[发明专利]一种基于SVM的IEC60870-5-104异常流量检测方法

说明书

本发明公开了一种基于SVM的IEC60870‑5‑104异常流量检测方法，首先根据实际需要选择出能够表征IEC60870‑5‑104协议特点的代表传送原因，然后在主站与子站之间捕获若干组正常流量和异常流量的数据包，筛选得到I格式数据包，从中提取每组数据包的传送原因，根据预设的间隔时间将每组数据包的传送原因序列分割成传送原因短序列，然后根据代表传送原因统计得到每个传送原因短序列对应的频率向量，将频率向量作为特征输入，根据所属数据包是否为正常流量标记标签作为期望输出，训练得到SVM分类器，在需要进行异常流量检测时，提取间隔时间内的发送原因序列，统计得到频率向量，输入SVM分类器得到检测结果。本发明基于传送原因这一重要协议特征，有效实现IEC60870‑5‑104的异常流量检测。

技术领域

本发明属于电力网络信息安全技术领域，更为具体地讲，涉及一种基于SVM的IEC60870-5-104异常流量检测方法。

背景技术

IEC60870-5-104是一种适用于电力能量管理系统的通信规约，具有通信数据大、便于升级、实时性好、可靠性高等优点，能量管理系统通过IEC60870-5-104协议将远动终端(RTU,Remote Terminal Unit)采集的电力监测数据发送至调度中心。因此，IEC60870-5-104协议是电力能量管理系统的重要组成部分，对电力能量管理系统的稳定运行有重要作用。

然而，IEC60870-5-104协议在制定的时候，传输数据时采用明文发送，它的报文结构和数据格式都是公开的，在没有足够的安全措施下，存在很大安全隐患，这使得通过IEC60870-5-104协议传输的数据很容易受到报文窃听、篡改、假冒等网络攻击，威胁电力系统的安全。随着信息技术的发展，通信系统网络化、通信规约的标准化以及互联网技术逐渐应用于能量管理系统中，无任何保护措施的IEC60870-5-104协议面临着大的风险，严重威胁能量管理系统的安全性。若要防范此类欺骗性攻击，需要对IEC60870-5-104数据内容本身的过滤，即对应用层进行深度包过滤。由于欺骗性攻击的数据包是符合IEC60870-5-104协议规则的，而传统防火墙不能识别，因此无法防范此类攻击。

发明内容

本发明的目的在于克服现有技术的不足，提供一种基于SVM(Support VectorMachine，支持向量机)的IEC60870-5-104异常流量检测方法，基于传送原因这一重要协议特征，有效实现IEC60870-5-104的异常流量检测。

为实现上述发明目的，本发明基于SVM的IEC60870-5-104异常流量检测方法包括以下步骤：

S1：根据实际需要选择出能够表征IEC60870-5-104协议特点的代表传送原因，记代表传送原因的数量为M；

S2：在IEC60870-5-104通信系统的主站与子站之间捕获得到若干组IEC60870-5-104正常流量和异常流量的数据包；

S3：对于步骤S102得到的每组数据包，利用深度包检测技术，根据控制域信息剔除所有S格式和U格式的数据包，筛选得到I格式数据包；从每个I格式数据包中提取出传送原因，将传送原因按照I格式数据包的发送时间先后顺序排列，得到该组数据包对应的传送原因序列；然后根据预设的间隔时间T将每组数据包的传送原因序列分割成传送原因短序列；记获取的所有传送原因短序列的集合A＝{A_n}，其中n＝1,2,…,N，N表示传送原因短序列的数量，A_n表示第n个传送原因短序列，记为r_kⁿ表示第n个传送原因短序列中第k个传送原因，k＝1,2,…,K_n，K_n表示第n个传送原因短序列中的传送原因数量；