随着工业4.0以及与中国制造2025的提出,所推广的工业互联网与信息网络的融合加速,传统的网络通信技术在工业控制网络中大量应用。目前工业控制网络的开放进程随着对新一代工业互联网改造升级的要求得到了进一步的加强和发展,基于网络化体系结构的控制网络被广泛应用。由于应用场景的拓展和系统性能等多方面的需求,过分依赖将控制系统网络环境隔离封闭的安全防护措施已经难以维继,难以适应工业控制场景的复杂性。近年来工控安全事件频发,尤其是作为关键基础设施的工业控制系统的安全就更为重要。在传统网络安全领域,业界和国内外研究者提出和使用的众多类型的检测方法中基于网络流量的检测方法在网络安全防护领域占有重要地位,随着机器学习、深度学习技术的发展,该类技术也成为异常检测主要的研究方向。但是这些基于传统机器学习算法的异常检测方法存在如下问题:首先,需要对网络流量进行大量的专业人工审计和特征工程实验,才能形成较为完备的特征集来保证检测的准确性和有效性。但这种方式效率较低且成本高昂;其次,模型难以降低复杂系统中数据包混杂造成的影响,难以识别多种时序上的流量特征,而且针对控制系统网络的公开真实流量数据十分匮乏。针对以上问题,本文构建了一个基于电力核心控制系统网络流量的异常检测方法,该方法使用端到端的结构解决私有协议解析困难的问题,以卷积神经网络结构提取流量局部特征支持分类检测。在此基础上以基于Transformer的encoder结构提取流量间复杂序列性特征支持分类检测。并在智能发电分布式控制系统和智能变电系统平台上构建了用于异常行为检测的数据集。主要研究工作和创新包括:(1)使用流量间的有效时序关系和关联关系来支持检测,分析发电环境下远程控制系统和智能变电站系统使用通信协议的脆弱性,在真实的工控网络环境下实施了常见的攻击,并进行总结分析。对相关控制系统展开渗透测试方案,设计实现了通信数据篡改、拒绝服务攻击、Industroyer病毒攻击以及扫描嗅探。通过分析电力核心控制系统的组织架构,在发电环境下分布式控制系统的基础上,将智能变电系统遥测遥信等通信等动作的网络流量进行采集收集。(2)分析了复杂电力控制系统网络中数据包混杂以及存在私有协议难以解析对特征提取和检测算法的影响,设计实现基于工业控制系统特点的特征提取方案和序列分析算法,通过研究提取其时序特征与关联特征支撑模型分类。将工业控制网络流量数据进行预处理生成流量簇,为后续对数据包时序特征和关联特征的提取准备。通过深度学习算法将原始网络流量作为模型的输入,通过端到端的模型架构完成特征提取工作。减少传统机器学习算法对特征工程的依赖,提高效率。并使用三种不同的分类器进行了验证实验,结论表明该处理方法在检测准确率,精度和F1值等方面是满足实际应用场景的。(3)通过调整一些经典卷积神经网络模型的结构框架,在此基础上进行调整完成异常检测任务并进行了验证和研究。通过构建电力工控网络渗透测试平台,采集系统网络数据包形成的原始流量分组,并完成对流量分组的预处理等实验,来检验基于卷积神经网络的分类算法在异常流量检测中的有效性。根据实际工控场景存在的脆弱性,在电力控制系统数据集上构建基于卷积神经网络的异常检测算法。(4)提出并验证了基于注意力模型的工控网络异常检测模型。通过对工业控制网络协议通信机制和流量数据包动态特性的分析,发现了工控网络流量检测与自然语言文本处理时的相似性。基于Transformer的Multi-Head Attention机制建立了异常检测模型,通过实验发现其性能优于卷积神经网络和传统异常检测算法。结合检测结果搭建可视化系统,能够直观分析对渗透测试攻击的检测能力。