基于时间序列分析的工业控制以太网流量异常检测-北京工业大学学报.pdfVIP

第41卷 第2期 北 京 工 业 大 学 学 报 Vol.41 No.2 2015年 2月 JOURNAL OF BEIJING UNIVERSITY OFTECHNOLOGY Feb. 2015 基于时间序列分析的工业控制以太网流量异常检测 赖英旭,焦摇 娇 (北京工业大学 计算机学院,北京摇 100124) 摘摇 要:为提高工业网络中异常流量的检测精度,提出了基于结构时间序列分析的流量异常检测方案,将工业以太 网流量分解成不同组分,并辅以状态空间模型,将复杂的网络流量进行分层建模,从而有效提高了工业网络异常流 量检测精度,降低了误报率. 与传统的X-12结构时间序列分析法相比,其平均精度上升38%,所以本文方法对于 异常检测系统的效率改善明显. 关键词:工业控制系统;工业以太网流量;结构时间序列模型;状态空间模型 中图分类号:TP301 文献标志码:A 文章编号:0254-0037(2015)02-0200-07 doi:10.11936/ bjutxb2014040009 Anomaly Detection Scheme Using Time Series Analysis for Industrial Control Systems LAI Ying鄄xu,JIAOJiao (College of Computer Science,Beijing University of Technology,Beijing 100124,China) Abstract:To improve the detecting accuracy of malicioustraffic in industrial control systems (ICS),an innovative approach based on structural time series model is proposed. Industrial Ethernet traffic can be decomposed into four components. Each component is established by a state space model respectively, which brings out high fitting precision. Therefore compared with X鄄12,the average positive rate of this method increases by 38%. In the meanwhile,this method provides a way to decrease false positive rate and time complexity. Key words:industrial control systems;industrial Ethernet traffic; structural time series model; state space model 摇 摇 工业控制系统(industrial control systems,ICS) 数据定义的特殊性,提出一种基于模糊自回归隐马 是国家安全战略的重要组成部分. 鉴于其以高效为 尔可夫模型(auto鄄regressive hidden Markov model, 设计核心,由封闭逐渐转向开放互联,因此在硬件安 ARHMM)的异常数据检测算法,通过待测数据对正 全保障上存在明显缺陷. 目前,随着工业以太网技 确数据集的隶属度判别其是否异常. 鉴于其以控制 术的普及,指令篡改等安全问题已经屡见不鲜.