[发明专利]一种基于SVM的IEC60870-5-104异常流量检测方法

摘要

本发明公开了一种基于SVM的IEC60870‑5‑104异常流量检测方法，首先根据实际需要选择出能够表征IEC60870‑5‑104协议特点的代表传送原因，然后在主站与子站之间捕获若干组正常流量和异常流量的数据包，筛选得到I格式数据包，从中提取每组数据包的传送原因，根据预设的间隔时间将每组数据包的传送原因序列分割成传送原因短序列，然后根据代表传送原因统计得到每个传送原因短序列对应的频率向量，将频率向量作为特征输入，根据所属数据包是否为正常流量标记标签作为期望输出，训练得到SVM分类器，在需要进行异常流量检测时，提取间隔时间内的发送原因序列，统计得到频率向量，输入SVM分类器得到检测结果。本发明基于传送原因这一重要协议特征，有效实现IEC60870‑5‑104的异常流量检测。

主权项

1.一种基于SVM的IEC60870‑5‑104异常流量检测方法，其特征在于，包括以下步骤：S1：根据实际需要选择出能够表征IEC60870‑5‑104协议特点的代表传送原因，记代表传送原因的数量为M；S2：在IEC60870‑5‑104通信系统的主站与子站之间捕获得到若干组IEC60870‑5‑104正常流量和异常流量的数据包；S3：对于步骤S102得到的每组数据包，利用深度包检测技术，根据控制域信息剔除所有S格式和U格式的数据包，筛选得到I格式数据包；从每个I格式数据包中提取出传送原因，将传送原因按照I格式数据包的发送时间先后顺序排列，得到该组数据包对应的传送原因序列；然后根据预设的间隔时间T将每组数据包的传送原因序列分割成传送原因短序列；记获取的所有传送原因短序列的集合A＝{An}，其中n＝1,2,…,N，N表示传送原因短序列的数量，An表示第n个传送原因短序列；S4：分别统计第n个传送原因短序列A_n中每个代表传送原因的数量fⁿ(m)，m＝1,2,…,M，将其他传送原因的数量记为fⁿ(M+1)，然后根据以下公式计算第n个传送原因短序列中每个代表传送原因和其他传送原因的频率其中，m′＝1,2,…,M+1；从而得到第n个传送原因短序列对应的频率向量如果第n个传送原因短序列所属数据包为正常流量数据包，令频率向量X_n对应的标签Y_n＝1，如果所属数据包为异常流量数据包，则令标签Y_n＝‑1；S5：将步骤S4得到的N个频率向量Xn作为输入，对应标签Yn作为期望输出，训练得到SVM分类器；S6：在需要进行异常流量检测时，从当前的主站和子站之间捕获时长T内的IEC60870‑5‑104数据包，筛选出得到I格式数据包，提取传送原因序列A′，然后统计得到对应的频率向量X′，将其输入步骤S5训练得到的SVM分类器，得到是否为异常流量的检测结果。