基于多源异构数据时序关联建模的网络安全态势感知方法与流程

本发明涉及网络安全，更具体地说，它涉及基于多源异构数据时序关联建模的网络安全态势感知方法。

背景技术：

1、电力监控系统作为电力工业生产运行的核心基础设施，是保障电网安全、稳定、可靠运行的关键。随着能源互联网与工业数字化进程的加速，电力监控系统的网络边界日益模糊，面临的网络安全风险也随之显著增加。近年来，针对电力监控系统的网络攻击手段不断演进，呈现出多阶段渗透、长时间潜伏及隐蔽化特征，传统的边界防御手段已难以满足对深层次、持续性威胁的感知需求。

2、网络安全态势感知作为识别和预警电力监控系统潜在风险的重要手段，受到了广泛关注，电力监控系统涉及的安全性指标来源广泛且类型多样，包括工控协议报文、主机审计日志、网络通信链路状态等。现有的态势感知方法多采用基于专家经验或层次分析法的固定权重模型。但在复杂的动态攻击场景下，不同维度的指标在不同攻击阶段对全局风险的贡献程度存在显著差异。固定权重无法根据各指标的实时演化特征自动调节关注重心，导致感知结果往往被冗余或低价值指标所平滑，难以有效凸显关键维度的异常状态。因此，亟需提供一种基于多源异构数据时序关联建模的网络安全态势感知方法解决上述问题。

技术实现思路

1、为解决上述技术问题，本发明提供了基于多源异构数据时序关联建模的网络安全态势感知方法，能够根据多源异构数据在时序窗口内的不确定性动态分配权重，并结合态势变化幅度实现精准预警的方法，以提升电力监控系统对网络安全态势的感知能力。

2、为达到上述目的，本发明的技术方案如下：

3、一种基于多源异构数据时序关联建模的网络安全态势感知方法，包括：

4、从电力监控系统的多源异构安全数据中选取多个态势因子，按预设采样周期进行时序化表示；

5、将系统正常运行状态的连续多个采样周期作为参考阶段，计算各态势因子的运行均值，并基于所述运行均值计算各态势因子的偏离程度，据此划分状态类别；

6、基于各态势因子在时序窗口内的状态类别分布计算状态信息熵，并根据所述状态信息熵相对于最大信息熵的确定性贡献计算各态势因子的动态权重系数，其中，状态信息熵越小，对应的动态权重系数越大；

7、基于所述参考阶段的态势评估结果生成参考态势值及多级安全态势分界值；

8、根据各态势因子的动态权重系数及其当前状态类别计算综合安全态势值，并基于所述安全态势分界值进行态势等级判别；

9、计算相邻采样周期之间的态势变化幅度，基于所述安全态势分界值确定变化判别阈值，通过比较所述态势变化幅度与所述变化判别阈值判别安全态势趋势状态并输出预警编码。

10、作为本发明的一个优选方案，多个所述态势因子包括：工业控制协议异常报文频次、非授权端口访问频次、网络连接新增频次、入侵检测告警触发频次、防火墙拦截事件频次、关键主机登录失败频次、异常权限操作事件频次以及关键通信链路中断频次。

11、上述八类态势因子分别从工控协议合规性、网络访问控制、会话行为异常、入侵检测响应、边界防护效力、主机认证安全、权限运维管控及通信链路可用性八个维度，覆盖电力监控系统调度主站、厂站端、站控层网络、关键主机、安全防护设备及远动通信链路的全域安全状态；通过对协议报文、连接行为、审计日志及链路状态进行统一频次统计，将多源异构原始数据转化为可比较的时序量化指标，为后续偏离度量、信息熵计算及动态加权融合提供结构化的数据表征基础。

12、作为本发明的一个优选方案，所述工业控制协议异常报文频次定义为采样周期内检测到的iec 60870-5-104或modbus异常协议报文数量；所述非授权端口访问频次定义为采样周期内目的端口属于非白名单端口集合的连接尝试次数；所述网络连接新增频次定义为采样周期内新增网络会话数量或连接建立次数；所述入侵检测告警触发频次定义为采样周期内入侵检测系统产生的告警事件数量；所述防火墙拦截事件频次定义为采样周期内防火墙执行拒绝或丢弃动作的安全策略命中次数；所述关键主机登录失败频次定义为采样周期内关键服务器或站控主机产生的登录失败事件次数；所述异常权限操作事件频次定义为采样周期内主机审计日志中记录的权限提升、账户权限变更或敏感操作事件数量；所述关键通信链路中断频次定义为采样周期内站控层与调度主站之间通信链路的中断次数。

13、电力监控系统涉及工控协议、网络流量、主机审计及通信链路等多源异构数据，其原始数据格式、采集频率及量纲差异显著；通过将各类安全事件统一转化为采样周期内的频次统计量，使iec 60870-5-104或modbus等工控协议异常、端口扫描探测、会话突发增长、入侵告警、防火墙拦截、登录失败、权限变更及链路中断等异构行为具备相同的时序量化口径；该频次归一化处理消除了数据类型差异，确保后续偏离度量与加权融合在统一量纲下进行，避免异构数据直接融合导致的量纲冲突与数值失真。

14、作为本发明的一个优选方案，所述状态类别包括正常状态、一般风险状态和异常风险状态；所述偏离程度不超过1时对应正常状态，超过1但不超过2时对应一般风险状态，超过2时对应异常风险状态。

15、将连续偏离程度离散化为正常、一般风险、异常风险三级状态，既保留风险等级区分度，又将状态空间约束为有限类别；由于状态类别数固定为三类，信息熵计算具有确定的理论最大值ln3，该封闭边界使不同态势因子、不同采样周期的熵值具备可比性；同时，三级划分与后续综合态势值区间[0,2]形成对应关系，使状态类别可直接作为加权融合的数值输入，实现离散风险等级到连续态势值的平滑映射。

16、作为本发明的一个优选方案，所述偏离程度通过将当前观测值超出所述正常运行均值的部分与所述正常运行均值进行比较得到；当所述当前观测值未超过所述正常运行均值时，所述偏离程度为零。

17、电力监控系统正常运行状态下各态势因子存在固有基线波动，仅保留观测值相对于正常运行均值的正向偏离，可有效滤除正常运行噪声中低于基线的负向偏差，确保风险偏移度量聚焦于异常升高行为；当观测值未超过正常运行均值时偏离程度归零，避免将正常波动误判为风险；同时引入极小正数修正分母，防止正常运行均值为零时计算失效，保障偏离度量在极端工况下的数值稳定性。

18、作为本发明的一个优选方案，所述状态类别分布通过统计各态势因子截至当前采样周期处于各状态类别的累计次数并计算状态类别概率得到；

19、所述状态信息熵基于各状态类别概率的负对数期望计算得到；

20、所述权重系数根据各态势因子的状态信息熵与最大信息熵的差值占所有态势因子总确定性贡献的比例确定。

21、通过统计各态势因子截至当前采样周期处于各状态类别的累计频率，构建反映该因子历史演化规律的概率分布；信息熵作为该分布离散程度的量化指标，熵值越小表明状态分布越集中、该因子越频繁地处于某一确定状态类别，当该确定状态类别对应一般风险状态或异常风险状态时，表明其风险特征越显著；以状态信息熵与最大信息熵的差值作为确定性贡献，并按确定性贡献比例分配权重，实现状态越确定、风险指向越明确、权重越高的自适应调节，使动态攻击过程中真正主导风险的维度自动获得更大决策影响力。

22、作为本发明的一个优选方案，所述综合安全态势值通过将各态势因子的权重系数与其对应的状态类别进行加权求和得到。

23、各态势因子的状态类别为离散整数，通过动态权重系数进行加权求和，将多源异构指标融合为单一连续变量；由于权重之和为1且状态类别最大值为2，综合态势值被约束在固定区间[0,2]内，该归一化区间使不同采样时刻、不同系统的态势结果具备横向可比性；同时，综合态势值的大小直接映射整体风险程度，越接近0表示系统整体风险越低，越接近2表示整体风险越高，实现多维度安全状态的统一量化表征。

24、作为本发明的一个优选方案，所述参考态势值为正常运行状态下各采样周期综合安全态势值的均值；所述多级安全态势分界值包括一级安全态势分界值和二级安全态势分界值，所述一级安全态势分界值与二级安全态势分界值基于所述参考态势值与最大态势值之间的区间按预设比例划分得到。

25、利用系统自身正常运行历史数据计算参考态势值，建立贴合该电力监控系统实际业务特征与运行基线的个性化判别标准，替代传统人工经验设定或全局统一阈值；基于该个性化基线与理论最大风险值之间的区间，按预设比例自适应划分一级与二级安全态势分界值，使分界值随系统正常运行状态的波动特征动态调整；该自适应机制克服了固定阈值对个体差异适应性不足的问题，降低因基线漂移导致的误报与漏报。

26、作为本发明的一个优选方案，所述态势变化幅度为当前采样周期综合安全态势值与前一采样周期综合安全态势值的差值；

27、所述态势变化判别阈值基于所述一级安全态势分界值与二级安全态势分界值的差值按预设灵敏度系数确定；通过将所述态势变化幅度与所述态势变化判别阈值及其倍数进行比较，判别当前安全态势处于风险缓解、平稳运行、风险增强或风险突增状态，所述变化灵敏度调节系数的默认值为0.5。

28、相邻采样周期的态势差值直接反映安全态势的演化速率，通过数值外推预测下一时刻态势值易受随机噪声干扰且计算复杂，而基于差值与变化判别阈值的比较进行趋势状态判别，将连续变化幅度转化为风险缓解、平稳运行、风险增强、风险突增四级定性状态；该判别机制无需预知未来态势数值，仅通过当前恶化加速度即可提前识别风险升级趋势，为应急响应预留决策提前量；同时以分界值间距定义阈值并引入灵敏度系数，使趋势判别标准与系统风险等级划分保持内在一致性。

29、本发明还提供一种基于多源异构数据时序关联建模的网络安全态势感知系统，包括：

30、数据获取模块，用于从电力监控系统的多源异构安全数据中选取多个态势因子，按预设采样周期进行时序化表示；

31、风险偏移度量模块，用于将系统正常运行状态的连续多个采样周期作为参考阶段，计算各态势因子的运行均值，并基于所述运行均值计算各态势因子的偏离程度，据此划分状态类别；

32、权重计算模块，用于基于各态势因子在时序窗口内的状态类别分布计算状态信息熵，并根据所述状态信息熵相对于最大信息熵的确定性贡献计算各态势因子的动态权重系数，其中，状态信息熵越小，对应的动态权重系数越大；

33、分界值生成模块，用于基于所述参考阶段的态势评估结果生成参考态势值及多级安全态势分界值；

34、态势量化模块，用于根据各态势因子的动态权重系数及其当前状态类别计算综合安全态势值，并基于所述安全态势分界值进行态势等级判别；

35、趋势预测模块，用于计算相邻采样周期之间的态势变化幅度，基于所述安全态势分界值确定变化判别阈值，通过比较所述态势变化幅度与所述变化判别阈值判别安全态势趋势状态并输出预警编码。

36、本发明的有益技术效果是：

37、本发明通过状态信息熵量化各态势因子在时序窗口内的状态分布不确定性，并以信息熵相对于最大信息熵的确定性贡献反向驱动权重分配，使状态分布越集中、风险指向越明确的因子自动获得越高权重，有效避免了固定权重模型下关键异常被冗余或低价值指标平滑的问题；同时，信息熵本身作为不确定性的量化度量被嵌入融合决策过程，使态势感知结果对采集噪声和攻击干扰具有自适应稳健性。

38、本发明基于正常运行历史数据自适应生成多级安全态势分界值，替代传统人工设定或全局固定阈值；进而依据相邻采样周期的态势变化幅度与变化判别阈值的比较结果，直接判别风险缓解、平稳运行、风险增强或风险突增四种趋势状态，无需对下一时刻态势值进行数值外推即可在风险达到临界状态前感知态势恶化的加速度，显著降低了固定阈值预警的迟滞性，为应急响应预留了充足的提前量。

39、本发明将工控协议报文、网络访问行为、主机审计事件和通信链路状态等多源异构安全数据统一构建为时序化态势因子，通过偏离度量、状态类别划分和信息熵计算实现关联建模，提高了多源异构数据的统一表征与融合能力；通过上述动态权重、趋势感知、不确定性处理和自适应分界值的协同作用，综合提升了电力监控系统网络安全态势感知、风险研判和预警处置的准确性与稳定性。