WO2016082284A1 - 基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法 - Google Patents

基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法 Download PDF

Info

Publication number
WO2016082284A1
WO2016082284A1 PCT/CN2014/095576 CN2014095576W WO2016082284A1 WO 2016082284 A1 WO2016082284 A1 WO 2016082284A1 CN 2014095576 W CN2014095576 W CN 2014095576W WO 2016082284 A1 WO2016082284 A1 WO 2016082284A1
Authority
WO
WIPO (PCT)
Prior art keywords
ocsvm
model
contour
modbus
abnormal
Prior art date
Application number
PCT/CN2014/095576
Other languages
English (en)
French (fr)
Inventor
尚文利
万明
李琳
曾鹏
于海斌
Original Assignee
中国科学院沈阳自动化研究所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中国科学院沈阳自动化研究所 filed Critical 中国科学院沈阳自动化研究所
Priority to US15/527,208 priority Critical patent/US10261502B2/en
Publication of WO2016082284A1 publication Critical patent/WO2016082284A1/zh

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/418—Total factory control, i.e. centrally controlling a plurality of machines, e.g. direct or distributed numerical control [DNC], flexible manufacturing systems [FMS], integrated manufacturing systems [IMS] or computer integrated manufacturing [CIM]
    • G05B19/4185—Total factory control, i.e. centrally controlling a plurality of machines, e.g. direct or distributed numerical control [DNC], flexible manufacturing systems [FMS], integrated manufacturing systems [IMS] or computer integrated manufacturing [CIM] characterised by the network communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H04L12/40039—Details regarding the setting of the power status of a node according to activity on the bus
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40228—Modbus

Definitions

  • the invention is a Modbus TCP communication behavior anomaly detection method based on the OCSVM double contour model, and belongs to the field of network information security of industrial control systems.
  • firewalls Traditional IT security protection technologies such as firewalls, anti-virus software, and intrusion detection technologies are difficult to effectively apply to industrial control systems. This is mainly because firewalls that use packet filtering are difficult to protect against attacks on the application layer. The strength of the check is inversely proportional to the real-time performance, and there is nothing that can be done for internal attacks. The industrial control system needs to be very cautious in installing anti-virus software. The consequences of accidental killing can be quite serious.
  • intrusion detection system can detect an attack before the intrusion attack causes harm to the system, and issue an alarm to initiate a defense.
  • intrusion detection mainly falls into two categories: misuse detection and anomaly detection. Misuse detection is to achieve intrusion detection by matching with known abnormal behaviors. It is also commonly called intrusion detection based on prior knowledge. Anomaly detection is to find out the abnormal behavior by establishing a normal behavior model. Also known as behavior-based intrusion detection. Compared with the misuse detection, the false negative rate is reduced, and the intrusion behavior that has not occurred before can be detected, but the abnormal detection false alarm rate is high.
  • the anomaly detection method based on the "white list” rule can effectively detect the abnormal behavior of a single communication protocol, but cannot detect the communication abnormal behavior existing in multiple data packets, and the abnormality detection method based on the communication mode Can make up for its shortcomings.
  • the invention proposes to select the important field of Modbus function code as the research object, according to the preprocessing method capable of processing different numbers of Modbus function code sequences, and based on the single class support vector machine method, constructing the normal behavior contour model of the communication behavior of the industrial control system.
  • the anomalous behavioral contour model ie bi-contour model, designed a PSO-OCSVM bi-contour model based on particle swarm optimization (PSO) for parameter optimization.
  • PSO particle swarm optimization
  • the communication behavior anomaly detection method is realized by the collaborative evaluation of the dual contour detection model. Identify attacks or anomalous behaviors that are not recognized by firewalls and intrusion detection systems.
  • the present invention proposes a Modbus TCP communication behavior anomaly detection method based on the OCSVM dual contour model, based on a single class support vector machine.
  • the algorithm establishes a bi-contour model of communication behavior for anomaly detection of industrial control systems.
  • an OCSVM-based communication behavior abnormality detecting method comprising the following steps:
  • Feature extraction respectively collect the normal communication traffic and abnormal communication traffic of Modbus TCP in the industrial control system, and store and eliminate unnecessary information separately, and finally convert into two sequences containing only Modbus function codes;
  • Data preprocessing set the length r of the short sequence according to the need, and process the two sequences of the Modbus function code in a sliding window of length r, respectively, and convert the two sequences of the Modbus function code into several short lengths r. Sequence, removing the short sequence repeated therein, obtaining a short sequence set and arranging into an OCSVM normal communication feature vector and an OCSVM abnormal communication feature vector according to the order in which each short sequence appears;
  • the OCSVM normal communication feature vector and the OCSVM abnormal communication feature vector are respectively imported into matlab, and the libsvm toolbox is used to generate the positive contour OCSVM model and the negative contour OCSVM model respectively.
  • PSO optimization parameter optimization of the positive contour OCSVM model and the negative contour OCSVM model respectively: the initialized particles are passed to the positive contour OCSVM model/negative contour OCSVM model as the OCSVM intrinsic parameter v and the Gaussian radial basis parameter g, and the positive contour OCSVM The classification accuracy rate in the sense of cross-validation returned by the model/negative contour OCSVM model is used as the fitness value in the PSO optimization model, and the particle swarm iterative update is performed accordingly;
  • Double-contour OCSVM anomaly detection using the optimal OCSVM intrinsic parameter v and Gaussian radial basis parameter g, respectively, establish a positive contour OCSVM model and a negative contour OCSVM model for anomaly detection, and return the classification correctness rate in the sense of cross-validation respectively;
  • Double-single-type support vector machine cooperative discriminant rule If the positive contour OCSVM model determines that the result is "normal”, the negative contour OCSVM model determines "normal”, the final result is “normal”; if the positive contour OCSVM model determines that the result is "abnormal” "If the negative contour OCSVM model determination result is "abnormal”, it is judged as “abnormal”; if the two judgment results do not match, if it is necessary to suppress the "false alarm rate”, it is judged as "normal”, and if it is necessary to suppress "leakage” The police rate is judged as "abnormal”.
  • the traffic collection includes the following steps:
  • the wireshark packet capture software captures the normal Modbus TCP traffic data packets in the network; when the system is attacked by viruses, the wireshark packet capture software captures the abnormal Modbus TCP traffic flow packets in the network; respectively, the normal data packets are removed.
  • the abnormal data packet does not contain the data packet of the Modbus function code, and the communication traffic of the Modbus TCP client and the Modbus TCP server is obtained; all other information except the Modbus function code is eliminated, and the Modbus function code is arranged in chronological order.
  • the data preprocessing includes the following steps:
  • the length r of the short sequence is set as needed, and the Modbus function code is cyclically processed by the sliding window of length r, and the repeated sequence is removed to obtain a short sequence set.
  • the OCSVM feature vector is arranged in the order in which each short sequence appears;
  • the OCSVM feature vector is normalized so that each element belongs to the same order of magnitude.
  • the PSO optimization includes the following steps:
  • the population is randomly generated and the PSO algorithm is initialized according to the positive contour OCSVM model and the negative contour OCSVM model, wherein each particle contains two components, which are a single class support vector machine inherent parameter v and a Gaussian kernel function kernel parameter g, and Set the initialization speed and position vector for each particle;
  • the particles are subjected to OCSVM training and used as the intrinsic parameter v and the Gaussian kernel function parameter g of the single-class support vector machine, and the classification accuracy rate in the sense of cross-validation returned is taken as the particle fitness value;
  • the individual extremum and the group extremum are continuously updated according to the fitness value: the corresponding individual or group fitness value is updated once a better fitness value is present;
  • Determining whether the exit iteration condition is satisfied if the change exceeding the maximum number of iterations or the value of the continuous N times of fitness does not exceed the set threshold, the iterative process is exited, and the group extremum at this time is the required optimal parameter, N is the set maximum continuous limit;
  • the particle swarm update is performed according to the particle position and velocity update formula, and it is checked whether the different dimensions of the respective particles are within the allowable limit, and if it exceeds the allowable range, it needs to be limited to the range range set in advance.
  • the dual contour OCSVM anomaly detection performs the following steps on the positive contour OCSVM model and the negative contour OCSVM model, respectively:
  • the classification accuracy rate is returned to the calculated fitness value in the PSO optimization process, and is taken as the value of the particle fitness calculation function Fit(i).
  • ⁇ ( ⁇ 1 , ⁇ 2 , ..., ⁇ n ) represents a Lagrangian operator
  • K(x i , x j ) represents a Gaussian kernel function
  • ⁇ ⁇ ( ⁇ 1 * , ⁇ 2 * ,..., ⁇ n * ).
  • the decision function is:
  • ⁇ * is the compensation value of the final decision function of the single-class support vector machine
  • sgn() represents the symbol function
  • K(x i , x j ) represents the Gaussian kernel function
  • the classification accuracy rate in the sense of cross-validation is calculated by using a 5-fold verification method. Specifically, the training set is divided into 5 parts, and 4 training anomaly detection models are used each time, and the remaining one is used as a test set verification. Detect the effect.
  • the invention selects the important field of Modbus function code as the research object.
  • a Modbus function code sequence anomaly detection method based on single-class support vector machine is proposed. This model is particularly suitable for dealing with classification problems of small sample data.
  • the invention establishes a bi-contour model based on a single-class support vector machine algorithm using normal communication behavior and abnormal communication behavior, and determines an abnormality detection result by cooperative discrimination of the dual-contour detection model.
  • the invention uses the particle subgroup algorithm to optimize the parameters of the OCSVM double contour anomaly detection model. This method avoids the selection of the OCSVM parameters through experience through the iterative update of the particle group, thereby greatly improving the efficiency.
  • Figure 1 is a Modbus TCP application layer data unit structure
  • Figure 3 shows the modeling process of the PSO-OCSVM anomaly detection model
  • Figure 4 is a dual profile OCSVM anomaly detection model.
  • the OCSVM-based communication behavior anomaly detection method includes:
  • the captured communication traffic data is stored in different files respectively, and feature extraction is performed separately.
  • the 1Modbus TCP message format extends some data structures while retaining all the functions of Modbus.
  • the Modbus TCP message format mainly includes three parts: MBAP header, Modbus function code and data.
  • MBAP header When the client sends a message to the server device, the function code field is the only basis for the server to distinguish between read operations, write operations, data types, and data types, so the Modbus function code is used as the feature vector.
  • the particle fitness value Fit(i) selects the classification correctness rate in the cross-validation sense based on the OCSVM-based Modbus function code sequence detection with the components x ig and x iv as parameters.
  • V k+1 ⁇ V k +c 1 r 1 (P k -X k )+c 2 r 2 (G k -X k )
  • the first part is the current velocity of the particle, reflecting the influence of the current velocity of the particle on the next-generation velocity;
  • the second part reflects the self-cognitive ability of the individual particle, mainly controlling the global search ability of the particle to avoid falling into local optimum;
  • Partially reflects the social cognitive ability of the entire particle swarm, indicating the mutual influence of information between particles, which is conducive to improving the global search ability of particles.
  • c 1 and c 2 are learning factors
  • the acceleration factors r 1 and r 2 are random numbers between [0, 1].
  • ⁇ ( ⁇ 1 , ⁇ 2 , ..., ⁇ n ) represents the Lagrangian operator
  • K(x i , x j ) represents the Gaussian radial basis kernel function
  • ⁇ * ( ⁇ 1 * , ⁇ 2 * , ..., ⁇ n * );
  • ⁇ * is the compensation value of the single-class support vector machine
  • sgn() represents the symbol function
  • the negative contour single class support vector machine training process is similar to the positive contour single class support vector machine. It is necessary to train the abnormal data samples acquired in the industrial control system data packet capture and preprocessing unit.
  • test samples are detected by the positive contour model and the negative contour model, respectively, and the two models are judged separately:

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Manufacturing & Machinery (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明基于OCSVM算法提出了工业控制系统通信行为的异常检测方法。该发明构建工业控制系统通信行为的正常行为轮廓模型和异常行为轮廓模型，即双轮廓模型，并通过微粒子群算法(PSO)进行参数优化，获得最优的入侵检测模型，识别出异常的Modbus TCP通信流量。该发明通过双轮廓检测模型的协同判别以降低误报率，提高了异常检测的效率及其可靠性，更适用于实际应用。

Description

基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法 技术领域
本发明是一种基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法，属于工业控制系统网络信息安全领域。
背景技术
随着工业信息化进程的快速推进，信息、网络以及物联网技术在智能电网、智能交通、工业生产系统等工业控制领域得到了广泛的应用，极大地提高了企业的综合效益。为实现系统间的协同和信息分享，工业控制系统也逐渐打破了以往的封闭性：采用标准、通用的通信协议及硬软件系统，甚至有些工业控制系统也能以某些方式连接到互联网等公共网络中。这使得工业控制系统也必将面临病毒、木马、黑客入侵、拒绝服务等传统的信息安全威胁，而且由于工业控制系统多被应用在电力、交通、石油化工、核工业等国家重要的行业中，其安全事故造成的社会影响和经济损失会更为严重。
2010年，一种强大的旨在攻击西门子制造的工业控制系统的计算机病毒“Stuxnet”出现，该病毒会传播到插入电脑USB接口的设备中，并从中窃取数据。这是骇客首次尝试入侵大型工业电脑系统病毒。此次事件敲响了“防范病毒攻击”的警钟。
2013年六月的“棱镜门”事件，信息安全再次广泛引起关注。当大数据的获取和分析成为棱镜计划的必经之路，不可避免地，身处科技前沿的企业卷入这一计划。智能工业控制领域也无法独善其身。
传统的IT安全防护技术比如防火墙、防病毒软件、入侵检测技术等，难以有效的应用于工业控制系统。这主要是因为采用包过滤的防火墙难以针对应用层上的攻击进行防护，检查的力度和实时性成反比，且对于内部的攻击无能为力。工控系统安装杀毒软件需要非常谨慎，一旦出现误杀后果可能相当严重。
工业是国家关键基础设施的重要组成部分，工业控制系统的安全关系到国家的战略安全。当前，工业控制信息化、三网融合、物联网、云计算在内的多种新型信息技术的发展与应用，给工业控制系统信息安全保障工作提出了新任务、新挑战，工业控制系统的安全问题不容忽视。
入侵检测系统能使在入侵攻击对系统产生危害前检测到攻击，并发出报警，启动防御措施。目前，入侵检测主要分为两类：误用检测和异常检测。误用检测是通过与已知的异常行为间的匹配程度来实现入侵检测，通常也称为是基于先验知识的入侵检测；而异常检测是通过建立正常行为模型来寻找偏离的异常行为，因此也被称为基于行为的入侵检测。异常检测和误用检测相比，漏报率降低，并且可以检测出以前没有出现过的入侵行为，但异常检测误报警率较高。
在工业控制入侵检测中，基于“白名单”规则的异常检测方法能够有效检测单条通信协议的异常行为，但无法检测同时存在于多个数据包中的通信异常行为，基于通信模式的异常检测方法能够弥补其不足。
本发明提出选取Modbus功能码这一重要字段作为研究对象，根据能够处理包含不同数目Modbus功能码序列的预处理方法，并基于单类支持向量机方法，构建工业控制系统通信行为的正常行为轮廓模型和异常行为轮廓模型，即双轮廓模型，设计了一种基于粒子群算法(PSO)进行参数寻优的PSO-OCSVM双轮廓模型的通信行为异常检测方法，通过双轮廓检测模型的协同判别以实现辨识防火墙与入侵检测系统未能识别的攻击行为或者异常行为。
发明内容
针对在背景技术中提出SCADA、DCS等工业控制系统样本分布不平衡或者异常样本难以获取的情况，本发明提出一种基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法，基于单类支持向量机算法建立通信行为双轮廓模型进行工业控制系统异常检测。
本发明为实现上述目的所采用的技术方案是：一种基于OCSVM的通信行为异常检测方法，包括以下步骤：
特征提取：分别采集工业控制系统中Modbus TCP正常通信流量和异常通信流量，并分别进行存储并剔除不必要的信息，最终转化为仅包含Modbus功能码的两个序列；
数据预处理：根据需要设定短序列的长度r，分别以长度为r的滑动窗口循环处理Modbus功能码的两个序列，分别将Modbus功能码的两个序列转换为若干个长度为r的短序列，去除其中重复的短序列，获得短序列集合并按照每一个短序列出现的顺序进行排列构造成OCSVM正常通信特征向量和OCSVM异常通信特征向量；
建模：将OCSVM正常通信特征向量和OCSVM异常通信特征向量分别导入到matlab中，通过matlab调动libsvm工具箱分别生成正轮廓OCSVM模型和负轮廓OCSVM模型；
PSO优化：分别对正轮廓OCSVM模型和负轮廓OCSVM模型进行参数优化：将初始化的粒子传递给正轮廓OCSVM模型/负轮廓OCSVM模型作为OCSVM固有参数v和高斯径向基参数g，将正轮廓OCSVM模型/负轮廓OCSVM模型返回的交叉验证意义下的分类准确率作为PSO优化模型中的适应度值，并据此进行粒子群迭代更新；
双轮廓OCSVM异常检测：分别利用最优的OCSVM固有参数v和高斯径向基参数g，建立正轮廓OCSVM模型和负轮廓OCSVM模型进行异常检测，并且分别返回交叉验证意义下的分类正确率；
双单类支持向量机协同判别规则：若正轮廓OCSVM模型判定结果为“正常”，负轮廓OCSVM模型判定为“正常”，则最终结果为“正常”；若正轮廓OCSVM模型判定结果为“异常”，负轮廓OCSVM模型判定结果为“异常”，则判定为“异常”；对于两个判定结果不一致的情况，如果需要抑制“误警率”，则判定为“正常”，如果需要抑制“漏警率”，则判定为“异常”。
所述流量采集包括以下步骤：
通过wireshark抓包软件抓取网络中的正常的Modbus TCP通信流量数据包；当系统受到病毒攻击时，通过wireshark抓包软件抓取网络中异常的Modbus TCP通信流量数据包；分别剔除正常数据包和异常数据包中不包含有Modbus功能码的数据包，得到Modbus TCP客户端和Modbus TCP服务器端的通信流量；剔除Modbus功能码之外的所有其他信息，并将Modbus功能码按照时间先后顺序进行排列。
所述数据预处理包括以下步骤：
根据需要设定短序列的长度r，以长度为r的滑动窗口循环处理Modbus功能码，去除重复的序列，获得短序列集合。
在任意的Modbus功能码序列中，按照每一个短序列出现的顺序进行排列构造成OCSVM特征向量；
对OCSVM特征向量进行归一化处理，使其中的各元素属于同一个数量级。
所述PSO优化包括以下步骤：
设置PSO算法在终止条件始终无法满足情况下的最大迭代次数kmax及粒子速度与位置的限定范围；
随机生成种群并分别根据正轮廓OCSVM模型和负轮廓OCSVM模型对PSO算法进行参数初始化，其中每个粒子包含两个分量，分别为单类支持向量机固有参数v和高斯核函数核参数g，并对每一个粒子设置初始化速度和位置向量；
将粒子进行OCSVM训练并作为单类支持向量机的固有参数v和高斯核函数参数g，并将返回的交叉验证意义下的分类准确率作为粒子适应度值；
根据适应度值的情况不断更新个体极值及群体极值：一旦出现了更优的适应度值则更新相应的个体或者群体适应度值；
判断是否满足退出迭代条件：如果超过最大迭代次数或连续N次适应度值的变化没有超过设定阈值，则退出迭代过程，并且此时的群体极值即为所要求的最优参数，所述N为设定的最大连续限值；
按照粒子位置与速度更新公式进行粒子群更新，同时检查各个粒子的不同维度是否在允许的限度之内，如果超出允许的范围需要限定在事先设置的范围区间之内。
所述双轮廓OCSVM异常检测分别对正轮廓OCSVM模型和负轮廓OCSVM模型执行以下步骤：
接受PSO参数寻优流程传递的粒子，将该粒子的两个分量分别设置为单类支持向量机的固有参数v和高斯核函数参数g；
获取正常与异常Modbus TCP通信流量数据包集合，将正常的流量数据赋予+1类别标签，异常流量数据赋予-1类别标签；
构造对偶问题求解单类支持向量机模型；
构造决策函数；
根据决策函数和类别标签计算交叉验证意义下的分类准确率；
将分类准确率返回PSO优化流程中计算适应度值，并作为粒子适应度计算函数Fit(i)的取值。
所述构造对偶问题求解支持向量机模型：
Figure PCTCN2014095576-appb-000001
其中，α＝(α1,α2,...，αn)表示拉格朗日算子，K(xi,xj)表示高斯核函数，得解α*＝(α1 *,α2 *,...,αn *)。
所述决策函数为：
Figure PCTCN2014095576-appb-000002
Figure PCTCN2014095576-appb-000003
其中，ρ*是单类支持向量机的最终决策函数的补偿值，sgn()表示符号函数，K(xi,xj)表示高斯核函数。
所述计算交叉验证意义下的分类准确率采用5折校验方式，具体为：将训练集合均分成5份，每次用其中的4份训练异常检测模型，用剩余的一份作为测试集合验证检测效果。
本发明具有以下优点及有益效果：
1.本发明选取Modbus功能码这一重要字段作为研究对象，根据能够处理包含不同数目Modbus功能码的序列的预处理方法，提出了一种基于单类支持向量机的Modbus功能码序列异常检测方法，该模型特别适合于处理小样本数据的分类问题。
2.本发明基于单类支持向量机算法分别采用正常通信行为和异常通信行为建立双轮廓模型，并通过双轮廓检测模型的协同判别确定异常检测结果。
3.本发明采用微粒子群算法对OCSVM双轮廓异常检测模型参数进行寻优，该方法通过粒子群的迭代更新，避免通过经验对OCSVM参数进行选择，从而将大大提高效率。
附图说明
图1是Modbus TCP应用层数据单元结构；
图2是基于OCSVM双轮廓模型的Modbus TCP通信流量异常检测的整体框架图；
图3是PSO-OCSVM异常检测模型建模流程；
图4是双轮廓OCSVM异常检测模型。
具体实施方式
下面结合附图及实施例对本发明做进一步的详细说明。
如图2、3所示，基于OCSVM的通信行为异常检测方法，包括：
a.数据采集部分，如图1所示，
1搭建仿真实验环境平台，使系统处于正常运行状态，用wireshark抓取流量数据包，此时抓取的数据包为正常通信流量数据。
2在计算机上插入带有病毒的U盘，此时系统受到病毒入侵，用wireshark抓取流量数据包，此时抓取的数据包为异常通信流量数据。
3分别将抓取的通信流量数据存储在不同的文件中，分别进行特征提取。
b.特征提取及预处理部分
1Modbus TCP报文格式在保留了Modbus全部功能的基础上，扩展了一些数据结构。Modbus TCP的报文格式主要包括三个部分：MBAP报文头、Modbus功能码和数据。当客户机向服务器设备发送报文时，功能码字段是服务器区分读操作、写操作、数据类型、数据种类的唯一依据，因此将Modbus功能码作为特征向量。
2首先去除抓取来的数据包中不包含Modbus功能码的流量数据包，然后去除冗余和不重要的特征，只保留有效关键特征集及Modbus功能码。
3将获取的Modbus功能码序列随机分割成不同长度的Modbus功能码短序列，并赋予标签，其中正常流量数据包的Modbus功能码序列标记为+1，异常流量数据包的Modbus功能码序列标记为-1。
4根据需要设定短序列的长度r，以长度为r的滑动窗口循环处理Modbus功能码样本，去除重复的序列，获得短序列集合。
5将任意的Modbus功能码序列，按照每一个模式短序列出现的频率构造成OCSVM特征向量。
c.PSO优化流程
1设置PSO算法在终止条件始终无法满足情况下的最大迭代次数kmax；
2在D维的问题空间中随机产生粒子的位置X＝(X1，X2，...，XN）和速度V＝(V1，V2，...，VN)，N为粒子数目，其中Xi＝(xig，xiv)表示第i个粒子由两个分量构成，分别代表OCSVM参数v和径向基核函数参数g的位置，设置两个分量的限定范围是[Xgmin，Xgmax]和[Xvmin，Xvmax]；
3进行粒子适应度Fit(i)计算。粒子适应度值Fit(i)选取以分量xig和xiv为参数的基于OCSVM的Modbus功能码序列检测的交叉验证意义下的分类正确率；
4根据适应度值更新个体极值及群体极值。若适应度值
Figure PCTCN2014095576-appb-000004
则Pk＝Xk+1，否则Pk＝Xk。若存在j使得
Figure PCTCN2014095576-appb-000005
成立，且
Figure PCTCN2014095576-appb-000006
则令
Figure PCTCN2014095576-appb-000007
否则
Figure PCTCN2014095576-appb-000008
5判断是否满足退出迭代条件。如果超过最大迭代次数或连续50次适应度值的变化没有超过0.01％，则退出迭代过程，并且此时的群体极值即为所要求的最优参数；
6按照粒子速度与位置更新公式进行更新。每一轮更新结束后需要判定位置各维是否限定在规定范围和内，对于超过范围的分量需要限定在该范围之内，例如如果xig<xgmin则设置xig＝xgmin，如果xig>xgmax则xig＝xgmax。速度与位置更新按照下述两个公式进行：
Vk+1＝ωVk+c1r1(Pk-Xk)+c2r2(Gk-Xk)
Xk+1＝Xk+Vk+1
上式中，第一部分为粒子当前速度，反映粒子当前速度对下一代速度的影响；第二部分反映单个粒子的自身认知能力，主要控制粒子的全局搜索能力，避免陷入局部最优；第三部分反映整个粒子群的社会认知能力，表示粒子间的信息的相互影响，有利于提升粒子的全局搜索能力。其中c1和c2为学习因子，加速度因子r1和r2为[0，1]之间的随机数。
d.OCSVM双轮廓异常检测模型：
正轮廓单类支持向量机训练流程：
1.从工业控制系统数据包捕获与预处理单元中获取新正常的训练样本。
2.接受PSO参数优化流程传递的单类支持向量机固有参数v和高斯核函数参数g；
3.构造对偶求解单类支持向量机模型：
Figure PCTCN2014095576-appb-000009
其中，α＝(α1,α2,...,αn)表示拉格朗日算子，K(xi,xj)表示高斯径向基核函数，得解α*＝(α1 *,α2 *,...,αn *)；
4构造决策函数：
Figure PCTCN2014095576-appb-000010
Figure PCTCN2014095576-appb-000011
其中，ρ*是单类支持向量机的补偿值，sgn()表示符号函数。
5将分类准确率返回PSO参数优化流程，作为粒子适应度计算函数Fit(i)的取值。
负轮廓单类支持向量机训练流程与正轮廓单类支持向量机类似，需要对工业控制系统数据包捕获与预处理单元中获取的异常样本进行训练。
e.OCSVM双轮廓模型协同判别规则设计：
如图4所示，当OCSVM双轮廓模型对测试样本进行决策判断时，遵循以下规则：
测试样本分别经正轮廓模型和负轮廓模型进行检测，两个模型分别做出判断：
1正、负轮廓模型判定结果均为“正常”，则最终结果为“正常”，此样本为正常数据流量，系统允许通过；
2正、负轮廓模型判定结果均为“异常”，则最终结果为“异常”，此样本为异常数据流量，系统报警；
3对于正、负轮廓模型判定结果不一致的情况，如系统需要抑制“误报警率”，则判定为“正常”，如果需要抑制“漏警率”，则判定为“异常”。

Claims (8)

  1. 一种基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法，其特征在于，包括以下步骤：
    特征提取：分别采集工业控制系统中Modbus TCP正常通信流量和异常通信流量，并分别进行存储并剔除不必要的信息，最终转化为仅包含Modbus功能码的两个序列；
    数据预处理：根据需要设定短序列的长度r，分别以长度为r的滑动窗口循环处理Modbus功能码的两个序列，分别将Modbus功能码的两个序列转换为若干个长度为r的短序列，去除其中重复的短序列，获得短序列集合并按照每一个短序列出现的顺序进行排列构造成OCSVM正常通信特征向量和OCSVM异常通信特征向量；
    建模：将OCSVM正常通信特征向量和OCSVM异常通信特征向量分别导入到matlab中，通过matlab调动libsvm工具箱分别生成正轮廓OCSVM模型和负轮廓OCSVM模型；
    PSO优化：分别对正轮廓OCSVM模型和负轮廓OCSVM模型进行参数优化：将初始化的粒子传递给正轮廓OCSVM模型/负轮廓OCSVM模型作为OCSVM固有参数v和高斯径向基参数g，将正轮廓OCSVM模型/负轮廓OCSVM模型返回的交叉验证意义下的分类准确率作为PSO优化模型中的适应度值，并据此进行粒子群迭代更新；
    双轮廓OCSVM异常检测：分别利用最优的OCSVM固有参数v和高斯径向基参数g，建立正轮廓OCSVM模型和负轮廓OCSVM模型进行异常检测，并且分别返回交叉验证意义下的分类正确率；
    双单类支持向量机协同判别规则：若正轮廓OCSVM模型判定结果为“正常”，负轮廓OCSVM模型判定为“正常”，则最终结果为“正常”；若正轮廓OCSVM模型判定结果为“异常”，负轮廓OCSVM模型判定结果为“异常”，则判定为“异常”；对于两个判定结果不一致的情况，如果需要抑制“误警率”，则判定为“正常”，如果需要抑制“漏警率”，则判定为“异常”。
  2. 根据权利要求1所述的基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法，其特征在于，所述流量采集包括以下步骤：
    通过wireshark抓包软件抓取网络中的正常的Modbus TCP通信流量数据包；当系统受到病毒攻击时，通过wireshark抓包软件抓取网络中异常的Modbus TCP通信流量数据包；分别剔除正常数据包和异常数据包中不包含有Modbus功能码的数据包，得到Modbus TCP客户端和Modbus TCP服务器端的通信流量；剔除Modbus功能码之外的所有其他信息，并将Modbus功能码按照时间先后顺序进行排列。
  3. 根据权利要求1所述的基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法，其特征在于，所述数据预处理包括以下步骤：
    根据需要设定短序列的长度r，以长度为r的滑动窗口循环处理Modbus功能码，去除重复的序列，获得短序列集合。
    在任意的Modbus功能码序列中，按照每一个短序列出现的顺序进行排列构造成OCSVM特征向量；
    对OCSVM特征向量进行归一化处理，使其中的各元素属于同一个数量级。
  4. 根据权利要求1所述的基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法，其特征在于，所述PSO优化包括以下步骤：
    设置PSO算法在终止条件始终无法满足情况下的最大迭代次数kmax及粒子速度与位置 的限定范围；
    随机生成种群并分别根据正轮廓OCSVM模型和负轮廓OCSVM模型对PSO算法进行参数初始化，其中每个粒子包含两个分量，分别为单类支持向量机固有参数v和高斯核函数核参数g，并对每一个粒子设置初始化速度和位置向量；
    将粒子进行OCSVM训练并作为单类支持向量机的固有参数v和高斯核函数参数g，并将返回的交叉验证意义下的分类准确率作为粒子适应度值；
    根据适应度值的情况不断更新个体极值及群体极值：一旦出现了更优的适应度值则更新相应的个体或者群体适应度值；
    判断是否满足退出迭代条件：如果超过最大迭代次数或连续N次适应度值的变化没有超过设定阈值，则退出迭代过程，并且此时的群体极值即为所要求的最优参数，所述N为设定的最大连续限值；
    按照粒子位置与速度更新公式进行粒子群更新，同时检查各个粒子的不同维度是否在允许的限度之内，如果超出允许的范围需要限定在事先设置的范围区间之内。
  5. 根据权利要求1所述的基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法，其特征在于，所述双轮廓OCSVM异常检测分别对正轮廓OCSVM模型和负轮廓OCSVM模型执行以下步骤：
    接受PSO参数寻优流程传递的粒子，将该粒子的两个分量分别设置为单类支持向量机的固有参数v和高斯核函数参数g；
    获取正常与异常Modbus TCP通信流量数据包集合，将正常的流量数据赋予+1类别标签，异常流量数据赋予-1类别标签；
    构造对偶问题求解单类支持向量机模型；
    构造决策函数；
    根据决策函数和类别标签计算交叉验证意义下的分类准确率；
    将分类准确率返回PSO优化流程中计算适应度值，并作为粒子适应度计算函数Fit(i)的取值。
  6. 根据权利要求5所述的基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法，其特征在于，所述构造对偶问题求解支持向量机模型：
    Figure PCTCN2014095576-appb-100001
    其中，α＝(α1,α2,...,αn)表示拉格朗日算子，K(xi,xj)表示高斯核函数，得解α*＝(α1 *,α2 *,...,αn *)。
  7. 根据权利要求5所述的基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法，其特征在于，所述决策函数为：
    Figure PCTCN2014095576-appb-100002
    Figure PCTCN2014095576-appb-100003
    其中，ρ*是单类支持向量机的最终决策函数的补偿值，sgn()表示符号函数，K(xi,xj)表示高斯核函数。
  8. 根据权利要求5所述的基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法，其特征在于，所述计算交叉验证意义下的分类准确率采用5折校验方式，具体为：将训练集合均分成5份，每次用其中的4份训练异常检测模型，用剩余的一份作为测试集合验证检测效果。
PCT/CN2014/095576 2014-11-26 2014-12-30 基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法 WO2016082284A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US15/527,208 US10261502B2 (en) 2014-11-26 2014-12-30 Modbus TCP communication behaviour anomaly detection method based on OCSVM dual-outline model

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201410699413.3A CN105704103B (zh) 2014-11-26 2014-11-26 基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法
CN201410699413.3 2014-11-26

Publications (1)

Publication Number Publication Date
WO2016082284A1 true WO2016082284A1 (zh) 2016-06-02

Family

ID=56073428

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/095576 WO2016082284A1 (zh) 2014-11-26 2014-12-30 基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法

Country Status (3)

Country Link
US (1) US10261502B2 (zh)
CN (1) CN105704103B (zh)
WO (1) WO2016082284A1 (zh)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106250765A (zh) * 2016-08-05 2016-12-21 黄新勇 广播系统中的程序监控方法及系统
WO2018023708A1 (zh) * 2016-08-05 2018-02-08 黄新勇 广播系统中的程序监控方法及系统
WO2018023711A1 (zh) * 2016-08-05 2018-02-08 黄新勇 音频的广播网络中的实时监控方法及系统
WO2018028603A1 (en) * 2016-08-10 2018-02-15 Huawei Technologies Co., Ltd. Density-based apparatus, computer program, and method for reclassifying test data points as not being an anomaly
CN108520272A (zh) * 2018-03-22 2018-09-11 江南大学 一种改进苍狼算法的半监督入侵检测方法
CN110826642A (zh) * 2019-11-15 2020-02-21 安徽农业大学 一种针对传感器数据的无监督异常检测方法
CN111164575A (zh) * 2017-10-11 2020-05-15 三菱电机株式会社 样本数据生成装置、样本数据生成方法和样本数据生成程序
CN111860097A (zh) * 2020-04-16 2020-10-30 西安电子科技大学 一种基于模糊理论的异常行为检测方法
CN116712035A (zh) * 2023-05-31 2023-09-08 苏州海神联合医疗器械有限公司 基于CNN-PSO-BiLSTM睡眠分期方法及系统

Families Citing this family (35)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10341391B1 (en) * 2016-05-16 2019-07-02 EMC IP Holding Company LLC Network session based user behavior pattern analysis and associated anomaly detection and verification
EP3545658B1 (en) * 2017-01-23 2021-03-31 Mitsubishi Electric Corporation Evaluation and generation of a whitelist
CN107194068B (zh) * 2017-05-22 2020-01-10 中国石油大学(北京) 页岩气压裂过程井下异常工况实时预测预警方法及装置
CN109143848A (zh) * 2017-06-27 2019-01-04 中国科学院沈阳自动化研究所 基于fcm-gasvm的工业控制系统入侵检测方法
CN108055282A (zh) * 2017-12-28 2018-05-18 国网浙江省电力有限公司电力科学研究院 基于自学习白名单的工控异常行为分析方法及系统
CN109150873A (zh) * 2018-08-16 2019-01-04 武汉虹旭信息技术有限责任公司 基于pso_svm优化算法的恶意域名检测系统及方法
CN110868312A (zh) * 2018-08-28 2020-03-06 中国科学院沈阳自动化研究所 一种基于遗传算法优化的工业行为异常检测方法
CN109861988A (zh) * 2019-01-07 2019-06-07 浙江大学 一种基于集成学习的工业控制系统入侵检测方法
CN110139315B (zh) * 2019-04-26 2021-09-28 东南大学 一种基于自我学习的无线网络故障检测方法
CN110263971A (zh) * 2019-05-14 2019-09-20 西安理工大学 基于支持向量机的超短期风电功率组合预测方法
CN110336860A (zh) * 2019-06-13 2019-10-15 河海大学常州校区 工业物联网中基于多维数据处理的关键节点数据保护方法
CN110763441B (zh) * 2019-07-02 2023-04-07 中国民航大学 基于单类最大向量角区域间隔的发动机涡轮盘检测方法
CN110659482B (zh) * 2019-09-27 2022-03-25 吉林大学 一种基于gapso-twsvm的工业网络入侵检测方法
CN110753049B (zh) * 2019-10-21 2021-04-13 清华大学 一种基于工控网络流量的安全态势感知系统
WO2021120010A1 (en) * 2019-12-17 2021-06-24 Orange Methods and apparatus to identify abnormal behavior within sets of internet-of-things devices
CN112565301B (zh) * 2019-12-26 2021-08-31 北京航空航天大学 基于小样本学习的服务器运行网络流量异常数据检测方法
CN111343171B (zh) * 2020-02-19 2022-08-05 重庆邮电大学 一种基于支持向量机的混合特征选择的入侵检测方法
CN111817875B (zh) * 2020-06-03 2022-06-28 华为技术有限公司 检测网络故障的方法和装置
CN111783577B (zh) * 2020-06-19 2023-11-10 航天信息股份有限公司 一种基于发票数据分析的疑似税务异常企业筛选方法
CN111860602A (zh) * 2020-06-22 2020-10-30 中国科学院沈阳自动化研究所 一种基于机器学习的高效快速工业频谱认知方法
CN112052871B (zh) * 2020-07-21 2024-05-07 上海宇航系统工程研究所 一种基于支持向量机的火箭发动机健康诊断方法及系统
CN112053219A (zh) * 2020-08-06 2020-12-08 百维金科(上海)信息科技有限公司 一种基于ocsvm的消费金融欺诈行为检测方法
CN112187528B (zh) * 2020-09-15 2021-10-08 浙江大学 基于sarima的工业控制系统通信流量在线监测方法
CN112153081A (zh) * 2020-11-24 2020-12-29 浙江齐安信息科技有限公司 一种工业网络异常状态的检测方法
CN112688946B (zh) * 2020-12-24 2022-06-24 工业信息安全(四川)创新中心有限公司 异常检测特征的构造方法、模块、存储介质、设备及系统
CN112910688B (zh) * 2021-01-18 2021-11-23 湖南大学 Hj212协议下基于ocsvm模型的通讯行为异常并行检测方法与系统
CN112968906B (zh) * 2021-03-25 2022-02-18 湖南大学 一种基于多元组的Modbus TCP异常通讯检测方法和系统
CN112995331B (zh) * 2021-03-25 2022-11-22 绿盟科技集团股份有限公司 一种用户行为威胁检测方法、装置及计算设备
CN114268451B (zh) * 2021-11-15 2024-04-16 中国南方电网有限责任公司 电力监控网络安全缓冲区构建方法、装置、设备和介质
CN114244609B (zh) * 2021-12-17 2023-08-25 北京国泰网信科技有限公司 用于工业防火墙的Modbus TCP协议防护方法
CN115396163B (zh) * 2022-08-10 2023-04-11 广州天懋信息系统股份有限公司 一种恶意周期行为检测方法
CN115499238B (zh) * 2022-09-30 2023-04-28 北京珞安科技有限责任公司 基于工控行为分析的工控网络威胁分析方法
CN115766227A (zh) * 2022-11-16 2023-03-07 国网福建省电力有限公司 基于单类支持向量机ocsvm的流量异常检测方法
CN117009962B (zh) * 2023-10-08 2023-12-08 深圳安天网络安全技术有限公司 一种基于有效标签的异常检测方法、装置、介质及设备
CN117688558B (zh) * 2024-02-01 2024-05-07 杭州海康威视数字技术股份有限公司 基于微结构异常事件的终端攻击轻量检测方法及设备

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102339389A (zh) * 2011-09-14 2012-02-01 清华大学 一种基于密度的参数优化单分类支持向量机故障检测方法
CN103439933A (zh) * 2013-08-13 2013-12-11 清华大学 一种应用ocsvm的生产过程自适应监控系统及方法
CN103561018A (zh) * 2013-10-30 2014-02-05 蓝盾信息安全技术股份有限公司 一种面向大数据应用平台的入侵检测的实时分析系统
CN103927483A (zh) * 2014-04-04 2014-07-16 西安电子科技大学 用于检测恶意程序的判定模型及恶意程序的检测方法

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100738537B1 (ko) * 2005-12-27 2007-07-11 삼성전자주식회사 네트워크 침입 탐지 시스템 및 그 탐지 방법
CN101557327A (zh) * 2009-03-20 2009-10-14 扬州永信计算机有限公司 基于支持向量机的入侵检测方法
NL2007180C2 (en) * 2011-07-26 2013-01-29 Security Matters B V Method and system for classifying a protocol message in a data communication network.
CN102420723A (zh) * 2011-12-14 2012-04-18 南京邮电大学 一种面向多类入侵的异常检测方法
US9753796B2 (en) * 2013-12-06 2017-09-05 Lookout, Inc. Distributed monitoring, evaluation, and response for multiple devices

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102339389A (zh) * 2011-09-14 2012-02-01 清华大学 一种基于密度的参数优化单分类支持向量机故障检测方法
CN103439933A (zh) * 2013-08-13 2013-12-11 清华大学 一种应用ocsvm的生产过程自适应监控系统及方法
CN103561018A (zh) * 2013-10-30 2014-02-05 蓝盾信息安全技术股份有限公司 一种面向大数据应用平台的入侵检测的实时分析系统
CN103927483A (zh) * 2014-04-04 2014-07-16 西安电子科技大学 用于检测恶意程序的判定模型及恶意程序的检测方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
SHANG, WENLI ET AL.: "Modbus/TCP Communication Anomaly Detection Algorithm Based on PSO-SVM", ACTA ELECTRONICA SINICA, vol. 42, no. 11, 15 November 2014 (2014-11-15), pages 2316 - 2318 *

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106250765A (zh) * 2016-08-05 2016-12-21 黄新勇 广播系统中的程序监控方法及系统
WO2018023708A1 (zh) * 2016-08-05 2018-02-08 黄新勇 广播系统中的程序监控方法及系统
WO2018023711A1 (zh) * 2016-08-05 2018-02-08 黄新勇 音频的广播网络中的实时监控方法及系统
WO2018028603A1 (en) * 2016-08-10 2018-02-15 Huawei Technologies Co., Ltd. Density-based apparatus, computer program, and method for reclassifying test data points as not being an anomaly
CN111164575A (zh) * 2017-10-11 2020-05-15 三菱电机株式会社 样本数据生成装置、样本数据生成方法和样本数据生成程序
CN111164575B (zh) * 2017-10-11 2023-08-22 三菱电机株式会社 样本数据生成装置、样本数据生成方法和计算机能读取的存储介质
CN108520272A (zh) * 2018-03-22 2018-09-11 江南大学 一种改进苍狼算法的半监督入侵检测方法
CN110826642A (zh) * 2019-11-15 2020-02-21 安徽农业大学 一种针对传感器数据的无监督异常检测方法
CN110826642B (zh) * 2019-11-15 2023-03-24 安徽农业大学 一种针对传感器数据的无监督异常检测方法
CN111860097A (zh) * 2020-04-16 2020-10-30 西安电子科技大学 一种基于模糊理论的异常行为检测方法
CN111860097B (zh) * 2020-04-16 2024-02-20 西安电子科技大学 一种基于模糊理论的异常行为检测方法
CN116712035A (zh) * 2023-05-31 2023-09-08 苏州海神联合医疗器械有限公司 基于CNN-PSO-BiLSTM睡眠分期方法及系统

Also Published As

Publication number Publication date
US20170329314A1 (en) 2017-11-16
CN105704103B (zh) 2017-05-10
US10261502B2 (en) 2019-04-16
CN105704103A (zh) 2016-06-22

Similar Documents

Publication Publication Date Title
WO2016082284A1 (zh) 基于OCSVM双轮廓模型的Modbus TCP通信行为异常检测方法
CN112738015B (zh) 一种基于可解释卷积神经网络cnn与图检测的多步攻击检测方法
CN109600363B (zh) 一种物联网终端网络画像及异常网络访问行为检测方法
Zolanvari et al. Effect of imbalanced datasets on security of industrial IoT using machine learning
Sangkatsanee et al. Practical real-time intrusion detection using machine learning approaches
Peng et al. Network intrusion detection based on deep learning
CN107040517B (zh) 一种面向云计算环境的认知入侵检测方法
Nagarajan et al. IADF-CPS: Intelligent anomaly detection framework towards cyber physical systems
Shang et al. Industrial communication intrusion detection algorithm based on improved one-class SVM
CN104899513B (zh) 一种工业控制系统恶意数据攻击的数据图检测方法
CN103441982A (zh) 一种基于相对熵的入侵报警分析方法
Lai et al. Industrial anomaly detection and attack classification method based on convolutional neural network
CN110719250B (zh) 基于PSO-SVDD的Powerlink工控协议异常检测方法
CN113094707B (zh) 一种基于异质图网络的横向移动攻击检测方法及系统
Liu An intrusion detection system based on convolutional neural network
Li et al. Using data mining methods to detect simulated intrusions on a modbus network
Al-Fawa'reh et al. Detecting stealth-based attacks in large campus networks
Deng et al. Intrusion detection method based on support vector machine access of modbus TCP protocol
CN111181969B (zh) 一种基于自发流量的物联网设备识别方法
CN109510805B (zh) 一种基于安全基线模型的网络数据安全检测方法及系统
Ahmed et al. Enhancing intrusion detection using statistical functions
Sapozhnikova et al. Intrusion detection system based on data mining technics for industrial networks
Patel et al. A review of intrusion detection technique using various technique of machine learning and feature optimization technique
Li et al. Optimization and implementation of industrial control system network intrusion detection by telemetry analysis
Murthy et al. Hybrid intelligent intrusion detection system using bayesian and genetic algorithm (baga): comparitive study

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14907092

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15527208

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14907092

Country of ref document: EP

Kind code of ref document: A1