[发明专利]一种基于时间相关基线的异常行为检测方法、装置及设备

权利要求书

1.一种基于时间相关基线的异常行为检测方法，应用于工业控制网络，其特征在于，包括：

获取当前预设时间周期内的实时检测数据；其中，所述实时检测数据为对所述工业控制网络进行检测后得到的数据；

将所述实时检测数据与预期网络基线进行对比，得到对比结果；其中，所述预期网络基线为利用历史所述预设时间周期内的历史检测数据对当前所述预设时间周期内的检测数据进行预测后得到的数据；

利用所述对比结果判断所述工业控制网络是否异常；

所述获取当前预设时间周期内的实时检测数据，包括：

获取当前预设时间周期内的实时网络流量数据、实时用户行为数据和实时过程控制行为数据；

将所述实时检测数据与预期网络基线进行对比，得到对比结果，包括：

读取预先生成的预期网络流量基线、预期用户行为基线和预期过程控制行为基线；

将所述实时网络流量数据与所述预期网络流量基线进行对比；

若所述实时网络流量数据不符合所述预期网络流量基线，则将所述实时用户行为数据与所述预期用户行为基线进行对比；

若所述实时用户行为数据符合所述预期用户行为基线，则确定对比结果为当前数据符合预测。

2.根据权利要求1所述的异常行为检测方法，其特征在于，在所述将所述实时检测数据与预期网络基线进行对比之前，还包括：

通过实时生成数据的方式或读取预先生成数据的方式，获取所述预期网络基线；

其中，所述预期网络基线的生成过程，包括：

利用历史所述预设时间周期内的历史网络流量数据对当前所述预设时间周期内的网络流量数据进行预测，得到预期网络流量基线；

利用历史所述预设时间周期内的历史用户行为数据对当前所述预设时间周期内的用户行为数据进行预测，得到预期用户行为基线；

利用历史所述预设时间周期内的历史过程控制行为数据对当前所述预设时间周期内的过程控制行为数据进行预测，得到预期过程控制行为基线。

3.根据权利要求2所述的异常行为检测方法，其特征在于，所述将所述实时检测数据与预期网络基线进行对比，得到对比结果，包括：

将所述实时网络流量数据与所述预期网络流量基线进行对比；

若所述实时网络流量数据符合所述预期网络流量基线，则确定对比结果为当前数据符合预测。

4.根据权利要求3所述的异常行为检测方法，其特征在于，所述将实时用户行为数据与所述预期用户行为基线进行对比，还包括：

若所述实时用户行为数据不符合所述预期用户行为基线，则将所述实时过程控制行为数据与所述预期过程控制行为基线进行对比；

若所述实时过程控制行为数据符合所述预期过程控制行为基线，则确定对比结果为当前数据符合预测。

5.根据权利要求4所述的异常行为检测方法，其特征在于，所述将实时的所述过程控制行为数据与所述预期过程控制行为基线进行对比，还包括：

若所述实时过程控制行为数据不符合所述预期过程控制行为基线，则确定对比结果为当前数据不符合预测。

6.根据权利要求3至5任一项所述的异常行为检测方法，其特征在于，所述利用所述对比结果判断所述工业控制网络是否异常，包括：

若所述对比结果为当前数据不符合预测，则判定所述工业控制网络异常，并发出警告，将数据异常发送至管理员；

若所述对比结果为当前数据符合预测，则判定所述工业控制网络正常，并记录相关事件的时间和操作行为。