[发明专利]电力监控系统运维行为安全威胁评估方法及设备

说明书

本发明公开了一种电力监控系统运维行为安全威胁评估方法及设备，将运维日志记录的运维事务属性进行转化得到数值化后的运维事务特征集合；将运维事务特征集合中的运维事务进行运维角色分类；在每类运维角色内，根据运维事务与该类运维角色的人员画像特征属性的偏差计算人员画像偏差分数；在每类运维角色内，根据集成学习异常检测模型的检测结果，得到异常指令行为分数；根据人员画像偏差分数与异常指令行为分数确定总的行为分数，根据预先设定的行为分数与安全威胁等级之间的关系，确定运维事务的安全威胁等级。优点：能够得到较高检测的准确率；结合集成学习的相关原理，能够将多种不同检测方法的优点相结合，得到更好的威胁检测效果。

技术领域

本发明涉及一种电力监控系统运维行为安全威胁评估方法及设备，属于网络安全技术领域。

背景技术

维护电网的安全与稳定，是人们幸福生活和社会经济正常运转的重要保障。电网安全面临的安全威胁主要包括外部威胁和内部威胁两大方面。对于外部威胁，已经有完善的检测防御机制；而电网内部威胁的检测防御技术目前不够成熟，需要继续深入研究。本文的研究是在电力监控系统中，对于现场运维人员行为的审计方法，有助于监控系统及时发现运维人员的威胁行为，避免涉密文件泄露和危及电网安全现象的发生。

随着大数据时代的到来，各种大数据，人工智能技术得到飞速发展，并且在各行各业都得到有效的应用，如何将其有效地应用到电网系统内部威胁的检测中来，成为相关研究专家关注的热点。郭渊博等人使用隐马尔可夫模型进行内部威胁检测，提出一种行为特征自动提取和局部全细节行为画像方法，对用户邮件收发情况、网页浏览情况和文件读写情况等行为细节进行画像，以此来判断是否存在文件窃取等异常行为，检测准确率得到提升；GAVAI G等人基于企业的在线活动和社交数据，利用孤独森林算法进行内部威胁检测；朱佳俊等人基于用户的鼠标行为，通过马氏距离和孤独森林算法检测效果对比，判断是否存在账户盗用的威胁行为；目前针对Linux系统中指令行为安全威胁的研究较少，对于电网内运维行为安全威胁评估还停留在规则匹配的方法，人员水平不同导致制定规则对检测结果影响较大，检测准确性较差。

发明内容

本发明所要解决的技术问题是克服现有技术的缺陷，提供一种电力监控系统运维行为安全威胁评估方法及设备。

为解决上述技术问题，本发明提供一种电力监控系统运维行为安全威胁评估方法，包括：

获取电网监控系统中的运维日志记录，将运维日志记录的运维事务属性转化为纯数值型属性的元组，得到数值化后的运维事务特征集合；

将运维事务特征集合中的运维事务进行运维角色分类；

在每类运维角色内，根据运维事务与该类运维角色的人员画像特征属性的偏差计算人员画像偏差分数；

在每类运维角色内，根据集成学习异常检测模型的检测结果，得到异常指令行为分数；

根据人员画像偏差分数与异常指令行为分数确定总的行为分数，根据预先设定的行为分数与安全威胁等级之间的关系，确定运维事务的安全威胁等级。

进一步的，所述运维事务属性包括运维日志中的登陆时间、源IP、目的IP和Linux系统中的操作指令。

进一步的，所述将运维日志记录的运维事务属性转化为纯数值型属性的元组，得到数值化后的运维事务特征集合的过程包括：

采用onehot编码及构建词袋模型将运维日志记录的字符型数据转换为数值型数据，对数值型数据进行归一化处理，得到运维事务特征集合D。

进一步的，所述将运维事务特征集合中的运维事务进行运维角色分类的过程包括：