《表1 通信数据的选择特征和构造特征》

  提示：宽带有限、当前游客访问压缩模式

本系列图表出处文件名：随高清版一同展现

《工控网络局域可信计算环境构建方法与验证》

1. 获取 高清版本忘记账户？点击这里登录

1. 下载图表忘记账户？点击这里登录

本次实验的特征选择是从通信数据中直接提取典型的数据特征，如IP地址、端口号、标识符等。通过源IP地址和目的IP地址能够识别出发送恶意代码的攻击者身份信息，因此可以选择这两者作为数据特征[20]。由于提取的数据特征难以全面反映通信数据的行为模式，因此可采取构造相关行为特征的方法增加数据的特征数量。例如，模拟攻击源利用系统漏洞入侵某台设备，会在一段时间内连续攻击，因此可构造特征“10s内连接同一设备次数”。根据异常行为进行特征选择和特征构造的数据特征如表1所示。