第5期 熊柳，等：SCADA安全因素神经元的云推理机研究与仿真 ·693· end %利用逆向云发生器计算 70 [Ex,En,He =backc loud(z1,zul,z2,zu2) 50 coml=coml+Ex; 40 com2=com2+En; 30 2 end C=coml/5; 008060 条件a 020 0020406080100 条件b D=com2/5; fprintf('云推理机预测程序行为恶意度期望为%fn’,C)； 图6隶属函数法推理Surface图 fprintf('云推理机预测程序行为恶意度期望为%fn',D): Fig.6 FIS surface 3.3仿真实验与分析 3.3.2仿真实验 3.3.1建立对比实验 已知数据：以“if在系统目录下创建文件and设 云模型理论建立在传统隶属函数)的基础上， 置文件时间为系统文件时间then非法创建文件”为 其随机性是不同于传统隶属函数方法的特性。所 例，因为各因素都是模糊语言值表示的概念，根据 以，利用传统隶属函数方法建立对比实验，可以加强 “知识因素表示的关系模型”原理，给各因素假设一 对该云推理机优势和缺陷的分析，从而进行后续改 个数字量的参考指数，指数满分为100，指数越高表 进。传统隶属函数方法对比实验主要利用Matlab中 示确定度越大：反之越小。 的FIS(模糊逻辑工具箱)编辑器，步骤如下： 待测数据：现有一未知恶意程序通过课题小组 1)建立隶属度函数。云推理机测试样本数据 建立的感知神经元行为分解并分析后得到条件“在 如表1所示。由数据可知，应该选择Gauss隶属函 系统目录下创建文件因素指数X”和“设置文件时 数（正态型），一共有9条规则，每一条规则有2个 间为系统文件时间指数X,”。 input,l个output,均按照其期望(Ex)和嫡(En)建 表1中，Factor A代表“在系统目录下创建文件 立Gauss隶属函数。 因素指数A”,Factor B代表“设置文件时间为系统 表1云推理机测试样本数据 文件时间因素指数B”,Factor C代表“非法创建文 Table 1 Sample data 件因素指数C”,Class代表“每条规则对应的恶意程 Ru-Factor A Factor B Factor C 序种类”。将仿真结果统计如表2所示。 Cla- 表2仿真结果数据统计表 les Ex En He:Ex2 En2 He2 Ex3 En He;les Table 2 Reslult data 199.618.30.1849.79.80.175.57.30.15A CG FIS 247.29.70.198.914.50.1574.47.60.15B (x1,x2） Rules Infer Rules Infer 37411.80.1272.613.10.1365.24.10.08C Max Sec Ex Var 46912.20.1325.312.30.1245.53.150.06D (99.50) 1 3 75.78 0.85 1 75.50 54711.90.1250 120.1250.63.10.06E (74,87.9) 3 2 61.39 12.17 Null 74.46 62312.90.1274.812.70.1258.93.00.06F (35.83) 6 2 62.10 0.34 Null 60.02 72712.10.1227.613.20.1331.06.20.12G (4.5,52.6) 6 36.7521.67 20.80 8318.701852.4110.120.87.50.15H 表2中，(x1,x2)表示待测样本数据的条件a和 95210.80.11.61.70.1719.07.50.151 条件b的参数：CG表示云模型推理机方法，FIS表 2)编辑器建立推理规则。例如：f(条件ais 示利用模糊工具箱实现的隶属度函数法；Rules表示 1a)and(条件bis1b)then(推论c is le)。条件A、 触发规则，Max表示激活强度最大的触发规则，Sec B、C指广泛意义上的定义概念，其小写a、b、c指代 表示次大，Null表示无触发规则；nfer表示推理机 具体的实际条件。 对待测样本的推测恶意度，Ex表示期望，Var表示 3)得到Surface三维图如图6所示，并在云 方差。 推理机主程序中用evalfis函数调用，得到隶属函 云推理机得到的恶意度分布图和隶属函数法得 数法推理出的结论，并与云推理机得到结论进行对比 到的规则图如图7~10所示（以(99,50）和(74， 分析。 87.9)为例)。ｅｎｄ ％利用逆向云发生器计算 ［Ｅｘ，Ｅｎ，Ｈｅ］ ＝ ｂａｃｋｃ ｌｏｕｄ（ｚ１，ｚｕ１，ｚ２，ｚｕ２）； ｃｏｍ１ ＝ ｃｏｍ１＋Ｅｘ； ｃｏｍ２ ＝ ｃｏｍ２＋Ｅｎ； ｅｎｄ Ｃ ＝ ｃｏｍｌ ／ ５； Ｄ＝ ｃｏｍ２ ／ ５； ｆｐｒｉｎｔｆ（’云推理机预测程序行为恶意度期望为％ｆ＼ｎ’，Ｃ）； ｆｐｒｉｎｔｆ（’云推理机预测程序行为恶意度期望为％ｆ＼ｎ’，Ｄ）； ３．３ 仿真实验与分析 ３．３．１ 建立对比实验 云模型理论建立在传统隶属函数［１５］ 的基础上， 其随机性是不同于传统隶属函数方法的特性。 所 以，利用传统隶属函数方法建立对比实验，可以加强 对该云推理机优势和缺陷的分析，从而进行后续改 进。 传统隶属函数方法对比实验主要利用 Ｍａｔｌａｂ 中 的 ＦＩＳ（模糊逻辑工具箱）编辑器，步骤如下： １）建立隶属度函数。 云推理机测试样本数据 如表 １ 所示。 由数据可知，应该选择 Ｇａｕｓｓ 隶属函 数（正态型），一共有 ９ 条规则，每一条规则有 ２ 个 ｉｎｐｕｔ，１ 个 ｏｕｔｐｕｔ，均按照其期望（Ｅｘ） 和熵（Ｅｎ） 建 立 Ｇａｕｓｓ 隶属函数。 表 １ 云推理机测试样本数据 Ｔａｂｌｅ １ Ｓａｍｐｌｅ ｄａｔａ Ｒｕ⁃ ｌｅｓ Ｆａｃｔｏｒ Ａ Ｆａｃｔｏｒ Ｂ Ｆａｃｔｏｒ Ｃ Ｅｘ１ Ｅｎ１ Ｈｅ１ Ｅｘ２ Ｅｎ２ Ｈｅ２ Ｅｘ３ Ｅｎ３ Ｈｅ３ Ｃｌａ⁃ ｌｅｓ １ ９９．６ １８．３ ０．１８ ４９．７ ９．８ ０．１ ７５．５ ７．３ ０．１５ Ａ ２ ４７．２ ９．７ ０．１ ９８．９ １４．５ ０．１５ ７４．４ ７．６ ０．１５ Ｂ ３ ７４ １１．８ ０．１２ ７２．６ １３．１ ０．１３ ６５．２ ４．１ ０．０８ Ｃ ４ ６９ １２．２ ０．１３ ２５．３ １２．３ ０．１２ ４５．５ ３．１５ ０．０６ Ｄ ５ ４７ １１．９ ０．１２ ５０ １２ ０．１２ ５０．６ ３．１ ０．０６ Ｅ ６ ２３ １２．９ ０．１２ ７４．８ １２．７ ０．１２ ５８．９ ３．０ ０．０６ Ｆ ７ ２７ １２．１ ０．１２ ２７．６ １３．２ ０．１３ ３１．０ ６．２ ０．１２ Ｇ ８ ３ １８．７ ０１８ ５２．４ １１ ０．１ ２０．８ ７．５ ０．１５ Ｈ ９ ５２ １０．８ ０．１ １．６ １．７ ０．１７ １９．０ ７．５ ０．１５ Ｉ ２） 编辑器建立推理规则。 例如：Ｉｆ （条件 ａ ｉｓ １ａ）ａｎｄ （条件 ｂ ｉｓ １ｂ）ｔｈｅｎ（推论 ｃ ｉｓ １ｃ）。 条件 Ａ、 Ｂ、Ｃ 指广泛意义上的定义概念，其小写 ａ、ｂ、ｃ 指代 具体的实际条件。 ３） 得到 Ｓｕｒｆａｃｅ 三维图如图 ６ 所示，并在云 推理机主程序中用 ｅｖａｌｆｉｓ 函数调用，得到隶属函 数法推理出的结论，并与云推理机得到结论进行对比 分析。 图 ６ 隶属函数法推理 Ｓｕｒｆａｃｅ 图 Ｆｉｇ．６ ＦＩＳ ｓｕｒｆａｃｅ ３．３．２ 仿真实验 已知数据：以“ｉｆ 在系统目录下创建文件 ａｎｄ 设 置文件时间为系统文件时间 ｔｈｅｎ 非法创建文件”为 例，因为各因素都是模糊语言值表示的概念，根据 “知识因素表示的关系模型”原理，给各因素假设一 个数字量的参考指数，指数满分为 １００，指数越高表 示确定度越大；反之越小。 待测数据：现有一未知恶意程序通过课题小组 建立的感知神经元行为分解并分析后得到条件“在 系统目录下创建文件因素指数 Ｘ１ ”和“设置文件时 间为系统文件时间指数 Ｘ２ ”。 表 １ 中，Ｆａｃｔｏｒ Ａ 代表“在系统目录下创建文件 因素指数 Ａ”，Ｆａｃｔｏｒ Ｂ 代表“设置文件时间为系统 文件时间因素指数 Ｂ”，Ｆａｃｔｏｒ Ｃ 代表“非法创建文 件因素指数 Ｃ”，Ｃｌａｓｓ 代表“每条规则对应的恶意程 序种类”。 将仿真结果统计如表 ２ 所示。 表 ２ 仿真结果数据统计表 Ｔａｂｌｅ ２ Ｒｅｓｌｕｌｔ ｄａｔａ （ｘ１ ，ｘ２ ） ＣＧ ＦＩＳ Ｒｕｌｅｓ Ｍａｘ Ｓｅｃ Ｉｎｆｅｒ Ｅｘ Ｖａｒ Ｒｕｌｅｓ Ｉｎｆｅｒ （９９，５０） １ ３ ７５．７８ ０．８５ １ ７５．５０ （７４，８７．９） ３ ２ ６１．３９ １２．１７ Ｎｕｌｌ ７４．４６ （３５，８３） ６ ２ ６２．１０ ０．３４ Ｎｕｌｌ ６０．０２ （４．５，５２．６） ８ ６ ３６．７５ ２１．６７ ８ ２０．８０ 表 ２ 中，（ｘ１ ，ｘ２ ）表示待测样本数据的条件 ａ 和 条件 ｂ 的参数；ＣＧ 表示云模型推理机方法，ＦＩＳ 表 示利用模糊工具箱实现的隶属度函数法；Ｒｕｌｅｓ 表示 触发规则，Ｍａｘ 表示激活强度最大的触发规则，Ｓｅｃ 表示次大，Ｎｕｌｌ 表示无触发规则；Ｉｎｆｅｒ 表示推理机 对待测样本的推测恶意度，Ｅｘ 表示期望，Ｖａｒ 表示 方差。 云推理机得到的恶意度分布图和隶属函数法得 到的规则图如图 ７ ～ １０ 所示（以（ ９９，５０） 和（ ７４， ８７．９）为例）。 第 ５ 期 熊柳，等：ＳＣＡＤＡ 安全因素神经元的云推理机研究与仿真 ·６９３·