(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211359312.2 (22)申请日 2022.11.02 (71)申请人 北京网藤科技有限公司 地址 101106 北京市通州区经济开发区东 区靓丽三街9号-20 54 (72)发明人 刘华　 (74)专利代理 机构 北京星通盈泰知识产权代理 有限公司 1 1952 专利代理师 黄正奇 (51)Int.Cl. H04L 9/40(2022.01) H04L 69/22(2022.01) (54)发明名称 基于智能特征匹配的攻击模式验证方法和 系统 (57)摘要 本申请公开了基于智能特征匹配的攻击模 式验证方法和系统， 通过解析工控网络传输的远 程控制指令， 获得该远程控制指令给工业系统造 成的状态预期值， 并基于对工业系统特征的智能 匹配， 将所述状态预期值和工业系统的实际状态 值进行融合， 从而验证该远程控制指令是否存在 的工业系统的攻击及其攻击模式。 本发明能够以 工业系统状态拟合的方式， 通过模拟真实工业系 统的响应， 对工控网络的远程控制指令进行深化 验证， 适用于伪装为正常指令的攻击行为的挖掘 和甄别。 权利要求书2页 说明书10页 附图2页 CN 115412376 A 2022.11.29 CN 115412376 A 1.基于智能特 征匹配的攻击模式验证方法， 其特 征在于， 包括以下步骤： 远程控制指令解析步骤， 获得工控网络传输的远程控制指令， 并识别该远程控制指令 的有效字段， 根据控制协议解析该有效字段并根据工业系统对该有效字段的响应机制， 形 成该远程控制指令给工业系统造成的状态预期值； 工业系统状态拟合步骤， 将所述状态预期值输入工业系统状态拟合模型， 通过该工业 系统状态拟合模型将所述状态预期值和工业系统的实际状态值进 行融合， 并通过该工业系 统状态拟合模型的系数优化更新， 确定该远程控制指令影响下的工业系统状态值； 验证步骤， 根据远程控制指令影响下的工业系统状态值， 验证该远程控制指令是否存 在对工业系统的攻击及其 攻击模式。 2.根据权利要求1所述的基于智能特征匹配的攻击模式验证方法， 其特征在于， 在所述 远程控制指令解析步骤中， 按照工控协议的规则定义， 逐层拆分该远程控制指令的有效载 荷， 确定每一层有效载荷中的字段名称和字段取值， 并根据字段名称和字段取值选取远程 控制指令中的有效字段。 3.根据权利要求2所述的基于智能特征匹配的攻击模式验证方法， 其特征在于， 在远程 控制指令解析步骤中， 根据控制协 议解析该有效字段并根据工业系统对该有效字段的响应 机制， 形成该远程控制指令给工业系统造成的状态预期值。 4.根据权利要求3所述的基于智能特征匹配的攻击模式验证方法， 其特征在于， 在工业 系统状态拟合 步骤中， 所述工业系统状态拟合模型表示 为： 其中， 表示拟合窗口长度， 即自第k个控制周期起始本模型所模拟的后续 个控制周 期， 为在拟合窗口长度 条件下的第k个控制周期的工业系统状态值； 与 为第k个、 第 个控制周期下的状态预期值； 为第 个 控制周期下工业系统的实际状态值； 为融合系数。 5.根据权利要求4所述的基于智能特征匹配的攻击模式验证方法， 其特征在于， 在工业 系统状态拟合步骤中， 通过对融合系数 进行与工业系统特征智 能 匹配基础上的优化更新， 可得 、 、 在本模型中的融合比重， 最终获得拟合的工业系统状态值 。 6.基于智能特 征匹配的攻击模式验证系统， 其特 征在于， 包括： 远程控制指令解析模块， 获得工控网络传输的远程控制指令， 并识别该远程控制指令 的有效字段， 根据控制协议解析该有效字段并根据工业系统对该有效字段的响应机制， 形 成该远程控制指令给工业系统造成的状态预期值； 工业系统状态拟合模块， 将所述状态预期值输入工业系统状态拟合模型， 通过该工业权　利　要　求　书 1/2 页 2 CN 115412376 A 2系统状态拟合模型将所述状态预期值和工业系统的实际状态值进 行融合， 并通过该工业系 统状态拟合模型的系数优化更新， 确定该远程控制指令影响下的工业系统状态值； 验证模块， 根据远程控制指令影响下的工业系统状态值， 验证该远程控制指令是否存 在对工业系统的攻击及其 攻击模式。 7.根据权利要求6所述的基于智能特征匹配的攻击模式验证系统， 其特征在于， 所述远 程控制指令解析模块用于按照工控协议的规则定义， 逐层拆分该远程控制指令的有效载 荷， 确定每一层有效载荷中的字段名称和字段取值， 并根据字段名称和字段取值选取远程 控制指令中的有效字段。 8.根据权利要求7所述的基于智能特征匹配的攻击模式验证系统， 其特征在于， 所述远 程控制指令解析模块用于根据控制协议解析该有效字段并根据工业系统对该有效字段 的 响应机制， 形成该远程控制指令给工业系统造成的状态预期值。 9.根据权利要求8所述的基于智能特征匹配的攻击模式验证系统， 其特征在于， 所述工 业系统状态拟合模块中， 所述工业系统状态拟合模型表示 为： 其中， 表示拟合窗口长度， 即自第k个控制周期起始本模型所模拟的后续 个控制周 期， 为在拟合窗口长度 条件下的第k个控制周期的工业系统状态值； 与 为第k个、 第 个控制周期下的状态预期值； 为第 个 控制周期下工业系统的实际状态值； 为融合系数。 10.根据权利要求9所述的基于智能特征匹配的攻击模式验证系统， 其特征在于， 所述 工业系统状态拟合模块通过对融合系数 进行与工业系统特征智 能匹配基础上的优化更新， 可得 、 、 在本模型中的融合比 重， 最终获得拟合的工业系统状态值 。权　利　要　求　书 2/2 页 3 CN 115412376 A 3