ARMA流量预测模型的构建方法及系统、工控网络总线异常流量监测方法及系统技术方案

ARMA流量预测模型的构建方法及系统、工控网络总线异常流量监测方法及系统，涉及异常网络流量监测技术领域。解决现有工控网络异常流量监测方法的通用性不强，需要大量的数据进行流量特征提取分析，且仅能感知攻击行为，对攻击细节和攻击特征无法感知和记录的问题。构建方法为采集网络总线上的流量数据，并进行白噪声检验，然后进行平稳性检验，对平稳性检验后的数据定阶，获得模型定阶数和估计模型参数，进而获得初始ARMA流量预测模型；再次检验获得ARMA流量预测模型。采用ARMA流量预测模型获得异常流量边界值，采用异常流量边界值监测工控网络总线上的网络流量异常情况。本发明专利技术适用于对工控网络总线的异常流量监测。对工控网络总线的异常流量监测。对工控网络总线的异常流量监测。

【技术实现步骤摘要】
ARMA流量预测模型的构建方法及系统、工控网络总线异常流量监测方法及系统


[0001]本专利技术涉及网络安全维护中的异常网络流量监测


技术介绍

[0002]近年来，重大网络安全事件频。
[0003]随着“工业3.0”的逐渐普及，即将迈进“工业4.0的大门”，工业4.0是网络信息的时代，也预示着我们要更加重视工控网络信息安全。
[0004]目前应用比较广泛的工控网络异常流量检测方法有：特征模型分析方法，聚类分析方法，神经网络方法与统计分析方法。以上四种检测方法各不相同，但又各有利弊其中，基于工控网络控制逻辑和回路特点提出的特征模型分析方法主要用于检测关键数据模块和网络节点是否存在异常。该方法具有较高的特征检测准确率，主要用于检测特定攻击造成的数据异常，但是通用性不佳，只能用于检测关键数据模块和网络节点。聚类分析方法是目前较为流行的攻击检测方法，通过PCA等降低度数据量或优化算法复杂度等方法可以降低检测延迟，但是需要大量的数据进行流量特征提取分析，还需要离线事后检测。基于神经网络技术的异常流量分析方法需要对神经网络进行训练，训练过程计算量极大，但仅能感知攻击行为，对攻击细节、攻击特征无法感知和记录。

技术实现思路

[0005]本专利技术解决现有工控网络异常流量监测方法的通用性不强，需要大量的数据进行流量特征提取分析，且仅能感知攻击行为，对攻击细节和攻击特征无法感知和记录的问题。
[0006]为实现上述目的，本专利技术提供了如下方案：
[0007]本专利技术提供一种ARMA流量预测模型的构建方法，所述构建方法为：
[0008]S1、采集网络总线上的流量数据，并进行储存，获得数据库；
[0009]S2、对所述数据库中的流量数据进行白噪声检验，获得关系数据库；
[0010]S3、对所述关系数据库中的流量数据进行持续性平稳性检验，直至获得平稳性数据库；
[0011]S4、对所述平稳性数据库中的流量数据进行定阶，获得模型定阶数和估计模型参数；
[0012]S5、根据所述模型定阶数和估计模型参数，获得初始ARMA流量预测模型；
[0013]S6、对所述初始ARMA流量预测模型进行持续性检验，直至获得ARMA流量预测模型。
[0014]进一步，还有一种优选实施例，上述步骤S1具体为：
[0015]S11、将工控网络的现场网络拓扑图进行部署，获得安全网关；
[0016]S12、将所述安全网关连接通讯总线，并提取通讯总线的数据，获得流量数据；
[0017]S13、在所述安全网关中安转插件解析代码，获得解析安全网关；
[0018]S14、采用所述解析安全网关对所述流量数据进行解析，并将解析之后的流量数据
进行储存，获得数据库。
[0019]进一步，还有一种优选实施例，上述步骤S3具体为：
[0020]S31、确定所述数据库中流量数据的显著水平、平稳系数和统计量值；
[0021]S32、根据所述显著水平、平稳系数和统计量值，对所述流量数据进行平稳性分析，获得平稳性数据库。
[0022]进一步，还有一种优选实施例，上述步骤S4中对所述平稳性数据库中的流量数据进行定阶的方法为BIC信息准则定阶法。
[0023]进一步，还有一种优选实施例，上述步骤S6具体为：
[0024]采用χ2分布算法对所述初始ARMA流量预测模型进行持续性检验，直至初始ARMA流量预测模型为正态分布序列，则为ARMA流量预测模型。
[0025]本专利技术还提供一种工控网络总线异常流量监测方法，所述监测方法采用ARMA流量预测模型实现，所述ARMA流量预测模型采用上述任意一项所述的一种ARMA流量预测模型的构建方法获得的，所述监测方法为：
[0026]A1、对所述工控网络总线上的流量数据进行采集，获得实际网络流量值；
[0027]A2、对所述实际网络流量值进行处理，获得实际网络流量标准差；
[0028]A3、采用所述ARMA流量预测模型对所述工控网络总线上的历史流量数据进行预测，得到预测后的网络流量值；
[0029]A4、根据所述实际网络流量标准差和预测后的网络流量值，获得异常流量边界值；
[0030]A5、采用所述异常流量边界值监测工控网络总线上的网络流量异常情况。
[0031]本专利技术所述的一种ARMA流量预测模型的构建方法和一种工控网络总线异常流量监测方法可以全部采用计算机软件实现，因此，对应的，本专利技术还提供一种ARMA流量预测模型的构建系统，所述系统包括：
[0032]用于采集网络总线上的流量数据，并进行储存，获得数据库的存储装置；
[0033]用于对所述数据库中的流量数据进行白噪声检验，获得关系数据库的存储装置；
[0034]用于对所述关系数据库中的流量数据进行持续性平稳性检验，直至获得平稳性数据库的存储装置；
[0035]用于对所述平稳性数据库中的流量数据进行定阶，获得模型定阶数和估计模型参数的存储装置；
[0036]用于根据所述模型定阶数和估计模型参数，获得初始ARMA流量预测模型的存储装置；
[0037]用于对所述初始ARMA流量预测模型进行持续性检验，直至获得ARMA流量预测模型的存储装置。
[0038]本专利技术还提供一种工控网络总线异常流量监测系统，所述监测系统为：
[0039]用于对所述工控网络总线上的流量数据进行采集，获得实际网络流量值的存储装置；
[0040]用于对所述实际网络流量值进行处理，获得实际网络流量标准差的存储装置；
[0041]用于采用所述ARMA流量预测模型对所述工控网络总线上的历史流量数据进行预测，得到预测后的网络流量值的存储装置；
[0042]用于根据所述实际网络流量标准差和预测后的网络流量值，获得异常流量边界值
的存储装置；
[0043]用于采用所述异常流量边界值监测工控网络总线上的网络流量异常情况的存储装置。
[0044]本专利技术提供一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行上述任意一项所述的一种ARMA流量预测模型的构建方法或上述所述的一种工控网络总线异常流量监测方法。
[0045]本专利技术提供一种计算机设备，该设备包括存储器和处理器，所述存储器中存储有计算机程序，当所述处理器运行所述存储器存储的计算机程序时，所述处理器执行上述任意一项所述的一种ARMA流量预测模型的构建方法或上述所述的一种工控网络总线异常流量监测方法。
[0046]本专利技术的有益效果为：
[0047]1、本专利技术提供一种ARMA流量预测模型的构建方法，采用白噪声检验方法对数据库中的流量数据进行检验，获得具有关系的数据序列，并对具有关系的数据序列进行平稳化处理，采用平稳化处理之后的数据序列构建ARMA流量预测模型，使得构建的ARMA流量预测模型可以挖掘出历史网络流量数据中的有效信息，获得本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种ARMA流量预测模型的构建方法，其特征在于，所述构建方法为：S1、采集网络总线上的流量数据，并进行储存，获得数据库；S2、对所述数据库中的流量数据进行白噪声检验，获得关系数据库；S3、对所述关系数据库中的流量数据进行持续性平稳性检验，直至获得平稳性数据库；S4、对所述平稳性数据库中的流量数据进行定阶，获得模型定阶数和估计模型参数；S5、根据所述模型定阶数和估计模型参数，获得初始ARMA流量预测模型；S6、对所述初始ARMA流量预测模型进行持续性检验，直至获得ARMA流量预测模型。2.根据权利要求1所述的一种ARMA流量预测模型的构建方法，其特征在于，所述步骤S1具体为：S11、将工控网络的现场网络拓扑图进行部署，获得安全网关；S12、将所述安全网关连接通讯总线，并提取通讯总线的数据，获得流量数据；S13、在所述安全网关中安转插件解析代码，获得解析安全网关；S14、采用所述解析安全网关对所述流量数据进行解析，并将解析之后的流量数据进行储存，获得数据库。3.根据权利要求1所述的一种ARMA流量预测模型的构建方法，其特征在于，所述步骤S3具体为：S31、确定所述关系数据库中流量数据的显著水平、平稳系数和统计量值；S32、根据所述显著水平、平稳系数和统计量值，对所述流量数据进行平稳性分析，获得平稳性数据库。4.根据权利要求1所述的一种ARMA流量预测模型的构建方法，其特征在于，所述步骤S4中对所述平稳性数据库中的流量数据进行定阶的方法为BIC信息准则定阶法。5.根据权利要求1所述的一种ARMA流量预测模型的构建方法，其特征在于，所述步骤S6具体为：采用χ2分布算法对所述初始ARMA流量预测模型进行持续性检验，直至初始ARMA流量预测模型为正态分布序列，则为ARMA流量预测模型。6.一种工控网络总线异常流量监测方法，其特征在于，所述监测方法是基于ARMA流量预测模型实现的，所述ARMA流量预测模型由权利要求1
‑
5任意一项所述的一种ARMA流量预测模型的构建方法获得，所述监测方法为：A1、对所述工控网络总线上的流量数据进行采集，获得实际网络流量值；A2、对所述实际网络流量值进行处理，获得实...

【专利技术属性】
技术研发人员：冉怒吟，刘勖钊，朱禹锟，邹昊，梁静蕾，
申请(专利权)人：大唐云南发电有限公司，
类型：发明
国别省市：