基于混合马尔科夫树模型的ICS异常检测算法

针对工业控制系统中现有异常检测算法在语义攻击检测方面存在的不足,提出一种基于混合马尔科夫树模型的异常检测算法,充分利用工业控制系统的阶段性和周期性特征,构建系统正常运行时的行为模型|混合马尔科夫树.该模型包含合法的状态事件、合法的状态转移、正常的概率分布以及正常的转移时间间隔等4种信息,基于动态自适应的方法增强状态事件的关联度并引入时间间隔信息以实现对复杂语义攻击的检测,语义建模时设计一种剪枝策略以去除模型中的低频事件、低转移事件以及冗余节点,当被检测行为使得模型的以上4种信息产生的偏差超过阈值时,判定该行为异常.最后,基于OMNeT++网络仿真环境构建一个简化的污水处理系统对本文算法进行功能性验证,并利用真实物理测试床的数据集对算法的检测准确度进行性能验证.验证结果表明,本文算法能有效消除人机交互和常规诊断等操作带来的噪声影响,对复杂语义攻击具有较高的检出率,且能识别传统的非语义攻击.     

基于行为模型的工控异常检测方法研究

目前,工业控制系统(Industrial Control Systems,ICS)网络安全已经成为信息安全领域的重点问题,而检测篡改行为数据及控制程序等攻击是ICS网络安全的难点问题,据此提出了基于行为模型的工控异常检测方法。该方法从工控网络流量中提取行为数据序列,根据ICS的控制和被控过程构建正常行为模型,通过比较分析实时提取的行为数据与模型预测的行为数据,判断是否出现异常。通过实验分析,验证了所提方法能有效实现对篡改行为数据及控制程序等攻击的异常检测。     

基于DTMC的工业串行协议状态检测算法

针对现有工业信息安全研究主要集中在工业以太网方面,缺少对串行链路协议防护的研究等问题,提出一种基于离散时间马尔可夫链(Discrete Time Markov Chain,DTMC)的工业串行协议状态检测算法。该算法利用工业控制系统(Industrial Control System,ICS)行为有限和状态有限的特征,根据串行链路协议历史流量数据,自动构建ICS正常行为模型——DTMC。模型包含状态事件、状态转移、状态转移概率和状态转移时间间隔等行为信息,使用该模型所包含的状态信息作为状态检测规则集。当检测阶段生成的状态信息与状态检测规则集中的信息不同或偏差超过阈值时,产生告警或拒绝等动作。同时,结合综合包检测(Comprehensive Packet Inspection,CPI)技术来扩大协议载荷数据的可检测范围。实验结果表明,所提算法能有效检测语义攻击,保护串行链路安全,且算法误报率为5.3%,漏报率为0.6%。     

2015年工业控制系统信息安全态势分析

2015年,工业控制系统信息安全总体形势并不乐观。其一,工业控制系统面临的安全威胁持续增长,工控安全漏洞仍处高发状态,针对工控网络的APT攻击明显增加,已对工业生产运行造成＂实质性＂影响。其二,工业领域虽已关注工控系统的信息安全问题,但受限于工业环境特殊性、安全防护技术成熟度、基层人员安全意识等多种因素的限制,目前我国工业控制系统的信息安全防护水平相对前几年状况并未好转。     

基于DFA的大规模入侵建模方法研究

针对攻击树在大规模入侵建模中对系统状态变化描述的不足,提出了基于DFA的大规模入侵建模方法,并给出了一个基于攻击函数和系统状态二元组的攻击描述语言,最后对入侵检测实现进行了简单讨论。     

工业控制系统入侵检测技术的研究及发展综述

入侵检测是工控安全防护技术的重要组成部分。针对工控系统入侵检测技术的研究与应用,分别从检测特征、算法设计、应用环境等角度对目前的研究工作进行总结,介绍入侵检测在保障系统安全运行中的实际应用,讨论了工控入侵检测技术研究的关键问题。为提高工控入侵检测技术的异常行为防御能力,根据工控系统环境的复杂性和入侵检测的特殊性,对相关研究中存在的问题与不足进行分析,并结合工业控制系统网络化与信息化的发展现状和不断增强的安全防御要求,对工控入侵检测研究进行展望,提出了与大数据处理融合、智能化检测系统等的发展方向。     

煤矿企业工业控制系统入侵检测算法

针对现有煤矿企业工业控制系统入侵检测算法未考虑防御因素影响、实现复杂等问题,从攻击进程和防御体系2个方面,提出了一种基于攻防树模型的煤矿企业工业控制系统入侵检测算法。首先,通过对攻击叶节点的攻击属性进行量化并构建指标体系得到攻击叶节点被攻击概率,进而得出攻击路径的入侵成功率,并结合攻击路径的入侵回报率得到攻击路径的入侵概率;然后,引入基于漏报率和误报率的入侵报警率,得到被动防御概率,通过漏洞发现率和漏洞修复率得到主动防御概率;最后,根据攻击路径的入侵概率、被动防御概率和主动防御概率,得出攻击路径最终入侵概率。实例结果表明,该算法能有效检测煤矿企业工业控制系统入侵概率,提高入侵检测的准确性。     

一种基于半监督学习的工控网络入侵检测方法

随着工控网络的发展以及工业和和信息化的深度融合,针对工业控制系统的攻击行为大幅度增长,对工控企业造成巨大的经济及财产损失。因此,提出一种基于半监督机器学习的入侵检测技术,该技术充分利用工控网络流量标记的特点,结合多种机器学习算法进行实现,并对算法的性能进行了优化。实验证明,该技术可以有效地检测出工控系统网络中的异常流量。     

工业控制网络入侵检测技术研究

随着工业化和信息化融合发展的不断深入,越来越多的互联网技术被应用到了工业控制网络中,其安全问题也随着各类病毒攻击事件的增加而成为人们关注的焦点。入侵检测技术作为主动安全防护措施,可以有效弥补传统安全防护技术的不足。因此,面向工业控制网络的入侵检测技术成为了工控安全领域研究的热点。以基于工业控制网络的入侵检测技术为研究目标,分析了该领域中面临的问题;首先,介绍了工业控制系统的具体结构及其特点;其次,对基于工业控制网络的入侵检测关键技术和方法进行详细解释;最后,对基于工业控制网络的入侵检测技术方法进行总结和展望。     

基于Bloom filter的高效正则表达式匹配算法*

针对确定有限自动机(DFA)的正则表达式匹配技术存在状态膨胀和一次状态转移只能处理单个字符的问题,提出了一种基于布鲁姆过滤器的正则表达式匹配算法。该算法将正则表达式中的每个确定字符串组成DFA的一个状态,添加比特向量完成匹配过程,并且在一次状态转移中根据确定字符串的匹配结果达到处理多个字符的目的。实验分析表明该算法有效降低了DFA状态的膨胀,提高了匹配速率。     

基于深度Q网络的电力工控网络异常检测系统

电力是指以电能作为动力的能源,完整的电力系统包括发电、输电、变电、配电和用电等环节。电力是关系国计民生的基础产业,电力供应和安全事关国家安全战略,事关经济社会发展全局。工业自动化和控制系统（简称“工控”）作为电力的感官和中枢神经系统,确保其网络安全,使其始终处于稳定可靠运行状态,对于保障电力安全运营至关重要。由于大部分网络都是高度互联的,因此都易受到网络攻击的威胁。虽然基于网络的入侵检测系统可以将入侵警告和安全响应进行很好的结合,但是随着技术的不断发展,攻击变得越来越普遍且难以检测,其中逃逸技术就是这类技术的一个代表,它可以通过伪装修改网络数据流以此来逃避入侵检测系统的检测。结合所学知识和电力工控网络的特点,提出一种基于深度强化学习的电力工控网络入侵检测系统,深度强化学习的算法融合神经网络和Q-learning的方法来对网络中的异常现象进行训练,通过训练使系统能及时地检测出入侵行为并发出警告。     

机器学习在工业网络入侵检测中的研究应用

在工业化和信息化两化深度融合的背景下,工业控制网络面临着高强度、持续性的恶意渗透和网络攻击,对国家安全和工业生产构成了巨大威胁.检测工业控制网络遭受恶意攻击,高效区分正常数据和攻击数据的研究已成为热点问题.以密西西比州立大学SCADA实验室的能源系统攻击数据集作为工业控制网络入侵检测的主要研究对象,对比不同机器学习算法的准确率、漏警率、虚警率等重要指标,得出综合性能最优的XGBoost算法.为进一步提高入侵检测效率,提出了一种针对XGBoost算法的包裹式特征选择方法,在简化数据集的同时突出不同特征在入侵检测中的重要性.研究结果表明,结合包裹式特征选择的XGBoost算法能有效解决入侵检测问题并提高入侵检测效率,验证了此方法的有效性和科学性.     

工业无线传感器网络中干扰攻击的入侵检测

针对工业无线传感器网络的干扰攻击问题,采用一种基于统计过程控制理论控制图的入侵检测方法.选择数据包投递失败率作为度量属性,计算出对应的控制图上下限,通过监视传感器节点的数据包投递失败率是否在控制图的上下限内,判断节点是否处于被干扰攻击状态;基于工业无线传感器网络标准WirelessHART中采用的时隙跳频技术,建立一种干扰攻击模型,验证入侵检测方法的有效性.仿真结果表明干扰攻击检测方法能有效的检测出节点是否处于被干扰攻击状态,并且漏检率较低,随环境恶化时漏检率变化幅度较小.     

基于SNMP进行数据挖掘的入侵检测系统研究

网络攻击日益隐蔽化和复杂化，传统入侵检测方法对此有很大局限性，该文提出将入侵检测系统和SNMP网络管理系统相结合，根据攻击的本质特征，使用数据挖掘技术从SNMP的网络统计数据中获取检测规则的方法，能有效实现对隐蔽和复杂攻击的检测。     

基于规范的移动Ad Hoc网络分布式入侵检测

移动ad hoc网络是移动节点自组织形成的网络,由于其动态拓扑、无线传输的特点,容易遭受各种网络攻击。传统的网络安全措施,如防火墙、加密、认证等技术,在移动ad hoc网络中难以应用,因此提出一种基于有限状态机分布式合作的入侵检测算法。首先,将整个网络分为子区域,每一区域随机选出簇头担任监视节点,负责本区域的入侵检测。其次,按照DSR路由协议构筑节点正常行为和入侵行为的有限状态机,监视节点收集其邻居节点的行为信息,利用有限状态机分析节点的行为,发现入侵者。本算法不需要事先进行数据训练并能够实时检测入侵行为。最后,通过模拟实验证实了算法的有效性。     

基于网络状态的入侵行为描述及存储方法

提出了一种基于正则语言描述的网络状态入侵行为方法。谊方法结合网络入侵的目标和特点，利用有穷自动机理论，基于网络协议来实现进程和操作系统的状态建立，从而可以发现未知的入侵。论证了应用谊方法的可行性，利用通用入侵检测框架CIDF对应用这种方法的入侵检测系统进行了描述，并讨论了该系统实现时攻击描述的判断和存储方式，最后与其它入侵行为方法进行了比较。     

工业控制网络中APT攻击检测系统设计

高级持续性威胁(advanced persistent threat, APT)是当今工控网络安全首要威胁,而传统的基于特征匹配的工业入侵检测系统往往无法检测出最新型的APT攻击。现有研究者认为,敏感数据窃密是APT攻击的重要目的之一。为了能准确识别出APT攻击的窃密行为,对APT攻击在窃密阶段受控主机与控制与命令(Control and Command, C&C)服务器通信时TCP会话流特征进行深入研究,采用深度流检测技术,并提出一种基于多特征空间加权组合SVM分类检测算法对APT攻击异常会话流进行检测。实验表明,采用深度流检测技术对隐蔽APT攻击具备良好的检测能力,而基于多特征空间加权组合SVM分类检测算法较传统单一分类检测的检测精度更高,误报率更低,对工控网络安全领域的研究具有推进作用。     

A memory-based NFA regular expression match engine for signature-based intrusion detection

Signature-based intrusion detection is required to inspect network traffic at wire-speed. Matching packet payloads against patterns specified with regular expression is a computation intensive task. Hence, the design of hardware accelerator to speed up regular expression matching has been an active research area. A systematic approach to detect regular expression is based on finite automaton. The space-time trade-off between deterministic finite automaton (DFA) and non-deterministic finite automaton (NFA) is well-known. DFA can offer constant throughput but it may suffer from the state explosion problem. Hence, implementation of DFA for large pattern sets on embedded device with limited on-chip memory may not be viable. NFA requires linear space but the throughput can be very low. Implementations of NFA with hardwired circuits can overcome the speed deficiency by exploiting the massive parallelism offered by dedicated hardware circuitries, but this approach does not support efficient dynamic updates. In this paper, we shall present a memory-based architecture for the implementation of NFA to speed up regular expression matching for signature-based intrusion detection. The proposed method supports dynamic updates and offers constant throughput so that it can be used to supplement the existing DFA-based methods in handling large pattern sets.