[发明专利]一种基于时间相关基线的异常行为检测方法、装置及设备

说明书

本申请公开了一种基于时间相关基线的异常行为检测方法、装置及设备，应用于工业控制网络，包括：获取当前预设时间周期内的实时检测数据；对比实时检测数据与预期网络基线，得到对比结果；利用对比结果判定工业控制网络是否异常；其中，预期网络基线为利用历史预设时间周期内的历史检测数据对当前预设时间周期内的检测数据进行预测后得到的数据。由此，通过实时检测数据与预期网络基线的对比，判断工业控制网络是否异常，解决了现有工业控制系统中无法判断网络异常、用户行为异常的问题，提高了工业控制网络的安全性；另外，本发明中利用基于预设时间周期的预期网络基线，能准确判别具有时间规律的异常行为，降低了因时间相关产生的误报率。

技术领域

本发明涉及工业控制网络技术领域，特别涉及一种基于时间相关基线的异常行为检测方法、装置及设备。

背景技术

日前，随着信息技术的发展，工业控制网络除了员工的误操作之外，由于其开放性，使其更容易受到利用漏洞的攻击。伴随着“震网”等事件的发生，工业控制网络遭受到的攻击也越来越多，不仅破坏了工业控制系统原来的正常运行，还盗取了工业信息，使得人们对工业控制的信息安全愈加重视。但是，由于不存在可以完全依赖的检测标记，工业控制系统的异常检测就变得更加艰难。

现有技术中，对工业控制系统的检测往往仅针对系统中传输的脉冲频率和大小，无法判断网络异常、用户行为异常等，漏判严重，并且这种方式会因不同时间段数据流量高峰的影响产生误判。因此，如何解决工业控制网络的安全问题，同时减少异常行为的误报率，是需要本领域技术人员重点关注的。

发明内容

有鉴于此，本发明的目的在于提供一种基于时间相关基线的异常行为检测方法、装置及设备，用于解决现有技术无法判断网络异常、用户行为异常的问题，并且避免了因时间相关的数据流量高峰产生的误判。其具体方案如下：

第一方面，本发明公开了一种基于时间相关基线的异常行为检测方法，应用于工业控制网络，包括：

获取当前预设时间周期内的实时检测数据；其中，所述实时检测数据为对所述工业控制网络进行检测后得到的数据；

将所述实时检测数据与预期网络基线进行对比，得到对比结果；其中，所述预期网络基线为利用历史所述预设时间周期内的历史检测数据对当前所述预设时间周期内的检测数据进行预测后得到的数据；

利用所述对比结果判断所述工业控制网络是否异常。

可选的，所述获取当前预设时间周期内的实时检测数据，包括：

获取当前预设时间周期内的实时网络流量数据、实时用户行为数据和实时过程控制行为数据。

可选的，在所述将所述实时检测数据与预期网络基线进行对比之前，还包括：

通过实时生成数据的方式或读取预先生成数据的方式，获取所述预期网络基线；

其中，所述预期网络基线的生成过程，包括：

利用历史所述预设时间周期内的历史网络流量数据对当前所述预设时间周期内的网络流量数据进行预测，得到预期网络流量基线；

利用历史所述预设时间周期内的历史用户行为数据对当前所述预设时间周期内的用户行为数据进行预测，得到预期用户行为基线；

利用历史所述预设时间周期内的历史过程控制行为数据对当前所述预设时间周期内的过程控制行为数据进行预测，得到预期过程控制行为基线。

可选的，所述将所述实时检测数据与预期网络基线进行对比，得到对比结果，包括：

将所述实时网络流量数据与所述预期网络流量基线进行对比；

若所述实时网络流量数据符合所述预期网络流量基线，则确定对比结果为当前数据符合预测。