CN105306487A - 基于虚拟元件主动诱骗的电力调度scada入侵检测方法 - Google Patents

Abstract

一种基于虚拟元件主动诱骗的电力调度SCADA入侵检测方法，是于现有实际电力调度SCADA数据库表中插入虚拟的输、配电线路、发电机、变压器元件数据及相关联的断路器元件数据，使电力调度SCADA系统生成相应的虚拟线路、发电机、变压器及断路器，以诱使侵入该SCADA系统的恶意软件遥控该些虚拟元件跳闸，并使虚拟断路器的遥控IP地址、MAC地址和端口号指向该电力调度SCADA系统的入侵检测系统。当恶意软件入侵，向虚拟断路器对应的IP地址、MAC地址和端口号发出控制命令信号时，入侵检测系统即可判定有恶意软件入侵，将电力调度SCADA系统控制功能闭锁或切换到备用系统，避免入侵的恶意软件遥控实际的重要发电机、变压器和线路退出运行，以保障电网安全。能显著提高SCADA系统的信息安全主动防护能力。

Description

基于虚拟元件主动诱骗的电力调度SCADA入侵检测方法

技术领域

本发明涉及一种电力调度SCADA系统入侵检测方法，具体涉及一种基于主动诱骗、虚拟重要元件引诱入侵者攻击的入侵检测方法。

背景技术

作为现代社会的关键性基础设施，电力系统是网络攻击的高价值目标。在电力系统的数字化和网络化发展过程中，电力系统逐渐发展成为由信息系统和物理电网融合构成的混杂系统。其中，电网的调度控制和生产管理高度依赖于信息系统，发生信息安全事件可能引发的后果显著上升。美国还专门组建网络司令部，专门从事电力等领域的网络攻击与防卫研究。

当前，电力系统信息安全研究侧重于边界防护，对恶意软件入侵以后的行为模式与防护方法研究相对有限。2010年新出现的震网病毒（Stuxnet），可以通过优盘传播攻击物理隔离的特定重要目标。采用类似震网病毒的方式，由有深厚电力系统背景知识的有组织攻击方制作的恶意软件侵入电力系统实时控制区，确实是存在现实可能性的。

为保证生产控制区的信息安全，它和其他电力信息系统在网络物理层实现隔离，如在调度中心和厂站之间通过专用的调度数据网进行经认证加密的远程通信，同一厂站的不同安全区之间设置隔离防火墙，并在生产控制大区边界设置入侵检测系统；对设备厂家的拨号接入采用加密、认证和访问控制措施，在安全区内则对恶意代码等攻击行为通过离线更新病毒库、木马库、入侵检测库等方式防护。总体来看，电力信息安防主要针对网络和基于网络的电力生产控制系统，重点强化边界防护，提高内部安全防护能力。传统上，物理隔离被认为是网络攻击难以逾越的天然屏障，包括电力系统在内、对安全性有较高要求的信息系统都以此为准则构建核心网络。当前，电力企业的信息安全防御思想主要还是侧重于边界防护，并假定隔离的生产网络自身是安全的。

总体来看，电力信息安防主要针对网络和基于网络的电力生产控制系统，重点强化边界防护，提高内部安全防护能力。传统上，物理隔离被认为是网络攻击难以逾越的天然屏障。2010年出现的震网病毒颠覆了这一认识。首先，该病毒借助强化设计的优盘传播机制，可以绕过安全边界攻击物理隔离的工业控制系统；其次，因杀毒软件仅能查杀已知病毒，而震网病毒利用多个零日漏洞，杀毒软件无法查杀；最后，因震网病毒有精确的破坏目标且对目标系统有深刻认识，它不会像普通病毒、木马一样大肆传播，还可以无需通信试探即可准确修改攻击目标的控制参数、实施破坏，这种行为模式与一般的恶意软件和病毒有明显差异，现有的被动式入侵检测系统很难准确捕捉。综上，当前对类似震网病毒的恶意软件缺乏针对性的防御手段。

在电力企业的各种信息系统中，调度SCADA涉及电网全局的监视与控制，一旦侵入即可能造成全网性事故，是最具价值的攻击目标。为保障调度SCADA系统的信息安全，我国电力企业将其置于最核心的生产控制安全Ⅰ区，和其他安全区之间在网络物理层实现隔离。在调度SCADA和厂站之间通过专用的调度数据网进行经认证加密的远程通信，并在生产控制大区边界设置入侵检测系统；对设备厂家的拨号接入采用加密、认证和访问控制措施，在安全区内则对恶意代码等攻击行为通过离线更新病毒库、木马库、入侵检测库等方式防护。

对电力系统及调度SCADA有深入认识的有组织攻击方，同样可以采用类似震网病毒的传播机制，经系统或设备厂家维护升级渠道，绕过安全防护边界侵入生产控制安全区向SCADA发起针对性攻击。由于SCADA系统对电网、一次设备及其控制地址和端口均以数据表形式记录，图1即为根据网络公开渠道搜集的电力调度SCADA系统数据库表结构信息。对有组织攻击方而言，其可根据SCADA的详细数据表结构，查找各变压器、发电机及输配电线路的信息及其关联断路器的IP地址、MAC地址和端口号，再根据SCADA的通信协议发送跳闸控制命令和返校信号，诱使线路跳闸。为了最大化破坏效果，熟知调度SCADA系统结构的攻击方还可获取电网信息，控制对电网安全稳定运行有突出影响的、具有较高电压等级的线路、具有较大发电装机容量的发电机或是具有较高电压等级和较大变电容量的变压器关联的断路器跳闸，以扩大破坏效果，造成大面积停电事故。从攻击方入侵目的出发，可以为实现电力调度系统的主动信息安全防护提供新的思路。

发明内容

本发明所要解决的技术问题是：针对上述现有技术中具有很好的边界防护能力的调度SCADA系统面临的类似震网病毒对其内部攻击的信息安全问题，提供一种基于虚拟元件主动诱骗的电力调度SCADA入侵检测方法。该方法是以现有实际电网的电力调度SCADA系统及其入侵检测系统为基础,在现有实际电网的电力调度SCADA系统数据库表中插入虚拟发电机、变压器、线路数据及与之关联的断路器元件数据，以于该SCADA系统中生成对应的虚拟元件，然后将虚拟断路器的遥控IP地址、MAC地址和端口号指向该现有实际电网的入侵检测系统。当入侵检测系统接收到发送给虚拟断路器的控制命令时即可判定有恶意软件入侵，并将控制命令信号转发给入侵检测系统的报警系统，发出警报。

为了解决上述技术问题，本发明所采用的技术方案是：一种基于虚拟元件主动诱骗的电力调度SCADA的入侵检测方法，其特点是，该方法是根据现有实际电网的电力调度SCADA数据库表，按拓扑连接关系虚拟数组输配电线路数据、变压器数据及发电机数据，并虚拟与该输配电线路数据、变压器数据及发电机数据相关联的断路器数据，将该些虚拟数据插入该电力调度SCADA数据库表中，使与该电力调度SCADA数据库表相对应的电力调度SCADA系统中生成相对应的虚拟输配电线路、变压器、发电机及断路器，诱使恶意软件先攻击该虚拟的输配电线路、变压器和发电机；同时设置该虚拟断路器的遥控IP地址、MAC地址和端口号，并将其指向该实际电网的电力调度SCADA系统的入侵检测系统；一旦恶意软件入侵，攻击虚拟输配电线路、变压器及发电机，遥控与被攻击的虚拟输配电线路、变压器和发电机相关联的虚拟断路器跳闸，向该虚拟断路器对应的遥控IP地址、MAC地址和端口号发出控制命令信号时，入侵检测系统即可检测到发送给该虚拟断路器的控制命令信号并判定有恶意软件入侵，同时将该控制命令信号转发到其报警系统，由报警系统发出警报。

本发明还可根据恶意攻击方选择攻击目标偏好，选择性设置虚构发电机、变压器和线路及其关联断路器，提高快速准确检测入侵及攻击行为的成功率。因恶意软件攻击是以最大程度破坏电网稳定为目标，为提高诱捕恶意攻击软件的准确性，需将部分虚拟线路、发电机、变压器及断路器设置为具有较高电压等级和容量的发电机、变压器、线路和断路器，使得恶意软件优先遥控虚拟断路器。最好是使上述大部分虚拟输、配电线路数据对应的线路的电压等级等于实际电网的电力调度SCADA系统中输、配电线路的最高电压等级；同样，大部分虚拟变压器数据对应的虚拟变压器的电压等级和变电容量等于实际电网的电力调度SCADA系统中的最高变压器电压等级和最大变电容量；大部分虚拟发电机数据对应的虚拟发电机的装机容量等于实际电网的电力调度SCADA系统中的最大发电机装机容量。设计虚拟线路、变压器和发电机时，需先根据现有实际电网的电力调度SCADA数据库表提供的电网数据，找出实际电压等级最高的输配电线路、最高电压等级和最大变电容量的变压器、发电容量最大的发电机，再设置虚拟输配电线路、变压器和发电机的电压和容量。

本发明利用虚拟输配电线路、变压器及发电机诱骗攻击方（恶意软件）攻击的特点，并为吸引恶意软件优先攻击该些虚拟元件，在现有实际电网的电力调度SCADA数据库表中按上段中的规则插入数台虚拟变压器的数据、数台虚拟发电机的数据及数条虚拟输、配电线路的数据，并虚拟与该虚拟线路、变压器和发电机相关联的断路器元件数据，以于与该现有实际电网的电力调度SCADA数据库表对应的电力调度SCADA系统中生成虚拟线路、虚拟变压器、虚拟发电机及虚拟断路器，作为该现有实际电网的电力调度SCADA系统的入侵检测系统的诱饵，诱使攻击方先攻击该些虚拟输配电线路、发电机和变压器。如此，一旦恶意软件入侵，向该些虚拟断路器对应的遥控IP地址、MAC地址和端口号发出控制命令信号时，入侵检测系统即可判定有恶意软件入侵，以便将电力调度SCADA系统控制功能闭锁或切换到备用电力调度SCADA系统，避免入侵的恶意软件遥控实际电网中的重要发电机、变压器和线路退出运行，切断恶意软件破坏电网安全稳定运行的渠道，保障电网安全；同时还可捕捉恶意软件样本，解析其入侵途径和攻击模式。本方法有别于传统的被动防御方法，不受攻击模式的影响，能够提前发现入侵者攻击，降低危害。

本发明方法以恶意软件模拟遥控SCADA动作为反制目标，不受恶意软件入侵方式与途径影响，识别准确率高，可明显提高电力SCADA系统的信息安全主动防护能力。

附图说明

图1为现有实际电网的电力调度SCADA数据库表结构示意图。

具体实施方式

本发明为一种基于虚拟元件主动诱骗的电力调度SCADA的入侵检测方法，是以现有电力系统的脆弱性分析为基础，在现有实际电网的SCADA系统内插入虚拟输配电线路、变压器及发电机，然后插入相关的虚拟断路器及其遥控IP地址、MAC地址和端口号，并将该些IP地址、MAC地址和端口号指向现有实际电网的SCADA系统的入侵检测系统。当恶意软件入侵，向虚拟断路器对应的遥控IP地址、MAC地址和端口号发出控制命令信号时，入侵检测系统即可检测到并判定有恶意软件入侵，将SCADA系统控制功能闭锁或切换到备用SCADA系统，避免入侵的恶意软件遥控实际电网的重要发电机、变压器和线路退出运行，保障电网安全。并可根据入侵检测系统功能，捕捉恶意软件样本，解析其入侵途径和攻击模式，制定相应的防御和解决措施。

本发明的主动诱骗的入侵检测方法是在该现有实际的电力调度SCADA数据库表（图1）中，插入按要求构建的虚拟数据，以诱骗攻击方对虚假数据进行攻击。现有电网元件重要性分析方法能够为虚构变压器、发电机、线路数据数量和规则提供依据。由于现在电力系统脆弱性评估在本领域已有充分的研究，也为普通技术人员所知晓，因此不再赘述。

需要说明的是，不同电网公司可能采用不同厂家、不同型号的电力调度SCADA系统，为了说明本方法在现有实际电网的电力调度SCADA系统中的应用，本说明采用的是图1所示的公开渠道搜集的OPEN3000系统数据库表结构信息。

本发明的电力调度SCADA系统入侵检测方法具体如下：

1、从现有实际电网的电力调度SCADA数据库表中，获取该电网输配电线路、发电机和变压器数据信息，确定典型的电压等级、发电机容量和变压器变电容量。

2、基于上述步骤整理的电网信息，根据已有电力系统脆弱性理论分析，按照电力系统线路、节点的脆弱性分析规则，设计数条虚拟输、配电线路，为引诱恶意软件对实际电网中线路尤其是关键线路进行攻击，应设置大部分虚拟线路的电压等级等于实际电网中的最高线路电压等级，为提高虚拟线路在拓扑指标下的重要程度，还应根据脆弱性理论设置虚拟线路接入实际电网的拓扑关系，同时将设计的虚拟输配电线路对应的虚拟线路数据根据拓扑连接关系插入到实际电网的电力调度SCADA数据库表的线路数据表中，使实际电网的电力调度SCADA系统中对应生成相应的虚拟输、配电线路；同时设计数台虚拟变压器和数台虚拟发电机，为引诱恶意软件攻击该些虚拟变压器和虚拟发电机，应使大部分的虚拟变压器的电压等级和变电容量等于该实际电网中的最高变压器电压等级和最大变电容量，应使大部分的虚拟发电机的装机容量等于该实际电网中的最大发电机装机容量，再将虚拟变压器和发电机对应的虚拟变压器数据和虚拟发电机数据根据拓扑连接关系分别插入到该实际电网的电力调度SCADA数据库表的变压器和发电机数据表中，使实际电网的电力调度SCADA系统中生成对应的虚拟变压器和虚拟发电机。同时，设计与该插入的虚拟输配电线路、变压器和发电机数据相关的虚拟断路器数据，并根据拓扑连接关系将断路器数据插入该电力调度SCADA数据库表中以于SCADA系统中生成对应的虚拟断路器，诱使攻击方（恶意软件）先攻击该些虚拟的输配电线路、变压器和发电机，同时设置该虚拟断路器的遥控IP地址、MAC地址和端口号，并将该遥控IP地址、MAC地址和端口号指向该实际电网的电力调度SCADA系统的入侵检测系统。

3、判断是否有入侵攻击

当恶意软件入侵该电力调度SCADA系统，向虚拟元件（虚拟的输配电线路、变压器及发电机）对应的虚拟断路器发出跳闸控制命令信号，攻击该些虚拟线路、变压器和发电机时，入侵检测系统能检测到该控制命令信号即可判定有恶意软件入侵并将该控制命令信号转发到入侵检测系统的报警系统，发出警报，同时，入侵检测系统闭锁SCADA系统或者切换到备用SCADA系统中，以防止大规模事故。

Claims (4)

1.一种基于虚拟元件主动诱骗的电力调度SCADA的入侵检测方法，其特征在于，该方法是根据现有实际电网的电力调度SCADA数据库表，按拓扑连接关系虚拟数组输配电线路数据、变压器数据及发电机数据，并虚拟与该输配电线路数据、变压器数据及发电机数据相关联的断路器数据，将该些虚拟数据插入该电力调度SCADA数据库表中，使与该电力调度SCADA数据库表相对应的电力调度SCADA系统中生成对应的虚拟输配电线路、变压器、发电机及断路器，诱使恶意软件先攻击该虚拟输配电线路、变压器和发电机；同时设置该虚拟断路器的遥控IP地址、MAC地址和端口号，并将其指向该电力调度SCADA系统的入侵检测系统；一旦恶意软件入侵，攻击虚拟输配电线路、变压器及发电机，遥控与被攻击的虚拟输配电线路、变压器和发电机相关联的虚拟断路器跳闸，向该虚拟断路器对应的遥控IP地址、MAC地址和端口号发出控制命令信号时，入侵检测系统即可检测到发送给该虚拟断路器的控制命令信号并判定有恶意软件入侵，同时将控制命令信号转发到其报警系统，由报警系统发出警报。

2.如权利要求1所述的基于虚拟元件主动诱骗的电力调度SCADA入侵检测方法，其特征在于，为提高诱捕恶意软件攻击的准确性，将大部分虚拟发电机、变压器及输配电线路设置为具有较高电压等级和容量的虚拟发电机、变压器和输配电线路，使得恶意软件先遥控与该些虚拟发电机、变压器和输配电线路相关联的虚拟断路器。

3.如权利要求2所述的基于虚拟元件主动诱骗的电力调度SCADA入侵检测方法，其特征在于，所述虚拟输配电线路的电压等级等于实际电网中输配电线路的最高电压等级；该虚拟变压器的电压等级和变电容量等于实际电网中的最高变压器电压等级和最高变电容量；该虚拟发电机的装机容量等于实际电网中发电机的最高装机容量。

4.如权利要求1所述的基于虚拟元件主动诱骗的电力调度SCADA入侵检测方法，其特征在于，当入侵检测系统判定有恶意软件入侵时，闭锁该电力调度SCADA系统控制功能，或切换到备用电力调度SCADA系统。