一种基于SVM的IEC60870-5-104异常流量检测方法

摘要

本发明公开了一种基于SVM的IEC60870‑5‑104异常流量检测方法，首先根据实际需要选择出能够表征IEC60870‑5‑104协议特点的代表传送原因，然后在主站与子站之间捕获若干组正常流量和异常流量的数据包，筛选得到I格式数据包，从中提取每组数据包的传送原因，根据预设的间隔时间将每组数据包的传送原因序列分割成传送原因短序列，然后根据代表传送原因统计得到每个传送原因短序列对应的频率向量，将频率向量作为特征输入，根据所属数据包是否为正常流量标记标签作为期望输出，训练得到SVM分类器，在需要进行异常流量检测时，提取间隔时间内的发送原因序列，统计得到频率向量，输入SVM分类器得到检测结果。本发明基于传送原因这一重要协议特征，有效实现IEC60870‑5‑104的异常流量检测。