[发明专利]一种基于多种机器学习算法的工控异常行为检测方法

权利要求书

1.一种基于多种机器学习算法的工控异常行为检测方法，其特征在于：包括以下步骤：

A、采集发电分布式控制系统的流量数据并标定；采集的流量数据来源于发电分布式控制系统正常状态下的正常流量数据和渗透测试过程中的异常流量数据，将正常流量数据标定为正常流量，将异常流量数据标定为异常流量；

B、采用标定后的流量数据分别构建训练样本集和测试样本集；

C、样本进行特征提取和向量化处理：对训练样本集和测试样本集中的样本进行特征提取、标准化处理和向量化处理，构成训练样本集的特征向量集合和测试样本集的特征向量集合，特征向量集合中每一个特征向量对应一个样本信息，每一个特征向量包含各类特征数据；步骤C中多维特征提取方法提取了样本的二十五维有效特征，二十五维有效特征包括十五个基本特征和十个窗口化统计特征；十五个基本特征为协议类型号、数据包生存时间TTL、数据包长度、校验码、ICMP标志号、ARP类型号、ARP协议OP字段、UDP的源端口以及目的端口、TCP协议标识号、TCP协议的源端口以及目的端口号、TCP协议seq值、TCP协议ack值、TCP协议的窗口值；十个窗口化统计特征为单位时间内连接数量、目的地址相同协议类型相同流量数、目的地址相同协议类型不同流量数、目的地址不同协议类型相同流量数、目的地址相同协议类型相同连接数、目的地址相同协议类型不同连接数、目的地址相同目的端口相同连接数、目的地址不同协议类型相同连接数、时间窗口内载荷相似度得分、空间窗口内载荷相似度得分；

D、建立分类模型：具体过程为：

d1：将训练样本集的特征向量集合多次输入多种机器学习分类算法中，构建集成学习分类模型；一次输入过程记为一轮训练过程，每轮训练过程中多种机器学习分类算法采用不同核函数组合和不同权重组合；每轮训练过程具体如下：

d1.1：将训练样本集的特征向量集合分别输入多种机器学习分类算法中；

d1.2：对多种机器学习分类算法的分类结果进行整合处理，得到训练样本集中每个训练样本的最终分类结果，分类结果为正常流量或异常流量；

d1.3：将所有训练样本的分类结果与对应样本标签一一进行对比，获取本轮分类结果的准确率；

d1.4：根据每轮分类结果的准确率，调整优化模型参数，确保每种机器学习分类算法在训练样本集上收敛；

d1.5：采用测试样本集对经d1.4训练后的各种机器学习分类算法进行测试，检验训练后模型的有效性，确定最佳的核函数与模型参数组合并构建集成学习分类模型；

d2：将测试样本集的特征向量集合分别输入每轮训练产生的集成学习分类模型中，采用十重交叉验证法确定各分类算法的最佳权重组合；

d3：采用最佳权重组合和最佳核函数组合构建分类模型；

E：采集发电分布式控制系统的实时流量数据并输入步骤D所得分类模型，若输出分类结果为恶意流量，则判定发生工控异常行为，反之，则判定未发生工控异常行为。

2.根据权利要求1所述的基于多种机器学习算法的工控异常行为检测方法，其特征在于：所述多种机器学习分类算法包括输入支持向量机、K近邻、逻辑回归算法和决策树四种机器学习分类算法。