CN106911673B - 一种电力广域互联网安全协同防护系统及其防护方法 - Google Patents

一种电力广域互联网安全协同防护系统及其防护方法 Download PDF

Info

Publication number
CN106911673B
CN106911673B CN201710058902.4A CN201710058902A CN106911673B CN 106911673 B CN106911673 B CN 106911673B CN 201710058902 A CN201710058902 A CN 201710058902A CN 106911673 B CN106911673 B CN 106911673B
Authority
CN
China
Prior art keywords
security
network
wide area
safety
access gateway
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201710058902.4A
Other languages
English (en)
Other versions
CN106911673A (zh
Inventor
张波
马媛媛
石聪聪
何高峰
陈璐
管小娟
黄秀丽
李尼格
华晔
郭骞
邵志鹏
费稼轩
戴造建
席泽生
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
State Grid Corp of China SGCC
Global Energy Interconnection Research Institute
Electric Power Research Institute of State Grid Jiangsu Electric Power Co Ltd
Original Assignee
State Grid Corp of China SGCC
Global Energy Interconnection Research Institute
Electric Power Research Institute of State Grid Jiangsu Electric Power Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by State Grid Corp of China SGCC, Global Energy Interconnection Research Institute, Electric Power Research Institute of State Grid Jiangsu Electric Power Co Ltd filed Critical State Grid Corp of China SGCC
Priority to CN201710058902.4A priority Critical patent/CN106911673B/zh
Publication of CN106911673A publication Critical patent/CN106911673A/zh
Application granted granted Critical
Publication of CN106911673B publication Critical patent/CN106911673B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明涉及一种电力广域互联网安全协同防护系统及其防护方法，通过增加融合安全接入网关和虚拟重构安全控制服务器两类主要的功能实体来构成协同防护的硬件体系，通过策略订阅实现协同防护的软件逻辑体系，并研究证据合成近似算法，设计证据投影分解方法，推到可信度转移公式。从而实现在电力广域互联网中各种末梢网络均可通过安全接入网关，利用现有的各种异构接入网络安全接入到位于IP核心网的安全服务平台，也可将安全服务命令和数据发送到末梢节点。

Description

一种电力广域互联网安全协同防护系统及其防护方法
技术领域
本发明涉及网络安全防护体系，具体涉及一种电力广域互联网安全协同防护系统及其防护方法。
背景技术
当前，国际网络安全形势日益严峻，网络空间已成为国家继陆、海、空、天四个疆域之后的第五疆域，网络攻击集团化、国家化的趋势日益明显。由于电力系统结构复杂多样、分布广泛、重要性高且一体化广域互联，一旦瘫痪影响巨大，极易成为敌对势力攻击的首选目标。近年来，随着以云计算、物联网、大数据为代表的“互联网+”技术大量引入，以及大量智能终端设备(如电动汽车、智能插座、智能电器、传感器等)的接入，进一步加大电网信息安全防护难度。一是大量智能终端设备的接入，采用了WIFI、3G/4G等大量无线通信方式，电力网络基础环境也随之变化，网络边界日益模糊，传统的边界安全防护范围已无法保障电力智能终端安全。二是电力相关信息的获取方法、存储形态、传输渠道和处理方式也发生了新的变化，应用虚拟化、数据资产化、终端移动化都将会引入新的信息网络安全风险，电网的信息安全暴露面在迅速增加。同时以高级持续性网络攻击(APT)为代表的新型攻击手段亦不断演进，均给电力信息网络安全防护工作带来严峻挑战。
电力信息网络近年来得到迅速发展，以高速电力通信网为基础，形成了覆盖各电网企业的一体化国家电力调度数据网络和信息网络。电力通信网已发展成为光纤、数字微波、无线、卫星等多种传输手段并用的干线通信网络，基本覆盖了发电、输电、配电等各个环节。在电力广域互联网络中，用户在任何地方都可以接触到网络。在这种方式下，由于网络的发展趋势越来越趋向于泛在网架构体系，这就要求我们必须找出一种新的全网一体化、协同防护的安全体系，来解决这个网络的现有的和新的安全问题。从这方面，可以看到电力广域互联网络下的安全问题值得我们去研究和探讨。
发明内容
为解决上述现有技术中的不足，本发明的目的是提供一种电力广域互联网安全协同防护系统及其防护方法。
本发明的目的是采用下述技术方案实现的：
本发明提供一种电力广域互联网安全协同防护系统，其改进之处在于，所述安全协同防护系统包括终端安全感知平台、集成化安全风险控制平台和电力广域互联网安全风险评估层；所述终端安全感知平台和电力广域互联网安全风险评估层均与集成化安全风险控制平台进行通信；
所述终端安全感知平台包括至少一个融合安全接入网关，以融合安全接入网关为载体；所述集成化安全风险控制平台包括至少一个虚拟重构的安全控制服务器，以安全控制服务器为载体，所述融合安全接入网关与安全控制服务器一一对应，均通过广域网进行连接。
进一步地，所述融合安全接入网关通过具备广域能力的末梢网络直接连接安全控制服务器；或所述融合安全接入网关利用智能手机多无线分集接入安全控制服务器；或所述融合安全接入网关通过内嵌的多制式广域网接入模块接入安全控制服务器。
进一步地，所述融合安全接入网关包括接入适配器模块和末梢网络网关节点；电力广域互联网中的末梢网络能够通过融合安全接入网关，利用异构接入网络安全接入到位于IP核心网的安全控制服务器；或将安全服务命令和数据发送到末梢网网关节点。
进一步地，所述安全控制服务器实现以下功能：
(1)安全资源注册——包括存储融合安全接入网关标识、安全状态、能力集参数安全信息的数据库；
(2)连接性管理——与融合安全接入网关共同管理网关与安全控制服务器的应用层数据持续性，以及安全控制服务器与外部安全应用服务器的数据持续性；
(3)网络的安全管理——网络内融合安全接入网关与安全控制服务器设备配置及参数设置管理；
(4)移动性安全管理——与融合安全接入网关协同管理末梢网络节点移动性安全以及网关移动性安全；所述末梢网络节点移动性安全包括加入和退出网关，所述网关移动性安全包括网关在不同接入网间漫游、切换；
(5)安全域管理——支持不同对象之间以通用的方式进行安全的交互，向网络合成管理模块提供资源及相关策略信息；
(6)MRRM控制——对接入融合安全接入网关无线资源及切换、负载均衡、功率控制、信道分配的其他资源进行协同防护融合、统一调度管理；
(7)网络合成管理——通过在不同控制功能模块以及不同泛在网络之间协商，能够对网络合成的过程进行管理并建立相关的合成协议；
(8)承载及覆盖管理——通过电力广域互联网业务接口向各种应用提供端到端的承载服务；
(9)QoS协商及SLA管理——在连接资源之上建立并维护业务级的协议。
进一步地，所述安全接入网关的功能包括：
(1)注册更新——融合安全接入网关向安全控制服务器注册及更新网关安全信息，包括：网关URN/URL信息、末梢网络安全类型-安全标识-状态在线/离线列表；
(2)末梢网络节点数据库——存储末梢网络节点标识、安全状态信息的数据库；
(3)设备配置——安全接入网关设备配置及参数管理；
(4)安全控制——安全接入网关与安全控制服务器的双向认证、执行泛在网架构的安全控制协议及功能；
(5)安全环境感知——安全接入网关对异构接入网与异构末梢网络的网络环境安全感知，以及用户应用需求的安全感知；
(6)MRRM协同资源管理——安全接入网关对异构广域接入网络的安全接入控制及负载管理；
(7)语义/协议转换——泛在网应用协议到末梢网操作控制处理命令的转换，用于支持数据监测类、远程控制类和数据处理类安全业务应用的协议转换；
(8)通用链路层GLL——用于异构末梢网络链路层数据融合，向上转换为统一的IP分组数据，支持有MAC层、无MAC层末梢网络，IP类型末梢网络旁路。
进一步地，所述电力广域互联网安全风险评估层通过电力广域互联网系统安全策略的层次联合建模，结合电力广域互联网安全风险评估层的安全风险评估系统和基础数据库，用于实现电力广域互联网的全域安全评估。
本发明还提供一种电力广域互联网安全协同防护系统的防护方法，其改进之处在于，所述防护方法包括构建防护、检测、预测、响应四个子策略；
防护子策略描述信息流动的全过程中，运用安全技术构造多层次纵深防护体系的方法集，即防护策略集P；检测子策略描述对入侵和攻击的检测条件和方法集，即检测策略集D；预测子策略描述对网络安全趋势预警的方法集，即预测策略集E；响应子策略描述可用的安全响应技术和调用策略；所述防护、检测、预测和响应四个子策略同时完成。
进一步地，构建防护子策略包括：建立从安全漏洞集C到二元组(A,R)的映射，其中A是对策集，R是关联集；P:C→A×R；一条防护子策略P＝(→a,r)表明：防御漏洞，采用a方法，涉及到r层次的安全控制技术。
进一步地，构建检测子策略包括：建立从安全漏洞集C到攻击模式集的映射，攻击模式为二元组(Q,N)；其中Q是检测条件，N是攻击类型；D:C→Q×N，一条检测子策略d＝(cvei→q,n)表明：利用安全漏洞cvei的n型网络攻击，通过方法q进行检测。
进一步地，构建预测子策略包括：建立从安全漏洞集C、攻击类型集N到预测方法集F的映射；E:C,N→F；单个预测子策略e＝{(c,n)→f}表示攻击类型为n、利用了安全漏洞c的网络攻击，通过f指定的方法对已知类型攻击进行预测；当攻击类型为未知类型时，f对应流量测度指标，采用流量测量的方法预测未知攻击及其安全趋势；其中：c表示安全漏洞集C中的安全漏洞，n表示攻击类型集N的攻击类型；f表示流量测度指标。
进一步地，构建响应子策略包括：建立从威胁评估值到响应方法集W的映射，其中，威胁评估值由安全漏洞集C、保护目标集O，安全事件集I计算产生，即R:C,O,I→W；单个响应子策略r＝{(c,o,i)→w}表示：对于攻击类型为n、利用安全漏洞c的网络攻击，采用w指定的响应方法，其中安全事件集I由检测策略集D或预测策略集E产生(检测策略D和预测策略E本身就是基于安全事件触发的，只要其生成了就代表安全事件)，其中：w表示响应方法集W中的响应方法。
与最接近的现有技术相比，本发明提供的技术方案具有的优异效果是：
本发明通过增加融合安全接入网关和虚拟重构安全控制服务器两类主要的功能实体来构成协同防护的硬件体系，通过策略订阅实现协同防护的软件逻辑体系。并研究证据合成近似算法，设计证据投影分解方法，推到可信度转移公式。从而实现在电力广域互联网中各种末梢网络均可通过安全接入网关，利用现有的各种异构接入网络安全接入到位于IP核心网的安全服务平台，也可将安全服务命令和数据发送到末梢节点。
本发明还具有：(1)设计证据投影分解方法，推导可信度转移公式，误差小。(2)实现电力广域互联网系统的安全风险识别。(3)无线安全中间件的设计解决设备的异构性问题。(4)实现全域安全评估的自动化。
附图说明
图1是本发明提供的电力广域互联网的安全接入适配模式示意图；其中：(a)表示电力广域互联网的安全接入适配模式一示意图，(b)表示电力广域互联网的安全接入适配模式二示意图，(c)表示电力广域互联网的安全接入适配模式三示意图；
图2是本发明提供的协同防护在电力广域互联网体系中所属分层示意图；
图3是本发明提供的电力广域互联网的协同防护逻辑体系结构图；
图4是本发明提供的安全控制服务器的物理体系组件框架图；
图5是本发明提供的协同安全接入网关的功能结构示意图。
具体实施方式
下面结合附图对本发明的具体实施方式作进一步的详细说明。
以下描述和附图充分地示出本发明的具体实施方案，以使本领域的技术人员能够实践它们。其他实施方案可以包括结构的、逻辑的、电气的、过程的以及其他的改变。实施例仅代表可能的变化。除非明确要求，否则单独的组件和功能是可选的，并且操作的顺序可以变化。一些实施方案的部分和特征可以被包括在或替换其他实施方案的部分和特征。本发明的实施方案的范围包括权利要求书的整个范围，以及权利要求书的所有可获得的等同物。在本文中，本发明的这些实施方案可以被单独地或总地用术语“发明”来表示，这仅仅是为了方便，并且如果事实上公开了超过一个的发明，不是要自动地限制该应用的范围为任何单个发明或发明构思。
实施例一
电力广域互联网络主要的安全业务类型包括：安全数据监测(包括事件Events、通知Notification)、远程安全控制、数据安全处理以及与传统安全通信业务及其他安全业务相结合。
考虑到泛在网的安全数据传输类型不同于物联网，后者侧重安全数据采集(单向上传)，泛在网络安全数据传输类型包括：安全数据采集类(上行)、安全广播类(下行)以及安全传输/桥接类(双向)，如图1中的(a)、(b)、(c)所示。
本发明提供一种电力广域互联网安全协同防护体系，通过增加融合安全接入网关(简称为安全接入网关)和虚拟重构安全控制服务器(简称为安全控制服务器)两类主要的功能实体来构成协同防护的硬件体系，通过策略订阅实现协同防护的软件逻辑体系。并研究证据合成近似算法，设计证据投影分解方法，推到可信度转移公式。从而实现在电力广域互联网中各种末梢网络均可通过安全接入网关，利用现有的各种异构接入网络安全接入到位于IP核心网的安全控制服务器，也可将安全服务命令和数据发送到末梢节点。
其硬件体系是由融合安全接入网关和虚拟重构安全控制服务器两类主要的功能实体构成。通过策略订阅实现协同防护的软件逻辑体系。
对于电路域传统通信安全业务(语音、短信)直接通过所属接入网接入电路域核心网获取所需安全服务，对于分组域承载的通信安全业务则通过IP核心网中的实现异构安全融合，安全接入网关负责提供到该安全服务器的IP层互联通道。安全协同防护在电力广域互联网体系中的所属分层位置如图2所示。
在逻辑层面上，电力广域互联网的协同防护体系主要有三个层次，如图3所示。
第一层是终端安全感知平台，该层以安全接入网关为主要载体，实现电力广域互联网终端漏洞的自动修复和安全引擎自动加载技术，通过安全防御技术的集成，运用基于DS的安全态势分析方法，实现电力广域互联网系统的安全风险识别，达到综合安全风险感知的目的，体现“防”的思想。
第二层是集成化的安全风险控制平台，该层以安全控制服务器为主要载体，研发电力广域互联网系统安全风险预测与动态控制子系统，结合对安全网关、安全引擎、安全管理、UN安全中间件等有机集成，体现“测、控、管”的思想。安全管理组件实施终端软件漏洞、病毒库、审计与无线定位等管理，同时对遭受网络攻击而瘫痪的节点的隔离与修复性管理，实施“测与控”的结合。无线安全中间件是为不同类型的终端提供统一的安全接口，解决设备的异构性问题。
第三层是电力广域互联网安全风险评估层，通过电力广域互联网系统安全策略的层次联合建模方法，结合安全风险评估系统和基础数据库，实现电力广域互联网全域安全评估的自动化，体现安全中以“评”促“管”的思想。
其中，安全控制服务器这个关键载体将使用“软总线+软构件”的方法，其组件框架如图4所示。
安全控制服务器拟实现以下功能：(1)安全资源注册——存储安全接入网关标识、安全状态、能力集参数等安全信息的数据库；(2)连接性管理——与安全接入网关共同管理网关与安全控制服务器的应用层数据持续性，以及安全控制服务器与外部安全应用服务器的数据持续性；(3)网络的安全管理——网络内各安全接入网关与安全控制服务器等设备配置及参数设置管理；(4)移动性安全管理——与安全接入网关协同管理末梢网络节点移动性安全(加入、退出网关)以及网关移动性安全(网关在不同接入网间漫游、切换)；(5)安全域管理——支持不同对象之间以通用的方式进行安全的交互，向网络合成管理模块提供可以资源及相关策略等信息；(6)MRRM控制——对接入网关无线资源及其他资源进行协同防护融合、统一调度管理；(7)网络合成管理——通过在不同控制功能模块以及不同泛在网络之间协商，能够对网络合成的过程进行管理并建立相关的合成协议；(8)承载及覆盖管理——通过泛在网业务接口向各种应用提供端到端的承载服务；(9)QoS协商及SLA管理——在连接资源之上建立并维护业务级的协议。
另一个关键载体是协同安全接入网关，它的功能结构示意图如图5所示。
协同安全接入网关的主要功能包括：(1)注册更新——安全接入网关向安全控制服务器注册及更新网关安全信息，包括：网关URN/URL、末梢网络安全类型-安全标识-状态(在线/离线)列表；(2)末梢网络节点数据库——存储末梢网络节点标识、安全状态等信息的数据库；(3)设备配置——安全接入网关设备配置及参数管理；(4)安全控制——安全接入网关与安全控制服务器的双向认证、执行泛在网架构的安全控制协议及功能；(5)安全环境感知——安全接入网关对异构接入网与异构末梢网络的网络环境安全感知，以及用户应用需求的安全感知；(6)MRRM协同资源管理——安全接入网关对异构广域接入网络的安全接入控制及负载管理；(7)语义(协议)转换——泛在网应用协议到末梢网操作控制处理命令的转换，用于支持数据监测类、远程控制类和数据处理类安全业务应用的协议转换；(8)通用链路层GLL——用于异构末梢网络链路层数据融合，向上转换为统一的IP分组数据，支持有MAC层、无MAC层末梢网络，IP类型末梢网络旁路。
实施例二
由于电力广域互联网系统具有分布式、层次化、异构性的空间特点和动态演变的时间特点，安全也具有动态、异质的时空特征，其安全生命周期划分为：防护、检测、预测、响应四个阶段。本发明以Z模式形式化定义安全策略、策略树的相关概念、关系和操作，提出安全策略的构造方法、抽象说明的正确性验证，证明安全策略一致性定理，设计对策略一致性的自动检查方法。
本发明提供一种电力广域互联网安全协同防护系统的防护方法，防护方法包括构建防护、检测、预测、响应四个子策略；
将四个子策略作为安全周期各阶段的子步骤：防护子策略描述了信息流动的全过程中，运用安全技术构造多层次纵深防护体系的方法集；检测子策略描述了对入侵和攻击的检测条件和方法集；预测子策略描述了对网络安全趋势预警的方法集；响应子策略描述了可用的安全响应技术和调用策略。其中，检测和预测是作为规则的条件，防护和响应是作为规则的结论，防护对应静态的，响应是动态的。四个子策略同时完成，达到cve(CommonVulnerabilities and Exposures)防御目标(cve漏洞、保护对象)。面向一个特定防御目标，把一条策略(用一个防御模式描述)划分为防护、检测、预测和响应四个子策略(用对应的子模式描述)，分别对应于安全周期的四个阶段，在分阶段内建立子模式，问题得以简化，通过子模式的逻辑运算得到防御模式：
建立从安全漏洞集C到二元组(A,R)的映射，其中A是对策集，R是关联集；P:C→A×R；一条防护子策略P＝(→a,r)表明：防御漏洞，采用a方法，涉及到r层次的安全控制技术。防护子策略不仅指出了漏洞补救方法，而且包括了部署何种层次安全产品的建议。关联集R不是安全产品的罗列，需要一种系统的分类方法将防护技术构成一个技术体系，反映信息流动过程中的安全控制。
构建检测子策略是从安全漏洞集C到攻击模式集的映射，攻击模式为二元组(Q,N)。其中Q是检测条件，N是攻击类型。D:C→Q×N。一条检测子策略d＝(cvei→q,n)，表明：利用安全漏洞cveii的n型网络攻击，可通过方法q进行检测。
构建预测子策略包括：建立从安全漏洞集C、攻击类型集N到预测方法集F的映射；E:C,N→F；单个预测子策略e＝{(c,n)→f}表示攻击类型为n、利用了安全漏洞c的网络攻击，通过f指定的方法对已知类型攻击进行预测；当攻击类型为未知类型时，f对应流量测度指标，采用流量测量的方法预测未知攻击及其安全趋势；其中：c表示安全漏洞集C中的安全漏洞，n表示攻击类型集N的攻击类型；f表示流量测度指标。
构建响应子策略包括：建立从威胁评估值到响应方法集W的映射，其中，威胁评估值由安全漏洞集C、保护目标集O，安全事件集I计算产生，即R:C,O,I→W；单个响应子策略r＝{(c,o,i)→w}表示：对于攻击类型为n、利用安全漏洞c的网络攻击，采用w指定的响应方法，其中安全事件集I由检测策略集D或预测策略集E产生(检测策略D和预测策略E本身就是基于安全事件触发的，只要其生成了就代表安全事件)，其中：w表示响应方法集W中的响应方法。
目前，在进行安全态势决策中，国际上普遍使用基本可信度函数，但是ShaunPosthumus等人实验发现，如果利用常规集结规则对稍大规模的电力广域互联网系统进行安全风险分析，会引起焦元“组合爆炸”，导致计算量的巨大增加。也有学者提出了融合结合德尔菲法(DELPHI)或者群组层次分析法(Multi-AHP)来进行近似计算，但是这些方法需要人为对证据的焦元个数进行调整，不仅耗费精力，而且误差较大。本项目研究证据合成近似算法，设计证据投影分解方法，推导可信度转移公式，并对算法的有效性进行验证。
以上实施例仅用以说明本发明的技术方案而非对其限制，尽管参照上述实施例对本发明进行了详细的说明，所属领域的普通技术人员依然可以对本发明的具体实施方式进行修改或者等同替换，这些未脱离本发明精神和范围的任何修改或者等同替换，均在申请待批的本发明的权利要求保护范围之内。

Claims (8)

1.一种电力广域互联网安全协同防护系统，其特征在于，所述安全协同防护系统包括终端安全感知平台、集成化安全风险控制平台和电力广域互联网安全风险评估层；所述终端安全感知平台和电力广域互联网安全风险评估层均与集成化安全风险控制平台进行通信；
所述终端安全感知平台包括至少一个融合安全接入网关，以融合安全接入网关为载体；所述集成化安全风险控制平台包括至少一个虚拟重构的安全控制服务器，以安全控制服务器为载体，所述融合安全接入网关与安全控制服务器一一对应，均通过广域网进行连接；
所述融合安全接入网关通过具备广域能力的末梢网络直接连接安全控制服务器；或所述融合安全接入网关利用智能手机多无线分集接入安全控制服务器；或所述融合安全接入网关通过内嵌的多制式广域网接入模块接入安全控制服务器；
所述融合安全接入网关包括接入适配器模块和末梢网络网关节点；电力广域互联网中的末梢网络能够通过融合安全接入网关，利用异构接入网络安全接入到位于IP核心网的安全控制服务器；或将安全服务命令和数据发送到末梢网网关节点；
所述安全控制服务器用于完成以下项目：
(1)安全资源注册——包括存储融合安全接入网关标识、安全状态、能力集参数安全信息的数据库；
(2)连接性管理——与融合安全接入网关共同管理网关与安全控制服务器的应用层数据持续性，以及安全控制服务器与外部安全应用服务器的数据持续性；
(3)网络的安全管理——网络内融合安全接入网关与安全控制服务器设备配置及参数设置管理；
(4)移动性安全管理——与融合安全接入网关协同管理末梢网络节点移动性安全以及网关移动性安全；所述末梢网络节点移动性安全包括加入和退出网关，所述网关移动性安全包括网关在不同接入网间漫游、切换；
(5)安全域管理——支持不同对象之间以通用的方式进行安全的交互，向网络合成管理模块提供资源及相关策略信息；
(6)MRRM控制——对接入融合安全接入网关无线资源及切换、负载均衡、功率控制、信道分配的其他资源进行协同防护融合、统一调度管理；
(7)网络合成管理——通过在不同控制功能模块以及不同泛在网络之间协商，能够对网络合成的过程进行管理并建立相关的合成协议；
(8)承载及覆盖管理——通过电力广域互联网业务接口向各种应用提供端到端的承载服务；
(9)QoS协商及SLA管理——在连接资源之上建立并维护业务级的协议。
2.如权利要求1所述的电力广域互联网安全协同防护系统，其特征在于，所述安全接入网关用于完成以下项目：
(1)注册更新——融合安全接入网关向安全控制服务器注册及更新网关安全信息，包括：网关URN/URL信息、末梢网络安全类型-安全标识-状态在线/离线列表；
(2)末梢网络节点数据库——存储末梢网络节点标识、安全状态信息的数据库；
(3)设备配置——安全接入网关设备配置及参数管理；
(4)安全控制——安全接入网关与安全控制服务器的双向认证、执行泛在网架构的安全控制协议及功能；
(5)安全环境感知——安全接入网关对异构接入网与异构末梢网络的网络环境安全感知，以及用户应用需求的安全感知；
(6)MRRM协同资源管理——安全接入网关对异构广域接入网络的安全接入控制及负载管理；
(7)语义/协议转换——泛在网应用协议到末梢网操作控制处理命令的转换，用于支持数据监测类、远程控制类和数据处理类安全业务应用的协议转换；
(8)通用链路层GLL——用于异构末梢网络链路层数据融合，向上转换为统一的IP分组数据，支持有MAC层、无MAC层末梢网络，IP类型末梢网络旁路。
3.如权利要求2所述的电力广域互联网安全协同防护系统，其特征在于，所述电力广域互联网安全风险评估层通过电力广域互联网系统安全策略的层次联合建模，结合电力广域互联网安全风险评估层的安全风险评估系统和基础数据库，用于实现电力广域互联网的全域安全评估。
4.一种如权利要求1-3中任一项所述的电力广域互联网安全协同防护系统的防护方法，其特征在于，所述防护方法包括构建防护、检测、预测、响应四个子策略；
防护子策略描述信息流动的全过程中，运用安全技术构造多层次纵深防护体系的方法集，即防护策略集P；检测子策略描述对入侵和攻击的检测条件和方法集，即检测策略集D；预测子策略描述对网络安全趋势预警的方法集，即预测策略集E；响应子策略描述可用的安全响应技术和调用策略；所述防护、检测、预测和响应四个子策略同时完成。
5.如权利要求4所述的防护方法，其特征在于，构建防护子策略包括：建立从安全漏洞集C到二元组(A,R)的映射，其中A是对策集，R是关联集；P:C→A×R；一条防护子策略P＝(→a,r)表明：防御漏洞，采用a方法，涉及到r层次的安全控制技术。
6.如权利要求4所述的防护方法，其特征在于，构建检测子策略包括：建立从安全漏洞集C到攻击模式集的映射，攻击模式为二元组(Q,N)；其中Q是检测条件，N是攻击类型；D:C→Q×N，一条检测子策略d＝(cvei→q,n)表明：利用安全漏洞cvei的n型网络攻击，通过方法q进行检测。
7.如权利要求4所述的防护方法，其特征在于，构建预测子策略包括：建立从安全漏洞集C、攻击类型集N到预测方法集F的映射；E:C,N→F；单个预测子策略e＝{(c,n)→f}表示攻击类型为n、利用了安全漏洞c的网络攻击，通过f指定的方法对已知类型攻击进行预测；当攻击类型为未知类型时，f对应流量测度指标，采用流量测量的方法预测未知攻击及其安全趋势；其中：c表示安全漏洞集C中的安全漏洞，n表示攻击类型集N的攻击类型；f表示流量测度指标。
8.如权利要求4所述的防护方法，其特征在于，构建响应子策略包括：建立从威胁评估值到响应方法集W的映射，其中，威胁评估值由安全漏洞集C、保护目标集O，安全事件集I计算产生，即R:C,O,I→W；单个响应子策略r＝{(c,o,i)→w}表示：对于攻击类型为n、利用安全漏洞c的网络攻击，采用w指定的响应方法，其中安全事件集I由检测策略集D或预测策略集E产生，其中：w表示响应方法集W中的响应方法。
CN201710058902.4A 2017-01-23 2017-01-23 一种电力广域互联网安全协同防护系统及其防护方法 Active CN106911673B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710058902.4A CN106911673B (zh) 2017-01-23 2017-01-23 一种电力广域互联网安全协同防护系统及其防护方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710058902.4A CN106911673B (zh) 2017-01-23 2017-01-23 一种电力广域互联网安全协同防护系统及其防护方法

Publications (2)

Publication Number Publication Date
CN106911673A CN106911673A (zh) 2017-06-30
CN106911673B true CN106911673B (zh) 2022-03-18

Family

ID=59207865

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710058902.4A Active CN106911673B (zh) 2017-01-23 2017-01-23 一种电力广域互联网安全协同防护系统及其防护方法

Country Status (1)

Country Link
CN (1) CN106911673B (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111654490B (zh) * 2020-05-28 2022-08-30 全球能源互联网研究院有限公司 电力安全可信监控系统及可信动态关联感知方法
JP7292558B1 (ja) * 2021-05-11 2023-06-16 三菱電機株式会社 ゲートウェイ装置、ゲートウェイ制御方法、及び、ゲートウェイ制御プログラム
CN114243919A (zh) * 2021-12-17 2022-03-25 广西电网有限责任公司电力科学研究院 配电网居民侧异构电力物联设备安全响应分析方法及系统

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1556613A (zh) * 2003-12-30 2004-12-22 上海交通大学 可信任主动式策略联动方法
WO2007081893A2 (en) * 2006-01-05 2007-07-19 Fuze Networks System and method for virtual personal network
CN100542138C (zh) * 2006-10-26 2009-09-16 中国科学院上海微系统与信息技术研究所 无线传感器网络三层体系构架
CN102045896A (zh) * 2010-11-22 2011-05-04 中山爱科数字科技有限公司 实现多协议及网络自适应的虚拟物联网网关系统
CN102291746A (zh) * 2011-09-20 2011-12-21 海南大学 一种基于IPv6异构融合网络移动管理系统及管理方法
CN102932957A (zh) * 2012-10-19 2013-02-13 中国人民解放军理工大学 一种虚拟重构的异构融合泛在网络体系架构
CN104052599A (zh) * 2013-03-15 2014-09-17 南京理工大学常熟研究院有限公司 泛在融合的星地节点网络可信接入方法
CN103428220B (zh) * 2013-08-23 2016-03-23 中国人民解放军理工大学 一种构建基于身份位置分离的虚拟重构泛在网体系架构的方法

Also Published As

Publication number Publication date
CN106911673A (zh) 2017-06-30

Similar Documents

Publication Publication Date Title
Habibi et al. Fog computing: a comprehensive architectural survey
Cao et al. An overview on edge computing research
Sarkar et al. Theoretical modelling of fog computing: a green computing paradigm to support IoT applications
Bedi et al. Review of Internet of Things (IoT) in electric power and energy systems
Wu et al. Convergence of blockchain and edge computing for secure and scalable IIoT critical infrastructures in industry 4.0
Stojmenovic et al. An overview of fog computing and its security issues
Alaya et al. OM2M: Extensible ETSI-compliant M2M service platform with self-configuration capability
Chiang et al. Fog and IoT: An overview of research opportunities
US20220377069A1 (en) Cloud-to-device mediator service from services definition
Stojmenovic Machine-to-machine communications with in-network data aggregation, processing, and actuation for large-scale cyber-physical systems
Santos et al. Towards low-latency service delivery in a continuum of virtual resources: State-of-the-art and research directions
Jararweh et al. Software-defined system support for enabling ubiquitous mobile edge computing
Sarakis et al. A framework for service provisioning in virtual sensor networks
Dobson et al. Self-organization and resilience for networked systems: Design principles and open research issues
Fernando et al. Opportunistic fog for IoT: Challenges and opportunities
CN106911673B (zh) 一种电力广域互联网安全协同防护系统及其防护方法
Sanislav et al. A cloud-integrated, multilayered, agent-based cyber-physical system architecture
Fang et al. A win–win mode: The complementary and coexistence of 5G networks and edge computing
Ramirez-Perez et al. SDN meets SDR in self-organizing networks: Fitting the pieces of network management
Ahmed et al. Benefits and challenges of internet of things for telecommunication networks
Martin et al. Elucidating the challenges for the praxis of fog computing: an aspect‐based study
US9049053B2 (en) Method of managing an object by means of a management gateway using a telecommunications network
Sahu et al. Design of next-generation cyber-physical energy management systems: Monitoring to mitigation
Prajwal et al. Wireless communication network-based smart grid system
Stojmenovic Large scale cyber-physical systems: Distributed actuation, in-network processing and machine-to-machine communications

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant