融合LSTM-DNN的工业安全态势预测模型_于雅洁.pdf

小 型 微 型 计 算 机 系 统 ：年 月 第 期 收稿日期：收修改稿日期：基金项目：国防基础科研项目（）资助 作者简介：于雅洁，女，年生，硕士研究生，研究方向为工业控制系统信息安全、机器学习、人工智能；刘贤达（通讯作者），男，年生，硕士，副研究员，研究方向为工业控制系统信息安全；蒋启梅，女，年生，高级工程师，研究方向为信息技术工程化应用、信息安全；张博文，男，年生，硕士，研究实习员，研究方向为工业控制系统信息安全融合 的工业安全态势预测模型于雅洁，刘贤达，蒋启梅，张博文，（中国科学院 网络化控制系统重点实验室，沈阳）（中国科学院 沈阳自动化研究所，沈阳）（中国科学院 机器人与智能制造创新研究院，沈阳）（中国科学院大学，北京）（昌河飞机工业（集团）有限责任公司，江西 景德镇）：摘 要：态势预测对于感知工控系统中的安全风险有着重要的作用 传统的态势预测模型往往会忽略工控系统中态势要素的时序性，难以准确对系统的安全态势进行预测 因此本文提出一种基于 的工业网络安全态势预测模型，以提高传统态势预测模型的精确度 首先从海量数据中选取出与系统态势强相关的态势要素；接下来利用 对提取的态势要素进行预测，得到未来的态势要素链；最后将提取出的态势要素链送入 模型中，预测系统未来的安全态势 实验表明，相较于传统的网络安全态势预测模型，该模型框架能够有效地预测未来的态势值；相比于其它算法，所提出的算法具有较高的预测精度关 键 词：工控网络；态势评估；态势要素链；长短时记忆网络；全连接神经网络中图分类号：文献标识码：文 章 编 号：（），（，）（，）（，）（，）（），）：，；，；，；，：；引 言随着工业化与信息化的融合，工业控制系统的网络变得越来越开放，信息安全问题接踵而来 根据国家信息安全漏洞共享平台统计的数据，工控系统行业漏洞已经达 多条，而攻击者则利用这些漏洞发起了越来越多的攻击 年，震网病毒大幅攻击伊朗核电站，使伊朗的核计划暂时搁浅；年，乌克兰电网遭遇攻击，导致大范围停电；年，本田公司的服务器遭受到 勒索软件攻击，公司业务受到严重影响；年，美国因网络攻击宣布多州进入紧急状态 由此可见，工控系统一旦遭受到攻击，会对社会造成严重的影响现阶段，“纵深防御”是一种针对工业控制网络安全比较先进和优秀的解决方法 通过对需要保护的区域进行划分，并在各个区域中采用不同的安全策略，如使用防火墙等，来更好地对工控系统进行保护 这些传统的安全策略侧重于对系统进行防御，一旦入侵成功后就显得束手无策 入侵检测技术能够在系统受到攻击时进行报警，但是无法对未来的安全状况进行预警 相比之下，态势感知技术能够对未来一段时间的系统安全态势进行预测，可以有效发现潜伏在工控网络中的威胁事件，起到对攻击的预警作用态势感知的概念最早是由 提出的，最初用于军事对抗的研究中，包括态势要素获取、理解和预测 个层次，在网络安全领域已经有了相关研究 等提出一种基于小波神经网络的态势预测模型，并使用遗传算法对小波神经网络的参数进行优化，来实现对网络安全态势的获取 等人通过训练径向基函数神经网络，建立前 个时刻的系统态势与后 个时刻的系统态势之间的非线性映射关系，以实现态势预测的目的 等使用灰色关联熵法选取出与网络安全态势强相关的态势要素，基于此建立卡尔曼预测模型，对网络安全状况进行预测与网络安全领域不同，工控系统中的态势要素往往存在较强的时序性，这种时序性可以用来建立更准确的态势感知模型 等考虑到工控系统是典型的带有噪声干扰的非线性系统，提出了一种基于粒子滤波的系统状态估计方法，能够有效避免噪声的影响，对工控系统的安全态势进行估计 等提出一种基于图卷积神经网络的半监督分类态势感知框架，利用工控系统边缘设备的数据对 算法进行训练，获得实时态势感知模型 但是这些方法只能实现对当前系统态势的估计和预测，无法发现潜伏在工控系统中的威胁 等提出一种结合蚁群算法与径向基函数神经网络的态势感知模型，建立过去系统态势与未来系统态势之间的关系，可以实现对系统未来态势的预测，但是却忽略了工控系统的时序性特点，模型准确度待提高因此，本文提出了一种基于 的工控系统态势预测与评估方法 首先对工业控制系统安全要素进行提取，构造基于时间的序列数据；其次使用 算法预测出安全态势要素链；最后评估工控系统未来一段时间的安全状态 实验结果证明，所提出的算法能够对工控系统安全态势进行有效评估，并提高了预测的准确性本文的其余部分组织结构如下：第 部分介绍了模型中的相关算法理论，包括 算法和 网络；第 部分设计并分析了态势预测模型框架；第 部分通过实验，验证算法的有效性；第 部分总结了本文的工作，并对未来的工作进行规划 态势预测模型算法概念 全连接神经网络全连接网络（，）是最经典的神经网络之一，图 为一个输入为 ，输出为 的 结构 其中每一层的所有节点都与相邻层的所有节点连接 的结构容易理解，应用起来较为方便 并且对于大部分非线性函数的拟合能力都较好，只要通过增大全连接神经网络的深度，就可以对函数进行精确地拟合全连接神经网络中，每层的神经元节点都会对送入的数据进行计算处理，并将计算结果输出给下一层的神经元节点第 层中第 个节点的计算公式见式（），和 分别为该节点与上一层的连接权重和该节点的偏置，对输入 进行线性加权，得到，然后将加权结果 输入到激活函数 中，即可获得该节点的输出 按式（）和式（）完成 中的前向传播过程，即可得到输出层节点的输出 利用式（）和式（）中的反向传播算法，对权重和偏置进行更新，其图 全连接神经网络结构图 中 为学习率，为真实值与前向传播结果的偏差，多次更新之后得到最佳的权重和偏置，即可实现对函数的模拟 （）（）（）（）（）（）长短时记忆网络长短时记忆网络（，）是一种改进的循环神经网络，在处理时间序列数据方面有着广泛的应用 与传统的循环神经网络相比，增加了遗忘门、输入门、输出门，能够更好地对细胞中的信息进行控制，解决了 中对长序列的长期依赖问题，避免了梯度消失 图 为 的细胞结构图图 细胞结构图 其中遗忘门对前一时刻的输出 和当前的输入 进行读取，并决定要将哪些信息从细胞状态中丢弃；输入门决定对哪些信息进行更新，然后通过一个 层，决定将什么信息加入到细胞状态中；计算新的细胞状态，用其对之前的细胞状态进行替换；最后通过输出门决定需要输出哪些信息 在合理设置门限时，就可以对长序列的细胞状态进行记忆 单元内部的计算公式如式（）所示：（，）（，）?（，）?（，）|（）期 于雅洁 等：融合 的工业安全态势预测模型 其中，分别为输入门、输出门和遗忘门，和 分别为连接权重和偏置，?和 分别是候选状态和更新的状态，为输入，为输出，为时间，为激活函数 态势预测与评估模型本章提出一种结合 和 的态势预测模型，并对模型细节进行介绍 首先对态势要素进行预测；再将预测到的态势要素组合成未来的状态，预测系统态势 态势预测与评估模型整体框架图 为本文所提出的态势预测与评估模型的整体框架，包括态势要素预处理、态势要素链预测、系统态势评估和实时态势感知阶段 具体过程如下：）态势要素预处理阶段 对数据进行归一化操作，统一不同特征的量纲 对归一化后的数据进行降维，消除数据集中的冗余信息，并生成针对 算法的时间序列数据）态势要素链预测阶段 利用时间序列数据对 算法进行训练 训练达到最大迭代次数后，输出态势要素链预测模型）系统态势评估阶段 利用降维的数据集对 算法进行训练 训练达到最大迭代次数后，输出最优的分类模型）实时态势感知阶段 对采集的实时数据进行预处理，输入到训练好的 模型中，得到未来时刻的态势要素链，将 模型预测得到的态势要素链输入到分类模型中，就可以输出系统未来的安全态势图 态势评估模型整体框架 态势要素预处理对数据集进行预处理，以获得高质量的数据集，进一步提高模型的性能 数据归一化阶段，采用式（）中的最大最小值方法，使所有态势要素的量纲统一 然后采用主成分分析法，对归一化的数据进行降维，主成分分析法通过坐标变换，将高维数据转换到新的低维坐标系中，实现消除数据冗余信息的目的 （）为了建立历史数据与未来数据的非线性映射关系，将降维后的数据集构造为针对时间序列预测的格式 构造方式如图 所示，滑动窗口中包含时间序列的前 个值，并将其映射到下一时刻的值，共包含 个数据 每个时间段都可以看作一个样本，样本的前 个值作为 的输入，第 个值作为 输出，即样本标签图 时间序列构造 态势要素链预测工控系统态势要素的值是一段非线性时间序列 预测态势要素的值，即用态势要素的前 个值预测 时刻的数据，本质上是找出它们的非线性映射关系 考虑到工控系统中数据的时序性，本文采用 算法对提取的态势要素进行预测，找出它们的非线性映射规律 由于工控系统的特征间具有较强的耦合性，难以同时对多维态势要素进行预测，因此采用单维 算法，对每一维态势要素分别进行预测 将构造的时间序列样本送入 神经网络中进行训练和学习，实现输入空间到输出空间的映射，达到时间序列预测的目的具体算法步骤如表 所示表 态势要素链预测算法步骤 基于 的态势要素链预测算法输入：训练数据集 （，）（，）（，）初始化权重 和偏置，学习率，神经元网络层数和节点个数等超参数输出：更新后的 模型依赖：损失函数 未达到预设迭代次数 将训练集以小批量送入神经网络中前向传播，计算输出；将输出值与真实值比较，计算误差；误差分别对权重 和偏置 求偏导；更新权重 和偏置，输出模型 得到训练完成的 模型后，就可以实现对系统态势要素链的预测，将实时数据输入到 模型中，输出未来的态势要素链，用于后续的系统态势预测 系统态势评估 为了对系统态势进行评估，需要建立态势要素与系统态势之间的关系 本文使用 对系统态势进行评估 将已有的态势要素作为输入，送入 中进行训练，系统的当前态势作为神经网络的对应输出 具体算法步骤如表 所示 实时态势感知态势要素链预测模型和态势评估模型训练完成后，就建 小 型 微 型 计 算 机 系 统 年：立了历史态势要素与未来系统态势之间的映射关系，从而实现对未来态势预测的目的 将当前时刻的前 个值提取出来，构造成时间序列，输入到训练好的模型中，即可获表 态势评估算法步骤 基于 的态势要素链预测算法输入：训练数据集 （，），（，）（，）初始化权重 和偏置，学习率，神经元网络层数和节点个数等超参数输出：更新后的 模型依赖：损失函数 未达到预设迭代次数 将训练集以小批量送入神经网络中前向传播，计算输出；将输出值与真实值比较，计算误差；误差分别对权重 和偏置 求偏导；更新权重 和偏置，输出模型得反映态势要素在未来变化趋势的态势要素链 对所有态势要素逐一预测，获得所有的态势要素链 将预测得到的未来态势要素 重新放入输入时间序列中，就可以获得态势要素在 时刻的值，同理，继续操作可以获得未来多个时刻的态势要素 将第 个时刻的所有态势要素组合起来，作为的输入，就可以获得系统的未来态势 图中展示了预图 系统态势预测图 测未来多个时刻系统态势的过程 通过实验，选择合适的预测时间，使得模型能够在预测精度不受到较大影响的条件下，预测未来较长时间的系统态势 实验与结果分析基于上述方法，本章对实验过程及结果进行描述及分析首先对数据集进行介绍和预处理；然后对本文所提出的模型进行构建和训练，并对训练完成的模型进行评估；最后对结果进行分析，并与其他算法进行对比 数据集介绍及预处理本文采用 安全水处理平台采集的数据，对模型的有效性进行验证 是一个包含多种流程的现代化水处理工业控制系统，通过在正常工况中穿插各种攻击来篡改生产工艺值，并以每秒一次的频率对传感器的数据进行采集，获得多变量时间序列数据集对 数据集进行预处理，包括归一化、降维和生成时间序列 采用最大最小值归一法，对所有态势要素的范围进行统一 降维采用主成分分析法，在保证损失信息尽量少的情况下，提取出能够代表原始数据大部分信息的低维数据集，最终将原始数据降到 维，缩减后续模型的训练时间 按照图 的方式构造时间序列，便于后续态势要素链预测模型的训练 模型训练采用试值法对 模型的结构进行调整