一种基于AI大模型的分布式工控协议威胁检测管控方法与流程

本技术涉及工业控制系统，更具体地说，本技术涉及一种基于ai大模型的分布式工控协议威胁检测管控方法。

背景技术：

1、工业控制系统是用于实时监测、控制与管理工业生产过程的专用计算机系统，广泛应用于电力、石化、轨道交通等关键基础设施领域。其通用实现框架通常包含现场设备层、过程监控层与生产管理层，通过工业以太网或现场总线实现数据采集与指令下发，保障生产流程的连续性与稳定性。作为关键信息基础设施的组成部分，工业控制系统的安全稳定运行直接关系到社会公共安全与经济命脉，其安全防护技术已成为保障工业自动化生产免受网络威胁干扰、维持工艺连续性的重要技术支撑。

2、然而，现有工业控制系统安全防护方案通常采用基于单一网络区域边界部署的静态规则匹配机制进行威胁检测与处置，使得在面对跨安全区域协同发起的复杂攻击行为时，各区域安全设备仅能基于本地局部流量视角进行独立研判与响应，导致无法有效关联多区域间的攻击意图特征并生成全局协同的处置策略，从而造成威胁管控动作滞后、异常流量阻断不彻底以及攻击横向渗透风险加剧。因此，如何对分布式告警事件进行全局意图识别与动态策略下发，以提高威胁管控的精准性是业界面临的问题。

技术实现思路

1、本技术提供一种基于ai大模型的分布式工控协议威胁检测管控方法，可以对分布式告警事件进行全局意图识别与动态策略下发，以提高威胁管控的精准性。

2、第一方面，本技术提供一种基于ai大模型的分布式工控协议威胁检测管控方法，所述方法包括如下步骤：

3、通过分布式部署的检测探针采集工控网络流量，并从所述工控网络流量中提取结构化会话数据；

4、对所述结构化会话数据进行语义威胁检测，得到包含威胁类型与威胁置信度的威胁检测特征，基于工控资产知识图谱与攻击链模型对所述威胁检测特征进行威胁路径推演，得到跨区域威胁路径上的风险置信等级和对应的跨区域告警事件；

5、将所述风险置信等级映射到风险分级处置模板中，生成包含管控动作组合与管控执行指令的风险告警信息，通过所述风险告警信息对所述跨区域告警事件进行威胁意图识别，得到风险处置策略；

6、将所述风险处置策略下发至工控安全设备并执行风险过滤控制，生成威胁管控动作以阻断所述跨区域告警事件对应的异常流量。

7、在本实施例中，对所述结构化会话数据进行语义威胁检测，得到包含威胁类型与威胁置信度的威胁检测特征具体包括：

8、提取所述结构化会话数据中的协议指令码与关键载荷字段，并生成工控通信行为的协议级语义查询向量；

9、解析关联资产的当前工序阶段与安全参数约束阈值，将所述协议级语义查询向量与所述工序阶段和所述安全参数约束阈值进行跨域对齐，生成融合业务上下文的语义输入序列；

10、将所述语义输入序列输入经工控领域增量预训练的生成式大模型进行意图推理，输出包含威胁类型与威胁置信度的威胁检测特征。

11、在本实施例中，基于工控资产知识图谱与攻击链模型对所述威胁检测特征进行威胁路径推演，得到跨区域威胁路径上的风险置信等级和对应的跨区域告警事件具体包括：

12、将所述威胁检测特征映射至所述工控资产知识图谱以定位受控资产节点，并结合所述攻击链模型标定当前威胁所处的攻击战术阶段；

13、以所述受控资产节点为起点，依据图谱跨域拓扑连接关系与攻击链阶段转移规则进行子图遍历，生成跨区域的候选威胁传播路径；

14、计算各所述候选威胁传播路径的累积风险置信等级，并将满足预设风险阈值的候选威胁传播路径和关联资产封装为跨区域告警事件。

15、在本实施例中，将所述风险置信等级映射到风险分级处置模板中，生成包含管控动作组合与管控执行指令的风险告警信息具体包括：

16、依据所述风险置信等级匹配风险分级处置模板中的风险等级区间，确定对应的管控动作组合类型与执行优先级；

17、从所述管控动作组合类型中提取适用于当前工控资产节点的管控动作子集，并依据资产运行状态约束生成管控执行指令序列；

18、将所述管控执行指令序列、所述执行优先级和关联的跨区域告警事件标识进行封装，生成风险告警信息。

19、在本实施例中，通过所述风险告警信息对所述跨区域告警事件进行威胁意图识别，得到风险处置策略具体包括：

20、所述风险告警信息中提取管控动作组合，并结合所述跨区域告警事件的传播路径特征构建威胁意图特征向量；

21、将所述威胁意图特征向量与预设攻击战术知识库中的标准意图模式进行相似度匹配，标定所述跨区域告警事件的最终攻击意图类别；

22、依据所述最终攻击意图类别从风险策略库中提取对应的处置动作序列与时序约束条件，并生成风险处置策略。

23、在本实施例中，将所述威胁意图特征向量与预设攻击战术知识库中的标准意图模式进行相似度匹配，标定所述跨区域告警事件的最终攻击意图类别具体包括：

24、计算所述威胁意图特征向量与预设攻击战术知识库中各标准意图模式的特征距离，生成意图相似度得分集合；

25、提取所述意图相似度得分集合中满足置信度阈值的得分限值，将所述得分限值对应的标准意图模式标定为最终攻击意图类别。

26、在本实施例中，将所述风险处置策略下发至工控安全设备并执行风险过滤控制，生成威胁管控动作以阻断所述跨区域告警事件对应的异常流量具体包括：

27、将所述风险处置策略解析为工控安全设备可识别的过滤规则集合，并依据设备类型与网络拓扑位置确定目标执行设备；

28、将所述过滤规则集合下发至所述目标执行设备，触发本地过滤策略并对匹配的异常流量执行风险过滤控制；

29、所述目标执行设备根据过滤控制结果生成威胁管控动作记录，并将所述威胁管控动作记录反馈至中央管控平台。

30、在本实施例中，将所述风险处置策略解析为工控安全设备可识别的过滤规则集合，并依据设备类型与网络拓扑位置确定目标执行设备具体包括：

31、提取所述风险处置策略中的处置动作序列与时序约束条件，转换为工控安全设备底层协议可识别的过滤规则集合；

32、获取工控网络中各安全设备的设备类型标识与网络拓扑位置信息，构建设备处置能力与网络拓扑节点的映射矩阵；

33、依据所述过滤规则集合的执行需求匹配所述映射矩阵，筛选具备处置能力且位于异常流量转发路径上的目标执行设备。

34、第二方面，本技术提供一种计算机设备，所述计算机设备包括存储器和处理器，所述存储器用于存储计算机程序，所述处理器用于从所述存储器中调用并运行所述计算机程序，使得所述计算机设备执行上述的一种基于ai大模型的分布式工控协议威胁检测管控方法。

35、第三方面，本技术提供一种计算机可读存储介质，所述计算机可读存储介质中存储有指令或代码，当指令或代码在计算机上运行时，使得计算机执行时实现上述的一种基于ai大模型的分布式工控协议威胁检测管控方法。

36、本技术公开的实施例提供的技术方案具有以下有益效果：

37、通过分布式部署的检测探针采集工控网络流量，并从所述工控网络流量中提取结构化会话数据；对所述结构化会话数据进行语义威胁检测，得到包含威胁类型与威胁置信度的威胁检测特征，基于工控资产知识图谱与攻击链模型对所述威胁检测特征进行威胁路径推演，得到跨区域威胁路径上的风险置信等级和对应的跨区域告警事件；将所述风险置信等级映射到风险分级处置模板中，生成包含管控动作组合与管控执行指令的风险告警信息，通过所述风险告警信息对所述跨区域告警事件进行威胁意图识别，得到风险处置策略；将所述风险处置策略下发至工控安全设备并执行风险过滤控制，生成威胁管控动作以阻断所述跨区域告警事件对应的异常流量。

38、由此可见本技术中，可以将所述风险处置策略下发至工控安全设备并执行风险过滤控制，生成威胁管控动作以阻断所述跨区域告警事件对应的异常流量，确定跨区域告警事件即可获得覆盖多安全区域的关联攻击行为全景视图，进而弥补现有工业控制系统安全防护方案中各区域设备仅能基于本地局部流量视角独立研判、无法有效识别跨域协同攻击意图的固有缺陷。该特征通过将分散于不同网络区域的孤立告警数据进行时空维度聚合与因果链重构，使系统能够准确还原攻击者在多层级网络间的横向移动轨迹与真实战术目的，从而显著提升对复杂渗透行为的检测准确率与威胁定性能力。确定风险处置策略即可获得适配目标工控安全设备底层协议且包含时序约束的可执行过滤规则集合，进而弥补现有技术中静态规则难以响应动态跨域威胁、处置动作滞后且阻断不彻底的技术短板。该特征通过将全局研判结果转化为具备协议兼容性与执行时序性的精细化管控指令，确保处置策略能够在异常流量转发路径上的最优节点被即时加载并严格执行，有效避免规则冲突与执行延迟。

39、综上所述，本技术采用的技术方案可以对分布式告警事件进行全局意图识别与动态策略下发，以提高威胁管控的精准性。