CN106295323A - 基于云安全的高级计量体系恶意软件检测方法 - Google Patents

Abstract

一种基于云安全的高级计量体系恶意软件检测方法，是利用高级计量体系运行环境封闭而固定的特点，先于计量中心架设建有智能电表、数据集中器和用电负荷管理终端运行的合法进程白名单的云端安全服务器；再于智能电表、数据集中器和用电负荷管理终端中装设进程检测模块以定期将检测到的运行进程的哈希值特征码上传至云端安全服务器与白名单进行比对，若不在白名单中，则判定为遭受恶意软件入侵。本发明将恶意软件的检测转移至云端安全服务器执行，智能电表、数据集中器和用电负荷管理终端只需进行进程哈希值计算和上传，对智能电表、数据集中器和用电负荷管理终端的计算性能及通信带宽要求不高，特别适用于高级计量体系有限计算能力和通信带宽约束下的信息安全防护需求。

Description

基于云安全的高级计量体系恶意软件检测方法

技术领域

本发明涉及一种基于云安全的高级计量体系的恶意软件检测方法，具体涉及一种基于云安全的高级计量体系的智能电表、数据集中器和用电负荷管理终端的恶意软件检测方法。

背景技术

高级计量体系(AMI)是智能电网中实现电网与电力用户双向互动，优化资源配置的基础，其包括计量中心侧服务器、用户侧的智能电表、数据集中器和用电负荷管理终端，以及该服务器与用户侧智能电表、数据集中器和用电负荷管理终端之间的通信通道。其中，智能电表是指单个用户的表计；由公用变压器供电的小区设置有数据集中器，负责收集各用户智能电表数据并上传到计量中心；用电负荷管理终端则负责管理由专用变压器供电的工业、商业大用户。高级计量体系基于开放式双向通信平台，结合用电计量技术，以一定的方式采集并管理电网数据，提高负荷侧的可控程度，最终达到智能用电的目的。其中，除用户侧智能电表以外部分成为用电信息采集系统。

智能电网环境下，高级计量体系依赖开放通信环境和标准通信协议进行双向互动，各种利益相关方的存在显著增加了遭受网络攻击的信息安全风险，明显提高了网络安全防护的难度。高级计量体系中用户侧表计的网络安全防护具有鲜明的特点。

智能电表、数据集中器和用电负荷管理终端数量众多，且绝大多数安装在用户侧户外，无法构建专用通信网，只能采用载波、GPRS等无线通信方式进行通信，通信带宽和媒介具有显著的异构性。

智能电表、数据集中器和用电负荷管理终端传输的是电价、用电信息及控制指令等直涉及经济利益和隐私的敏感信息，容易遭到利益相关方攻击。

智能电表、数据集中器和用电负荷管理终端一般基于嵌入式系统开发，需集 成计量、功率计算、显示管理、数据管理、外部通信和自动抄表通信协议等完整功能及自身状态监测等反窃电措施，可用计算资源有限。限于成本，难以采用要求较高的安全防护措施。

为满足双向互动需求下集成更多功能的需要(如高密度数据测量存储、双向通信与计费、电能质量检测及未来家庭能量管理等)，三相智能电表、数据集中器和用电负荷管理终端大多采用ARM等32位嵌入式处理器，并使用ucLinux等嵌入式操作系统以方便多进程并发资源管理。操作系统存在的堆栈溢出等bug，将进一步放大遭遇网络攻击的风险。

针对用户侧智能电表、数据集中器和用电负荷管理终端进行的网络攻击，不仅可以获取用户隐私信息、篡改用电信息，造成电量损失、影响供电公司经济效益，还可以向大批量表计发送错误信息，造成大规模用户停电，可能影响电网安全运行。2009年，美国黑帽大会上就曾演示验证了蠕虫病毒可以在24h内感染1.5万户家庭的智能电表，并使得被感染家庭失去电力供应造成大面积停电事故。

当前，我国高级计量体系的用户侧智能电表、数据集中器和用电负荷管理终端的表盖出厂封印和编程开关封印，形成对结构和外型上的安全防护，构成第一道防线。在此基础上，还采用基于集成硬件加密模块的硬件加密技术进行身份认证和加密通信，以保障开放环境下采用标准协议通信的安全。与外界通信时，首先需要利用加密和解密算法进行身份认证，确认对方身份；然后才能将通信数据加密传输，以保障数据的机密性和完整性。

需要指出的是，一旦破解加密算法、突破身份认证和通信加密的防护屏障，智能表计将直面网络攻击的威胁。2014年阿姆斯特丹黑帽大会上，研究人员破解了西班牙电网公司智能电表采用的AES-128bit对称加密算法，侵入表计后注入并执行恶意代码，通过篡改电表标识码调整电量读数实现窃电，并指出还可以此为跳板向相邻电表发起类似攻击，甚至可能控制电表跳闸，切断用户供电。

在一般计算机系统中，通常采取装载病毒、木马恶意软件查杀软件的方式 强化安全防护能力。传统恶意软件查杀机制主要通过目标文件特征码鉴定方式查杀木马和病毒等恶意软件。该方式下需要下载恶意软件特征库，然后将目标文件的特征码和特征库内病毒特征逐条比对，若能匹配上病毒特征则判定为病毒文件，病毒检测准确程度取决于特征库是否完整全面。对于新出现的病毒，需要在部分用户感染病毒并反馈后，网络安全公司才能给出病毒特征码，再由用户下载升级病毒库后完成本地查杀防护。随着互联网技术的深入发展，各类新型病毒不断涌现，病毒特征库容量持续快速膨胀，一般杀毒软件的病毒特征库已达几十至上百兆。这不但使得病毒特征库占用的用户内存和系统资源越来越多，也使得病毒扫描效率不断下降，对普通计算机系统的性能产生极大影响，更不可能适用于基于嵌入式系统开发、计算和通信资源极为有限的智能电表、数据集中器和用电负荷管理终端。

新世纪以来，通过网络汇聚的计算、存储、数据和应用资源随着网络规模的扩大而不断增加，使得网络可以从传统意义的通信平台转化为泛在、智能的计算平台。云计算整合分布在网络上的大量数据、存储和计算资源，协同形成一体化工作环境，可以按用户需要提供所需服务。云计算可以通过规模经济和资源共享降低成本，削减用户为满足短暂尖峰需求而购置和维护大量资源所需付出的代价。

云安全是云计算技术和理念在信息安全防护领域的应用。在云安全病毒检测体系下，用户计算机上采用轻客户端策略，将分析计算工作以及病毒特征库等全部转移至云端，在本地主要依赖文件哈希值比对、文件样本启发式分析和行为分析等基于规则的检测技术对可疑文件进行分析判断。发现可疑文件时上传该文件哈希值至云端服务器集群，服务器端对该文件哈希值进行黑名单比对，发现异常则生成解决方案发送至客户端，未发现异常则由客户端则提取文件样本，经过服务器端对该文件样本的启发式分析检测后，发现异常则生成解决方案；若仍未发现异常，客户端软件则搜集该文件运行过程中的行为特征上传至服务器进行行为分析，服务器最终判定该文件是否可信并向客户端发送解决方 案。

上述云安全方案能有效降低对客户端计算能力的要求，对于高级计量体系的智能电表、数据集中器和用电负荷管理终端等有借鉴价值，但因智能电表、数据集中器和用电负荷管理终端与普通计算机系统相比还存在显著的差异，前述基于黑名单的云安全方案并不一定适用，具体原因如下：

智能电表、数据集中器和用电负荷管理终端性能有限，不足以支持对本地异常行为的分析和样本启发式分析，只可能承担扫描进程、计算和上传进程哈希值特征码的计算工作。

基于黑名单的云安全防护是一种被动安全防御手段，它必须在恶意软件造成攻击破坏后，从恶意软件中检测识别分析出特征代码，才可以有效应对。基于云安全的黑名单对比恶意软件检测可以限缩恶意软件攻击破坏的范围，从而降低危害。由于可能存在千千万万种恶意软件，需要对网络安全防护有非常深入研究的安全专家才能检测和识别恶意软件，并维护好记录恶意软件信息的黑名单，电力行业在人员构成和安全防护知识能力水平上难以达到此要求。

白名单是一种基于授权的主动安全防御手段，是在确认安全之后再授权的机制，防御等级高于黑名单。对于高级计量体系中智能电表、数据集中器和用电负荷管理终端等专用型智能设备而言，启动运行后操作系统的环境是封闭的固定环境，其中运行的往往就是嵌入式操作系统和厂家初始安装的少数几个业务所需程序进程，仅能完成有限的特定功能。因此，可以考虑将智能电表、数据集中器和用电负荷管理终端出厂时运行的所有进程设置为白名单，而将不在白名单之列的所有进程均视为非法程序。如厂家出产新型号的智能电表、数据集中器和用电负荷管理终端或升级软件包，将其中的进程加入白名单即可完成白名单的维护更新。由此可显著降低云端安全服务器侧识别检测恶意软件的难度。

发明内容

本发明所要解决的技术问题是，针对上述现有技术中高级计量体系的智能电表、数据集中器和用电负荷管理终端计算和通信资源有限，无法在客户端下载病毒、木马恶意软件特征库进行病毒检测的问题，提供一种基于云安全的高级计量体系恶意软件检测方法。该方法首先在高级计量体系的计量中心架设的云端安全服务器建立和维护记录有智能电表、数据集中器和用电负荷管理终端合法进程信息的白名单，再在智能电表、数据集中器和用电负荷管理终端中装设进程监测模块，以定期枚举所有运行的进程并计算该些进程的哈希值特征码，然后将该些进程的哈希值特征码上传至云端安全服务器，与白名单进行比对，若不存在于白名单之列，则判定可能遭受恶意软件入侵，本方法特别适合于计算和通信资源有限的高级计量体系中智能电表、数据集中器和用电负荷管理终端是否遭受恶意软件入侵的检测。

为了解决上述技术问题，本发明所采用的技术方案是：一种基于云安全的高级计量体系恶意软件检测方法，该方法是以现有高级计量体系为基础，首先在高级计量体系的计量中心端构建云端安全服务器，并于该云端安全服务器内设置恶意软件检测模块和数据库，该数据库内建立有智能电表、数据集中器和用电负荷管理终端接入电网前的合法进程名称、大小、哈希值特征码和功能描述信息的白名单；再于智能电表、数据集中器和用电负荷管理终端中设置进程监测模块，以定期检测智能电表、数据集中器和用电负荷管理终端中运行的所有进程和计算各进程的哈希值特征码；该进程监测模块将检测计算后的各进程的哈希值特征码及与该哈希值特征码相对应的智能电表、数据集中器和用电负荷管理终端的编号通过用电信息采集系统上传至该计量中心的云端安全服务器数据库；同时，该云端安全服务器的恶意软件检测模块则将上传至数据库中的进程哈希值特征码与数据库的白名单中的进程哈希值逐一对比，若上传的新增进程哈希值特征码存在于白名单中，则判定为合法进程，不作处理；否则视该哈希值特征码对应的智能电表、数据集中器或用电负荷管理终端异常，告警由用电管理人员现场处置。

上述提及的数据库白名单是利用高级计量体系运行环境封闭而固定的特点，利用智能电表、数据集中器和用电负荷管理终端为封闭的专用系统且同一批号设备运行进程相同的特点，在安装接入电网前，对每一批号的智能电表、数据集中器或用电负荷管理终端前进行运行进程的检测，并将各进程的名称、大小、哈希值特征码及功能描述等相关信息作为合法进程信息记录于云端安全服务器数据库中而形成。当安全服务器数据库中的合法进程信息发生变化时，能起到维护和更新白名单的作用。

上述提及的进程的哈希值特征码是采用MD5、SHA-1或SM3等散列函数算法计算得到。该散列函数算法将任意长度的二进制值映射为固定128位长度的二进制哈希值。在进程发生任何变化时，对应计算的哈希值特征码也会发生明显变化，所以可以将哈希值特征码作为进程的唯一身份标识。

与现有技术相比，本发明在云端安全服务器仅采用合法进程白名单，在智能电表、数据集中器和用电负荷管理终端中进行进程的枚举和哈希值特征码的计算和上传，显著降低了对客户端的计算和带宽要求，能够在智能电表、数据集中器和用电负荷管理终端的计算和通信带宽约束内实现恶意软件的检测。此外，本发明考虑到智能电表、数据集中器和用电负荷管理终端运行环境封闭而且固定的特点，在同一批号的智能电表、数据集中器和用电负荷管理终端在安装使用之前进行运行进程的检测，并将其中的进程信息添加到合法程序白名单，能有效简化白名单的形成，降低检测恶意软件等非法进程的难度。

本领域技术人员不难将本方法推广应用于具有类似计算、通信能力有限且运行环境封闭、固定的电动汽车充电桩、电视机机顶盒及智能化家居和智能化城市的智能终端中。

附图说明

图1是本发明方法的流程框图。

具体实施方式

本发明为一种基于云安全的高级计量体系恶意软件检测方法，结合参见图 1，是以现有高级计量体系为基础，首先在高级计量体系的计量中心端构建云端安全服务器，并于该云端安全服务器内设置恶意软件检测模块和数据库，该数据库内建立有智能电表、数据集中器和用电负荷管理终端接入电网前的合法进程名称、大小、哈希值特征码和功能描述信息的白名单；再于智能电表、数据集中器和用电负荷管理终端中设置进程监测模块，以定期检测智能电表、数据集中器和用电负荷管理终端中运行的所有进程和计算各进程的哈希值特征码；该进程监测模块将检测计算后的各进程的哈希值特征码及与该哈希值特征码相对应的智能电表、数据集中器和用电负荷管理终端的编号通过用电信息采集系统上传至该计量中心的云端安全服务器数据库；同时，该云端安全服务器的恶意软件检测模块则将该上传至数据库的进程的哈希值特征码与数据库的白名单中的进程哈希值逐一对比，若新增进程的哈希值特征码存在于白名单中，则判定该进程为合法进程；否则判断遭恶意软件等非法进程侵入，云端安全服务器告警通知用电管理人员现场处置该进程的哈希值特征码对应的智能电表、数据集中器或用电负荷管理终端。

本发明于在计量中心内增设云端安全服务器，该云端安全服务器内包含记录智能电表、数据集中器、用电负荷管理终端上报进程特征码的数据库和恶意软件检测模块，并维护有合法进程的白名单。本发明的云端安全服务器的工作过程具体如下：

1)所有型号的智能电表、数据集中器和用电负荷管理终端安装接入电网前，检测其中所有进程的名称、功能、大小及哈希值特征码，记录形成云端安全服务器上的白名单。

2)计量中心云端安全服务器的数据库接收智能电表、数据集中器和用电负荷管理终端定期枚举出的运行的所有进程的哈希值特征码(利用散列算法计算得到的唯一标识)及与该进程的哈希值特征码对应的智能电表、数据集中器和用电负荷管理终端表计编号。

3)计量中心云安全病毒检测模块检测到数据库中新增智能电表、数据集中 器和用电负荷管理终端上传的进程哈希值特征码时，将其与白名单进行对比分析。如发现有进程在白名单之列，不作处理；发现不在白名单之列时，告警通知用电管理人员现场处置。

Claims (2)

1.一种基于云安全的高级计量体系恶意软件检测方法，其特征在于，该方法是以现有的高级计量体系为基础，首先在高级计量体系的计量中心侧构建云端安全服务器，并于该云端安全服务器内设置恶意软件检测模块和数据库，该数据库内建立有智能电表、数据集中器和用电负荷管理终端接入电网前的合法进程名称、大小、哈希值特征码和功能描述信息的白名单；再于智能电表、数据集中器和用电负荷管理终端中设置进程监测模块以定期检测智能电表、数据集中器和用电负荷管理终端的进程和计算各进程的哈希值特征码；该进程监测模块将检测计算后的各进程的哈希值特征码及与该哈希值特征码相对应的智能电表、数据集中器和用电负荷管理终端的编号通过用电信息采集系统上传至该计量中心的云端安全服务器数据库；该云端安全服务器的恶意软件检测模块则将数据库中新增的进程哈希值特征码与该数据库中白名单的进程哈希值逐一对比，若新增进程的哈希值特征码存在于白名单中，判定该新增进程为合法进程，不作处理；否则云端安全服务器判定该新增进程的哈希值特征码对应的智能电表、数据集中器或用电负荷管理终端遭病毒、木马恶意软件入侵，告警并提示用电管理人员处理。

2.如权利要求1所述的基于云安全的高级计量体系恶意软件检测方法，其特征在于，所述数据库的白名单是利用智能电表、数据集中器和用电负荷管理终端为封闭的专用系统且同一批号设备运行进程相同的特点，对每一批号的智能电表、数据集中器或用电负荷管理终端接入电网前进行运行进程检测，将各运行进程的名称、大小、哈希值特征码及功能描述信息作为合法进程信息于云端安全服务器数据库中进行记录而形成。