[发明专利]一种基于工业控制网络的入侵检测模型的自动建立方法及装置

说明书

技术领域

本申请涉及一种基于工业控制网络的入侵检测模型的自动建立方法及装置，属于工业控制网络安全防护技术领域。

背景技术

工业控制系统(Industrial Control Systems，以下简称ICS)是由计算机设备与工业过程控制部件组成的自动控制系统，其广泛运用于工业、能源、交通、石油化工等工业基础领域。由于ICS越来越多的与企业网和互联网相连，形成了一个开放式的网络环境，因此ICS的网络安全防护技术对于保障ICS的安全、可靠和稳定运行具有重要的意义。

目前主要采用入侵检测技术保障ICS的网络安全。入侵检测是一种主动的安全防护技术，通过提取ICS中的通信流量数据特征，并对其分析，以检测出异常的行为操作，并在异常行为产生危害之前进行拦截、报警、系统恢复等操作。

现有技术中，根据网络通信流量数据建立入侵检测模型，然后一直利用该入侵检测模型进行异常行为的入侵检测，而工业通信是实时的，通信行为的流量数据也是持续变化的，因此现有技术的入侵检测的误报率和漏报率较高。

发明内容

根据本申请的一个方面，提供了一种基于工业控制网络的入侵检测模型的自动建立方法，该方法得到的入侵检测模型的检测精度高，从而提高了异常行为的入侵检测率，降低了误报率和漏报率。

一种基于工业控制网络的入侵检测模型的自动建立方法，包括：

判断第一入侵检测模型是否符合预设的检测要求，如果否，实时提取通信行为流量数据；

根据所述通信行为流量数据设置训练数据集和测试数据集；

根据所述训练数据集创建初始入侵检测模型；

利用所述测试数据集对所述初始入侵检测模型进行测试，根据测试结果创建符合预设检测要求的第二入侵检测模型。

其中，所述预设的检测要求包括检测率阈值、检测时间阈值、误报率阈值和/或漏报率阈值。

进一步的，所述实时提取通信行为流量数据之后，还包括：

对实时提取的通信行为流量数据进行属性约简。

所述对实时提取的通信行为流量数据进行属性约简，具体为：

采用RST对实时提取的通信行为流量数据进行属性约简。

根据本申请的一个方面，提供了一种基于工业控制网络的入侵检测模型的自动建立装置，所述装置包括：判断模块，提取模块，设置模块，第一创建模块，第二创建模块；

所述判断模块，用于判断第一入侵检测模型是否符合预设的检测要求，如果否，触发所述提取模块；

所述提取模块，用于在受到所述判断模块的触发后，实时提取通信行为流量数据；

所述设置模块，用于根据所述提取模块提取的通信行为流量数据设置训练数据集和测试数据集；

所述第一创建模块，用于根据所述设置模块设置的训练数据集创建初始入侵检测模型；

所述第二创建模块，用于利用所述设置模块设置的测试数据集对所述第一创建模块创建的初始入侵检测模型进行测试，根据测试结果创建符合预设检测要求的第二入侵检测模型。

所述预设的检测要求包括检测率阈值、检测时间阈值、误报率阈值和/或漏报率阈值。

进一步地，还包括属性简约模块，用于对所述提取模块实时提取的通信行为流量数据进行属性约简；

相应的，所述设置模块，用于根据所述属性简约模块简约后的通信行为流量数据设置训练数据集和测试数据集。

具体地，所述属性简约模块采用RST对实时提取的通信流量数据特征进行属性约简。

本申请能产生的有益效果包括：

1)本申请通过判断第一入侵检测模型是否符合预设的检测条件，当其不符合预设的检测条件时，实时提取通信行为流量数据，根据实时提取的通信行为流量数据设置训练数据集和测试数据集，根据训练数据集创建初始入侵检测模型，然后利用测试数据集对初始入侵检测模型进行测试，根据测试结果创建符合预设检测要求的第二入侵检测模型，相对于采用固定的第一入侵检测模型进行入侵检测的现有技术来说，本发明实施例得到的第二入侵检测模型的检测精度高，从而提高了异常行为的入侵检测率，降低了误报率和漏报率；

2)进一步地，本申请采用RST对实时提取的通信行为流量数据进行属性约简，降低了第二入侵检测模型的复杂度，进一步提高了第二入侵检测模型的检测精度，节约了检测时间。

附图说明

图1为一种基于工业控制网络的入侵检测模型的自动建立方法流程示意图；

图2为一种基于工业控制网络的入侵检测模型的自动建立装置结构示意图。