[发明专利]基于因果知识的电力信息网络攻击场景重构方法及系统

权利要求书

1.一种基于因果知识的电力信息网络攻击场景重构方法，其特征在于，包括如下步骤：

接收网络中的安全设备上传的告警信息；

将告警信息格式化处理，并剔除不完整的告警信息；

从告警信息中提取告警事件，并将告警事件按时间顺序排列成告警序列，根据告警序列获得告警周期值，并对告警周期值进行正确性检验，过滤误告警信息；

根据告警事件地址间的相关性对告警序列中告警事件进行聚类，划分攻击场景序列；

挖掘攻击场景序列中各安全设备告警事件类型间的统计关联关系，形成因果知识；

根据因果知识，利用预设算法判断告警序列的攻击场景。

2.根据权利要求1所述的基于因果知识的电力信息网络攻击场景重构方法，其特征在于，所述将告警信息格式化处理，并剔除不完整的告警信息，包括如下步骤：

采用入侵检测消息交换格式对告警信息进行格式化；

判断每一条告警信息的五元组是否完整，剔除不完整的告警信息。

3.根据权利要求1所述的基于因果知识的电力信息网络攻击场景重构方法，其特征在于，所述从告警信息中提取告警事件，并将告警事件按时间顺序排列成告警序列，根据告警序列获得告警周期值，并对告警周期值进行正确性检验，过滤误告警信息，包括如下步骤：

从告警信息中提取告警事件；

以预设时间为单位统计每个三元组产生的告警事件数量，形成告警序列；

对告警序列进行离散傅里叶变换得到告警周期值；

对获得的告警周期值进行正确性检验，并根据相似度剔除误告警信息。

4.根据权利要求3所述的基于因果知识的电力信息网络攻击场景重构方法，其特征在于，所述对告警序列进行离散傅里叶变换得到告警周期值，包括如下步骤：

对告警序列进行离散傅里叶变换得到告警序列中的频率；

选取告警序列中的频率最大值，利用周期计算公式得到告警周期值。

5.根据权利要求4所述的基于因果知识的电力信息网络攻击场景重构方法，其特征在于，所述对告警序列进行离散傅里叶变换的公式为：

其中，e^2πk＝1，ats(i)表示第i小时的告警事件数量，N表示时间序列长度。

6.根据权利要求3所述的基于因果知识的电力信息网络攻击场景重构方法，其特征在于，所述对获得的告警周期值进行正确性检验的公式为：

其中，r表示相似度，ats_ij表示第i时间中周期为j的告警事件数量，ats_i(j+1)表示第i时间中周期为j+1的告警事件数量，表示第i个分组的均值。

7.根据权利要求1所述的基于因果知识的电力信息网络攻击场景重构方法，其特征在于，所述根据告警事件地址间的相关性对告警序列中告警事件进行聚类，划分攻击场景序列，包括如下步骤：

当相邻2个告警事件之间是IP属性相关的，将所述告警事件划分到同一攻击场景序列中；

当新告警事件的IP存在于某攻击场景序列的IP集合中，但与某攻击场景序列中最后的告警事件IP不相关，则在某攻击场景序列中找出与新告警事件IP直接相关的告警事件，取该告警事件前的告警事件重新创建一个由某攻击场景序列衍生出来的新攻击场景序列。

8.根据权利要求1所述的基于因果知识的电力信息网络攻击场景重构方法，其特征在于，所述挖掘攻击场景序列中各安全设备告警事件类型间的统计关联关系，形成因果知识，包括如下步骤：

遍历攻击场景序列中的每个告警事件，创建条件概率矩阵；

当出现新的攻击类型，则添加一行一列到条件概率矩阵中。

9.根据权利要求8所述的基于因果知识的电力信息网络攻击场景重构方法，其特征在于，条件概率矩阵为；

其中，M_ij表示矩阵M中第i行对应攻击类型下一步跟着发生第j列所代表攻击类型的次数，M(i，n)表示矩阵M中第i行第n列元素。