[发明专利]一种基于欺骗性防御的未知威胁自适应检测方法

说明书

本发明公开了一种基于欺骗性防御的未知威胁自适应检测方法，该方法采用基于欺骗性防御技术的未知威胁自适应流量检测系统实现，该系统包括恶意流量检测模块、蜜罐模块、自适应检测升级模块，恶意流量检测模块发现网络中的攻击，蜜罐模块获取网络中的未知威胁流量，自适应检测升级模块分析和学习蜜罐模块中的未知威胁流量，将学习后的模型更新到恶意流量检测模块中。本发明将欺骗性防御技术和恶意流量检测技术相融合，通过欺骗性防御技术对未知威胁进行捕获，使用改进数据集平衡算法对属于少样本的未知威胁进行扩充，使得恶意流量识别算法能够对未知威胁进行识别，自适应的扩展自身能够识别的攻击方式，提高恶意流量检测系统的泛用性。

技术领域

本发明涉及工业控制安全领域，具体涉及一种基于欺骗性防御的未知威胁自适应检测方法。

背景技术

工业互联网作为新一代网络信息技术与制造业深度融合的产物，是实现产业数字化、网络化、智能化发展的重要基础设施和关键技术支撑，被广泛认为是第四次工业革命的重要基石。近年来5G基础设施建设不断完善，新技术、新应用与工业互联网技术融合持续研发和推广使用，给工业互联网发展带来了巨大的机遇的同时，也让工业互联网面临严峻的挑战。

许多攻击会通过工业互联网对工业控制系统造成危害，需要有安全防护系统对工业互联网中的流量进行检测，对恶意流量进行发现。但是随着时代的发展，攻击方式层出不穷，检测的更新速度比不上攻击方式的更新速度。欺骗性防御技术能够对攻击流量进行引导和捕获，避免正常流量误触发的同时，对攻击进行针对性的捕获。被欺骗性防御技术捕获的威胁，却无法被现有检测系统识别的威胁，被称为未知威胁。未知威胁往往是网络潜在的重大威胁，提升对该部分攻击的检测能力，能够极大的提高网络整体的安全性。

欺骗性防御技术是一种高欺骗性的安全防护技术，可运行于多种网络和故意留有特征漏洞的终端系统中。欺骗性防御技术能够诱导入侵者发动攻击行为，在此基础上捕捉攻击源继而实现安全防御，保护重要系统终端免受侵害。未知威胁所使用的攻击手段，通常是未披露，这些威胁通常情况下无法被检测系统捕获。而欺骗性防御技术，能够伪装成为重要资产，引诱这些威胁进行攻击，进而对这些攻击进行捕获。而这些未知威胁的具有样本数量少、隐蔽性强、危害性高的特点。

对未知威胁进行自动化分析和防御，弥补人工分析的滞后性，增强现有防御技术对于未知攻击的防御能力。通过欺骗性防御技术捕获网络中的攻击流量，对捕获的攻击流量进行分析和分类，将无法分析的攻击流量加入恶意流量检测系统的数据集中。当未知威胁加入数据集时，对数据集使用改进数据集样本平衡算法，避免不平衡数据集对恶意流量检测系统造成影响。恶意流量检测系统通过更新后数据集，更新原有的检测模型，使得恶意流量检测系统可以检测攻击类型增加，能够自适应的发现网络中潜在的攻击流量，减少了人为的干预。

本发明涉及在工控系统中对局域网中的未知威胁进行发现和检测，利用欺骗性防御技术对攻击流量进行引导和捕获，对捕获的攻击流量进行检测和过滤，自适应检出未知威胁并自动升级局域网中的流量检测系统，实现对未知威胁的识别。

(1)提出了基于欺骗性防御技术的未知威胁自适应流量检测系统(简称自适应检测系统)。该自适应检测系统由恶意流量检测模块、蜜罐模块、自适应检测升级模块组成。恶意流量检测模块(自适应检测系统中的一个模块)对网络中的攻击进行及时的发现。蜜罐模块获取网络中的未知威胁流量。自适应检测升级模块对蜜罐模块中的未知威胁流量进行分析和学习，将学习后的模型更新到恶意流量检测模块中。自此自适应检测系统能够对局域网中的未知威胁进行分析和发现。

(2)改进了数据集样本平衡算法，通过近邻少数类平均距离和近邻多数类个数对少数类进行样本扩充，使得数据集中各个类别的样本数量平衡，避免不平衡数据集对深度学习算法的影响。该算法作用于上文中的自适应检测升级模块中，作为分析和学习未知威胁流量的核心算法。

发明内容