44、机器学习在SCADA/Modbus网络入侵检测中的应用

机器学习在SCADA/Modbus网络入侵检测中的应用

1. 机器学习在入侵检测中的应用概述

机器学习算法从数据本身出发，运用统计规律和数学知识挖掘数据中蕴含的信息。传统机器学习算法可解决数据分类、回归、聚类和关联规则学习等问题。近年来，机器学习在文本分类、自然语言处理、机器翻译、态势感知以及图像处理和计算机视觉等领域取得了巨大成功，这也促使机器学习方法向其他领域发展。

1.1 传统机器学习方法概述

在SCADA数据集里，入侵检测本质上可视为多分类问题，有许多成熟的机器学习算法可完成分类任务。以下主要从决策树、逻辑回归、K近邻等算法来分析工业网络数据。
- 逻辑回归 ：既可用作回归算法，也可用作分类算法，属于线性回归。它处理回归或分类问题时，先建立成本函数，再通过优化方法求解最优模型参数，最后进行测试以验证所求解模型的优劣。优点是能为线性可分数据集构建良好的线性模型，速度快且易于理解，但对于非线性数据，无法完成分类任务。
- K近邻 ：是传统的分类算法之一，也是最简单的分类算法之一。其思想是在特征空间中，若一个样本附近的K个样本（即特征空间中的最近邻）大多属于同一类别，则该样本也属于此类别。在SCADA网络数据集中，正常数据集分布相对集中，使用K近邻算法分析该数据集应能获得良好的分类效果。
- 决策树 ：是数据挖掘算法之一，具有很强的直观性。它是典型的分类方法，先处理数据，再用归纳算法生成相关规则，最后用决策分析新数据。决策树是按规则对数据进行分类的算法，对于SCADA网络安全数据集，某些入侵与规则存在明显关联，决策树可挖掘并存储相关