随着自动化控制技术的发展,工控系统的网络环境由相对封闭变得不断开放,使得作为工业领域神经中枢的工控系统面临着更严峻的安全形势。Modbus/TCP作为工业领域最重要的协议之一,被广泛应用于石油、电力等国家关键基础设施行业,一旦遭到恶意攻击将造成严重的安全事故。本文进行了基于Modbus/TCP协议的异常检测算法的研究,主要工作包括以下三个方面:(1)针对Modbus/TCP协议的异常检测技术中特征选择仅局限于协议的网络属性或者通信逻辑属性的现状,进行了基于混合特征的机器学习异常检测算法的研究。本文首先取了22种特征数据并进行主成分分析。通过对比12种机器学习算法在不同数据集上的实验结果,从F值和构建模型所需的时间两方面进行评估,甄选出最佳的REP Tree决策树分类算法。(2)基于时序分析的异常检测技术。本文考虑到时间作为工业流量中的本质特性,分析了ICS网络流量的平稳性的原因,并进行了基于STAMP和基于LSTM的异常检测技术的研究。针对STAMP算法,本文出了一种基于Top-k的矩阵分布评估算法,此评估算法相比较传统的阈值法可有效的减少假阳性事件。实验结果证实,基于STAMP和基于LSTM的时序分析技术在ICS网络流量异常检测中具备优异的性能。(3)本文出了一种基于多数表决策略的混合模型。考虑到ICS网络异常数据少、安全需求高的特点,本文构建了基于多数表决策略的混合模型。实验结果证实此混合模型相比较候选模型可有效减少假阴性事件,更适用于工业环境的异常检测。