一种基于机器学习的电力系统定向攻击检测方法、装置、介质及设备与流程

本发明涉及一种基于机器学习的电力系统定向攻击检测方法、装置、介质及设备，属于电力系统网络安全防护。

背景技术：

1、新型电力系统以高比例可再生能源、高比例电力电子设备为核心特征，其“源网荷储”多主体协同运行模式使得电力监控、调度、控制等业务系统的网络边界趋于模糊，通信链路与数据交互的复杂度显著提升，针对电力系统的定向网络攻击呈现出隐蔽化、链条化、多阶段协同的特征，传统基于静态规则库、单一流量特征的安全防护技术难以应对此类攻击威胁，电力系统网络安全防护面临严峻挑战。

2、当前，国内外针对电力系统网络攻击检测的研究主要分为三类技术路线：其一为基于规则与特征签名的检测方法，依赖人工定义的攻击模式库与协议特征，对已知攻击的识别率较高，但存在规则更新滞后、无法应对未知攻击与变种攻击的缺陷，且易被攻击者通过特征伪装绕过；其二为基于统计分析与状态估计的检测方法，通过构建系统正常运行状态下的量测数据基线，识别超出阈值的异常数据，但其对系统参数不确定性、噪声干扰的鲁棒性较差，且难以区分设备故障与恶意攻击行为；其三为基于机器学习的检测方法，依托海量历史运行数据训练模型，实现对异常行为的自主识别与分类，是当前电力工控安全领域的主流研究方向。

3、现有基于机器学习的电力系统攻击检测技术，多聚焦于单点攻击行为的识别，例如通过极限学习机、循环神经网络等模型实现虚假数据注入攻击、异常流量的检测，这类方法能够实现对单一步骤攻击行为的判定，但存在明显局限性：一方面，多数检测模型仅针对特定攻击场景或单一业务数据进行训练，难以追踪攻击从身份伪装、权限提升到数据篡改、业务破坏的全流程，无法实现对攻击实施过程的动态监测与攻击目的的预判；另一方面，现有检测方法缺乏与定向攻击模型的深度融合，未将攻击者身份识别、攻击过程跟踪、攻击目的判定与风险评估形成闭环，导致检测效率较低、攻击发现时间较长，难以满足新型电力系统对定向攻击快速识别与响应的需求。

4、此外，现有技术在攻击行为模式识别中，存在特征提取维度单一、对隐蔽性攻击的弱特征识别能力不足的缺陷，无法支撑定向攻击全流程的智能检测需求。因此，亟需一种结合定向攻击链特征、面向攻击全流程的机器学习智能检测技术，以解决现有技术中攻击检测碎片化、效率低、对多阶段定向攻击识别能力不足的问题。

技术实现思路

1、本发明的目的是提供一种基于机器学习的电力系统定向攻击检测方法，通过融合攻击链特征的多维度特征工程，解决了现有技术检测碎片化的缺陷，可实现对定向攻击全流程的关联识别。

2、为达到上述目的，本发明是采用下述技术方案实现的。

3、第一方面，本发明提供一种基于机器学习的电力系统定向攻击检测方法，包括：

4、采集电力系统多源安全数据，对数据进行标准化预处理，形成标准化数据集；

5、基于流量层、操作层和业务层维度对标准化数据集的数据进行多维度特征提取，并结合攻击链阶段特征进行特征筛选，标注定向攻击类型和攻击链阶段标签，形成适配定向攻击识别的特征数据集；

6、利用特征数据集进行机器学习模型的训练，得到最优模型；

7、实时采集电力系统多源安全数据，并对数据进行标准化预处理后输入最优模型进行检测，输出定向攻击类型和对应的攻击链阶段；

8、根据检测结果进行告警。

9、可选的：所述电力系统多源安全数据包括电力监控系统网络流量数据、设备操作日志数据、业务量测数据及系统运行状态数据；

10、所述对数据进行标准化预处理包括数据清洗、格式统一、时序对齐和噪声修正。

11、所述噪声修正采用z-score归一化公式修正量测数据，并通过线性插值填补缺失率小于阈值的缺失值。

12、可选的：所述流量层的特征包括数据包长度、通信端口、tcp连接建立时长、访问频次、协议类型、报文重传率、源ip地址稳定性和目的端口变化率；操作层的特征包括账户登录次数、登录失败次数、权限变更频次、指令操作序列“读取” 、指令操作序列“修改” 、指令操作序列“下发”、操作时间偏离度和终端设备绑定状态；业务层的特征包括电压/电流突变幅度、量测数据与理论值偏差、业务流程执行时长和设备状态切换频率。

13、所述攻击链阶段包括伪装潜入、权限提升、数据篡改和业务破坏四阶段；所述攻击链阶段与特征组合的匹配关系为：

14、伪装潜入阶段匹配源ip地址稳定性+登录失败次数+终端绑定状态；

15、权限提升阶段匹配权限变更频次+tcp连接建立时长+操作时间偏离度；

16、数据篡改阶段匹配量测数据突变幅度+报文重传率+指令操作序列；

17、业务破坏阶段匹配设备状态切换频率+目的端口变化率+业务流程执行时长。

18、可选的：所述机器学习模型采用双向长短期记忆网络模型；所述机器学习模型采用双向长短期记忆网络模型，所述双向长短期记忆网络模型包括输入层、2层隐藏层、dropout层、全连接层及输出层，模型采用adam优化器和交叉熵损失函数，并采用泛化性优化方法，经5折交叉验证调整超参数，当连续5轮准确率无提升时，触发早停机制。

19、可选的：当检测出定向攻击后，基于数据时序进行攻击轨迹回溯，回溯信息包括源ip、接入端口、登录账户和操作行为。

20、可选的：对检测出定向攻击结果计算置信度，当置信度大于阈值时发送告警信息，所述告警信息，包含攻击类型、发生时间、涉及设备和攻击特征。

21、第二方面，本发明提供一种基于机器学习的电力系统定向攻击检测装置，包括：

22、数据采集处理单元，用于采集电力系统多源安全数据，对数据进行标准化预处理，形成标准化数据集；

23、特征提取单元，基于流量层、操作层和业务层维度对标准化数据集的数据进行多维度特征提取，并结合攻击链阶段特征进行特征筛选，标注定向攻击类型和攻击链阶段标签，形成适配定向攻击识别的特征数据集；

24、机器学习单元，用于利用特征数据集进行机器学习模型的训练，得到最优模型；并根据输入的实时采集电力系统多源安全数据进行检测，输出定向攻击类型和对应的攻击链阶段；

25、告警单元，用于根据检测结果进行告警。

26、第三方面，本发明提供一种计算机设备，包括存储器和处理器，所述存储器中存储有计算机程序，所述计算机程序被所述处理器执行时，使得所述处理器执行第一方面所述基于机器学习的电力系统定向攻击检测方法的步骤。

27、第四方面，本发明提供一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时，使得所述处理器执行第一方面所述基于机器学习的电力系统定向攻击检测方法的步骤。

28、与现有技术相比，本发明所达到的有益效果：

29、本发明通过结合攻击链阶段特征进行特征筛选，建立了融合攻击链特征的多维度特征工程，并标注攻击链阶段标签，建立攻击链阶段匹配机制，从而可实现对定向攻击阶段“伪装潜入-权限提升-数据篡改-业务破坏”全流程的关联识别，解决了现有技术检测碎片化的缺陷。经实测验证，定向攻击完整识别率达98.7%，较现有单一特征检测方案提升42.3%；攻击阶段判定准确率达97.2%，可精准定位攻击实施环节，为防御响应提供明确靶向。

30、本发明依托流量层、操作层、业务层的三维融合特征与优化后的机器学习模型，实现普通异常与定向攻击的精准区分。经10万条标注样本测试，检测准确率达99.1%，误报率控制在1.8%以内，漏报率降至0.9%，较现有方案误报率（8.5%）降低78.8%，漏报率（4.3%）降低79.1%，有效解决了现有技术针对性不足的问题。

31、本发明通过将实时数据流输入训练好的学习模型进行检测，并建立分级告警机制，经实测验证，使定向攻击平均发现时间缩短至2.3秒，较现有方案（15.7秒）提升85.3%；同时输出攻击类型，回溯攻击轨迹等多维度结果，为处置决策提供完整数据支撑，使攻击处置响应效率提升60%以上，彻底解决了现有方案检测结果维度单一、闭环支撑不足的缺陷。

32、本发明中训练数据采用标准化预处理并采用泛化性优化方法训练模型，使模型可适配新型电力系统多源异构数据场景，在数据噪声干扰（信噪比≥15db）、业务场景动态变化等情况下，检测性能波动不超过3%，较现有模型鲁棒性提升35%，可稳定应对基线漂移问题。 本发明实现定向攻击的自动化、智能化检测与溯源，减少人工分析工作量，可使电力系统安全运维人员配置需求减少，年运维人力成本降低；同时因误报率降低，减少无效应急处置次数，降低单次攻击处置成本，可节约长期处置成本的累计收益。

33、本发明通过快速发现并定位定向攻击，可有效缩短攻击对电力业务的影响时长，经测算，平均每次攻击造成的供电中断、设备损坏等直接经济损失下降；同时避免因攻击导致的产业链下游连锁损失，间接经济收益显著。

34、本发明通过高效精准的检测防御，可大幅降低定向攻击风险发生概率，保障居民生活用电、工业生产用电及公共服务领域电力供应的连续性，提升电力系统安全保障能力与应急处置水平，并可为新型电力系统“源网荷储”多主体协同运行提供安全防护支撑，助力能源转型与“双碳”目标实现，具有显著的社会价值与行业推广意义。