CN115643108A

CN115643108A - 面向工业互联网边缘计算平台安全评估方法、系统及产品

Info

Publication number: CN115643108A
Application number: CN202211596443.2A
Authority: CN
Inventors: 周昊; 王冲华; 孔同; 张雪莹; 林晨; 李俊; 郝志强; 江浩; 李红飞; 韦彦; 李文婷; 余果; 樊佩茹; 刘东东
Original assignee: China Industrial Control Systems Cyber Emergency Response Team
Current assignee: China Industrial Control Systems Cyber Emergency Response Team
Priority date: 2022-12-14
Filing date: 2022-12-14
Publication date: 2023-01-24
Anticipated expiration: 2042-12-14
Also published as: CN115643108B

Abstract

本发明涉及一种面向工业互联网边缘计算平台安全评估方法、系统及产品，属于工业互联网边缘计算平台评估领域。该方法包括：利用边缘侧的网关采集多个物理设备的流量数据，生成流量日志；对所述流量日志进行预处理，生成数据文件，并将所述数据文件上传至云端；通过特征引力以及欠采样技术对基于Spark的KNN模型进行改进，并根据所述数据文件对改进后的KNN模型进行训练，生成GKNN‑US模型；将所述GKNN‑US模型下发至所述边缘侧，并利用所述GKNN‑US模型对实时采集的流量数据进行安全评估。本发明能够缓解设备层以及云端的压力。

Description

面向工业互联网边缘计算平台安全评估方法、系统及产品

技术领域

本发明涉及工业互联网边缘计算平台评估领域，特别是涉及一种面向工业互联网边缘计算平台安全评估方法、系统及产品。

背景技术

近年来，全球物联网产业规模急速壮大，物联网设备开始进入到了人们的生活当中，带来了极大的便利，并逐渐成为社会发展的动力。全球知名调研机构国际数据公司（IDC）报告显示，2018年全球物联网连接数接近115亿，预测2020年将接近300亿。物联网已成为我国重点发展的战略产业，预计其市场规模在2022年将达到7.2万亿元，物联网应用分布遍及能源、农业、医疗、智能家居等事关国计民生的各个方面。

但也由于物联网设备的广泛性、开放性和异构性令其安全性面临着巨大的潜在威胁。主要包括三个方面：第一，新的攻击手段层出不穷（如人工智能），攻防对抗愈演愈烈。第二，受攻击的设备对象类型更加多样，如自行车、摄像头、门锁都会成为潜在攻击目标，这一定程度上降低了攻击门槛。第三，传统网络与物联网的界限变得模糊，位于互联网络中各结构和层级的设备为攻击者提供了更多的入侵角度。

在此情况下，传统的网络安全解决方案不能完全适用于物联网，其差异性与原因主要体现在四个方面，包括设备的①计算能力和资源，②更新方式，③使用频率，④安全需求。

边缘计算作为近些年兴起的一种网络模型，其物理位置靠近终端节点的特性使其可以更快的响应服务请求，天然降低了隐私数据在传输过程中被盗取风险。边缘计算设备自身可具备一定计算能力，在不影响物联网设备的可用性的情况下，为物联网安全机制的实现提供了非常大的灵活性，开发者可在边缘计算节点上自由开发安全软件而不受物联网设备的限制。通过与云服务的连通，边缘计算节点的维护也十分便利。同时，在人工智能技术迅速发展的今天，机器学习“基于数据进行学习，通过模型做出预测”的思想为物联网安全威胁多样提供了新思路，使得通用性的异常检测模型成为可能。在边缘网关上部署智能模型即可使网关在完成网络基本功能的同时智能检测网络入侵，并执行相应的安全策略。

传统的工业互联网边缘计算平台机器学习安全评估方法的数据采集到边缘侧，将数据发送到云端进行异常检测，然后将检测结果下发到边缘侧这一系列流程所需时间较长，会出现延迟问题，策略下发不及时，而且全部在云端计算云端压力过大；如果全部在设备层进行异常检测会出现设备压力大的问题。

发明内容

本发明的目的是提供一种面向工业互联网边缘计算平台安全评估方法、系统及产品，以解决设备层和云端压力大问题。

为实现上述目的，本发明提供了如下方案：

一种面向工业互联网边缘计算平台安全评估方法，包括：

利用边缘侧的网关采集多个物理设备的流量数据，生成流量日志；所述流量数据包括良性流量以及恶意流量；

对所述流量日志进行预处理，生成数据文件，并将所述数据文件上传至云端；

通过特征引力以及欠采样技术对基于Spark的KNN模型进行改进，并根据所述数据文件对改进后的KNN模型进行训练，生成GKNN-US模型；

将所述GKNN-US模型下发至所述边缘侧，并利用所述GKNN-US模型对实时采集的流量数据进行安全评估。

可选的，所述对所述流量日志进行预处理，生成数据文件，并将所述数据文件上传至云端，具体包括：

提取每个窗口内所述流量日志的关键特征；

聚合所述关键特征，生成聚合后的关键特征；

对所述聚合后的关键特征打上标签，生成带有标签的关键特征；

对所述带有标签的关键特征进行分类操作，生成分类特征；

当所述流量数据超出设定数量时，将所述分类特征打包成数据文件，并将所述数据文件上传至所述云端。

可选的，所述对所述聚合后的关键特征打上标签，生成带有标签的关键特征，具体包括：

判断任一所述窗口内的所述良性流量是否大于所述恶意流量，得到第一判断结果；

若所述第一判断结果表示为所述良性流量大于所述恶意流量，标记所述窗口为良性窗口，并标记所述窗口内所述聚合后的关键特征为良性特征；

若所述第一判断结果表示为所述良性流量不大于所述恶意流量，标记所述窗口为恶性窗口，并标记所述窗口内所述聚合后的关键特征为恶性特征。

可选的，所述特征引力为：

；其中，

为特征引力；l为属性编号；len（*）为属性数量；f _si为重要属性集合；f _unsi为非重要属性集合。

可选的，所述将所述GKNN-US模型下发至所述边缘侧，并利用所述GKNN-US模型对实时采集的流量数据进行安全评估，具体包括：

利用所述GKNN-US模型判断实时采集的流量数据是否存在异常，得到第二判断结果；

若所述第二判断结果表示为实时采集的流量数据存在异常，将边缘侧策略下发至相关的物理设备进行安全响应；所述边缘侧策略为产生告警信息；

若所述第二判断结果表示为实时采集的流量数据未存在异常，将检测结果以及物理设备信息展示在边缘计算平台。

一种面向工业互联网边缘计算平台安全评估系统，包括：

流量日志生成模块，用于利用边缘侧的网关采集多个物理设备的流量数据，生成流量日志；所述流量数据包括良性流量以及恶意流量；

预处理模块，用于对所述流量日志进行预处理，生成数据文件，并将所述数据文件上传至云端；

GKNN-US模型生成模块，用于通过特征引力以及欠采样技术对基于Spark的KNN模型进行改进，并根据所述数据文件对改进后的KNN模型进行训练，生成GKNN-US模型；

安全评估模块，用于将所述GKNN-US模型下发至所述边缘侧，并利用所述GKNN-US模型对实时采集的流量数据进行安全评估。

可选的，所述特征引力为：

；其中，

可选的，所述安全评估模块，具体包括：

第二判断单元，用于利用所述GKNN-US模型判断实时采集的流量数据是否存在异常，得到第二判断结果；

边缘侧策略下发单元，用于若所述第二判断结果表示为实时采集的流量数据存在异常，将边缘侧策略下发至相关的物理设备进行安全响应；所述边缘侧策略为产生告警信息；

边缘计算平台展示单元，用于若所述第二判断结果表示为实时采集的流量数据未存在异常，将检测结果以及物理设备信息展示在边缘计算平台。

一种电子设备，包括存储器及处理器，所述存储器用于存储计算机程序，所述处理器运行所述计算机程序以使所述电子设备执行如上述面向工业互联网边缘计算平台安全评估方法。

一种计算机可读存储介质，其存储有计算机程序，所述计算机程序被处理器执行时实现如上述面向工业互联网边缘计算平台安全评估方法。

根据本发明提供的具体实施例，本发明公开了以下技术效果：本发明提供了一种面向工业互联网边缘计算平台安全评估方法、系统及产品，首先，在边缘侧采集物理设备的流量数据并进行预处理，将数据文件上传至云端，其次，在云端生成GKNN-US模型，最后，将GKNN-US模型下发至边缘侧，在边缘侧进行安全评估，本发明采用“云+边”检测方式同时缓解了设备层和云端压力；此外，在进行安全评估后，本发明还能够实时在平台上展示检测结果和下发策略。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明所提供的面向工业互联网边缘计算平台安全评估方法流程图；

图2为本发明所提供的面向工业互联网边缘计算平台安全评估方法架构图；

图3为本发明所提供的关键特征聚合图；

图4为KNN模型分类图；

图5为本发明所提供的面向工业互联网边缘计算平台安全评估方法简化流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的目的是提供一种面向工业互联网边缘计算平台安全评估方法、系统及产品，能够缓解设备层以及云端的压力。

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

图1为本发明所提供的面向工业互联网边缘计算平台安全评估方法流程图，图2为本发明所提供的面向工业互联网边缘计算平台安全评估方法架构图，如图1-图2所示，一种面向工业互联网边缘计算平台安全评估方法，包括：

步骤101：利用边缘侧的网关采集多个物理设备的流量数据，生成流量日志；所述流量数据包括良性流量以及恶意流量。

在实际应用中，工业现场部署多个物理设备，工业互联网攻击通常发生在网络层面，因此，快速收集网络流量分析很重要，边缘侧网关具有收集流量的能力，利用边缘侧网关的流量代理功能，采集流量数据，生成一系列流量日志。

步骤102：对所述流量日志进行预处理，生成数据文件，并将所述数据文件上传至云端。

在实际应用中，所述步骤102具体包括：提取每个窗口内所述流量日志的关键特征；聚合所述关键特征，生成聚合后的关键特征；对所述聚合后的关键特征打上标签，生成带有标签的关键特征；对所述带有标签的关键特征进行分类操作，生成分类特征；当所述流量数据超出设定数量时，将所述分类特征打包成数据文件，并将所述数据文件上传至所述云端。

所述对所述聚合后的关键特征打上标签，生成带有标签的关键特征，具体包括：判断任一所述窗口内的所述良性流量是否大于所述恶意流量，若是，标记所述窗口为良性窗口，并标记所述窗口内所述聚合后的关键特征为良性特征；若否，标记所述窗口为恶性窗口，并标记所述窗口内所述聚合后的关键特征为恶性特征。

在实际应用中，根据流量日志，去除其中冗余信息，提取流量日志中的关键特征，如基本五元组，减少特征的维度。表1为流量日志提取关键特征表，源流量日志提取关键特征如表1所示。

表1

关键特征	关键特征说明
		<i>f</i><sub>1</sub>	源IP地址
<i>f</i><sub>2</sub>	源端口
		<i>f</i><sub>3</sub>	目的IP地址
<i>f</i><sub>4</sub>	目的端口
		<i>f</i><sub>5</sub>	发出数据包数量
<i>f</i><sub>6</sub>	发出数据包字节数
		<i>f</i><sub>7</sub>	接收到的数据包数量
<i>f</i><sub>8</sub>	接收到的数据包字节数

处理后形成的新数据不利于直接进行分类操作，因此，对新数据进行聚合，聚合方式是每10条、50条或100条进行聚合，如图3所示，对窗口中的特征进行提取，分别为窗口内源IP地址数量、源端口数量、目的IP地址、目的端口数量、发出数据包数量、发出数据包大小、接收数据包数量、接收数据包大小，共8个特征。表2为新生成的特征和标签示意表，如表2所示。

表2

分类特征	分类特征说明
		<i>fe</i><sub>1</sub>	源的IP地址数量
<i>fe</i><sub>2</sub>	源端口数量
		<i>fe</i><sub>3</sub>	目的IP地址数量
<i>fe</i><sub>4</sub>	目的端口数量
		<i>fe</i><sub>5</sub>	发出数据包总数量
<i>fe</i><sub>6</sub>	发出数据包总字节数
		<i>fe</i><sub>7</sub>	接收到的数据包总数量
<i>fe</i><sub>8</sub>	接收到的数据包总字节数
		<i>label</i>	数据标签

聚合过后，为每条记录打上标签，打标签的方式是通过计算窗口内哪种流量居多，设置一个阈值为0.5，即超过半数为恶意流量，如果窗口内恶意流量居多，则标记为恶意窗口，若良性流量居多，则标记为良性窗口。每一条良性流量和恶性流量打标规则通过人工判定，判定依据是专业领域人员预先构建的知识库。

数据会不断存储在边缘侧，当数据存储量达到一定数量，将数据文件进行打包存储，通过ftp上传到云端进行模型训练以及发送通知对数据进行安全评估。

步骤103：通过特征引力以及欠采样技术对基于Spark的最邻近节点算法（K-NearestNeighbor，KNN）模型进行改进，并根据所述数据文件对改进后的KNN模型进行训练，生成基于特征引力和欠采样的快速K邻近算法模型，即GKNN-US模型。

在实际应用中，GKNN-US模型设计的目的是利用边缘计算平台进行安全评估，传统的基于KNN模型安全评估方法在进行评估的时候会出现错误率低的情况，该模型通过特征引力以及欠采样技术改进KNN模型。

KNN模型属于监督学习，其工作机制：给定测试样本，根据已确定的度量函数计算测试样本与所有样本的距离，然后找出离测试样本最近的K个训练样本，测试样本的类别就根据这K个训练样本信息决策，决策类别通常采用“投票法”。

如图4所示，令K=3，实心圆的最近邻中最多的是三角，其个数为2，则实心圆属于三角那类。如果令K=5，实心圆的5个最近邻中个数最多的是方框，该实心圆归为方框那一类。该例能看出，K值的不同对待测样本的最终类别的影响。

总之，影响K近邻分类主要有以下三个因素：

1）K的取值，选取K的大或者小，分类结果也不同。

2）距离度量，待测样本与训练样本之间距离会受到距离函数的影响。

3）分类决策规则，分类决策规则不同会使类别得分也不同，从而导致结果不同。

通常K的取值是根据预设多个值尝试来决定的。

其中，距离的度量本发明中采用的是欧式距离，欧式距离度量如公式（1）所示。

（1）

其中，X _t和X _i表示两个不同数据，k表示特征，d表示特征总数，

和

分别为X _t和X _i不同特征分量上的数值。

通过找到一个最佳K，当测试数据来了后可以对流量进行分类。

通过上述KNN原理结合工业设备上传的日志可以得知存在三个问题，第一是计算速度问题，第二是未考虑正常数据与异常数据比例问题，第三是忽略了特征之间权重不一的问题。为此，本发明针对上述问题，做出3点改进，一是采用基于Spark的KNN模型，二是设置通过欠采样技术对数据进行预处理，三是设计一种特征引力，即越重要的特征，相似度越高，最终应该计算值越小。

其中特征引力定义如下：

（2）

其中，l为属性编号，len（*）为属性数量f _si为重要属性集合；f _unsi为非重要属性集合，根据计算得出每个特征的特征引力值，则改进后的距离度量如公式（3）所示。

（3）

GKNN-US模型算法具有如下特点，通过Spark分布式计算框架计算速度快，通过欠采样技术对数据处理缓解数据不均衡导致分类错误问题（比如说一共100条处理后流量数据，99条为正常，1条为异常，那么只要K>1就为正常），特征引力会使重要特征突出，减少冗余特征干扰。

GKNN-US模型具备更快的计算速度、更好地分类能力。上述的GKNN-US是模型的训练过程，在实际安全评估过程中，模型会根据实时产生的流量数据（这些数据是没有标签的）进行安全评估，并判断是否异常。将训练好的模型从云端下发到边缘侧以便进行异常检测。

步骤104：将所述GKNN-US模型下发至所述边缘侧，并利用所述GKNN-US模型对实时采集的流量数据进行安全评估。

在实际应用中，所述步骤104具体包括：利用所述GKNN-US模型判断实时采集的流量数据是否存在异常，若是，将边缘侧策略下发至相关的物理设备进行安全响应；所述边缘侧策略为产生告警信息；若否，将检测结果以及物理设备信息展示在边缘计算平台。

在实际应用中，边缘侧保存两部分数据，一方面是实时采集上来的数据，另一方面是上传到云端模型训练的数据，在模型训练完毕下发之前，算法检测是默认K值，待模型训练完成下发到边缘侧时，边缘侧进行替换（替换包括数据替换和模型替换），进行异常检测；如果发现异常，向相关的物理设备下发边缘侧策略，对物理设备执行边缘侧策略（即产生告警信息），提醒相关物理设备注意防护；如果未发现异常，缘计算平台会将最终检测结果进行展示以便用户进行评估和查看等操作。

图5为本发明所提供的面向工业互联网边缘计算平台安全评估方法简化流程图，如图5所示。

Step1：边缘侧进行数据采集和预处理。

边缘侧采集设备流量信息，收集到的流量进行特征图提取，然后进行聚合打标。

Step2：数据文件上传至云端。

边缘收集消息到指定数量时，利用kafka进行消息传输然后进入异常检测阶段，同时，会将数据形成文件形式，通过ftp向云端上传打标后的数据，对模型进行训练。

Step3：云端对GKNN-US模型进行训练，并下发至边缘侧。

云端收到数据，对GKNN-US模型进行训练，将训练好的模型下发到边缘侧以供异常检测进行。

Step4：边缘侧异常检测，是否异常。

边缘侧通过云端下发的模型判断是否存在异常行为，如果存在，跳转到Step5，否则跳转到Step6。

Step5：边缘侧策略下发，物理设备进行安全相应。

Step6：检测结果和在相应平台展示。

本发明利用边缘侧优势，将“云+边”进行结合，通过结合机器学习安全评估方法将检测结果实时在边缘计算平台展示以及发现异常时的保护策略下发，实现了设备安全防护。

此外，本发明还设计了一种GKNN-US模型进行异常流量检测，该GKNN-US模型解决一方面模型在边缘侧计算速度慢的问题，另一方面解决计算精度低的问题，通过基于Spark的KNN模型提升模型的计算速度，通过设计特征引力和采用欠采样技术对KNN模型进行改进，改进后的模型可以提升计算精度和计算速度，从而提升了检测速度和检测准确率。本发明为一种快速、安全、高精度的安全评估方法。

为了执行上述实施例一对应的方法，以实现相应的功能和技术效果，下面提供一种面向工业互联网边缘计算平台安全评估系统。

一种面向工业互联网边缘计算平台安全评估系统，包括：

流量日志生成模块，用于利用边缘侧的网关采集多个物理设备的流量数据，生成流量日志；所述流量数据包括良性流量以及恶意流量。

预处理模块，用于对所述流量日志进行预处理，生成数据文件，并将所述数据文件上传至云端。

GKNN-US模型生成模块，用于通过特征引力以及欠采样技术对基于Spark的KNN模型进行改进，并根据所述数据文件对改进后的KNN模型进行训练，生成GKNN-US模型。

在实际应用中，所述特征引力为：

；其中，

在实际应用中，所述安全评估模块，具体包括：第二判断单元，用于利用所述GKNN-US模型判断实时采集的流量数据是否存在异常，得到第二判断结果；边缘侧策略下发单元，用于若所述第二判断结果表示为实时采集的流量数据存在异常，将边缘侧策略下发至相关的物理设备进行安全响应；所述边缘侧策略为产生告警信息；边缘计算平台展示单元，用于若所述第二判断结果表示为实时采集的流量数据未存在异常，将检测结果以及物理设备信息展示在边缘计算平台。

本发明还提供了一种电子设备，包括存储器及处理器，所述存储器用于存储计算机程序，所述处理器运行所述计算机程序以使所述电子设备执行如上述面向工业互联网边缘计算平台安全评估方法。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的系统而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处。综上所述，本说明书内容不应理解为对本发明的限制。

Claims

1.一种面向工业互联网边缘计算平台安全评估方法，其特征在于，包括：

2.根据权利要求1所述的面向工业互联网边缘计算平台安全评估方法，其特征在于，所述对所述流量日志进行预处理，生成数据文件，并将所述数据文件上传至云端，具体包括：

提取每个窗口内所述流量日志的关键特征；

聚合所述关键特征，生成聚合后的关键特征；

对所述带有标签的关键特征进行分类操作，生成分类特征；

3.根据权利要求2所述的面向工业互联网边缘计算平台安全评估方法，其特征在于，所述对所述聚合后的关键特征打上标签，生成带有标签的关键特征，具体包括：

4.根据权利要求1所述的面向工业互联网边缘计算平台安全评估方法，其特征在于，所述特征引力为：

；其中，

5.根据权利要求1所述的面向工业互联网边缘计算平台安全评估方法，其特征在于，所述将所述GKNN-US模型下发至所述边缘侧，并利用所述GKNN-US模型对实时采集的流量数据进行安全评估，具体包括：

6.一种面向工业互联网边缘计算平台安全评估系统，其特征在于，包括：

7.根据权利要求6所述的面向工业互联网边缘计算平台安全评估系统，其特征在于，所述特征引力为：

；其中，

8.根据权利要求6所述的面向工业互联网边缘计算平台安全评估系统，其特征在于，所述安全评估模块，具体包括：

9.一种电子设备，其特征在于，包括存储器及处理器，所述存储器用于存储计算机程序，所述处理器运行所述计算机程序以使所述电子设备执行如权利要求1-5中任一项所述的面向工业互联网边缘计算平台安全评估方法。

10.一种计算机可读存储介质，其特征在于，其存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1-5中任一项所述的面向工业互联网边缘计算平台安全评估方法。