SCADA系统通信网中的高级持续性攻击检测方法

来源：计算机科学与探索杂志2015年第3期北京时间：

作者：王传安，张天会，赵海燕，周广新

单位：1. 安徽科技学院，安徽 凤阳 233100 2. 清华同方股份有限公司，北京 100083

摘要：高级持续性攻击（advanced persistent threat，APT）作为一种新型攻击，已成为SCADA（supervisory control and data acquisition）系统安全面临的主要威胁，而现有的入侵检测技术无法有效应对这一类攻击，因此研究有效的APT检测模型具有重要的意义。提出了一种新的APT攻击检测方法，该方法在正常日志行为建模阶段改进了对行为模式的表示方式，采用多种长度不同的特征子串表示行为模式，通过基于序列模式支持度来建立正常日志行为轮廓；在充分考虑日志事件时序特征的基础上，针对APT攻击行为复杂多变的特点，提出了基于矩阵相似匹配和判决阈值联合的检测模型。通过对比研究，该检测方法表现出了良好的检测性能。

关键词：SCADA系统,高级持续性攻击（APT）,行为模式,矩阵相似度