一种面向工业互联网边界防护的对抗式入侵检测方法

摘要

本发明提出了一种面向工业互联网边界防护的对抗式入侵检测方法，主要步骤包括：对通过工业互联网边界设备的网络流量进行特征选择；对选取的网络特征评估并量化其被攻击者篡改的难易程度，并将这一难易程度定义为网络特征的风险值；训练入侵检测分类器时采用支持向量机，计算样本在网络特征空间的距离中融合特征风险，使特征风险值与该特征分量对距离计算的贡献成反比，从而使训练出的入侵检测分界面在高风险的网络特征分量上更加远离入侵样本。该方法借鉴攻防博弈的设计思路，在工业互联网边界防护中考虑入侵检测方法被攻击者规避的风险，从而在训练入侵检测分类器时提前对抗攻击向量中网络特征潜在的篡改行为，形成对抗式入侵检测方法。

说明书

技术领域

本发明涉及一种面向工业互联网边界防护的入侵检测方法，适用于工业互联网边界防护 场景下针对试图躲避入侵检测系统的攻击流量进行对抗式检测。

技术背景

工业互联网边界防护一般包括对外来入侵网络流量的识别、检测、响应、对抗和取证等 多个环节。而这其中入侵检测是尤其重要的一环，可以在工业互联网的边界对网络流量进行 检测和审查，通过流量异常和网络特征定位潜在的攻击数据，从而可以在攻击流量进入工业 设施内部产生实质性破坏前对其进行甄别与过滤，为后续的安全响应和安全恢复机制提供基 础的信息和决策支撑。

当前，工业企业将其控制系统接入工业互联网过程中，在工业互联网边界设备上布置入 侵检测系统已成为一项默认的防护措施，为工业互联网的持续稳定运行提供最基本的安全保 障。现有的入侵检测技术一般分为基于攻击特征的检测方法和基于网络异常的检测方法两种。 其中第一种为基于攻击特征，由于直接以攻击样本固有的网络特征为线索进行检测，能达到 较高的检测率并同时保证较低的误报率，但是只能对已知样本的攻击进行检测，无法检测零 日攻击的情况。与此不同，基于网络异常的检测方法由于训练检测器时无需攻击样本，仅基 于正常网络流量训练即可，可以有效应对零日攻击，但会产生较高的误报率。在工业互联网 入侵检测的应用中，特别是部署在工业互联网边界设备上的入侵检测系统，由于动态汇集大 量工业互联网流量从而导致网络流量结构复杂且易变，对正常网络流量建模困难，同时零日 攻击频繁，零日攻击的特征无法提前获取，很多时候需要将这两种入侵检测方法有机结合起 来使用，以达到理想的效果。

然而，从攻击者的角度来说，在发起攻击时就已经知道工业互联网边界设备上存在入侵 防御系统，因此往往会采取一定的规避手段以隐藏攻击流量，躲避检测。具体来说，攻击者 在发动攻击时可以提前站在防御方的角度考虑其通过攻击流量中的网络特征和异常检出攻击 的可能性，入侵检测系统的检测算法和用于检测的网络特征一般是公开的，从而有针对性的 对攻击流量的网络特征表达进行调整，通常以牺牲攻击效果为代价，以隐藏攻击流量的网络 特征和异常，从而达到躲避检测渗透工业互联网边界防护的目标。现有的入侵检测技术在设 计时鲜有考虑攻击者的规避行为，从而使攻击者可以以最小的攻击效果损失来突破入侵检测 系统的防护。

发明内容

本发明的目的在于，从工业互联网边界安全攻防对抗的角度出发，提出一种面向工业互 联网边界防护的入侵检测方法，在入侵检测模型的训练阶段充分考虑攻击者规避检测的可能 性，并将这一可能性通过训练样本特征空间中各维度特征值被篡改的难易程度进行表达，形 成样本特征的风险值。计算样本在网络特征空间的距离时融合特征风险，使特征风险值与该 特征分量对距离计算的贡献成反比，从而使训练出的入侵检测分界面在高风险的网络特征分 量上更加远离入侵样本，避免攻击者低成本的篡改网络特征以躲避检测。与现有对抗式检测 方法不同，本发明将攻击者可能的规避行为通过网络特征的风险值进行显示表达，从而可以 在与特征值进行融合的基础上直接训练对抗式入侵检测模型。

为了实现上述发明目的，本发明通过以下具体技术方案进行实现：

一种面向工业互联网边界防护的对抗式入侵检测方法；操作步骤如下：

步骤1)对通过工业互联网边界设备的网络流量进行特征选择；

步骤2)对选取的网络特征评估并量化其被攻击者篡改的难易程度，并将这一难易程度 定义为网络特征的风险值；

步骤3)计算样本在网络特征空间的距离中融合特征风险，使特征风险值与该特征分量 对距离计算的贡献成反比；

步骤4)利用融合特征风险的特征值训练入侵检测分类器，采用支持向量机，从而使训 练出的入侵检测分界面在高风险的网络特征分量上更加远离入侵样本。

优选地，所述步骤1)具体包括下列步骤：

步骤1.1、根据入侵检测系统常用的网络包特征进行收集，形成特征待选集合；

步骤1.2、将训练样本集中的网络包根据标签划分为正常样本集和攻击样本集；

步骤1.3、针对特征待选集合中的每一个特征k，分别在正常样本集和攻击样本集中统计 其特征值分布，分别记为N

步骤1.4、计算分布N

步骤1.5、根据经验或实验确定相对熵阈值η，如果D

优选地，所述步骤2)具体包括下列步骤：

步骤2.1、统计和收集影响网络特征被篡改难易程度的各种因素，确定的影响因素个数记 为N；

步骤2.2、针对每种影响因素，将网络特征分为高风险且容易篡改、低风险且难以篡改两 类；

步骤2.3、对所有的影响因素，根据其对网络特征被篡改难易程度的影响力从高到低进行 排序；

步骤2.4、根据排序将网络特征按高低风险依次递进分类形成一个风险分类二叉树，该二 叉树中叶子节点记为风险类别；

步骤2.5、风险类别按低风险在左高风险在右排列：风险类别按

优选地，所述步骤3)具体包括下列步骤：

步骤3.1、训练样本集中所有样本在各网络特征维度上将网络特征值归一化，

步骤3.2、将归一化后的特征值根据其所属的风险类别按反比例形式进行融合：

优选地，所述步骤4)具体包括下列步骤：

步骤4.1、将融合风险值后的归一化特征值作为输入，训练二分类支持向量机作为入侵检 测分类器；

步骤4.2、在使用入侵检测分类器检测未知样本时，按前述步骤1)至步骤3)将输入特征 值归一化并融合风险值。

本发明与现有技术相比较，具有如下显而易见的突出实质性特点和显著优点：

1.本发明在入侵检测系统的训练阶段提前考虑攻击者通过篡改网络特征躲避检测的可能 性，并将这一可能性量化为网络特征的风险值，在融合特征风险的基础上训练入侵检测分类 器，从而极大降低入侵检测系统在检测过程中对高风险且容易被篡改特征的依赖，主动防御 攻击者对入侵检测系统的躲避行为；

2.本发明借鉴攻防博弈的设计思路，在工业互联网边界防护中考虑入侵检测方法被攻击 者规避的风险，从而在训练入侵检测分类器时提前对抗攻击向量中网络特征潜在的篡改行为， 形成对抗式入侵检测方法。

附图说明

图1为本发明的方法总流程图。

图2为本发明中风险分类二叉树示意图。

图3为验证本发明有效性的实验结果示意图。其中图3(a)为非对抗式入侵检测系统，一 般支持向量机，图3(b)为对抗式入侵检测系统，对抗式支持向量机。

图4为本发明的对抗式入侵检测方法的原理图。

具体实施方式

下面结合附图给出本发明优选实施例，以详细说明本发明的技术方案。

本发明的目的是通过对用于入侵检测分类器训练的网络特征被篡改难易程度的评估，量 化特征风险值，并将这一风险值融合进特征值中进行入侵检测分类器的训练，最终防止攻击 者通过篡改网络特征值而躲避入侵检测系统的检测。

实施例一：

参见图1-图4，一种面向工业互联网边界防护的对抗式入侵检测方法；操作步骤如下：

步骤1)对通过工业互联网边界设备的网络流量进行特征选择；

步骤2)对选取的网络特征评估并量化其被攻击者篡改的难易程度，并将这一难易程度 定义为网络特征的风险值；

步骤3)计算样本在网络特征空间的距离中融合特征风险，使特征风险值与该特征分量 对距离计算的贡献成反比；

步骤4)利用融合特征风险的特征值训练入侵检测分类器，采用支持向量机，从而使训 练出的入侵检测分界面在高风险的网络特征分量上更加远离入侵样本。

本实施例借鉴攻防博弈的设计思路，在工业互联网边界防护中考虑入侵检测方法被攻击 者规避的风险，从而在训练入侵检测分类器时提前对抗攻击向量中网络特征潜在的篡改行为， 形成对抗式入侵检测方法。

实施例二：

本实施例与实施例一基本相同，特别之处如下：

在本实施例中，所述步骤1)具体包括下列步骤：

步骤1.1、根据入侵检测系统常用的网络包特征进行收集，形成特征待选集合；

步骤1.2、将训练样本集中的网络包根据标签划分为正常样本集和攻击样本集；

步骤1.3、针对特征待选集合中的每一个特征k，分别在正常样本集和攻击样本集中统计 其特征值分布，分别记为N

步骤1.4、计算分布N

步骤1.5、根据经验或实验确定相对熵阈值η，如果D

在本实施例中，所述步骤2)具体包括下列步骤：

步骤2.1、统计和收集影响网络特征被篡改难易程度的各种因素，确定的影响因素个数记 为N；

步骤2.2、针对每种影响因素，将网络特征分为高风险——容易篡改、和低风险——难以 篡改两类；

步骤2.3、对所有的影响因素，根据其对网络特征被篡改难易程度的影响力从高到低进行 排序；

步骤2.4、根据排序将网络特征按高低风险依次递进分类形成一个风险分类二叉树，该二 叉树中叶子节点记为风险类别；

步骤2.5、风险类别按低风险在左高风险在右排列：风险类别按

在本实施例中，所述步骤3)具体包括下列步骤：

步骤3.1、训练样本集中所有样本在各网络特征维度上将网络特征值归一化，

步骤3.2、将归一化后的特征值根据其所属的风险类别按反比例形式进行融合：

在本实施例中，所述步骤4)具体包括下列步骤：

步骤4.1、将融合风险值后的归一化特征值作为输入，训练二分类支持向量机作为入侵检 测分类器；

步骤4.2、在使用入侵检测分类器检测未知样本时，按前述步骤1)至步骤3)将输入特征 值归一化并融合风险值。

本实施例面向工业互联网边界防护的入侵检测方法，在入侵检测模型的训练阶段充分考 虑攻击者规避检测的可能性，并将这一可能性通过训练样本特征空间中各维度特征值被篡改 的难易程度进行表达，形成样本特征的风险值。计算样本在网络特征空间的距离时融合特征 风险，使特征风险值与该特征分量对距离计算的贡献成反比，从而使训练出的入侵检测分界 面在高风险的网络特征分量上更加远离入侵样本，避免攻击者低成本的篡改网络特征以躲避 检测。与现有对抗式检测方法不同，本实施例方法将攻击者可能的规避行为通过网络特征的 风险值进行显示表达，从而在与特征值进行融合的基础上直接训练对抗式入侵检测模型。

实施例三：

参见图1-图4，本实施例以对抗式检测KDD CUP 99入侵检测数据集中smurf攻击，即 以一种拒绝服务攻击，该攻击也存在于工业互联网中为例，采用支持向量机(SVM)为入侵检 测分类器基本模型，具体的实施步骤如下：

步骤101、将入侵检测数据集按80％和20％的比例随机划分成训练集和测试集；

步骤102、将下表所列的所有特征在训练集中统计特征值在正常样本和smurf攻击样本中 的分布，并计算分布间的相对熵，即K-L散度；

步骤103、确定相对熵阈值η，如果D

步骤201、对选取的网络特征按特征来源、特征形式和特征时域属性等三种影响因素进 行分类；

步骤202、对网络特征先按其来源分为攻击方特征与防御方特征，攻击方特征风险值高、 防御方特征风险值低；其中，攻击方特征为攻击方直接修改的特征属性，攻击网络包包头和 负载，防御方特征为攻击方需要通过防御方间接修改的特征属性，防御方应答网络包包头和 负载；

步骤203、在特征来源分类的基础上，进一步根据网络特征的表达形式分为内容特征和 统计特征，内容特征风险值高、统计特征风险值低；其中，内容特征为网络包内容信息，包 括包头信息和负载信息，统计特征为网络包或多个网络包组合的网络流统计信息，包括包内 某字符串出现的频率或某网络流中网络包的平均负载大小；

步骤204、在特征来源分类和形式分类的基础上，再进一步根据网络特征是否与时间有 关分为动态特征和静态特征，动态特征风险值高、静态特征风险值低；其中，动态特征的特 征值与时间相关，包括某一网络流时长和单位时间内的网络包数量，静态特征的特征值与时 间无关，包括某一网络包的大小；

步骤205、对网络特征的三种分类，从来源、形式到时域属性依次递进形成一个风险分 类二叉树，叶子节点记为风险类别，共8个，按低风险在左高风险在右排列，风险类别按 R

步骤301、训练样本集中所有样本在各网络特征维度上将网络特征值归一化，

步骤302、将归一化后的特征值根据其所属的风险类别按反比例形式进行融合：

步骤401、将融合风险值后的归一化特征值作为输入，训练二分类支持向量机作为入侵 检测分类器；

步骤402、在使用入侵检测分类器检测未知样本时，按前述步骤101至302将输入特征值 归一化并融合风险值。

本实施例在入侵检测系统的训练阶段提前考虑攻击者通过篡改网络特征躲避检测的可 能性，并将这一可能性量化为网络特征的风险值，在融合特征风险的基础上训练入侵检测分 类器，从而极大降低入侵检测系统在检测过程中对高风险且容易被篡改特征的依赖，主动防 御攻击者对入侵检测系统的躲避行为。

综上所述，上述实施例面向工业互联网边界防护的对抗式入侵检测方法，对通过工业互 联网边界设备的网络流量进行特征选择；对选取的网络特征评估并量化其被攻击者篡改的难 易程度，并将这一难易程度定义为网络特征的风险值；训练入侵检测分类器时采用支持向量 机，计算样本在网络特征空间的距离中融合特征风险，使特征风险值与该特征分量对距离计 算的贡献成反比，从而使训练出的入侵检测分界面在高风险的网络特征分量上更加远离入侵 样本。上述实施例方法借鉴攻防博弈的设计思路，在工业互联网边界防护中考虑入侵检测方 法被攻击者规避的风险，从而在训练入侵检测分类器时提前对抗攻击向量中网络特征潜在的 篡改行为，形成对抗式入侵检测方法。

以上所述的具体实施例，对本发明的解决的技术问题、技术方案和有益效果进行了进一 步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限制本发明， 凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的 保护范围之内。