电力二次系统是保护电网安全的重要手段,但大量告警常常使管理员无从下手,自动处理告警并提取攻击是智能电网面临的重要问题。已有的安全事件分析技术大多针对互联网设计,不同的告警形式和可靠性需求都使其难以在电网中直接适用。除此之外,当前攻击预测研究大多针对流量数据进行,少量基于攻击链的研究也较简单,效果欠佳,可移植性不强。为此本文提出了电力二次系统多步攻击检测模型和分别基于自注意力和模型融合的攻击预测模型。具体工作如下:1.多步攻击检测模型。通过IP关联构建攻击树,攻击树经过聚合处理后转化为攻击链;负因果关联和非继发事件对攻击链进行剪枝和降噪,形成最终的攻击链和可视化攻击图。该模型依靠少量的先验知识自动化提取多步攻击事件,并展示其在IP间的转移轨迹。该模型在电网数据和数据集DARPA2000的实验中都成功提取到了攻击事件,证明了模型的有效性。2.基于自注意力的攻击预测模型。首先对提取到的攻击链进行扩链和样本划分处理,然后将攻击链中的IP和告警信息Embedding并拼接后依次输入神经网络模型中,实验分析对比了多种神经网络在攻击预测模型上的表现效果,最终基于Bi-LSTM的自注意力模型以HLC-AUC为0.802的效果最佳,在数据集DARPA2000的实验也证明了该模型的有效性。3.基于模型融合的攻击预测模型。融合模型的输入特征分为两部分,一部分为自注意力模型提取的攻击链编码信息,另一部分来自手动提取的网络信息,将二者拼接输入到分类模型中进行攻击预测。实验对比了多种分类模型,最终以XGBoost模型0.838的HLC-AUC获得最佳效果,该模型在DARPA2000的实验中也取得良好效果,证明了模型的有效性。