一种基于风险分级的工控软件安全众测人员行为异常可控处置方法、设备、介质及产品与流程

本申请涉及工控软件安全管控领域，特别是涉及一种基于风险分级的工控软件安全众测人员行为异常可控处置方法、设备、介质及产品。

背景技术：

1、随着工业互联网与制造业的深度融合，工控软件作为关键基础设施工控系统的“神经中枢”，其安全稳定性直接决定工业生产运营的连续性与公共安全。然而，工控软件安全众测过程中，测试人员行为具有复杂性与不确定性，给工控软件安全管控带来严峻挑战。测试人员可能因操作失误触发误修改（如误调plc核心控制参数），或因恶意意图实施数据泄露（如下载工控系统配置文件），甚至因权限滥用引发测试环境与真实工控网络的安全隔离失效。

2、当前，工控软件安全众测领域对测试人员行为异常的处置普遍采用“单一化、一刀切”的模式：无论是“误点击敏感功能按钮”这类低风险异常，还是“注入恶意代码篡改控制逻辑”这类高风险异常，多统一执行“冻结账户、中断测试”的处置措施。这种传统处置模式存在显著技术缺陷：

3、（1）风险分级脱离工控特性，仅采用通用的行为影响、范围等指标，未结合工控软件控制逻辑敏感性、工业协议特殊性、工艺参数关键性等行业核心特征，导致高风险工控异常（如微小工艺参数篡改、工业协议非法调用）被低判，低风险行为被高判。

4、（2）分级阈值固定僵化，预设固定分数阈值划分风险等级，无法适配电力、石化、轨道交通等不同工控场景的风险容忍度差异，也无法随众测任务进度（如测试初期/后期）、测试对象（核心plc/普通监控模块）动态调整。

5、（3）未考虑行为时序特征，将单一行为独立判定，忽略工控异常行为的时序关联性（如“先查询工艺参数→再修改→再尝试上传”的连续行为序列，单一行为无风险，组合后为高风险），导致隐蔽性工控异常分级失真。

6、（4）校准机制简单，仅基于历史异常数据的危害率/误判率做简单阈值调整，无ai模型的自学习和场景自适应能力，分级精度提升有限。

7、（5）处置力度与风险等级不匹配，对低风险异常的过度处置会大幅降低测试效率，导致优质测试资源闲置、项目周期延长；对高风险异常若未及时采取精准管控措施，易错过风险遏制的最佳时机，造成核心数据泄露或测试环境失控。

8、综上，现有工控软件安全众测人员行为异常处置技术，未能建立“风险等级与处置力度”的匹配机制，既无法满足工控软件众测对“安全性”的严苛要求，也难以兼顾测试过程。

技术实现思路

1、本申请的目的是提供一种基于风险分级的工控软件安全众测人员行为异常可控处置方法、设备、介质及产品，可实现工控软件安全众测人员行为异常的可控、高效、精准处置，平衡工控安全管控与众测测试效率。

2、为实现上述目的，本申请提供了如下方案：

3、第一方面，本申请提供了一种基于风险分级的工控软件安全众测人员行为异常可控处置方法，包括：

4、多源采集众测人员在工控软件安全众测过程中的行为数据，利用规则引擎和深度学习模型对所述行为数据进行异常行为识别，生成疑似异常行为事件；

5、基于所述疑似异常行为事件提取多维度时序行为特征，并结合预构建的工控场景特征库中的场景特征参数，计算行为异常风险评分；

6、根据所述场景特征参数，从多维度阈值基表中动态匹配对应的风险等级阈值区间，将所述行为异常风险评分映射至所述风险等级阈值区间，确定目标风险等级；

7、基于所述目标风险等级，从处置策略库中匹配差异化处置策略，并执行所述差异化处置策略，同时生成结构化日志并进行区块链存证；

8、对执行所述差异化处置策略后的处置效果进行多维度并行验证，生成处置效果验证报告；

9、将所述疑似异常行为事件、目标风险等级、差异化处置策略、处置效果验证报告及实际危害程度判定数据关联存储至异常案例库，并基于所述异常案例库中的全链路数据进行双自校准优化。

10、第二方面，本申请提供了一种计算机设备，包括：存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序以实现上述的基于风险分级的工控软件安全众测人员行为异常可控处置方法。

11、第三方面，本申请提供了一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现上述的基于风险分级的工控软件安全众测人员行为异常可控处置方法。

12、第四方面，本申请提供了一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现上述的基于风险分级的工控软件安全众测人员行为异常可控处置方法。

13、根据本申请提供的具体实施例，本申请具有以下技术效果：

14、（1）利用规则引擎和深度学习模型对所述行为数据进行异常行为识别，既能够精准匹配明确的违规规则，又能捕捉隐蔽的时序依赖异常；结合多维度时序行为特征及场景特征参数，解决了传统方法因脱离工控业务逻辑而导致的误报率高、漏报率高的问题，实现了对工控软件众测人员异常行为的精准感知；

15、（2）根据场景特征参数，从多维度阈值基表中动态匹配对应的风险等级阈值区间，将行为异常风险评分映射至所述风险等级阈值区间，确定目标风险等级，突破了传统固定阈值无法适配不同工控场景（如电力核心模块与普通监控模块）风险容忍度差异的局限；确保了风险等级判定与实际工控危害程度高度匹配，实现了分级标准的场景化自适应；

16、（3）通过执行差异化处置策略，同时生成结构化日志并进行区块链存证，以及对处置效果进行多维度并行验证，解决了传统自动化处置响应滞后、操作记录易被篡改且缺乏效果确认的问题；确保了高风险行为能被优先快速阻断，处置过程不可篡改，且处置结果真实有效，实现了工控安全众测环境的本质安全

17、（4）基于异常案例库中的全链路数据进行双自校准优化，解决了传统系统校准效果有限、缺乏自学习能力的问题，形成了“识别-分级-处置-验证-优化”的良性闭环，增强了应对新型工控威胁的长期适应能力。

1.一种基于风险分级的工控软件安全众测人员行为异常可控处置方法，其特征在于，包括：

2.根据权利要求1所述的基于风险分级的工控软件安全众测人员行为异常可控处置方法，其特征在于，所述利用规则引擎和深度学习模型对所述行为数据进行异常行为识别，具体包括：

3.根据权利要求1所述的基于风险分级的工控软件安全众测人员行为异常可控处置方法，其特征在于，所述多维度时序行为特征包括行为本身特征、时序关联特征和工控影响特征；

4.根据权利要求3所述的基于风险分级的工控软件安全众测人员行为异常可控处置方法，其特征在于，基于所述疑似异常行为事件提取多维度时序行为特征，并结合预构建的工控场景特征库中的场景特征参数，计算行为异常风险评分，具体包括：

5.根据权利要求1所述的基于风险分级的工控软件安全众测人员行为异常可控处置方法，其特征在于，基于所述目标风险等级，从处置策略库中匹配差异化处置策略，具体包括：

6.根据权利要求1所述的基于风险分级的工控软件安全众测人员行为异常可控处置方法，其特征在于，对执行所述差异化处置策略后的处置效果进行多维度并行验证，具体包括：

7.根据权利要求1所述的基于风险分级的工控软件安全众测人员行为异常可控处置方法，其特征在于，还包括：

8.一种计算机设备，包括：存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序以实现权利要求1-7中任一项所述的基于风险分级的工控软件安全众测人员行为异常可控处置方法。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现权利要求1-7中任一项所述的基于风险分级的工控软件安全众测人员行为异常可控处置方法。

10.一种计算机程序产品，包括计算机程序，其特征在于，该计算机程序被处理器执行时实现权利要求1-7中任一项所述的基于风险分级的工控软件安全众测人员行为异常可控处置方法。