[发明专利]一种用于电力监控系统异常行为检测的样本特征降维处理方法

说明书

一种用于电力监控系统异常行为检测的样本特征降维处理方法，从类别相关性和特征间冗余性两方面入手对特征指标进行选取。首先，对历史数据进行人工标注，构造训练样本数据集。然后，分析样本数据集中每个系统行为特征指标与系统是否产生异常行为的相关性，确定各个特征指标对异常行为判断影响的相关性优先级。接着，从相关性优先级最高的特征指标开始，依次检查每两个特征指标之间的冗余性，去除对系统异常行为判断影响小且特征冗余度高的特征指标，最终达到特征降维处理的效果。本发明通过对对电力监控系统行为特征指标集进行降维处理，可用于减小训练样本规模，为后续异常检测的行为识别分类训练提供更好的服务。

技术领域

本发明属于电力信息安全技术领域，具体涉及一种用于电力监控系统异常行为检测的样本特征降维处理方法。

背景技术

近年来随着各类网络化应用的不断拓展和深化，计算机病毒、木马、黑客攻击等恶意网络攻击行为日益猖獗，网络安全事件进入了高发、频发时期，网络信息战和网络恐怖行动等国家、集团性网络攻击行为对全社会的生产和生活都造成严重影响。电力系统作为关乎国计民生的重要基础设施，由于结构复杂多样、分布广泛、重要性高，一旦瘫痪影响巨大，极易成为敌对势力攻击目标。进入二十一世纪以来，国内外已发生多起针对电力系统的网络攻击行为，使相关国家蒙受重大损失，国内也相继出现类似事故，给人民群众的生产生活造成了极大损失。

随着能源互联网的全面推进，作为电网调度控制中枢的电力监控系统的智能化、网络化和互动化水平不断提升，同时以高级持续性网络攻击(APT)为代表的新型攻击手段也不断演进，都将给电力监控系统安全防护工作带来严峻挑战。为此，需要高度重视电力监控系统的安全工作，要求建立电力监控系统网络安全事件快速反应机制。早期人们通常采用端口扫描、报文特征字段匹配等方法对异常行为进行深入分析以获取特征，从而实现网络异常行为的检测。然而，随着网络异常行为不断变化，依靠人工对异常行为进行分析以获取特征的代价越来越高昂甚至不可行。随着人工智能技术的发展，机器学习技术更多地被用于从网络数据中自动计算异常行为模式、提取其特征，从而自动产生检测规则，大大降低了开发代价。目前，特征选取方法分成Filter特征选取方法和Wrapper特征选取方法两种方式。

对于Filter特征选取方法而言，评价标准不依赖于具体的机器学习成员分类器，通过流量数据特征本身所附带的数据信息进行评价。其评价方法通常有互信息度量、一致性度量和相关性度量等。由于Filter特征选取方法计算简单有效，得到了广泛的研究，但处理高维特征选取问题时，Filter特征选取方法容易忽视特征之间冗余性问题。

对于Wrapper方法而言，该种方法通常与具体机器学习进行结合，其特征性能的评价依赖于具体的分类器。由于受到所选机器学习算法的限制，算法效率低。现有特征选取方法针对单一度量评估流量特征，多样本集时稳定性不高，存在一定局限性。也有研究人员通过将多种特征选取方法混合对特征进行选取，该方法虽然取得较高准确率，但对样本数据要求较高，有很强的假设性，适用范围较小。

在面对高维特征的数据集时，现有特征选取方法未考虑特征间冗余性，导致在面对大规模数据集时，分类训练时间开销大。因此，现有的特征选取方法一方面针对某一种特征度量方式进行改进，在特定数据集下保持较高的准确率，却很难在多个数据集中保持较高的稳定性；另一方面有特征选取方法通过使用多种度量特征方式混合的特征选择方法得出特征集，这类方法忽视了流量特征间的冗余性，并未解决特征维数灾难，导致电力监控系统异常行为识别的训练开销较大。

发明内容

本发明要解决的问题是：现有的采用机器学习技术进行电力监控系统异常行为检测的技术中，在对样本数据进行分类训练以获取异常行为特征时，存在着样本数据维数灾难和分类训练时间开销大的问题，需要进行改进。

本发明的技术方案为：一种用于电力监控系统异常行为检测的样本特征降维处理方法，用于电力监控系统异常行为检测的特征指标选取，从类别相关性和特征间冗余性两方面对特征指标进行选取。