[发明专利]一种基于LSTM的智能电网配电终端单元入侵检测方法

说明书

本发明公开了一种基于LSTM的智能电网配电终端单元入侵检测方法，属于智能电网信息安全技术领域。本发明通过对正常程序的CPU功耗进行采集，特征提取并训练出一个预测模型；在攻击检测阶段，采集实时运行的DTU功耗数据得到当前t时刻的实际功耗特征；设定样本窗口，采集t时刻之前的n个样本，得到当前t时刻的理论预测功耗特征，计算实际功耗特征与理论预测功耗特征之间的欧氏距离，判断是否遭到攻击。本发明解决了配电终端单元无法安装入侵检测软件的问题；采用LSTM神经网络提高了检测精度，能够更好的捕捉系统功耗的正常变化；解决了电网环境电磁噪声大，传统的边信道异常检测方法面临着精度低的问题。

技术领域

本发明涉及智能电网信息安全技术领域，尤其涉及一种基于LSTM的智能电网配电终端单元入侵检测方法。

背景技术

电子化是现代电网的基本特性之一。电力监控系统中智能终端的应用越来越普遍，例如配电终端单元(DTU)，馈线远方终端(FTU)，远程终端单元(RTU)以及配电电压器远方终端(TTU)等。这些智能终端部署在不同的配电设备上，能将采集的信息通过有线或者无线方式传送到主站为操作员提供足够的信息以实现配电系统安全可靠的控制和运行。然而最近的文献表明，电网中网络攻击的威胁和复杂程度越来越高。例如乌克兰电网曾因遭受黑客攻击造成大停电事件。但针对智能终端的安全研究目前还较少。目前的智能电网终端主要采用嵌入式系统架构，受到处理频率的限制，安全处理能力较为有限，且由于部署在终端设备上，暴露在外界环境中面临的攻击风险更大。智能终端面临的攻击主要可以分为逻辑攻击，入侵攻击和非入侵攻击。逻辑攻击通过软件和安全协议的漏洞进行攻击，实现对程序的漏洞利用和篡改。侵入式攻击通过观察芯片和电路的通讯来获得信息。非侵入式攻击通过分析功耗等侧信道数据实现推测程序执行时间等信息。逻辑攻击由于可以实现程序的篡改，因此造成的损失最大。本发明提出的方法主要针对逻辑攻击。

目前的入侵检测方法可以按照监控对象的不同，可以分为主机型和网络型，按照检测方法的不同可以分为基于误用的检测和基于异常的检测。前者需要事先构建需要检测的病毒特征库，然后和实际流量数据等进行匹配实现入侵检测。基于异常的检测只需要统计正常流量模式，并且设定报警阈值。当实际流量的特征超出了正常流量模式阈值时，就认为是异常。目前针对智能终端入侵检测的研究较少。Liu等人(Liu,Y.,Wei,L.,Xu,W.,Xu,Q.,Zhou,Z.,&Zhang,K.(2016).On Code Execution Tracking via Power Side-Channel.ACM Conference on Computer and Communications Security)通过利用隐马尔科夫模型对嵌入式系统中微控制器的边信道功耗信息进行分析，能够恢复其指令执行顺序，从而实现对微控制器中执行的指令进行检测，判断是否遭到篡改。Clark等人(Clark,S.S.,Fu,K.,Guineau,S.,Ransford,B.,Rahmati,A.,Sorber,J.,&Xu,W.(2013).WattsUpDoc:Power Side Channels to Non-intrusively Discover UntargetedMalware on Embedded Medical De-vices.HealthTech.)提出了基于功耗对PLC及医疗设备中的木马进行识别，其结合机器学习的方法可以实现对已知攻击80％以上的识别率。目前电网智能终端的固件由厂家出厂时制定，往往缺少相应的攻击入侵检测系统且用户无法安装入侵检测软件，并且电网环境电磁噪声大，传统的边信道异常检测方法面临着精度低等问题。

发明内容

本发明的目的是克服已有技术的缺陷，为了解决智能电网智能终端设备面临着程序篡改等逻辑入侵以及现有防御方法难以部署或检测精度低等问题，提出一种基于LSTM的智能电网配电终端单元入侵检测方法。

本发明是通过下述技术方案实现的：

一种基于LSTM的智能电网配电终端单元入侵检测方法，包括以下步骤：