[发明专利]一种基于自动机器学习的工控网络入侵检测模型构建方法

权利要求书

1.一种基于自动机器学习的工控网络入侵检测模型构建方法，其特征在于，包括如下步骤：

S1：构建自动机器学习框架；

S2：将获取的工控网络入侵检测数据进行数据清洗处理，导入自动机器学习框架；

S3：将目标工控网络数据输入至自动机器学习框架后，进行自动化特征工程处理，主要包括特征预处理、特征分解以及特征选择；

S4：自动地遍历分类机器学习模型，运用遗传编程的方法对每个机器学习模型进行超参的迭代优化；

S5：选择训练模型进行遗传编程的自动超参优化，并进行交叉验证，直至达到预设的迭代次数或者达到交叉验证预设的入侵检测标准；

S6：利用测试集进行验证，筛选出最优的入侵检测模型，并进行保存；

S7：加载/部署构建完成的入侵检测模型。

2.根据权利要求1所述的一种基于自动机器学习的工控网络入侵检测模型构建方法，其特征在于，所述S1中，具体包括如下步骤：

S101：构建自动机器学习框架，包括常见的十余种分类机器学习算法在内的数十种机器学习算法和遗传编程的参数优化方法，如随机森林、决策树、梯度提升、Ridge分类、K-近邻、线性判别分析、逻辑回归、AdaBoost、LightGBM和朴素贝叶斯；

S102：运用遗传编程的方法使其能够对各个分类机器学习算法的参数进行自动优化。

3.根据权利要求1所述的一种基于自动机器学习的工控网络入侵检测模型构建方法，其特征在于，所述S2中，具体包括如下步骤：

S201：对工控网络入侵检测数据进行数据清洗主要包括，对缺失值、异常值进行去除、补全或修改，该步骤需手动判断后进行操作；

S202：将清洗后的数据集划分为训练集和测试集，将训练集导入到自动机器学习框架中。

4.根据权利要求1所述的一种基于自动机器学习的工控网络入侵检测模型构建方法，其特征在于，所述S3中，具体包括如下步骤：

S301：特征预处理包括标准缩放、多项式特征、二值化、Min-Max缩放器、最大绝对值缩放器；

S302：特征分解主要是采用主成分分析法来进行降维处理；

S303：特征选择包括特征选择、Top-K最佳特征选择、方差阈值选择策略。

5.根据权利要求1所述的一种基于自动机器学习的工控网络入侵检测模型构建方法，其特征在于，所述S4中，具体包括如下步骤：

S401：自动机器学习框架中机器学习方法包括KNN、逻辑回归、支持向量机、决策树、随机森林、XGBoost、GBDT；

S402：使用自动机器学习框架中所有的机器学习方法及其默认参数初步构建入侵检测模型。

6.根据权利要求1所述的一种基于自动机器学习的工控网络入侵检测模型构建方法，其特征在于，所述S5中，具体包括如下步骤：

S501：对每个初步构建的模型中每一个参数以概率pm进行随机改变，即进行参数的变异操作；然后对进行过变异操作的模型以概率pc进行参数交叉操作，最后利用交叉验证，检测模型的预测效果；

S502：使用自动化的方式遍历与迭代步骤S401的操作，进行参数的不断优化，直到达到预设的入侵检测标准或者到达预测的迭代次数，并保留每个机器学习方法中效果最好的模型。

7.根据权利要求1所述的一种基于自动机器学习的工控网络入侵检测模型构建方法，其特征在于，所述S6中，选择排名前10的入侵检测模型，利用测试集对这10个模型进行入侵检测效果对比，选择入侵检测标准中最高标准占据最多且迭代优化参数时间最短的模型，即为最优的入侵检测模型。

8.根据权利要求1所述的一种基于自动机器学习的工控网络入侵检测模型构建方法，其特征在于，所述S7中，将自动机器学习构建完成的工控网络入侵检测模型部署在相应的工控网络防护设备上，用于检测访问行为。