發(fā)布時間：2020-05-22 13:31

【摘要】：工業(yè)控制系統(tǒng)主要用于工業(yè)生產(chǎn)過程中的各種監(jiān)督和控制,被廣泛應(yīng)用于能源、電力、化工、污水處理等大型國家基礎(chǔ)設(shè)施行業(yè)。近年來,由于遠程管理控制的需求不斷擴大,之前相對封閉獨立的控制系統(tǒng)已經(jīng)變得更加開放化和互聯(lián)化,這一方面提升了操控者遠程管理的能力,另一方面卻也將其自身暴露在各種網(wǎng)絡(luò)攻擊的威脅之下。2010年Stuxnet震網(wǎng)蠕蟲攻擊事件,表明工業(yè)控制系統(tǒng)不僅容易遭受傳統(tǒng)的網(wǎng)絡(luò)攻擊,而且也面臨著一種新型攻擊方式的威脅——“語義攻擊”。傳統(tǒng)的網(wǎng)絡(luò)入侵檢測方法只能檢測單一的非法數(shù)據(jù)包,針對基于消息序列的語義攻擊卻無能為力。針對工業(yè)控制系統(tǒng)中現(xiàn)有異常檢測方法在語義攻擊檢測方面存在的不足,本文提出一種基于混合馬爾科夫樹模型的ICS異常檢測方法,主要工作如下:(1)基于工業(yè)控制系統(tǒng)的周期性和穩(wěn)定性特征,利用無監(jiān)督自學習的方式,構(gòu)建系統(tǒng)正常運行時的行為模型——混合馬爾科夫樹,當被檢測行為與正常行為模型存在明顯偏差時,檢測出異常。該模型基于動態(tài)自適應(yīng)的方法增強了狀態(tài)事件的關(guān)聯(lián)度,在必要時將決定當前狀態(tài)合法性的歷史狀態(tài)從一維追溯到多維,從而將一階馬爾科夫模型擴展為混合馬爾科夫模型,并且引入了消息序列的時間間隔信息,從而使得該模型能夠檢測出更加復(fù)雜的語義攻擊,提升異常檢測方法在語義攻擊檢測方面的能力。(2)針對特殊工控場景下異常檢測方法可能存在的模型規(guī)模過于復(fù)雜、誤報率、漏報率高等問題,設(shè)計了多種改進優(yōu)化策略:提出一種指令與數(shù)據(jù)相結(jié)合的狀態(tài)事件定義方法,從而對狀態(tài)事件的定義進行擴充;針對建模階段所引入的噪音以及冗余信息,設(shè)計一種去噪剪枝策略,從而簡化系統(tǒng)模型,降低系統(tǒng)的漏報率;設(shè)計一種基于權(quán)重的異常報警優(yōu)化策略,在進行異常判斷時引入權(quán)重因子,并在報警前對異常進行危險系數(shù)評估,從而方便操作人員根據(jù)異常的危險程度對一些高危異常進行優(yōu)先處理,由此降低系統(tǒng)的誤報率和漏報率。(3)基于OMNeT++網(wǎng)絡(luò)仿真環(huán)境構(gòu)建一個簡化的水處理系統(tǒng)對異常檢測方法進行功能驗證,并利用真實物理測試床的數(shù)據(jù)集對方法的檢測準確度進行性能驗證。驗證結(jié)果表明,相比于現(xiàn)有的異常檢測方法,本文方法不僅能夠檢測出傳統(tǒng)的非語義攻擊、Time-based以及Order-based簡單語義攻擊,對各種復(fù)雜語義攻擊表現(xiàn)出更完整的檢測能力,并且通過多種改進優(yōu)化策略有效降低了異常檢測方法的誤報率以及漏報率,簡化了方法模型,提高了方法的檢測效率。
【圖文】：

合肥工業(yè)大學學術(shù)碩士研究生學位論文逡逑人員可根據(jù)監(jiān)控結(jié)果人為的判斷異常，，通過向ＰＬＣ發(fā)送控制指令來阻斷異常。在逡逑ＰＬＣ－現(xiàn)場設(shè)備層中，ＰＬＣ通過順序執(zhí)行梯形邏輯指令完成傳感器的數(shù)據(jù)采集和控逡逑制執(zhí)行器的執(zhí)行，通過重復(fù)一系列周期性操作完成一次次工業(yè)生產(chǎn)控制過程。ＩＣＳ逡逑的這種周期性交互特征，使得各組件間的網(wǎng)絡(luò)通信數(shù)據(jù)包呈現(xiàn)出一種明顯的規(guī)律逡逑性：重復(fù)的消息序列和穩(wěn)定的消息時間間隔。逡逑為了b站虺觶桑茫誘庵種芷諦院臀榷ㄐ雜鏌逄卣鰨繽跡玻菜荊疚腦冢齲停桑校蹋緬義喜鬩約埃校蹋茫殖∩璞覆闃淶慕換換轄尤爰嗵鰨鍬枷低癡Ｔ誦惺備鶻換ュ義喜闃淶耐繽ㄐ攀藎⑼ü恢治藜嘍階匝暗姆絞劍酶檬莨菇ㄏ低沖義險Ｔ誦惺鋇男形Ｐ汀旌下磯品蚴鰲８媚Ｐ桶戲ǖ淖刺錄⒑戲ㄥ義系淖刺�、正常的概率分布壹s罷５淖剖奔浼涓艫人鬧中畔ⅲ廡┬畔⒊溴義戲痔逑殖觶桑茫擁鬧芷諦院臀榷ㄐ雜鏌逄卣鰨北患觳廡形溝媚Ｐ偷囊隕纖鬧中佩義舷⒎⑸洗篤釷�，检测出异常。综衫w觶斐＜觳夥椒ǖ惱寮芄谷繽跡玻乘義喜�。辶x

本文編號：2676072