[发明专利]一种针对铁路调度集中系统的网络入侵检测方法

权利要求书

1.一种针对铁路调度集中系统的网络入侵检测方法，其特征在于，包括：

在铁路调度集中系统中部署网络监测器，用于收集网络数据，并实时统计网络流量；

根据正常状态下，一段时间内统计的网络流量，构建流量观测序列，并计算出流量阈值范围，之后，对于当前时刻统计的网络流量值，根据其是否落入流量阈值范围内，来检测流量观测序列是否发生异常变化，从网络流量层面判断铁路调度集中系统是否遭受网络攻击；若当前网络流量值高于流量阈值上控制边界，则判定铁路调度集中系统遭受网络攻击；

若不高于流量阈值上控制边界，则继续执行下述步骤：采集针对铁路调度集中系统的网络模拟攻击数据，作为入侵检测训练数据集构建检测模型；采用铁路调度集中系统专有网络协议从网络监测器收集的单个网络数据包中提取关键字段特征，作为数据包检测样本输入至检测模型，从数据包层面判断铁路调度集中系统是否遭受网络攻击；

其中，构建的检测模型为决策树检测模型，构建决策树检测模型时，利用信息增益I决定决策树中每个节点选取的特征属性，计算公式为：

其中，S为训练数据集，包含所有数据实例；A为特征属性，v为属性A的值；V(A)为属性的数量；S_v是S的子集；E(S)是系统的熵值，E(S)的计算公式如下：

其中，c为按照属性A分类后得到的类别数量；p_i为类别i中实例占所有实例的比例。

2.根据权利要求1所述的一种针对铁路调度集中系统的网络入侵检测方法，其特征在于，所述网络监测器为具有网络嗅探功能的设备，能够从交换机镜像端口收集铁路调度集中系统的网络通信数据。

3.根据权利要求1或2所述的一种针对铁路调度集中系统的网络入侵检测方法，其特征在于，利用网络监测器统计单位时间内收集的网络数据，获得网络流量。

4.根据权利要求1所述的一种针对铁路调度集中系统的网络入侵检测方法，其特征在于，所述根据正常状态下，一段时间内统计的网络流量，构建历史的流量观测序列，并计算出流量阈值范围，之后，对于当前时刻统计的网络流量值，根据其是否落入流量阈值范围内，来检测当前网络流量值是否发生异常变化包括：

利用流量观测序列x(i)计算流量预测序列z(i)：

z(i)＝λ·x(i)+(1-λ)·z(i-1),0＜λ≤1

其中，i表示时刻，λ为平滑因子；

利用流量观测序列x(i)与前一时刻的流量预测序列z(i-1)计算误差序列e(i)：

e(i)＝x(i)-z(i-1)

其中，e(i)的均值为0，方差为计算公式为：

σ_e²＝α·e(i)²+(1-α)·σ_e²(i-1)

其中，0＜α≤1；

由此计算出上控制边界U和下控制边界D，从而确定出流量阈值范围：

U＝L·σ_e

D＝-L·σ_e

其中，L是控制边界系数；

对于之后的每一时刻，根据流量值是否落在流量阈值范围之内，来检测流量观测序列是否发生异常变化。

5.根据权利要求1所述的一种针对铁路调度集中系统的网络入侵检测方法，其特征在于，所述关键字段特征包括：源MAC、目的MAC、源IP、目的IP、源端口、目的端口、数据包长度及通信协议类型。

6.根据权利要求1所述的一种针对铁路调度集中系统的网络入侵检测方法，其特征在于，

若流量观测序列处于流量阈值范围内，且检测模型的检测结果为正常，则判定铁路调度集中系统未遭受网络攻击；

若流量观测序列处于流量阈值范围内，检测模型的检测结果为异常，则判定铁路调度集中系统遭受网络攻击；

若流量观测序列低于流量阈值下控制边界，检测模型的检测结果为正常，则判定铁路调度集中系统未遭受网络攻击；

若流量观测序列低于流量阈值下控制边界，检测模型的检测结果为异常，则判定铁路调度集中系统遭受网络攻击。