公开(公告)号：CN117714181A

公开(公告)日：2024-03-15

申请号：CN202311756936.2

申请日：2023-12-19

申请人： 东北大学 ,  国网辽宁省电力有限公司信息通信分公司

发明人： 姚羽 ,  林小李 ,  周小明 ,  杨巍 ,  聂鑫宇 ,  焦轩琦 ,  胡博 ,  刘福意 ,  宋为 ,  何淼 ,  李小龙 ,  杨道青 ,  刘莹 ,  单垚 ,  方宇珊 ,  周金磊

IPC分类号： H04L9/40

摘要： 本发明属于工控安全检测领域，提出一种工控APT检测方法、装置及计算机可读存储介质。从工控系统中采集正常的轮询流量和控制命令流量；建立设备状态修正算法，用于校正轮询流量并处理成系统状态日志；进行极端值检测与处理，得到处理后的系统状态日志；通过自相关函数进行工控基线的长短周期检测，获得工控基线的长短周期；并构建一个基于周期性检测的工控基线模型；基于构建的工控基线模型，对包含攻击的设备日志和工控流量数据进行工控APT攻击检测；相比于传统的工控APT攻击检测方法，本发明提高了APT攻击检测的准确率，降低了APT攻击检测的误报率，可以帮助网络安全人员发现隐蔽的APT攻击。

公开(公告)号：CN116684144A

公开(公告)日：2023-09-01

申请号：CN202310665605.1

申请日：2023-06-06

申请人： 东北大学 ,  国网辽宁省电力有限公司信息通信分公司

发明人： 姚羽 ,  焦轩琦 ,  周小明 ,  张维 ,  杨巍 ,  于海 ,  周金磊 ,  赵桐 ,  吕军 ,  李文轩 ,  孟勐 ,  杨道青 ,  李冲 ,  李桉雨 ,  李雪莹 ,  刘莹 ,  马智学 ,  刘思宇 ,  宋为

IPC分类号： H04L9/40 ,  H04L61/4511 ,  G06N3/048 ,  G06N3/0442 ,  G06N3/094

摘要： 本发明属于网络安全领域，提出了一种恶意域名检测方法及装置。首先利用原始域名数据集对检测模型进行训练；通过基于序列对抗网络和用雅克比的显著性图的对抗样本生成算法生成DGA恶意域名数据集，将生成的DGA恶意域名数据集输入至分类模型进行交替训练，生成新的对抗样本；生成的对抗样本加入原始域名数据集对检测模型进行再训练。本发明所提出的方法相比于现有技术，检测模型的对抗样本检测能力更强、鲁棒性更好、精确率以及召回率均优于其它模型。增加对抗训练后，检测模型的检测能力也有所提高。

公开(公告)号：CN116566697A

公开(公告)日：2023-08-08

申请号：CN202310575950.6

申请日：2023-05-22

申请人： 东北大学 ,  国网辽宁省电力有限公司信息通信分公司

发明人： 姚羽 ,  冉子用 ,  胡博 ,  杨巍 ,  单垚 ,  杨道青 ,  周小明 ,  焦轩琦 ,  李文轩 ,  张文杰 ,  刘莹 ,  刘思宇

IPC分类号： H04L9/40 ,  H04L41/16 ,  H04L41/149 ,  G06N3/0442 ,  G06N3/08

摘要： 本发明属于网络安全技术领域，提出一种对抗样本生成方法、装置及计算机可读存储介质。根据工业时序数据获得搭建时序异常检测模型训练数据；使用训练数据和真实训练预测值作为输入时序数据对时序异常检测模型进行训练；通过训练后的时序异常检测模型，根据测试数据计算模型训练预测值，并计算与真实测试预测值之间的异常分数，根据异常分数的数据分布，通过高斯分布异常检测算法确定概率阈值；基于时序异常检测模型对测试数据进行变量化扰动计算，将扰动添加至测试数据上，生成相应的时序对抗样本。该方法使用扰动变量化的攻击方法对模型进行攻击，生成相应的时序对抗样本，在保证攻击性的前提下，使扰动幅度小、时序数据平滑。

公开(公告)号：CN114430344B

公开(公告)日：2022-09-30

申请号：CN202210079728.2

申请日：2022-01-24

申请人： 东北大学

发明人： 姚羽 ,  林小李 ,  魏鑫 ,  杨巍 ,  焦轩琦 ,  聂鑫宇 ,  刘莹 ,  盛川 ,  李凤来 ,  张晨 ,  周子业 ,  杨道青 ,  刘鹏杰

IPC分类号： H04L9/40

摘要： 本发明属于网络安全及机器学习技术领域，提出了一种基于工控流量和威胁情报关联分析的攻击组织识别方法，本发明通过获得工控攻击者的流量数据、威胁情报信息、针对性特征和扫描工具；针对得到的攻击者的威胁情报特征和工控流量特征的数据特点，分别采用不同的相似性度量方法构建相似性矩阵并融合构建复合加权相似性矩阵，将原高维空间中的数据点映射到低维度空间；对得到的数据样本点进行聚类，得到工控攻击组织；该方法提高了攻击组织的识别精度，可扩展性强，可用于实时监控网络入侵者，主动及时防御攻击组织的分布式攻击。不需要指定聚类个数，且可以自适应计算带宽，可以更加准确、灵活地识别工控攻击组织。

公开(公告)号：CN114430344A

公开(公告)日：2022-05-03

申请号：CN202210079728.2

申请日：2022-01-24

申请人： 东北大学

发明人： 姚羽 ,  林小李 ,  魏鑫 ,  杨巍 ,  焦轩琦 ,  聂鑫宇 ,  刘莹 ,  盛川 ,  李凤来 ,  张晨 ,  周子业 ,  杨道青 ,  刘鹏杰

IPC分类号： H04L9/40

摘要： 本发明属于网络安全及机器学习技术领域，提出了一种基于工控流量和威胁情报关联分析的攻击组织识别方法，本发明通过获得工控攻击者的流量数据、威胁情报信息、针对性特征和扫描工具；针对得到的攻击者的威胁情报特征和工控流量特征的数据特点，分别采用不同的相似性度量方法构建相似性矩阵并融合构建复合加权相似性矩阵，将原高维空间中的数据点映射到低维度空间；对得到的数据样本点进行聚类，得到工控攻击组织；该方法提高了攻击组织的识别精度，可扩展性强，可用于实时监控网络入侵者，主动及时防御攻击组织的分布式攻击。不需要指定聚类个数，且可以自适应计算带宽，可以更加准确、灵活地识别工控攻击组织。