[发明专利]一种基于MFLSTM的隐蔽数据攻击检测方法

说明书

本发明公开了一种基于多特征长短期记忆网络的隐蔽数据攻击检测方法，包括：步骤1，由随机森林袋外数据及热点图组成特征关键度评估与特征联系性评估，为后续模型训练做好准备；步骤2，利用不同时刻的，关键度与联系性都表现优秀的特征数据作为输入，对多特征长短期记忆网络进行训练，同时在训练时筛去参数不达标的数据，使模型达到能够学习到不同特征数据间有助于数据预测的信息；步骤3，成功进行攻击检测后，本发明根据阈值超过残差的频率决定是否引发警报。本发明所提出的改进后的模型在多方面均优于改进前的长短期记忆网络模型，所加入同一传感器侧下特征数据间的关键度与联系性能够帮助模型检测到的异常攻击行为，并做出及时有效地应对。

技术领域

本发明属于工业互联网信息安全技术领域，涉及入侵检测技术及深度学习模型改进技术，特别涉及一种基于多特征长短期记忆网络的隐蔽数据攻击检测方法。

背景技术

工业控制系统作为一种由计算机与工业过程控制部件联合组成的自动控制系统，随着计算机技术、控制技术以及通信技术水平的提升而不断发展。其综合了计算、网络和物理环境，目前已在冶金、化工、电力水力等传统工业方向有着广泛的应用。但在这种条件下，设备规模、需求及网络大环境的改变使得原本就存在先天脆弱性的工业控制系统漏洞不断扩大，系统内部的安全威胁显著增长。工业控制系统的开放性以及所代表的巨大利益驱使了许多攻击者对其进行频繁的网络攻击，不仅会对系统本身产生大量经济损失，对社会也会造成极为恶劣的影响。

保障工业控制系统内部的安全刻不容缓，近年来研究人员从传统工业与IDS两大方向入手，意图对各类入侵攻击进行检测。传统工业方面通过改造观测器、估计器等方法，针对每类攻击的特点进行专门检测。IDS方向又可大致分为误用检测、异常检测以及人工智能算法三个类别，采用支持向量机、数据挖掘、深度学习等方法对通信网络传输至SCADA的数据进行分析，并从中发现攻击的迹象。然而，这些方法都无法有效解决低资源环境的影响以及攻击对系统后续的恢复问题，同时针对具有残差不变性的隐蔽数据攻击更显得无能为力。该攻击由于利用了工业控制系统内部的耦合性，传统方法无法通过残差的变化来判断攻击是否发生，更因低资源环境影响了模型的检测性能和精度，从而难以对这类特殊的篡改攻击进行有效检测。

越来越多的研究者开始研究利用深度学习网络进行攻击检测。长短期记忆网络即为一种时间循环神经网络，解决了循环神经网络存在的梯度消失与梯度爆炸问题。通过引入遗忘门、输入门与输出门，对需要记忆或是易忘的信息有了更好的控制能力。但问题在于长短期记忆网络只能学习到时间序列上的重要信息，没有考虑到被遗忘的同一传感器下的数据间具有紧密的关联性。现有的技术很少利用这种数据间的联系性与数据对系统的贡献关键度，从而导致有些重要的、会为学习带来正面帮助的信息被忽略。因此，如何利用这些宝贵的数据间的关键度与联系性，如何更好的利用深度学习对以隐蔽数据攻击为代表的一系列攻击进行检测，并在检测成功后对系统进行及时处理，是目前研究的热点方向。

发明内容

本发明所要解决的技术问题是提供一种以随机森林评分为基础的，基于多特征长短期记忆网络预测的入侵检测方法，用于检测目前对ICS系统平衡破坏性极强的隐蔽数据攻击，以及现有的入侵检测技术在低资源环境下无法得到充分训练的问题。

本发明解决上述技术问题的技术方案如下：应对隐秘数据攻击的基于MFLSTM预测的入侵检测方法，包括：

步骤1，由随机森林袋外数据及热点图组成特征关键度评估与特征联系性评估，以此研究同一传感器侧下数据间的紧密关系，为后续模型训练做好准备。

步骤2，利用不同时刻的，关键度与联系性都表现优秀的特征数据作为输入，对多特征长短期记忆网络(MFLSTM)进行训练，同时在训练时筛去参数不达标的数据，以此使模型达到能够学习到不同特征数据间有助于数据预测的信息。

步骤3，成功进行攻击检测后，本发明根据阈值超过残差的频率决定是否引发警报。

进一步，所述步骤1中通过随机森林袋外数据及热点图，计算数据关键度及联系性具体包括：