[发明专利]电力监控系统运维行为安全威胁评估方法及设备

权利要求书

1.一种电力监控系统运维行为安全威胁评估方法，其特征在于，包括：

获取电网监控系统中的运维日志记录，将运维日志记录的运维事务属性转化为纯数值型属性的元组，得到数值化后的运维事务特征集合；

将运维事务特征集合中的运维事务进行运维角色分类；

在每类运维角色内，根据运维事务与该类运维角色的人员画像特征属性的偏差计算人员画像偏差分数；

在每类运维角色内，根据集成学习异常检测模型的检测结果，得到异常指令行为分数；

根据人员画像偏差分数与异常指令行为分数确定总的行为分数，根据预先设定的行为分数与安全威胁等级之间的关系，确定运维事务的安全威胁等级。

2.根据权利要求1所述的电力监控系统运维行为安全威胁评估方法，其特征在于，所述运维事务属性包括运维日志中的登陆时间、源IP、目的IP和Linux系统中的操作指令。

3.根据权利要求1所述的电力监控系统运维行为安全威胁评估方法，其特征在于，所述将运维日志记录的运维事务属性转化为纯数值型属性的元组，得到数值化后的运维事务特征集合的过程包括：

采用onehot编码及构建词袋模型将运维日志记录的字符型数据转换为数值型数据，对数值型数据进行归一化处理，得到运维事务特征集合D。

4.根据权利要求1所述的电力监控系统运维行为安全威胁评估方法，其特征在于，所述将运维事务特征集合中的运维事务进行运维角色分类的过程包括：

根据系统运维的关键指令集O₁、图形运维的关键指令集O₂、网络运维的关键指令集O₃和数据库运维的关键指令集O₄对运维事务特征集D中操作指令的匹配情况进行分类；对于匹配不到的运维事务，将其设定为“其他”类型，根据Apriori算法挖掘的规则集R_c对“其他”类型的运维事务进行二次分类，得到最终的事务特征集D_i(i＝1,2,3,4,5)。

5.根据权利要求4所述的电力监控系统运维行为安全威胁评估方法，其特征在于，所述在每类运维角色内，根据运维事务与该类运维角色的人员画像特征属性的偏差计算人员画像偏差分数的过程包括：

基于预先获得的人员画像的大数据知识，分别在最终的事务特征集D_i内根据数理统计中的均值、方差原理构造“指令活跃曲线”，“常访问IP”，“指令序列基线”，“指令习惯”和“常登录时间段”这五个特征属性；根据运维事务特征与所属角色类型画像属性之间的偏差情况，得到各自的属性偏差分数e_j,j＝1,2,3,4,5；利用下式计算得到人员画像偏差分数e，

6.根据权利要求1所述的电力监控系统运维行为安全威胁评估方法，其特征在于，所述在每类运维角色内，根据集成学习异常检测模型的检测结果，得到异常指令行为分数的过程包括：

对运维事务d在其所属D_i内，构建LOF异常检测模型，根据运维事务d在模型中得到的局部离群因子值lof，计算LOF异常检测分数l；

对运维事务d在其所属D_i内，构建iForest异常检测模型，根据运维事务d在模型中得到的异常值S(d)，计算iForest异常检测分数f；

对运维事务d在其所属D_i内，构建k-Means聚类模型，根据运维事务d在聚类结果中与所属簇及其他簇之间的欧式距离情况，计算k-Means异常检测分数k；

结合LOF异常检测分数l、iForest异常检测分数f和k-Means异常检测分数得到总的异常检测分数s。

7.一种存储一个或多个程序的计算机可读存储介质，其特征在于，所述一个或多个程序包括指令，所述指令当由计算设备执行时，使得所述计算设备执行根据权利要求1至6所述方法中的任一方法。

8.一种计算设备，其特征在于，包括，一个或多个处理器、存储器以及一个或多个程序，其中一个或多个程序存储在所述存储器中并被配置为由所述一个或多个处理器执行，所述一个或多个程序包括用于执行根据权利要求1至6所述方法中的任一方法的指令。