基于深度学习的电力工控流量应用层报文异常检测.pdfVIP

第 47 卷 第 11 期 2023 年 6 月 10 日 Vol . 47 No . 11 Jun . 10 ，2023 DOI ： 10. 7500/AEPS20220817001 基于深度学习的电力工控流量应用层报文异常检测 1 1 2 3 4 王文博 ，刘 绚 ，林 海 ，杜鹏程 ，姜金良 （1. 湖南大学电气与信息工程学院，湖南省长沙市 410082 ；2 . 国网湖南省电力有限公司，湖南省长沙市 410004 ； 3 . 北京智芯微电子科技有限公司，北京市 100192 ；4 . 江苏云涌电子科技股份有限公司，江苏省泰州市 225314 ） 摘要 ：准确可靠的电力工控流量异常检测方法是识别网络攻击和实现主动防御的关键手段，对于 保证电网的安全稳定运行具有重要意义。文中针对现有电力工控流量异常检测方法存在的检测深 度不足、攻击分类少、未知异常识别能力弱等问题，提出了一种基于飞蛾扑火优化(MFO )算法和一 维卷积神经网络(1D -CNN)的电力工控流量应用层报文异常检测方法。首先，在深度协议解析的基 础上对流量数据的应用层报文进行多维度特征提取；其次，利用随机森林算法计算特征重要度，剔 除冗余特征；然后，训练所搭建的1D -CNN 报文异常检测模型，并结合MFO 算法进行超参数调优， 提升模型性能；最后，利用Softmax 分类器输出报文的异常检测结果。仿真结果验证了所提方法的 有效性。 关键词 ：电力工控流量；异常检测；信息安全；人工智能；深度学习；应用层报文 0 引言 业务攻击。 文献［9 ］利用迁移学习的方法构建工控流量数 随着新型电力系统建设的快速推进和高比例新 据异常检测模型。文献［10 ］使用深度置信网络并结 能源的广泛接入，电网的波动性和不确定性明显增 合随机森林（random forest ，RF ）算法对正常流量与 强，各类业务控制指令的交互频率大大增加，面临着 恶意流量进行分类。文献［11-13 ］采用多种机器学 更多的网络攻击风险。电力工控系统作为新型电力 习算法构建了攻击流量检测模型。上述文献侧重于 系统的重要组成部分，已发生多起由于网络攻击导 使用人工智能算法在流量数据的网络层进行异常检 致的安全事件，例如，2010 年伊朗某核电站遭到“震 ［1-3 ］ 测，同时多数文献在检测结果上仅能实现二分类。 网”病毒攻击，造成多台离心机损毁 。因此，如何 文献［14 ］从接入控制、协议白名单、行为模型、 有效地对电力工控系统进行网络安全防护是新型电 多参数这4 个维度实现通用面向对象变电站事件 力系统平稳运行的关键。 （generic object oriented substation event ，GOOSE ）、 目前，已有部分文献提出了针对电力工控流量 采样值（sample value ，SV ）报文攻击的检测。文献 进行异常检测的方法，以增强电力工控系统的网络 ［15-17 ］通过对智能变电站报文添加多种认证、校验 安全防护能力，但是存在检测深度不足、攻击分类