[发明专利]一种基于工业控制网络的入侵检测模型的自动建立方法及装置

权利要求书

1.一种基于工业控制网络的入侵检测模型的自动建立方法，其特征在于，包括：

判断第一入侵检测模型是否符合预设的检测要求，如果否，实时提取通信行为流量数据；

根据所述通信行为流量数据建立训练数据集和测试数据集；

根据所述训练数据集创建初始入侵检测模型；

利用所述测试数据集对所述初始入侵检测模型进行测试，根据测试结果创建符合预设检测要求的第二入侵检测模型。

2.根据权利要求1所述的方法，其特征在于，所述预设的检测要求包括检测率阈值、检测时间阈值、误报率阈值和/或漏报率阈值。

3.根据权利要求1或2所述的方法，其特征在于，所述实时提取通信行为流量数据之后，还包括：

对实时提取的通信行为流量数据进行属性约简。

4.根据权利要求3所述的方法，其特征在于，所述对实时提取的通信行为流量数据进行属性约简，具体为：

采用RST对实时提取的通信行为流量数据进行属性约简。

5.一种基于工业控制网络的入侵检测模型的自动建立装置，其特征在于，所述装置包括：判断模块，提取模块，设置模块，第一创建模块，第二创建模块；

所述判断模块，用于判断第一入侵检测模型是否符合预设的检测要求，如果否，触发所述提取模块；

所述提取模块，用于在受到所述判断模块的触发后，实时提取通信行为流量数据；

所述设置模块，用于根据所述提取模块提取的通信行为流量数据设置训练数据集和测试数据集；

所述第一创建模块，用于根据所述设置模块设置的训练数据集创建初始入侵检测模型；

所述第二创建模块，用于利用所述设置模块设置的测试数据集对所述第一创建模块创建的初始入侵检测模型进行测试，根据测试结果创建符合预设检测要求的第二入侵检测模型。

6.根据权利要求5所述的装置，其特征在于，所述预设的检测要求包括检测率阈值、检测时间阈值、误报率阈值和/或漏报率阈值。

7.根据权利要求5或6所述的装置，其特征在于，还包括属性简约模块，用于对所述提取模块实时提取的通信行为流量数据进行属性约简；

相应的，所述设置模块，用于根据所述属性简约模块简约后的通信行为流量数据设置训练数据集和测试数据集。

8.根据权利要求7所述的装置，其特征在于，所述属性简约模块采用RST对实时提取的通信流量数据特征进行属性约简。