[发明专利]一种基于支持向量机的工业互联网入侵检测方法及实现系统

说明书

本发明涉及一种基于支持向量机的工业互联网入侵检测方法及实现系统，该入侵检测方法(1)获取dnsflood攻击的异常通信流量数据；(2)针对步骤(1)得到的异常通信流量数据，提取特征数据并构造特征量；(3)将步骤(2)构造的特征量输入SVM入侵检测模型进行训练，得到用于检测dnsflood攻击的SVM入侵检测模型；(4)提取待检测的通信流量数据的特征数据并构造特征量，然后输入到训练好的SVM入侵检测模型进行入侵检测，对检测到的可疑流量进行捕获，同时记录日志，并进行处理。该方法能够提取能够反映正常行为和异常行为区别的数据特征，提高对异常攻击行为的检测效率。

技术领域

本发明涉及一种基于支持向量机的工业互联网入侵检测方法及实现系统，属于入侵检测网络完全领域。

背景技术

工业控制系统广泛应用于电力、能源、交通、石油石化等工业领域，大多数的工业生产需要依靠工业控制系统实现自动化操作，以确保工业生产系统的高效、可靠与稳定运行。基于物理隔离的传统工业控制系统，在通信上不与外界联系，可有效避免来自网络的攻击。随着信息技术与工业控制系统功能需求的发展，工控系统已发展为网络化系统，并且与企业网络和互联网相互连接，形成了一个开放式的网络环境。由于工控系统没有专门的安全防御措施，各种针对工业控制系统的恶意攻击通过网络系统产生破坏性操作，影响了工控系统的安全运行。工业控制系统应用于国计民生的重要领域，是国家重要基础设施的关键组成部分，保障工控网络安全关系到国家的战略安全。

针对来自外部的网络攻击、移动介质摆渡攻击以及系统内部人员可能的误操作、违规操作或恶意破坏性操作等安全风险，很有必要对工控网络的访问行为、协议内容、操作指令等进行监控与审计，对高风险和异常行为进行识别和告警。

工控网络异常感知系统作为一种安全预警产品，能够在安全事件发生之前，对网络中的异常行为、异常流量、恶意代码、错误参数与指令进行预警，从而避免安全事件的发生，将工控系统的安全风险降到最低。

工控网络异常感知系统以时间、空间和特征为基础，对网络流量和网络行为进行多维度、细粒度的分析，通过工业视图和网络拓扑视图相结合的双视图监控机制，可同时对工业过程情况和网络通讯指令及行为进行监控，呈现工控系统流量和行为，实现网络连接拓扑结构和网络运行状况的可视化，并进行对比分析，为对不符合业务流程的行为进行检测及APT攻击研判提供有力支撑。

工控网络异常感知系统以工控系统设备资产为基础，以基于工业控制系统深度分析技术为核心，智能学习网络业务行为，自动为网络合规业务行为安全建模，实现对网络行为和业务操作的合规检测，从而从合规的角度保证客户网络的业务安全。

对可疑网络行为进行实时监控，全量存储，多层次、多角度的关联分析和比对分析，以发现违规行为，挖掘安全威胁源头。如违规的私自接入和外联、违规的内网非法连接、攻击产生的虚假IP发现、可疑主机发现和异常的网络流量发现等。目前常用的网络行为异常检测技术有：

(1)工控资产设备异常检测技术

主动和被动相结合的设备精准识别和拓扑自动发现技术，对工控资产及网络进行实时监控，并建立IP资产基线。系统可对非法设备的接入及时发现并报警。

同时，通过异常行为分析技术，进一步核对资产设备的IP地址网络信息、活跃状态、协议流量分布、应用信息、会话信息等信息。

(2)工控系统网络秩序异常检测技术

通过灵活的黑白灰策略配置和自学习技术，系统可智能梳理业务系统各个资产间的访问关系，自动生成业务访问拓扑图，形成业务访问行为关系基线。

能够从业务行为的关系、方向、频率、时间不同维度，来分析判断业务访问行为是否异常。通过采用黑、白、灰名单机制，判定某个流行为是否合规。

(3)网络端口通信异常检测技术