基于双轮廓模型的工业控制系统异常检测方法

摘要

本发明涉及一种基于双轮廓模型的工业控制系统异常检测方法，涉及的工业控制网络设备包括：安全网关、可编程逻辑控制器、现场传感器设备和安全管理平台、工程师站；该方法包括以下步骤：S1：工程师站对系统组态、运行，各区域所在PLC对其IO模块所接的受控设备进行鉴别，匹配受控设备信息列表，形成主、从站的周期性通信方式；S2：PLC将数据信息实时反馈给安全网关，安全网关的数据包深度解析系统提取数据特征，去除多余的属性特征，只留下关于系统行为模式相关的特征，包括基于通信频率的协议特征、数据包传递方向特征以及寄存器值变化规律；S3：异常检测子系统进行异常检测并对异常结果向安全管理平台发出警报。

主权项

一种基于双轮廓模型的工业控制系统异常检测方法，其特征在于：在该异常检测过程中涉及的工业控制网络设备包括：安全网关、可编程逻辑控制器、现场传感器设备和安全管理平台、工程师站；所述安全网关包括异常检测子系统和数据包深度解析系统，该方法具体包括以下步骤：S1：工程师站对系统组态、运行，各区域所在PLC对其IO模块所接的受控设备进行鉴别，匹配受控设备信息列表，形成主、从站的周期性通信方式；S2：PLC将数据信息实时反馈给安全网关，安全网关的数据包深度解析系统提取数据特征，去除多余的属性特征，只留下关于系统行为模式相关的特征，包括基于通信频率的协议特征、数据包传递方向特征以及寄存器值变化规律；S3：异常检测子系统根据数据包深度解析系统所提取的特征向量，根据分类器进行测量和统计，进行异常检测，并对异常结果向安全管理平台发出警报。