 2011-07-28 The School of Electrical Eng. & Computer Science (SEECS), National University of sciences Method and system for adaptive anomaly-based intrusion detection
CN103139166A (zh) * 2011-11-30 2013-06-05 中国民航大学 基于小信号检测理论的LDoS攻击检测方法
CN105100017A (zh) * 2014-05-12 2015-11-25 中国民航大学 基于信号互相关的LDoS攻击检测方法
CN109447048A (zh) * 2018-12-25 2019-03-08 苏州闪驰数控系统集成有限公司 一种人工智能预警系统
CN110011879A (zh) * 2019-04-29 2019-07-12 燕山大学 一种基于并行滤波的传感器网络安全实时在线监测系统
CN111130802A (zh) * 2019-12-27 2020-05-08 沈阳航空航天大学 基于物理层激励-响应机制的物理层安全认证算法
CN111224973A (zh) * 2019-12-31 2020-06-02 南京联成科技发展股份有限公司 一种基于工业云的网络攻击快速检测系统
CN111651312A (zh) * 2020-07-28 2020-09-11 南京宏声科技有限公司 一种基于边缘计算的设备故障三级双向预警方法及系统
CN113532499A (zh) * 2021-07-15 2021-10-22 中国科学院深圳先进技术研究院 无人系统的传感器安全性检测方法、设备及存储介质
CN114285597A (zh) * 2021-11-17 2022-04-05 杨磊 一种网络安全检测方法及系统

Patent Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101206717A (zh) * 2006-12-15 2008-06-25 索尼株式会社 验证设备、验证方法和程序
US20110185422A1 (en) * 2010-01-22 2011-07-28 The School of Electrical Eng. & Computer Science (SEECS), National University of sciences Method and system for adaptive anomaly-based intrusion detection
CN103139166A (zh) * 2011-11-30 2013-06-05 中国民航大学 基于小信号检测理论的LDoS攻击检测方法
CN105100017A (zh) * 2014-05-12 2015-11-25 中国民航大学 基于信号互相关的LDoS攻击检测方法
CN109447048A (zh) * 2018-12-25 2019-03-08 苏州闪驰数控系统集成有限公司 一种人工智能预警系统
CN110011879A (zh) * 2019-04-29 2019-07-12 燕山大学 一种基于并行滤波的传感器网络安全实时在线监测系统
CN111130802A (zh) * 2019-12-27 2020-05-08 沈阳航空航天大学 基于物理层激励-响应机制的物理层安全认证算法
CN111224973A (zh) * 2019-12-31 2020-06-02 南京联成科技发展股份有限公司 一种基于工业云的网络攻击快速检测系统
CN111651312A (zh) * 2020-07-28 2020-09-11 南京宏声科技有限公司 一种基于边缘计算的设备故障三级双向预警方法及系统
CN113532499A (zh) * 2021-07-15 2021-10-22 中国科学院深圳先进技术研究院 无人系统的传感器安全性检测方法、设备及存储介质
CN114285597A (zh) * 2021-11-17 2022-04-05 杨磊 一种网络安全检测方法及系统

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
刘强: "过程工业大数据建模研究展望", 《自动化学报》 *
李小玲: "基于卡尔曼算法的网络安全态势预测方法分析", 《现代电子技术》 *

Also Published As

Publication number Publication date
CN114826751B (zh) 2022-10-28

Similar Documents

Publication Publication Date Title
CN109698836B (zh) 一种基于深度学习的无线局域网入侵检测方法和系统
CN113965404B (zh) 一种网络安全态势自适应主动防御系统及方法
CN112738039B (zh) 一种基于流量行为的恶意加密流量检测方法、系统及设备
Ye et al. A scalable clustering technique for intrusion signature recognition
US20060206935A1 (en) Apparatus and method for adaptively preventing attacks
KR102108960B1 (ko) 기계학습 기반 빈도형 보안정책 생성시스템 및 그 방법
CN108881250B (zh) 电力通信网络安全态势预测方法、装置、设备及存储介质
CN112491779B (zh) 一种异常行为检测方法及装置、电子设备
Öke et al. A denial of service detector based on maximum likelihood detection and the random neural network
Ullah et al. IDS-INT: Intrusion detection system using transformer-based transfer learning for imbalanced network traffic
US20210360406A1 (en) Internet-of-things device classifier
CN110162958B (zh) 用于计算设备的综合信用分的方法、装置和记录介质
Mounica et al. RETRACTED: Detecting Sybil Attack In Wireless Sensor Networks Using Machine Learning Algorithms
CN113395276A (zh) 基于自编码器能量检测的网络入侵检测方法
CN115396204A (zh) 一种基于序列预测的工控网络流量异常检测方法及装置
Hostiadi et al. Hybrid model for bot group activity detection using similarity and correlation approaches based on network traffic flows analysis
Kim et al. Reliable detection of location spoofing and variation attacks
CN115706671A (zh) 网络安全防御方法、装置以及存储介质
CN114826751B (zh) 一种多目标信息融合的卡尔曼滤波网络防控方法
Wang et al. A deep reinforcement learning based intrusion detection strategy for smart vehicular networks
EP4111660B1 (en) Cyberattack identification in a network environment
Wang et al. ICDF: Intrusion collaborative detection framework based on confidence
CN109871711B (zh) 海洋大数据共享分发风险控制模型及方法
Krivchenkov et al. Using machine learning for DoS attacks diagnostics
Xing et al. Hierarchical network security measurement and optimal proactive defense in cloud computing environments

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant