张雷, 解仑, 金良辰, 王志良

(北京科技大学 计算机与通信工程学院，北京 100083)

工业控制系统(ICS)的信息化和网络化给工业生产带来了极大的推动作用，同时也为工业控制系统带来了巨大的安全挑战. 通信协议种类多样，工业控制系统的数据控制更复杂,传统的网络信息更多，同时工业控制系统的定制化和实时性要求更高，传统的网络防火墙、身份认证、杀毒软件无法深层次防护，不能起到良好的保护作用. 从深层次角度探索问题，一直是研究的重点，入侵检测系统能够从底层掌握工业控制系统的特点. 根据ICS协议的理论和运行特点，设计一个符合ICS要求的入侵检测系统是非常重要的.

1 入侵检测模型及系统设计

基于COM Express(COM-E)紧凑型PCIe主板主要应用于工业领域，设计前参考了紧凑型PCIe和PICMG的电气和结构规范. 基于COM-E计算机功能特性，紧凑型PCIe主板提供了以下接口：一路扩展的PCI总线，100/1 000 M自适应网络端口，一对PS2键盘鼠标接口，一路模拟显示VGA接口和一路DVI接口.

根据工业控制系统的行为和状态特征，结合数据包协议的深度分析和工业控制系统工艺控制模型设计，控制指令的规则匹配的检测方法，单类支持向量机分类的异常检测模型相结合的检测方案，过程控制规则来制定具体的入侵检测模型，图1为入侵检测系统的体系结构.

图1 入侵检测系统体系结构图Fig.1 Intrusion detection system structure diagram

基于特征匹配规则的检测机制控制模型，具有良好的检测率和较低的误报率，可作为应急响应的基础. 其缺点是，对未知入侵行为和规则缺乏有效性监控；……