CN115865487B - 一种具有隐私保护功能的异常行为分析方法和装置 - Google Patents

Abstract

本发明涉及网络安全领域，其公开了一种具有隐私保护功能的异常行为分析方法和装置，解决传统技术中不同工厂数据共享受阻导致难以结合不同工厂的多样性数据训练检测模型带来的异常行为检测能力尤其是对新型的未知攻击检测能力受限的问题。该方法包括：S1、获取期望到达工业系统的访问请求；S2、异常流量检测模型判断该访问请求是否为异常请求，若是，则执行步骤S3，否则，执行步骤S4，所述异常流量检测模型包括联合部署的防火墙和基于联邦学习方式训练的无监督学习模型；S3、判断该访问请求是否在白名单中，若是，则执行步骤S4，否则，执行步骤S5；S4、放行该访问请求；S5、阻止该访问请求并存档，供后续人工对该请求进行审核，若审核通过，则将该请求加入白名单中。

Description

一种具有隐私保护功能的异常行为分析方法和装置

技术领域

本发明涉及网络安全领域，具体涉及一种具有隐私保护功能的异常行为分析方法和装置。

背景技术

随着工业互联网的普及，越来越多的工业设备逐步接入互联网并实现了更加高效的工业生产场景。由于工业生产相关的数据和操作流程具有极高的商业价值和机密性，因此需要如防火墙、基于机器学习的流量检测方法等安全手段对工业系统进行防护，以防止可能的重大经济损失。

随着人工智能技术的快速发展，基于大量数据训练的机器学习模型能够有效检测出绝大多数已知的攻击。与此同时，新型的攻击手段也层出不穷，部分新型攻击手段由于具有未知的攻击特征因而能够通过防护系统的检测。对于传统机器学习和深度学习而言，增加训练数据的数量和多样性能够提升模型的准确性和泛化性。然而，由于独立的工业生产场所(如工厂)中采集到的数据相对固定且单一，且不同工厂间的数据随意共享会导致公司利益受损，因此难以整合多个工厂的数据训练具有强大未知攻击检测能力的模型。

发明内容

本发明所要解决的技术问题是：提出一种具有隐私保护功能的异常行为分析方法和装置，解决传统技术中不同工厂数据共享受阻导致难以结合不同工厂的多样性数据训练检测模型带来的异常行为检测能力尤其是对新型的未知攻击检测能力受限的问题。

本发明解决上述技术问题采用的技术方案是：

一种具有隐私保护功能的异常行为分析方法，包括以下步骤：

S1、获取期望到达工业系统的访问请求；

S2、基于部署在工业系统中的异常流量检测模型判断该访问请求是否为异常请求，若是，则执行步骤S3，否则，执行步骤S4，所述异常流量检测模型包括联合部署的防火墙和基于联邦学习方式训练的无监督学习模型；

S3、判断该访问请求是否在白名单中，若是，则执行步骤S4，否则，执行步骤S5；

S4、放行该访问请求；

S5、阻止该访问请求并存档，供后续人工对该请求进行审核，若审核通过，则将该请求加入白名单中。

进一步的，所述基于部署在工业系统中的异常流量检测模型判断该访问请求是否为异常请求的方式包括：

通过防火墙和无监督学习模型分别对该访问请求进行判断，然后对两个判断结果分别采用预设的不同权重值进行融合，最后根据融合结果判断该访问请求是否为异常请求。

或者，该访问请求先经过防火墙进行判断，再经过无监督学习模型进行判断，仅当两个判断结果均为正常请求时，则该访问请求被判定为正常请求，否则，该访问请求被判定为异常请求。

进一步的，所述防火墙的构建方式包括：

将已知攻击手段的特征转化为正则表达式或安全规则，将转化的规则集合在防火墙中；

或者，收集已知攻击的请求样本和正常样本组成训练数据集，提取训练数据集特征并利用有监督学习的方式训练出有监督学习模型。

进一步的，基于联邦学习方式训练无监督学习模型的方法包括：

a、采用第三方服务器作为协调节点，为参与联邦学习训练的每个工业系统创建公私钥对并下发给对应的工业系统，用于在后续训练过程中加密需要传输的数据；

b、各个工业系统分别从所述第三方服务器获取初始机器学习联合模型；

c、各个工业系统在本地以无监督学习的方式利用各自的本地数据训练初始机器学习联合模型，并将本轮训练得到的梯度信息用公钥加密后上传至第三方服务器；

d、第三方服务器收集到各个工业系统上传的加密梯度信息后，解密梯度信息并聚合各方的梯度以更新初始机器学习联合模型的参数；

e、第三方服务器向各工业系统返回更新后的联合模型；

f、重复执行步骤c至步骤e，直至达到训练终止条件，获得训练好的无监督学习模型。

进一步的，步骤S5中还包括：

当人工审核未通过则判定该访问请求为新的未知攻击时，将其加入未知攻击请求样本集，以定期或定量采用所述未知攻击请求样本集中的数据特征转换为安全规则加入至防火墙。

进一步的，步骤S3中，所述判断该访问请求是否在白名单中，具体包括：

每个工业系统维护一份用于保存被误判为异常请求的白名单，工业系统的异常流量检测模型在判断访问请求为异常请求后通过直接查询本系统内的白名单，或通过隐私信息检索方式在其它工业系统的白名单中查询该请求是否为误判。

另一方面，本发明还提供了一种具有隐私保护功能的异常行为分析装置，包括：

数据采集模块，用于获取工业系统中的网络流量数据，将采集到的数据保存到文件中，以进行异常流量检测模型的训练，或者，将采集的数据以数据流的形式发送给数据处理模块，以进行实时异常行为检测；

数据处理模块，用于对流量数据进行预处理，或从中提取模型训练和异常检测所需的特征，并将相应的数据分别送入隐私计算和异常检测模块；

异常检测模块，包含防火墙和用于检测未知攻击的无监督学习模型，其中，防火墙基于安全规则或有监督学习模型检测流量中的已知攻击，无监督机器学习模型基于联邦学习训练，用于进一步检测流量中是否存在未知攻击；

结果处理模块，用于根据异常检测模块抛出的检测结果执行相应的操作：当访问请求的检测结果为正常时，放行该请求；当某一条请求的检测结果为异常时，阻止当前请求并进行存储，以供后续进行人工审查；

数据存储模块，用于分别保存异常请求、白名单、模型参数、密钥信息以及需要存储的正常请求，以供其它模块调用；

隐私计算模块，服务于隐私信息检索以及模型训练所需的联邦学习中隐私计算部分，实现计算过程中的加解密、梯度计算与更新和信息传输。

本发明的有益效果是：

(1)提出基于横向联邦学习的异常流量检测模型训练方式，在保证各工业系统隐私的情况下联合训练机器学习模型，以提高对未知攻击的检测能力。

(2)提出基于隐私信息检索的误报数据查询方式，在保证各工业系统隐私的情况下降低系统误报率，提高处理效率。

(3)通过引入人工审核，对于误报的请求在审核后将其加入白名单中，后续该请求再次访问服务器时能够快速放行，从而实现纠错，提高处理的准确性。

附图说明

图1是基于联邦学习的无监督学习模型训练示意图。

具体实施方式

本发明旨在提出一种具有隐私保护功能的异常行为分析方法和装置，解决传统技术中不同工厂数据共享受阻导致难以结合不同工厂的多样性数据训练检测模型带来的异常行为检测能力尤其是对新型的未知攻击检测能力受限的问题。本发明提出的异常行为分析结合防火墙以及通过联邦学习方法训练的无监督机器学习模型，分别能够检测工业流量中的已知攻击和新型未知攻击手段，对于判定为正常请求的进行放行处理，允许其访问工业系统资源，对于判定为异常请求的首先通过本地白名单查询或者基于隐私信息检索方式在其它工业系统的白名单中查询该请求是否为误判，若为误判则进行放行，否则拒绝该请求。

本方案通过联邦学习、隐私信息检索等方法在保证各工业系统隐私的情况下结合多方数据进一步提高了异常检测模型的泛化性能，降低对正常请求的误判。同时，本方案为工业互联网场景下的数据安全共享提供了基础，可进一步在数据联合分析、智慧供应链等具体场景中得到延伸应用。

实施例：

本实施例提出的异常行为分析方法结合防火墙以及通过联邦学习方法训练的机器学习模型，分别能够检测工业流量中的已知攻击和新型未知攻击手段。

具体而言，防火墙主要用于检测工业流量中的已知攻击，因此防火墙主要基于已知的攻击数据来构建，主要可以通过以下两种方法完成构建和检测：

1)将已知攻击手段的特征转化为正则表达式(或防护规则)，将尽可能多的规则集合在防火墙中。当有新的请求到来时，用防火墙中的防护规则和请求进行匹配，如果匹配成功则说明该请求具有攻击请求的特征，将会被判定为异常并给出该请求所属的攻击方式。

2)收集大量已知攻击的请求样本，和正常样本一起提取特征并利用有监督学习的方式训练机器学习模型(下文称作有监督学习模型)，可选的模型包括但不限于决策树、随机森林、支持向量机、神经网络模型等。当有新的请求到来时，将该请求输入训练好的有监督学习模型并得到预测结果(分别对应于正常请求或某种类型的攻击)。

对于希望联合提高异常流量检测的工业系统而言，每个系统配备的防火墙可以保持一致，也可以由各个工业系统根据自身的流量特征设计各自的防火墙，只要能达到检测几乎所有已知攻击的目的即可。

接下来，每个工业系统的流量经过防火墙的检测与筛选后，理论上只包含正常流量和防火墙不能检测到的未知攻击请求。为了进一步检测出这些可能的未知攻击，可采用无监督学习的方式训练另一个机器学习模型(下文称作无监督学习模型)，使该模型尽可能多地掌握正常流量的特征。当出现在语义或语法上与正常流量存在明显差异的请求时，该请求便会被模型判断为异常。

由于单个工业系统的流量特征较为单一，导致基于单一工业系统数据训练出的无监督学习模型对正常流量的特征学习不全面，从而可能容易出现误判较多的情况。为了在增加训练数据多样性的同时保证工业系统的数据隐私，可考虑使用联邦学习的方式联合多个工业系统的数据共同训练一个机器学习模型，以增强模型对正常流量特征的全面认识，从而提高模型的泛化性能。

由于各个工业系统的流量数据来源不同，而流量数据的协议、特征字段等内容重叠较大，因此可以通过一个用于协调的服务器并使用横向联邦学习的方式训练模型。在联邦学习中，各方利用各自的数据联合训练一个模型，该模型不会泄漏各方的隐私信息，训练完成后可以供参与各方下载到本地对各自的工业流量进行未知攻击检测。

横向联邦学习训练模型的主要步骤如图1所示：

1、利用第三方服务器作为协调节点，为每个工业系统创建公私钥对，并分别将各个工业系统对应的公钥下发，用于在模型训练过程中加密需要传输的数据；

2、各个工业系统从服务器获取初始机器学习联合模型，该模型可选但不限于循环神经网络(RecurrentNeuralNetwork,RNN)、长短期记忆人工神经网络(LongShort-TermMemory,LSTM)、门控循环单元(GateRecurrentUnit,GRU)、卷积神经网络(ConvolutionalNeural Networks,CNN)等；

3、各工业系统在本地以无监督学习的方式利用各自的本地数据(经过防火墙筛选的“正常流量”)训练模型，并将本轮训练得到的梯度信息用公钥加密后上传至服务器；

4、服务器收集到所有工业系统上传的加密梯度信息后，解密梯度信息并聚合各方的梯度以更新联合模型的参数；

5、服务器向各工业系统返回更新后的联合系统；

6、重复执行步骤3至步骤5，直至模型训练过程收敛且模型性能达到预期；

模型训练完成后，各个参与训练的工业系统可以在实际应用中部署该模型，用于检测经过防火墙筛选后的流量中是否仍存在可能的未知攻击。

为了降低无监督学习模型可能存在误报的情况，各个工业系统可将模型判断出的异常流量交给专业的安全工程师进行人工审查。安全工程师从中发现真正的未知攻击请求后，可以将该攻击转换为安全规则后加入到防火墙中，以增强防火墙的攻击检测能力。另一方面，每个工业系统可以维护一份保存误判请求的白名单，当安全工程师发现一条被无监督学习模型错误判断为攻击的请求时，将该请求加入到白名单中。

在后续的应用过程中，当无监督学习模型检测到一条可能是攻击的请求后，便可直接查询本系统内的白名单，或通过隐私信息检索(privateinformationretrieval,PIR)技术在其它工业系统的白名单中查询该请求是否为误判并根据判断结果自动执行相应的后续操作，从而在保证各方数据隐私的前提下提高系统和安全工程师的处理效率。其中，隐私信息检索操作可选但不限于基于不经意传输(ObliviousTransfer,OT)、同态加密(HomomorphicEncryption,HE)等隐私计算技术的实现方式。

另一方面，本实施例提供一种具有隐私保护功能的异常行为分析装置，其中主要包含数据采集、数据处理、异常检测、结果处理、数据存储、隐私计算等主要模块；各个模块具体说明如下：

数据采集模块：主要用于获取工业系统中的网络流量数据，采集到的数据经过防火墙和机器学习模型检测通过后可以访问工业系统内的相应资源，此外，经过防火墙检测后的流量还可按照固定的格式存储到文件中，以用于联合模型的训练和更新。

数据处理模块：主要用于对流量数据进行预处理，或从中提取模型训练和异常检测所需的特征，并将相应的数据分别送入隐私计算和异常检测模块。

异常检测模块：主要包含防火墙和用于检测未知攻击的无监督学习模型，其中防火墙基于安全规则或有监督学习模型检测流量中的已知攻击，由联邦学习得到的无监督机器学习模型用于进一步检测流量中是否存在未知攻击。

结果处理模块：根据异常检测模块抛出的检测结果执行相应的操作。当某一条请求的检测结果为正常时，该模块将请求送达其目标资源。当某一条请求的检测结果为异常时，该模块首先阻止当前请求，并通知安全工程师对当前请求进行人工审查。

数据存储模块：主要用于分别保存检测到的正常请求(可选)、异常请求、白名单、模型参数、密钥等信息，以供其它模块调用。

隐私计算模块：主要服务于隐私信息检索以及模型训练所需的联邦学习等隐私计算相关的部分，主要实现计算过程中的加解密、梯度计算与更新和信息传输等功能。

最后应当说明的是，上述实施例仅是优选实施方式，并不用以限制本发明。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可以做出若干修改，等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.一种具有隐私保护功能的异常行为分析方法，其特征在于，包括以下步骤：

S1、获取期望到达工业系统的访问请求；

S2、基于部署在工业系统中的异常流量检测模型判断该访问请求是否为异常请求，若是，则执行步骤S3，否则，执行步骤S4，所述异常流量检测模型包括联合部署的防火墙和基于联邦学习方式训练的无监督学习模型；所述基于部署在工业系统中的异常流量检测模型判断该访问请求是否为异常请求的方式包括：通过防火墙和无监督学习模型分别对该访问请求进行判断，然后对两个判断结果分别采用预设的不同权重值进行融合，最后根据融合结果判断该访问请求是否为异常请求；

S3、判断该访问请求是否在白名单中，若是，则执行步骤S4，否则，执行步骤S5；

S4、放行该访问请求；

S5、阻止该访问请求并存档，供后续人工对该请求进行审核，若审核通过，则将该请求加入白名单中；

基于联邦学习方式训练无监督学习模型的方法包括：

a、采用第三方服务器作为协调节点，为参与联邦学习训练的每个工业系统创建公私钥对并下发给对应的工业系统，用于在后续训练过程中加密需要传输的数据；

b、各个工业系统分别从所述第三方服务器获取初始机器学习联合模型；

c、各个工业系统在本地以无监督学习的方式利用各自的本地数据训练初始机器学习联合模型，并将本轮训练得到的梯度信息用公钥加密后上传至第三方服务器；

d、第三方服务器收集到各个工业系统上传的加密梯度信息后，解密梯度信息并聚合各方的梯度以更新初始机器学习联合模型的参数；

e、第三方服务器向各工业系统返回更新后的联合模型；

f、重复执行步骤c至步骤e，直至达到训练终止条件，获得训练好的无监督学习模型。

2.如权利要求1所述的一种具有隐私保护功能的异常行为分析方法，其特征在于，

所述防火墙的构建方式包括：

将已知攻击手段的特征转化为正则表达式或安全规则，将转化的规则集合在防火墙中；

或者，收集已知攻击的请求样本和正常样本组成训练数据集，提取训练数据集特征并利用有监督学习的方式训练出有监督学习模型。

3.如权利要求1所述的一种具有隐私保护功能的异常行为分析方法，其特征在于，

步骤S5中还包括：

当人工审核未通过则判定该访问请求为新的未知攻击时，将其加入未知攻击请求样本集，以定期或定量采用所述未知攻击请求样本集中的数据特征转换为安全规则加入至防火墙。

4.如权利要求1-3任意一项所述的一种具有隐私保护功能的异常行为分析方法，其特征在于，步骤S3中，所述判断该访问请求是否在白名单中，具体包括：

每个工业系统维护一份用于保存被误判为异常请求的白名单，工业系统的异常流量检测模型在判断访问请求为异常请求后通过直接查询本系统内的白名单，或通过隐私信息检索方式在其它工业系统的白名单中查询该请求是否为误判。

5.一种具有隐私保护功能的异常行为分析装置，其特征在于，包括：

数据采集模块，用于获取工业系统中的网络流量数据，将采集到的数据保存到文件中，以进行异常流量检测模型的训练，或者，将采集的数据以数据流的形式发送给数据处理模块，以进行实时异常行为检测；

数据处理模块，用于对流量数据进行预处理，或从中提取模型训练和异常检测所需的特征，并将相应的数据分别送入隐私计算和异常检测模块；

异常检测模块，包含防火墙和用于检测未知攻击的无监督学习模型，其中，防火墙基于安全规则或有监督学习模型检测流量中的已知攻击，无监督机器学习模型基于联邦学习训练，用于进一步检测流量中是否存在未知攻击；当获取到期望到达工业系统的访问请求时，通过防火墙和无监督学习模型分别对该访问请求进行判断，然后对两个判断结果分别采用预设的不同权重值进行融合，最后根据融合结果判断该访问请求是否为异常请求；

基于联邦学习方式训练无监督学习模型的方法包括：

a、采用第三方服务器作为协调节点，为参与联邦学习训练的每个工业系统创建公私钥对并下发给对应的工业系统，用于在后续训练过程中加密需要传输的数据；

b、各个工业系统分别从所述第三方服务器获取初始机器学习联合模型；

c、各个工业系统在本地以无监督学习的方式利用各自的本地数据训练初始机器学习联合模型，并将本轮训练得到的梯度信息用公钥加密后上传至第三方服务器；

d、第三方服务器收集到各个工业系统上传的加密梯度信息后，解密梯度信息并聚合各方的梯度以更新初始机器学习联合模型的参数；

e、第三方服务器向各工业系统返回更新后的联合模型；

f、重复执行步骤c至步骤e，直至达到训练终止条件，获得训练好的无监督学习模型；

结果处理模块，用于根据异常检测模块抛出的检测结果执行相应的操作：当访问请求的检测结果为正常时，放行该请求；当某一条请求的检测结果为异常时，阻止当前请求并进行存储，以供后续进行人工审查；

数据存储模块，用于分别保存异常请求、白名单、模型参数、密钥信息以及需要存储的正常请求，以供其它模块调用；

隐私计算模块，服务于隐私信息检索以及模型训练所需的联邦学习中隐私计算部分，实现计算过程中的加解密、梯度计算与更新和信息传输。