CN104579818A - 智能变电站网络异常报文检测方法 - Google Patents

Abstract

本发明公开了一种智能变电站网络异常报文检测方法，通过对变电站中工业控制协议以及设备特有协议的分析，为每种协议分别制定报文规则；配置变电站交换机镜像端口，从交换机镜像端口接入变电站网络；从交换机镜像端口捕获变电站实时报文信息，解析捕获的报文，过滤掉空报文，提取得到报文的头信息和内容；将分析之后报文信息与报文规则进行匹配，检测并存储异常报文信息，并利用WEB端技术将检测得到的异常报文和报文的详细信息作为告警信息输出。利用变电站网络封闭性与协议固定性的特点，给出了较为可靠、准确的变电站异常报文识别方法，并最终实现变电站网络异常信息实时告警输出，辅助专业人员开展智能变电站信息安全的分析工作。

Description

智能变电站网络异常报文检测方法

技术领域

本发明涉及一种智能变电站网络异常报文检测方法，属于电网信息安全检测与防御技术领域。

背景技术

随着国内新一代智能电网的发展，智能变电站的推广建设，并逐步取代原有的常规变电站。智能变电站利用网络通信技术代替原有的点对点传输技术，简化了变电站的网络配置，提高了站内设备的互操作性。但是网络也为各种病毒木马程序的传播提供了便利，为恶意程序对其他设备发动攻击提供了途径。因此需要对变电站网络报文进行检测，发现其中的异常行为并告警。通常认为变电站这边封闭的工业控制系统不存在来自外部的威胁，因此目前缺乏针对变电站的异常检测与主动防御技术。

由于各种异常行为（恶意攻击、病毒程序、非法访问等）的传播与破坏都需要利用网络来完成，所以对网络报文深度分析是目前对网络异常行为进行监测的主要手段之一。变电站正式建成投运之后，内部的设备都是固定的且设备间的通信协议的类型也是固定的若干种。任何其余协议的报文都可以视为异常报文，存在产生信息安全问题的可能性，需要给出告警输出，以便引起变电站专业人员的关注，进行问题的排查。因此在对变电站固有协议制定规则的基础上，通过对变电站报文与已有规则的关联分析，可实现对变电站网络环境的异常检测。

发明内容

目的：为了克服现有技术中存在的不足，解决现有智能变电站网络安全监控和异常行为检测的不足等问题，本发明提供一种智能变电站网络异常报文检测方法，解决现有技术中因没有对变电站报文进行实时分析，进而无法开展变电站网络环境异常检测的技术问题。

技术方案：为解决上述技术问题，本发明采用的技术方案为：

一种智能变电站网络异常报文检测方法，包括如下步骤：

步骤一：通过对变电站中工业控制协议以及设备特有协议的分析，为每种协议分别制定报文规则；

步骤二：配置变电站交换机镜像端口，从交换机镜像端口接入变电站网络；

步骤三：从交换机镜像端口捕获变电站实时报文信息，解析捕获的报文，过滤掉空报文，提取得到报文的头信息和内容；

步骤四：将分析之后报文信息与报文规则进行匹配，检测并存储异常报文信息，并利用WEB端技术输出告警信息：检测得到的异常报文和报文的详细信息。

步骤一中所述制定报文规则包括如下步骤：

步骤1a：获取变电站正常运行时接入网络的网络设备；

步骤1b：获取每个网络设备通信使用的网络协议，相同的协议只需获取一次；

步骤1c：参考各自协议的制定标准，根据协议的端口、地址、长度、内容特征，为每个协议制定一种或多种报文规则；

步骤1d：增加常见协议的报文规则，增加的协议是设备间进行路由发现时所需的通用网络协议。

步骤二中配置变电站交换机镜像端口，从交换机镜像端口接入变电站网络，要求保证从镜像端口能够实时捕获到所有经过交换机报文的副本，并且报文内容具有完整性。

步骤三中解析捕获实时报文信息具体包括如下步骤：

步骤3a：从交换机镜像端口获取报文；

步骤3b：过滤掉无内容的TCP协议的控制报文，包括：ACK确认报文、FIN结束报文、RES复位报文、SYN同步报文；

步骤3c：从报文中提取以下信息：源IP地址、目的IP地址、源端口号、目的端口号、源Mac地址、目的Mac地址、长度、内容；对于一些Mac层协议的报文，前4个字段为空。

步骤四中异常报文的检测包括如下步骤：

步骤4a：对于任意一个报文，如果此报文不与任何一个规则匹配，那么此报文被标记为异常报文，否则此报文是正常的报文；

步骤4b：将异常报文信息保存到数据库中；

步骤4c：利用WEB技术，读取数据库中的异常报文信息，在客户端告警输出。

有益效果：本发明提供的智能变电站网络异常报文检测方法，与现有技术相比，本发明所达到的有益效果是：利用了变电站网络封闭性与协议固定性的特点，通过制定变电站报文规则、提取实时报文信息、解析报文内容、规则匹配这一系列流程，给出了较为可靠、准确的变电站异常报文识别方法，并最终实现变电站网络异常信息实时告警输出，辅助专业人员开展智能变电站信息安全的分析工作。解决现有技术中因缺乏对智能变电站异常报文识别导致无法发现变电站中的潜在风险，进而无法判断智能变电站安全风险的技术问题。

附图说明

图1是本发明的总体流程；

图2是规则制定流程；

图3是规则匹配流程。

具体实施方式

下面结合附图和实施例对本发明作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本发明的保护范围。

如图1所示，一种智能变电站异常报文检测方法，具体包括如下步骤：

步骤一：在某个变电站中，获得变电站中所有存在的网络协议并为每个协议制定规则。如图2所示，是规则制定流程图，具体的规则制定步骤如下：

步骤1a：初始化空的规则集合，并获取变电站所有网络的设备（直接或间接与交换机相连的设备）。

步骤1b：遍历所有设备，对于每个设备获取该设备的所有网络协议。

步骤1c：遍历该设备的所有网络协议，对于任意一个协议，如果规则集合中不存在该协议的规则，则在规则集合中增加该协议的规则。某个协议根据不同类型的报文可以的产生多个规则（如为请求报文和响应报文制定不同的规则）。每条规则包含以下4个方面的特征：端口、地址、报文长度、报文内容。如果协议的某个方面无法提取特征，则该方面的特征为null，如Mac层协议的报文不具备端口号，则端口的特征为null。其中，端口是指报文具有特定源或目的端口；地址是指广播类协议的报文目的地址在特定的范围内；报文长度是指报文内容具有固定长度或长度在某个范围内；报文内容是指报文内容中某些字段的取值是固定的，这些字段为该类报文的特征。

步骤1d：规则集合中增加以下常见协议的规则：ARP(Address Resolution Protocol)地址解析协议、SNMP(Simple Network Management Protocol)网络管理协议 、DHCP(Dynamic Host Configuration Protocol)动态主机配置协议、ICMP(Internet Control Message Protocol)Internet控制信息协议。这些协议是设备间通信在进行路由时所需的协议。输出规则集合。

步骤二：依据交换机的使用说明，配置其的镜像端口，配置完成之后，可通过以下方式验证配置的有效性：使用一台机器接入站控层镜像端口，安装并使用Wireshark软件捕获报文，如果发现某个非广播数据报文的源和目的地址都不是本机地址，则说明镜像端口配置有效。

步骤三：从交换机镜像端口捕获变电站实时报文信息，过滤掉TCP协议的控制报文，包括：ACK确认报文、FIN结束报文、RES复位报文、SYN同步报文报文，这些报文的内容为空，无法传递恶意信息报文。从余下的报文中提取以下信息：源IP地址、目的IP地址、源端口号、目的端口号、源Mac地址、目的Mac地址、长度、内容。对于某些Mac层协议的报文，前4个字段的信息为空。

步骤四：分析变电站实时报文是否存在异常。如图3所示，是规则匹配流程图，具体的规则匹配步骤如下：

步骤4a：获取经过步骤三处理的报文，获取步骤一产生的所有规则。

步骤4b：遍历所有规则，判断报文与该规则是否匹配。报文与某条规则的所有不为null的特征匹配，才可认为报文与该规则匹配。其中，端口特征要求是报文的源（目的）端口与规则中的源（目的）端口一致；地址特征要求报文的目的地址在规则规定的范围内；长度特征要求报内容的长度在规则规定的范围内；报文内容特征要求报文内容中某些字段的取值与规则规定的一致。

步骤4c：对于不与任何一个规则匹配的报文，认定为异常报文，将此类报文信息保存到数据库中。否则视为正常报文。该报文处理之后，返回步骤三捕获并处理下一个报文。

步骤4d：定期读取数据库中的最新异常报文信息，通过WEB技术展示，该步骤与步骤4a-4c并行执行。

以上所述仅是本发明的优选实施方式，应当指出：对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (5)

1.智能变电站网络异常报文检测方法，其特征在于，包括如下步骤：

步骤一：通过对变电站中工业控制协议以及设备特有协议的分析，为每种协议分别制定报文规则；

步骤二：配置变电站交换机镜像端口，从交换机镜像端口接入变电站网络；

步骤三：从交换机镜像端口捕获变电站实时报文信息，解析捕获的报文，过滤掉空报文，提取得到报文的头信息和内容；

步骤四：将分析之后报文信息与报文规则进行匹配，检测并存储异常报文信息，并利用WEB端技术输出告警信息：检测得到的异常报文和报文的详细信息。

2.根据权利要求1所述的智能变电站网络异常报文检测方法，其特征在于：步骤一中所述制定报文规则包括如下步骤：

步骤1a：获取变电站正常运行时接入网络的网络设备；

步骤1b：获取每个网络设备通信使用的网络协议，相同的协议只需获取一次；

步骤1c：参考各自协议的制定标准，根据协议的端口、地址、长度、内容特征，为每个协议制定一种或多种报文规则；

步骤1d：增加常见协议的报文规则，增加的协议是设备间进行路由发现时所需的通用网络协议。

3.根据权利要求1所述的智能变电站网络异常报文检测方法，其特征在于：步骤二中配置变电站交换机镜像端口，从交换机镜像端口接入变电站网络，要求保证从镜像端口能够实时捕获到所有经过交换机报文的副本，并且报文内容具有完整性。

4.根据权利要求1所述的智能变电站网络异常报文检测方法，其特征在于：步骤三具体包括如下步骤：

步骤3a：从交换机镜像端口获取报文；

步骤3b：过滤掉无内容的TCP协议的控制报文，包括：ACK确认报文、FIN结束报文、RES复位报文、SYN同步报文；

步骤3c：从报文中提取以下信息：源IP地址、目的IP地址、源端口号、目的端口号、源Mac地址、目的Mac地址、长度、内容；对于一些Mac层协议的报文，前4个字段为空。

5.根据权利要求1所述的智能变电站网络异常报文检测方法，其特征在于：步骤四中异常报文的检测包括如下步骤：

步骤4a：对于任意一个报文，如果此报文不与任何一个规则匹配，那么此报文被标记为异常报文，否则此报文是正常的报文；

步骤4b：将异常报文信息保存到数据库中；

步骤4c：利用WEB技术，读取数据库中的异常报文信息，在客户端告警输出。