[发明专利]基于SVM的Modbus TCP通讯的异常检测方法

摘要

本发明基于SVM提出了的工业控制系统Modbus TCP通讯的异常检测方法。该方法设计了Modbus TCP通讯序列的特征选择处理方法，及转换为SVM异常检测模型所需数据格式的预处理方法，设计了一种利用粒子群算法PSO进行参数寻优的PSO-SVM异常检测方法，能提升方法分类识别的精度。该方法基于Modbus功能码序列中的模式短序列出现的频率，识别出工业控制系统中异常的Modbus TCP通讯流量，具有识别未知攻击行为的能力。

主权项

一种基于SVM的Modbus TCP通讯的异常检测方法，其特征在于，包括以下步骤：流量采集：利用Linux内核的Netfilter机制采集工业控制系统中ModbusTCP通讯流量，按照会话进行存储并且剔除不必要的信息，转化为仅包含Modbus功能码的序列；数据预处理：设定固定长度的滑动窗口，获取所有不同滑动窗口长度的短模式序列构成集合，按照其中每一个元素出现的频率，处理正常与异常Modbus TCP通讯流量中的功能码序列，从而转化成为长度一致的SVM能够处理的向量形式；PSO优化：将初始化的粒子传递给SVM异常识别模型作为参数惩罚因子C和高斯径向基参数σ，利用SVM模型返回的交叉验证意义下的分类准确率，作为PSO优化模型中的适应度值，并据此进行粒子群迭代更新；SVM异常检测：利用PSO流程传递的参数，建立C‑SVM流程模型进行异常检测，并且返回交叉验证意义下的分类正确率。