基于融合马尔科夫模型的工控网络流量异常检测方法

虽然工业互联网为现代工业注入了新的活力,极大地提高了工业生产效率,但是网络化也给工业控制系统带来了更多的威胁。近年来,国内外发生了多起工控入侵事件,严重影响了工业生产安全,工控安全问题愈发突出。为确保现代工业向着数字化、自动化等方向稳定发展,有效的工控系统入侵检测方法成为了研究重点。针对工业控制系统中现有的方法对于多周期混合的流量无法进行有效分离、难以检测和防御更加复杂的语义攻击的情况,充分利用工业流量高周期性和高相关性的特点,提出一种基于融合马尔科夫模型的工控网络流量异常检测方法。首先深度解析报文语义并将原始流量序列映射为hash字符串序列,然后根据字符串序列间的相关性生成状态转移图。接下来,根据状态转移图间各状态的出入关系和频率将子周期符号进行分类并依次构建DFA模型。为了检测更多语义攻击,该方法根据子周期间的出入关系和模型误报率将错误分解的长周期模式进行融合并在每个DFA模型的节点中加入时间间隔信息。在SCADA测试平台上进行实验验证,结果表明此方法能检测更多类型的攻击,对复杂语义攻击具有较高的检出率。     

基于IO地址分离和频谱分析的SCADA系统异常检测模型自动化构建

随着诸如监控和数据采集(SCADA)系统之类的工业控制系统越来越多地连接到企业网络和互联网,其安全性受到极大威胁。研究SCADA系统的异常检测问题时,考虑到了SCADA系统的通信流量通常是高度周期性的。针对SCADA系统提出一种基于输入输出(IO)地址分离和频谱分析的异常检测模型自动构建的方法。实验在真实的SCADA测试平台上进行,结果表明该方法性能优于其他建模方法。