[发明专利]基于IL的闭源电力工控系统恶意行为识别方法及系统

权利要求书

1.基于IL的闭源电力工控系统恶意行为识别方法，其特征在于，包括如下步骤：

步骤1，获取闭源电力工控系统底层多域数据并对数据进行预处理，将数据变换为图像并形成样本集；

步骤2，对样本集进行类别标注，类别包括图像是否属于恶意行为以及所属的恶意行为类别，并设定比例将图像随机划分为训练集和测试集；

步骤3，构建恶意行为分类模型并对其进行训练，得到经过训练的恶意行为分类模型；

步骤4，基于训练后的恶意行为分类模型对待分类恶意行为进行分类，得到恶意行为对应的类别；

步骤5，当闭源电力工控系统出现新数据流时，结合新数据流基于增量学习动态调整恶意行为分类模型；

步骤5中，基于类增量学习动态调整恶意行为分类模型还包括如下步骤：

步骤5-1，基于新类样本集和旧类样本集训练更新恶意行为分类模型的参数；

步骤5-2，根据闭源电力工控系统的存储空间，获取每个类别可保留的样本数；

步骤5-3，进行样本管理，包括为新类别选取样本集，以及调整旧类别样本集的大小；

步骤5-4，结合新类别样本集和旧类别样本集进行数据增广，构建最终训练数据集；

步骤5-5，提取样本在恶意行为分类模型的卷积神经网络上的响应；

步骤5-6，使用最终训练数据集对恶意行为分类模型进行训练，得到训练后的新恶意行为分类模型；

步骤6，基于调整后的恶意行为分类模型对待分类恶意行为进行分类。

2.根据权利要求1所述的基于IL的闭源电力工控系统恶意行为识别方法，其特征在于：

闭源电力工控系统的底层多域数据为二进制文件，对数据的预处理包括将闭源电力工控系统的底层多域数据由二进制文件转换为图像形式。

3.根据权利要求2所述的基于IL的闭源电力工控系统恶意行为识别方法，其特征在于：

步骤1中对数据进行预处理还包括如下步骤：

读取二进制文件的长度，设定宽度并根据指定的宽度计算出多余的字节，去掉多余的字节将二进制文件读入一个unit8数组中；

变换数组的形式，将unit8数组转换为二维数组；

将二维数组转换为灰度图图像。

4.根据权利要求1所述的基于IL的闭源电力工控系统恶意行为识别方法，其特征在于：

步骤2中：根据样本集中图像对应的底层多域数据是否为恶意行为、以及该恶意行为的类别，通过人工标注的方式对样本集进行类别标注。

5.根据权利要求1所述的基于IL的闭源电力工控系统恶意行为识别方法，其特征在于：

步骤3中：基于最近均值分类策略构建恶意行为分类模型，基于步骤2中得到的训练集训练恶意行为识别模型，并在测试阶段使用测试集对恶意行为识别模型进行测试。

6.根据权利要求1或5所述的基于IL的闭源电力工控系统恶意行为识别方法，其特征在于：

对恶意行为分类模型的训练还包括：通过提取图片特征来训练模型，基于特征的自动化最优选择策略，根据信息增益率以及皮尔逊相关系数三个指标的重要性度量，自动选择出最优的特征集合。

7.根据权利要求1所述的基于IL的闭源电力工控系统恶意行为识别方法，其特征在于：

步骤4中，对待分类恶意行为进行分类还包括如下步骤：

步骤4-1，获取各类别样本集的原型，将每个类别的样本集中恶意行为特征向量的平均值作为该类别的原型；

步骤4-2，通过卷积神经网络提取待分类的恶意行为的特征向量；

步骤4-3，计算该特征向量与各类别的原型之间的距离，选取距离最近的原型对应的类别作为分类结果。