[发明专利]一种基于事件序列的威胁检测方法

摘要

本发明提供了一种基于事件序列的威胁检测方法，该方法包括：捕获正常运行时工控系统的网络数据包，从中提取训练数据集；建立并训练隐马尔可夫模型λ；提取当前运行状态下工控系统的网络数据包，从中获取当前运行状态下真实的观测序列o′real，计算观测序列o′real在隐马尔可夫模型下的概率P(o′real|λ)；通过隐马尔可夫模型生成一个预测观测序列o′pre，计算出o′real和o′pre的相似度r；根据P(o′real|λ)和r判断工控系统是否遭受攻击。本发明提出的一种基于事件序列的威胁检测方法只需对工控系统的网络数据包进行抓取，执行威胁检测的检测模块用单独的主机执行，不需要将检测模块放入到工控系统的工控设备中，不仅保障了工控系统的实时性要求，而且能够很方便的在其他工控系统使用，提高了扩展性。

主权项

1.一种基于事件序列的威胁检测方法，其特征在于，该方法包括如下步骤：/nS1)当工控系统正常运行时，抓取大量正常运行状态下的网络数据包，并从所述网络数据包中获取所有可能的状态集合Q＝{q₁,q₂,...,q_N}以及所有可能的观测值集合V＝{v₁,v₂,...,v_M}，并将所述网络数据包转化成大量的事件序列E＝{e₁,e₂,…,e_t,…}，从中提取出训练隐马尔科夫模型λ模型所需的观测序列和状态序列作为训练数据集，其中，所述网络数据包中的每个数据包被提取相应特征转化为一个事件e,e₁,e₂,…,e_t分别表示第1，2，…,t个事件e,每一个事件e表示为e＝<ID,Code,Data,Time>，ID表示每个数据包唯一标识,Code表示所述工控系统中工控设备执行的操作类型,Data表示所述工控设备执行操作的具体信息,Time表示时间戳；所述训练数据集的提取方法为：将所述事件序列中的每个事件e中的Data字段作为一个观测值、Code字段作为一个状态值，从而获取训练所需的观测序列o＝(o₁,o₂,...,o_t,...)和对应的状态序列I＝(I₁,I₂,...,I_t,...)；/nS2)根据步骤S1)得到的事件序列E建立隐马尔可夫模型λ，隐马尔可夫模型λ由初始状态概率向量π、状态转移概率矩阵A和观测概率矩阵B决定，表示为三元符号λ＝(A,B,π)，A＝[a_ij]_N*N，B＝[b_j(k)]_N*M，π＝(π_i)，其中，a_ij＝P(I_t+1＝q_j|I_t＝q_i)，b_j(k)＝P(o_t＝v_k|I_t＝q_j)，π_i＝P(I₁＝q_i),t≥1并且为整数，i,j＝1,2,...,N，k＝1,2,...,M，M表示所述观测值集合V的大小，N表示所述状态集合Q的大小，a_ij表示t时刻处于状态q_i的条件下在t+1时刻转移到状态q_j的概率；I_t表示t时刻的状态；b_j(k)表示t时刻处于状态q_j的条件下生成观测值v_k的概率；o_t表示t时刻的观测值；π_i表示初始时刻t＝1处于状态q_i的概率；I₁表示初始时刻t＝1的状态；/nS3)采用步骤S1)提取的所述训练数据集训练步骤S2)建立的隐马尔可夫模型λ，利用极大似然估计估计隐马尔可夫模型λ的参数：初始状态概率π_i的估计值为所述训练数据集中初始状态为q_i的频率；a_ij和b_j(k)的估计值分别为其中A_ij表示所述训练数据集中当前时刻状态为q_i且下一时刻状态为q_j的频数，B_jk表示所述训练数据集中状态为q_j并且观测值为v_k的频数，由此得到训练完成的隐马尔可夫模型λ；/nS4)根据步骤S3)训练完成的隐马尔可夫模型λ生成一个预测观测序列，所述预测观测序列的生成过程为：根据正常运行状态下工控系统的初始状态分布确定初始时刻状态I₁，然后根据所述正常运行状态下工控系统的观测概率分布b_j(k)确定所述工控系统在t时刻的观测值o_t，随后根据所述正常运行状态下工控系统的状态转移概率分布a_ij确定下一时刻的状态，重复上述步骤，直至所述工控系统的观测序列预测完成，预测出的观测序列是训练完成的隐马尔可夫模型λ生成的概率最大的观测序列o′_pre；/nS5)在威胁检测的时候，将当前运行状态下所述工控系统的当前网络流量数据转化为当前事件序列，从中获取当前运行状态下所述工控系统真实的观测序列o′_real，首先采用前向算法计算在步骤S3)训练完成的隐马尔可夫模型λ下当前运行状态下所述工控系统真实的观测序列o′_real的概率P(o′_real|λ)，然后将当前运行状态下所述工控系统真实的观测序列o′_real和步骤S4)预测出的观测序列o′_pre进行比对，计算两个观测序列o′_real和o′_pre之间相似度r；由计算得到的概率P(o′_real|λ)和相似度r，根据公式D＝u*P(o′_real|λ)+v*r计算出D值，其中u+v＝1，u和v表示预设权重；当计算出的D值小于预设阈值T时表明当前运行状态下所述工控系统真实的观测序列o′_real与所述工控系统正常运行状态下的观测序列差异太大，判定遭受到攻击，否则所述工控系统当前运行状态正常。/n