何 戡，曲 超，宗学军，郑洪宇，纪胜龙

1(沈阳化工大学 信息工程学院，沈阳 110142)

2(黄淮学院 智能制造学院，河南 驻马店 463000)

3(奇安信科技集团股份有限公司，北京 100000)

1 引 言

在工业信息技术的高速发展下，工业控制网络(Industrial Control Network，ICN)日趋成熟，但与此同时，威胁网络安全的木马、病毒等计算机恶意程序已不再局限于传统互联网之中，工业控制网络安全正经受着严峻考验.无论是2010年的“震网”病毒事件还是“WannaCry”永恒之蓝勒索蠕虫事件都表明，解决工业控制网络安全问题刻不容缓[1].

相较于传统IT网络，在工业控制网络中建立安全体系要保证生产的稳定性和实时性，进一步考虑工业网络环境的特殊性，如在工业设备之间专用的工业通信协议和工业控制网络独特的结构.威胁狩猎(Threat Hunting)作为近年来如claroty，dragos等国际新型公司的工业安全检测手段，在2020年的全球信息安全大会(RSAC-2020)的ICS village中被重点关注，Sherri Davidoff等人在会上的报告中发表了以威胁狩猎为核心的FireEye Managed Denfense安全产品.

入侵检测系统(Intrusion Detection System，IDS)与威胁狩猎在原理上有很高的相似性，是判断网络状态的一种常见网络安全技术，两者都能以机器学习算法作为核心，快速有效的辨识样本数据类型，检测入侵行为.在我国网络安全等级2.0保护标准中将入侵检测定为等级保护三级并作为强制选项[2].

在对入侵检测问题的研究中，Nasrin Sultana等人基于软件定义网络(SDN，Software Defined Network)，利用机器学习方法实现基于网络的入侵检测技术(NIDS，Network-based Intrusion Detection System)[3].Moayad Aloqaily等人采用深度信念(deep belief)和决策树方法构建了针对智能汽车云服……