[发明专利]基于数据报文的电力控制系统攻击检测防护方法及装置

权利要求书

1.一种基于数据报文的电力控制系统攻击检测防护方法，其特征在于，包括：

对电力控制系统环境下不同类型的数据报文进行信息检测，采集获得数据报文关键信息；

对数据报文关键信息类别进行分类，以确保在某一时间段内生成相应类别数据报文的信息基线；

通过异常数据报文运行与数据报文关键信息类别的基线差异识别各种基于数据报文的篡改、伪造攻击情报，实现对数据报文攻击手段的检测与防护；

对识别出来的篡改、伪造攻击情报进行基于威胁情报与内容篡改的关联分析，汇总和合理化威胁数据自动筛选出攻陷指标作为可机读威胁情报，并且使用现存的日志对比匹配，以发现不常见的趋势或线索，并对其有效执行操作；

所述对数据报文关键信息类别进行分类，以确保在某一时间段内生成相应类别数据报文的信息基线包括：

将数据报文关键信息采用基于时间窗置信区间的检测模型和方法，以在实际运行中不断自我调整和逼近，自动剔除历史时间窗内的异常历史数据，实现历史时间窗数据与网络实际正常流量行为特征的吻合，确保在某一时间段内生成相应类别数据报文的信息基线。

2.如权利要求1所述的基于数据报文的电力控制系统攻击检测防护方法，其特征在于，所述数据报文包括节点标识、序列号、采集信息。

3.如权利要求1所述的基于数据报文的电力控制系统攻击检测防护方法，其特征在于，所述采集获得数据报文关键信息包括：

采集器对采集到的原始安全数据进行预处理，并将处理后的数据发送至大数据分析平台；

大数据分析平台的关系数据库和分布式文件系统保存收到的数据，通过分布式存储节点，将其保存至分布于平台中各节点中的文件系统中，并通过据库适配工具实现结构化数据和非结构化数据的转换，获得数据报文关键信息。

4.如权利要求3所述的基于数据报文的电力控制系统攻击检测防护方法，其特征在于，所述采集器对采集到的原始安全数据进行预处理包括泛化、过滤和归并。

5.如权利要求1所述的基于数据报文的电力控制系统攻击检测防护方法，其特征在于，所述通过异常数据报文运行与数据报文关键信息类别的基线差异识别各种基于数据报文的篡改、伪造攻击情报，实现对数据报文攻击手段的检测与防护包括：

对异常数据报文运行与数据报文关键信息类别的基线采用基于机器学习的算法，通过对设定时间周期内的安全事件的多维度进行学习，建立正常的基线，通过分析安全事件的特征值与基线的偏差，超出置信区间的事件会作为异常事件，并可对安全趋势进行预测，机器学习算法依据采集到的完整的安全数据始终不断地进行学习，以保持最新的基线模型，识别各种基于数据报文的篡改、伪造攻击，实现对数据报文攻击手段的检测与防护。

6.如权利要求5所述的基于数据报文的电力控制系统攻击检测防护方法，其特征在于，所述基于机器学习的算法包括决策树分析，数理统计、假设检验。

7.一种基于数据报文的电力控制系统攻击检测防护装置，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至6任一所述方法的步骤。

8.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至6任一所述方法的步骤。