张壮壮，陈永乐，王建华，陈俊杰

(太原理工大学 信息与计算机学院，山西 太原 030024)

0 引 言

工控系统是用于监视、控制工业生产过程的系统统称[1]。现在其更多被暴露在互联网下，并缺乏有效的安全机制[2]。而PLC Blaster[3]、PLC Inject[4]、Ladder Logic Bomb[5]、Click[6]等攻击对它的安全也造成了很大的威胁。

为此，工控入侵检测作为常用的安全防护技术，已被大量研究，其可分为基于网络流量[7]与系统参数信息[8-11]。本文对基于网络流量的检测方法进行研究。针对工控流量检测，本文将工控流量分为流量、数据包、内容3层，其中流量层指传输层及以下信息，数据包层指工控数据包应用层包头信息，内容层指代负载信息。而据本文调查，目前工控流量入侵检测大都存在检测范围过窄，仅考虑其中的一层或两层，且缺乏不同层次内隐含关系的考量，易导致检测效果不理想。

故本文提出了分层依赖关系建模的异常检测方法，利用流量层、数据包层及内容层信息，建立由宏观到微观的分层依赖关系模型。

本文贡献主要有3点：

(1)以流量数据的分层依赖关系作为切入点设计模型，为工业控制系统的异常检测提供了一个新的角度；

(2)该方法最大限度降低了不同类型特征相互干扰的问题，提高了异常流量检测的准确性，扩大了传统流量检测的范围，并使用数据集进行了验证；

(3)实现了系统原型，并在相同的数据集上进行了不同模型的对比实验，实验结果表明，本方法在精确率、F值等指标上均优于对比方案。

1 相关工作

工控系统具有高实时性、资源有限、与物理环境紧密相连等特性，导致传统入侵检测分类标准无法直接应用在工控领域。……