公开(公告)号：CN117896095A

公开(公告)日：2024-04-16

申请号：CN202311658897.2

申请日：2023-12-05

申请人： 东北大学 ,  国家电网有限公司 ,  国网辽宁省电力有限公司信息通信分公司

发明人： 姚羽 ,  李文轩 ,  周小明 ,  杨巍 ,  许超 ,  胡博 ,  刘莹 ,  张文杰 ,  单垚 ,  赵桐 ,  林小李 ,  方宇珊 ,  冉子用 ,  杨道青 ,  何淼 ,  王磊

IPC分类号： H04L9/40 ,  G06N3/049 ,  G06N3/0455

摘要： 本发明属于工业网络安全领域，提出一种轻量化通用异常检测方法与装置。获取工业网络流量会话的频域特征表示并进行变换获得模型输入序列；结合深度卷积自编码器CAE和对抗网络GAN，构建轻量化异常检测模型并通过输入模型输入序列进行训练，通过梯度下降算法最小化损失函数，使得模型达到收敛状态；轻量化异常检测模型作为基线评估模型，将待检序列样本输入至基线评估模型计算异常分数和异常阈值，根据异常分数与异常阈值的对比情况，完成对未知攻击行为的有效判别。本发明避免以往依赖专家知识忽略重要判别特征的问题，有效降低正常样本在潜在分布空间的重构损失，实现对未知攻击的有效检测。

公开(公告)号：CN117459299A

公开(公告)日：2024-01-26

申请号：CN202311521246.9

申请日：2023-11-15

申请人： 东北大学 ,  国家电网有限公司 ,  国网辽宁省电力有限公司信息通信分公司

发明人： 姚羽 ,  单垚 ,  胡博 ,  杨巍 ,  罗天昱 ,  周小明 ,  张文杰 ,  刘莹 ,  唱一鸣 ,  赵桐 ,  李文轩 ,  林小李 ,  方宇珊 ,  冉子用 ,  杨道青 ,  李学斌

IPC分类号： H04L9/40 ,  H04L67/12

摘要： 本发明属于网络安全领域，提出一种工业物联网入侵检测的联邦学习方法及装置。针对工业物联网各客户端数据存在异质性的特点，通过联邦学习为众多客户端训练适用于自身数据的个性化入侵检测模型。通过提出新的用于工业物联网网络流量的特征提取方式，能够从不同粒度反映网络流量特征，该方法比其他网络流量特征提取方法获得了更高的准确率。通过对客户端模型相似度的计算来促进具有相似数据分布客户端的协同合作，为客户端生成性能更好的个性化入侵检测模型。本发明既能够保证模型的快速收敛，又防止低质量模型对联邦学习的干扰，有效的抑制中毒攻击的影响。

公开(公告)号：CN117459300A

公开(公告)日：2024-01-26

申请号：CN202311521257.7

申请日：2023-11-15

申请人： 东北大学 ,  国家电网有限公司 ,  国网辽宁省电力有限公司信息通信分公司

发明人： 姚羽 ,  单垚 ,  周小明 ,  杨巍 ,  刘鹏杰 ,  胡博 ,  周金磊 ,  刘莹 ,  许超 ,  赵桐 ,  李文轩 ,  林小李 ,  方宇珊 ,  冉子用 ,  杨道青 ,  王磊 ,  张文杰

IPC分类号： H04L9/40 ,  H04L67/12 ,  G06N3/045 ,  G06N3/0442 ,  G06N3/084 ,  G06N3/0464

摘要： 本发明属于网络安全技术领域，提出了一种工业控制系统入侵检测方法及装置。步骤如下：对入侵检测数据集进行预处理操作，获得神经网络模型输入数据；将步骤一所得数据作为输入数据对神经网络分类器进行训练；在神经网络的训练阶段通过梯度下降算法来最小化损失函数使得神经网络分类器收敛，达到指定训练轮数后，保存神经网络分类器参数，获得分类结果。提出了一个新的动态Focal loss损失函数，能够在训练过程中自适应的调节分类器的优化目标，在训练的前期增加对多数类样本的关注，在训练中期提升对少数类样本的关注，增强了基础分类器的分类能力。所提出的方法能够适应各类不同入侵检测数据分布，增强了模型的鲁棒性。

公开(公告)号：CN117478412A

公开(公告)日：2024-01-30

申请号：CN202311521253.9

申请日：2023-11-15

申请人： 东北大学 ,  国家电网有限公司 ,  国网辽宁省电力有限公司信息通信分公司

发明人： 姚羽 ,  单垚 ,  胡博 ,  杨巍 ,  聂鑫宇 ,  周小明 ,  宋为 ,  刘莹 ,  唱友义 ,  赵桐 ,  李文轩 ,  林小李 ,  方宇珊 ,  冉子用 ,  杨道青 ,  李广翱 ,  张文杰

IPC分类号： H04L9/40 ,  H04L67/12 ,  G06N3/0464 ,  G06N3/0442 ,  G06N3/045

摘要： 本发明属于网络安全技术领域，提出一种工业物联网联邦入侵检测方法、装置及介质。针对工业物联网各边缘节点数据存在异质性的特点，提出该方法，在联邦学习中通过聚类的方式为具有相似数据分布的边缘节点共同训练一个有效的入侵检测模型。通过对边缘节点性能指标时间序列的聚类映射出各个边缘节点数据分布之间的关系，并促进具有相似数据分布边缘节点的知识共享，有效的解决了非独立同分布数据情况下联邦学习模型的建立问题。在每轮通讯中，通过肘关节曲线来自动确定边缘节点的最佳划分方式，能够保证模型的快速收敛。采用多个通信轮次的性能指标进行聚类，降低了边缘节点被错误划分的几率，提升了模型的准确率。

公开(公告)号：CN115580445B

公开(公告)日：2024-06-28

申请号：CN202211159011.5

申请日：2022-09-22

申请人： 东北大学 ,  国网辽宁省电力有限公司 ,  国网辽宁省电力有限公司信息通信分公司

发明人： 单垚 ,  姚羽 ,  胡博 ,  杨巍 ,  罗天昱 ,  聂鑫宇 ,  周小明 ,  许超 ,  刘莹 ,  张文杰 ,  盛川 ,  赵桐 ,  李文轩 ,  林小李 ,  方宇珊 ,  宋为

IPC分类号： H04L9/40 ,  G06N3/045 ,  G06N3/0442 ,  G06N3/0464 ,  G06N3/047 ,  G06N3/048 ,  G06N3/084

摘要： 本发明属于网络安全技术领域，提出了一种未知攻击入侵检测方法、装置和计算机可读存储介质，该方法通过使用卷积神经网络和长短期记忆人工神经网络实现对基础分类器的搭建。同时，为了能够使模型更好的应用于未知攻击入侵检测领域，本发明在训练阶段提出了一种新的损失函数即距离度量函数，它能够使得相同类别的样本的空间向量分布更加紧凑，并使不同类别的样本更加稀疏，增强了基础分类器的分类能力。在检测阶段使用Openmax层替换常规的Softmax层，并与距离度量函数相互作用，以增大样本深层特征的类间间距和减少类内间距，实现对未知类别的有效检测。

公开(公告)号：CN115580445A

公开(公告)日：2023-01-06

申请号：CN202211159011.5

申请日：2022-09-22

申请人： 东北大学 ,  国网辽宁省电力有限公司 ,  国网辽宁省电力有限公司信息通信分公司

发明人： 单垚 ,  姚羽 ,  胡博 ,  杨巍 ,  罗天昱 ,  聂鑫宇 ,  周小明 ,  许超 ,  刘莹 ,  张文杰 ,  盛川 ,  赵桐 ,  李文轩 ,  林小李 ,  方宇珊 ,  宋为

IPC分类号： H04L9/40 ,  G06N3/04 ,  G06N3/08

摘要： 本发明属于网络安全技术领域，提出了一种未知攻击入侵检测方法、装置和计算机可读存储介质，该方法通过使用卷积神经网络和长短期记忆人工神经网络实现对基础分类器的搭建。同时，为了能够使模型更好的应用于未知攻击入侵检测领域，本发明在训练阶段提出了一种新的损失函数即距离度量函数，它能够使得相同类别的样本的空间向量分布更加紧凑，并使不同类别的样本更加稀疏，增强了基础分类器的分类能力。在检测阶段使用Openmax层替换常规的Softmax层，并与距离度量函数相互作用，以增大样本深层特征的类间间距和减少类内间距，实现对未知类别的有效检测。

公开(公告)号：CN117714181A

公开(公告)日：2024-03-15

申请号：CN202311756936.2

申请日：2023-12-19

申请人： 东北大学 ,  国网辽宁省电力有限公司信息通信分公司

发明人： 姚羽 ,  林小李 ,  周小明 ,  杨巍 ,  聂鑫宇 ,  焦轩琦 ,  胡博 ,  刘福意 ,  宋为 ,  何淼 ,  李小龙 ,  杨道青 ,  刘莹 ,  单垚 ,  方宇珊 ,  周金磊

IPC分类号： H04L9/40

摘要： 本发明属于工控安全检测领域，提出一种工控APT检测方法、装置及计算机可读存储介质。从工控系统中采集正常的轮询流量和控制命令流量；建立设备状态修正算法，用于校正轮询流量并处理成系统状态日志；进行极端值检测与处理，得到处理后的系统状态日志；通过自相关函数进行工控基线的长短周期检测，获得工控基线的长短周期；并构建一个基于周期性检测的工控基线模型；基于构建的工控基线模型，对包含攻击的设备日志和工控流量数据进行工控APT攻击检测；相比于传统的工控APT攻击检测方法，本发明提高了APT攻击检测的准确率，降低了APT攻击检测的误报率，可以帮助网络安全人员发现隐蔽的APT攻击。

公开(公告)号：CN117354207A

公开(公告)日：2024-01-05

申请号：CN202311243871.1

申请日：2023-09-26

申请人： 东北大学 ,  中国电子信息产业集团有限公司第六研究所

发明人： 姚羽 ,  杨道青 ,  张尼 ,  杨巍 ,  杨利成 ,  胡耀 ,  吴云峰 ,  林小李 ,  单垚 ,  冉子用 ,  韩庆敏 ,  王乾亦 ,  刘福意

IPC分类号： H04L43/18 ,  G06N3/0464

摘要： 本发明属于协议逆向工程技术领域，提出了一种未知工控协议逆向分析方法及装置。基于网络报文形成报文片段集合；报文和报文片段集合构成数据集，根据所述数据集构建异构报文图；异构报文图输入至构建报文图特征提取神经网络模型进行报文聚类并训练报文图特征提取神经网络模型；待聚类的数据集输入至训练完成的报文图特征提取神经网络模型，进行类簇划分，在同一报文类簇下采用Needleman‑Wunsch算法推断语法格式，并标注字段边界。本发明的方法降低报文聚类的时间复杂度；将特征提取与聚类进行联合优化；为模型提供更细粒度、更合理的分析单元。

公开(公告)号：CN114430344B

公开(公告)日：2022-09-30

申请号：CN202210079728.2

申请日：2022-01-24

申请人： 东北大学

发明人： 姚羽 ,  林小李 ,  魏鑫 ,  杨巍 ,  焦轩琦 ,  聂鑫宇 ,  刘莹 ,  盛川 ,  李凤来 ,  张晨 ,  周子业 ,  杨道青 ,  刘鹏杰

IPC分类号： H04L9/40

摘要： 本发明属于网络安全及机器学习技术领域，提出了一种基于工控流量和威胁情报关联分析的攻击组织识别方法，本发明通过获得工控攻击者的流量数据、威胁情报信息、针对性特征和扫描工具；针对得到的攻击者的威胁情报特征和工控流量特征的数据特点，分别采用不同的相似性度量方法构建相似性矩阵并融合构建复合加权相似性矩阵，将原高维空间中的数据点映射到低维度空间；对得到的数据样本点进行聚类，得到工控攻击组织；该方法提高了攻击组织的识别精度，可扩展性强，可用于实时监控网络入侵者，主动及时防御攻击组织的分布式攻击。不需要指定聚类个数，且可以自适应计算带宽，可以更加准确、灵活地识别工控攻击组织。

公开(公告)号：CN114493246A

公开(公告)日：2022-05-13

申请号：CN202210080296.7

申请日：2022-01-24

申请人： 东北大学 ,  国网辽宁省电力有限公司

发明人： 姚羽 ,  林小李 ,  周小明 ,  杨巍 ,  刘旭辉 ,  田元 ,  胡博 ,  赵桐 ,  刘莹 ,  单垚 ,  方宇珊 ,  李文轩 ,  刘超 ,  冉子用

IPC分类号： G06Q10/06 ,  G06Q50/06

摘要： 一种基于DW‑Degree度中心性的电力信息网络节点风险评估方法，包含以下步骤：选取影响电力信息网络节点安全的关键因素，表征节点的攻击状态；基于电力信息网络攻击日志，形成攻击状态数据；根据受害IP，生成具有风险的训练数据；通过节点风险评估方法计算节点的初始风险系数；基于攻击状态数据计算节点间的威胁系数，把电力信息网络抽象成有向加权网络；通过计算有向加网络中节点的重要性；融合节点的初始风险系数和重要指数，计算出节点的最终风险系数。本发明提出的电力信息网络节点风险评估方法具有更高的准确率，与电力信息网络的契合度更高。本发明综合考虑多个因素，计算节点的初始风险系数，使节点风险评估方法与电力信息网络的契合度更高。