CN106953855A - 一种对iec61850数字变电站goose报文的入侵检测的方法 - Google Patents

一种对iec61850数字变电站goose报文的入侵检测的方法 Download PDF

Info

Publication number
CN106953855A
CN106953855A CN201710156870.1A CN201710156870A CN106953855A CN 106953855 A CN106953855 A CN 106953855A CN 201710156870 A CN201710156870 A CN 201710156870A CN 106953855 A CN106953855 A CN 106953855A
Authority
CN
China
Prior art keywords
message
goose
detection
data
messages
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201710156870.1A
Other languages
English (en)
Other versions
CN106953855B (zh
Inventor
刘建戈
吕兵
罗坤
金鑫
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nanjing Fengcheng Yunma Software Technology Co Ltd
STATE GRID JIANGSU ELECTRIC POWER Co LIANSHUI POWER SUPPLY Co
State Grid Corp of China SGCC
HuaiAn Power Supply Co of State Grid Jiangsu Electric Power Co Ltd
Original Assignee
Nanjing Fengcheng Yunma Software Technology Co Ltd
STATE GRID JIANGSU ELECTRIC POWER Co LIANSHUI POWER SUPPLY Co
State Grid Corp of China SGCC
HuaiAn Power Supply Co of State Grid Jiangsu Electric Power Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nanjing Fengcheng Yunma Software Technology Co Ltd, STATE GRID JIANGSU ELECTRIC POWER Co LIANSHUI POWER SUPPLY Co, State Grid Corp of China SGCC, HuaiAn Power Supply Co of State Grid Jiangsu Electric Power Co Ltd filed Critical Nanjing Fengcheng Yunma Software Technology Co Ltd
Priority to CN201710156870.1A priority Critical patent/CN106953855B/zh
Publication of CN106953855A publication Critical patent/CN106953855A/zh
Application granted granted Critical
Publication of CN106953855B publication Critical patent/CN106953855B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

本发明公开了一种对IEC61850数字变电站GOOSE报文的入侵检测的方法，方法主要有三个步骤组成，GOOSE报文快速过滤及数据结构化、GOOSE报文的多级关联检测、GOOSE报文的危害评估；本发明提供一种对IEC61850数字变电站GOOSE报文的入侵检测的实现方法，目的在于解决现有技术中IEC61850标准中的GOOSE报文的安全加固在实际应用中通常无法通过IEC62351的加密和数字验证的方法来完成。

Description

一种对IEC61850数字变电站GOOSE报文的入侵检测的方法
技术领域
本发明属于IEC61850数字变电站安全领域，采用报文模板匹配技术完成GOOSE数据包数据的结构化呈现还原，通过报文数据项的上下文多级关联分析技术，实现一种对IEC61850智能变电站中的GOOSE数据报文的入侵检测方法。
背景技术
IEC61850是基于通用网络通信平台的变电站自动化系统的国际标准，它可以实现变电站自动化系统产品的互操作性和协议转换。采用IEC61850标准可使变电站自动化设备具备自描述、自诊断和即插即用的特性，很大程度上使数字变电站系统的集成变得简单，减少了变电站自动化系统的开支。
IEC61850标准也使得智能电网的网络形态正从过去的封闭系统走向半封闭和逐渐开放。这个变化过程加速了变电站智能化的进程的同时，也带来了智能变电站的安全上的隐患。其中IEC61850数字变电站采用的基于开放标准的网络技术之上，导致系统的安全性降低。具体表现为IEC61850协议本身并没有考虑任何安全措施，一旦攻击者绕过物理防护，直接进入调度中心和变电站网络，可直接通过通信协议实现对智能变电站设备的控制。
IEC62351协议标准实现了对IEC61850协议的安全加固，使得IEC61850协议具有了这些基本的安全功能。这种加固主要包括：1，通过通过数字签名,提供节点的双向身份认证；2，通过加密，提供传输层认证、加密密钥的机密性；3，通过加密，提供传输层及以上层次消息的机密性，防止窃听；4，通过消息鉴别码，提供传输层及以上层次消息的完整性；5，通过定义传输序列号有效性，防止传输层的重放和欺骗。由此可见，IEC62351协议对IEC61850协议的安全性加固是建立在加密和信息的数字验证基础之上，而在实际生产环境中这些安全加固方法无法适用于的IEC61850中的GOOSE实时性要求极高的报文。
通用面向对象的变电站事件GOOSE服务是IEC61850提供的一个重要服务模型，为IEC61850数字变电站中各类IED智能设备提供了一种快速且高效的网络通讯方式。任何一IED智能设备通过以太网与其它IED设备相连，可通过GOOSE协议以订阅方式接收数据，也可以发布方式向其它IED设备提供数据。GOOSE传输是一种实时应用，主要传输间隔闭锁信号跳闸信号。根据IEC61850协议规定，GOOSE信息响应时间标准规定在4ms以内，而目前通常的IED设备采用的都是低功耗的CPU，这类CPU的计算功能并不是很强大，而对GOOSE报文的加解密和数字认证过程会极大地占用IED设备的CPU的使用时间，导致IED设备的运行效率极度下降，使得IED设备对GOOSE报文的响应时间无法在4ms内完成，从而影响了整个数字变电站的正常运行。
由于GOOSE报文的实时性要求高的特点，因此IEC61850标准中的GOOSE报文的安全加固在实际应用中通常无法通过IEC62351的加密和数字验证的方法来完成，需要重新寻找一套适合目前各类智能变电站实际情况的GOOSE报文安全加固和入侵检测解决方案，来保护智能变电站的安全运行。
发明内容
本发明提供一种对IEC61850数字变电站GOOSE报文的入侵检测的实现方法，目的在于解决现有技术中IEC61850标准中的GOOSE报文的安全加固在实际应用中通常无法通过IEC62351的加密和数字验证的方法来完成。
本发明通过以下技术方案实现：
一种对IEC61850数字变电站GOOSE报文的入侵检测的方法，其特征在于：所述实现方法包括如下步骤；
1）GOOSE报文的快速过滤及数据结构化：GOOSE报文的快速过滤及数据结构化机制是为了对IEC61850数字变电站中网络里各类报文中迅速提取出需要进行检测的GOOSE的报文和对报文内容进行数据结构化处理；
2）GOOSE报文的数据单元的多级关联检测：GOOSE通过快速过滤和数据结构化提取完成后，多级检测需要依次检测报文中的若干数据单元项，以完成对GOOSE数据包报文的合规性检测；
3）GOOSE报文的危害性评估：根据检测的方法将GOOSE的报文分为三个安全级别，安全级别“0”为可信，代表该GOOSE报文数据未包含任何威胁隐患，通过报文多级关联检测的报文可归为“0”级；安全级别“-1”代表可疑报文，包含检测方法中的报文状态和序列数检测中的失序报文和报文时间检测中的非合规报文；安全级别“-2”代表不可信报文，此类报文包含未通过数据项检测的报文，未通过数据项检测和状态及序列数检测的报文，未通过数据项检测和时间项检测的报文，这些报文都划分为不可信报文。
本发明进一步技术改进方案是：
所述步骤2中GOOSE数据包报文的合规性检测包括如下部分，1）GOOSE报文的以太网络类型及源目标MAC地址；2）GOOSE报文的变化序号及顺序序列号检测；3）GOOSE报文的时间检测。
本发明的效益是通过对IEC61850-GOOSE报文的结构和广播通讯机制的研究，总结出 GOOSE报文在通讯过程中的可信状态下报文中相关数据项所应遵循的规则，从而建立起可疑和不可信GOOSE报文的入侵检测的机制及方法，从而确保数字变电站中各智能设备间的GOOSE报文的安全可信。具体来说，本发明具有如下效果：
1、本发明提供IEC61850-GOOSE报文的模板提取方法，采用模式树的匹配技术，能够快速从各类协议报文中提取GOOSE报文，并在模式匹配过程中完成报文内容数据提取的结构化处理，缩短了从报文类型识别到数据提取的过程；
2、本发明对完成结构化处理的报文数据，设立了多级与关联的检测项，防止各种形式的入侵报文的注入和非法篡改。其中一级检测是对报文中的源和目标的物理地址采用报文协议可信匹配机制，通过预先定义接收GOOSE报文智能设备的可信源，完成对非可信设备报文的过滤；
3、本发明建立了GOOSE报文的关联检测机制，例如，对GOOSE报文中应用协议单元中的报文变化序号（STNUM）和顺序序列数(SQNUM)的关联检测机制，涵盖了GOOSE报文的全生命周期的变化检测，能够及时发现常见的GOOSE报文的暴力入侵和注入；而对协议单元中的二进制控制数据项与报文状态和序列数的再次关联检测，可检测出大部分隐蔽性极高的GOOSE入侵报文；
4、本发明在时间级别的检测上又设置了二级检测，报文产生时间和存活时间的可信度检测和固定时间段接收报文的流量的可信度检测；其中固定时间段接收报文数量的检测又分为接收数量超基准值和未见报文，报文接收数量超标可能存在拒绝服务的DDOS攻击，而一个时间段未见报文则存在着通讯报文被恶意截断攻击。
附图说明
图1为本发明IEC61850-GOOSE通信协议栈示意图；
图2为本发明IEC61850-GOOSE报文帧结构示意图；
图3为本发明GOOSE报文入侵检测方法流程。
具体实施方式
本发明提供了一种对IEC61850数字变电站中用于在智能设备间（IED）传输控制和信号的GOOSE报文的安全检测方法，通过本发明能够快速检测出存在安全隐患的各类GOOSE通讯报文。
由图1、2可见GOOSE服务的通信协议栈由应用层、表示层、数据层、链路层和物理层组成，会话层、传输层和网络层均为空。这样可以缩短报文的长度，减少传输的延时，满足数据实时传输的要求。应用层定义了IEC61850-GOOSE报文的应用协议单元（APDU），表示层遵循ASN.1 BER对APDU进行编码，数据链路层基于ISO/IEC8802-3标准设置报文的传输优先级、以太网类型、组播地址等。因为IEC61850协议只定义了在变电站网络中智能设备（IED）和应用客户端的通信协议，没有考虑协议的安全性，即使后面推出的IEC62351协议实现了对IEC61850协议的安全加固，但对于实时性要求很高的控制和信号用的GOOSE报文无法实现安全加固。这类GOOSE报文极容易通过对报文内容的篡改，实现到对数字变电站入侵攻击。
本发明通过对IEC61850-GOOSE原报文内容的结构化还原分析及时发现非法注入或遭到篡改的GOOSE报文。本方法有三个步骤组成,1)GOOSE报文快速过滤及报文数据结构化，2）GOOSE报文的多级关联检测，3）GOOSE报文的危害评估。
1、GOOSE报文的快速过滤及数据结构化
GOOSE报文的快速过滤及数据结构化机制是为了对IEC61850数字变电站中网络里各类报文中迅速提取出需要进行检测的GOOSE的报文和对报文内容进行数据结构化处理。
GOOSE报文过滤数据提取采用基于报文模板的多模式匹配，一次报文扫描完成GOOSE报文数据项的识别和数据的结构化处理。本发明的GOOSE报文模板可由一系列的数据项模板单元组成，每个数据项模板单元定义在两个“@”标识符之间，模板单元由四部分组成，每部分彼此以“：”隔开。第一部分为该数据项单元对应源报文的原始数据类型；第二部分为该数据项在源报文中的数据长度，数据项长度不定时缺省为空；第三部分为该数据项结构化后的数据类型；第四部分为对应报文数据项的名称。前两部分描述了该数据项在源报文中的数据形态，后两部分表达了数据项数据结构化处理后的数据呈现方式。
根据图2可将GOOSE报文可分解为下表中的模板单元数据项，表中键名是报文数据 键值对结构化输出中的键的名字：
序号 模板数据单元 数据项名称 键名
1 @字节:6:字节:目标地址@ 目标地址单元 MACDst
2 @字节:6:字节:源地址@ 源地址单元 MACSrc
3 @字节:2:字节:TPID@ 802.1Q以太网编码帧的以太网类型 TPID
4 @字节:2:字节:优先级@ 用户优先级 TCI
5 @字节:2:字节:网络类型@ 以太网络类型 Ethertype
6 @字节:2:字节:应用标识@ 应用标识符； APPID
7 @字节:2:整数:长度字节数@ 从APPID开始包含在以太网PDU中字节数 Length
8 @字节:2:字节:保留字@ 保留字 Reserve1
9 @字节:2:字节:保留字@ 保留字 Reserve2
10 @字节:1480:集合:应用协议单元@ GOOSE报文应用协议单元 APDU
11 @字节：：填充数据@ 填充数据 MACData
12 @字节:4:数据:校验数据@ 校验数据 CRC
以上各数据项模板单元可组成一个完整的GOOSE帧报文模板：@字节:6:字节:目标地址@ @字节:6:字节:源地址@ @字节:2:字节:TPID@ @字节:2:字节:优先级@ @字节:2:字节:网络类型@ @字节:2:字节:应用标识@ @字节:2:整数:长度字节数@ @字节:2:字节:保留字@ @字节:2:字节:保留字@ @字节:1480:集合:应用协议单元@ @字节：：填充数据@ @字节:4:数据:校验数据@
数据项模板单元也可以由若干模板单元集合组成，如组成GOOSE报文应用协议单元（@ 字节:1480:集合:应用协议单元@）又可以由以下表中模板单元组成:
序号 模板数据单元 数据项名称 键名
1 @字节:65:字符串:控制模块引用@ 控制块引用 GocbRef
2 @字节:4:整型:生存时间@ 报文生存时间 TimeAllowedLive
3 @字节:65:字符串:数据集@ 数据集 DataSet
4 @字节:65:字符串:报文标识@ GOOSE报文标识 goID
5 @字节:8:时间:事件时间@ 事件产生时间 Time
6 @字节:4:整数:变化序号@ 报文变化序号 StNum
7 @字节:4:整数:顺序号@ 报文顺序序号 SqNum
8 @字节:1:布尔:测试@ 测试位 Test
9 @字节:4:整数:配置版本@ 配置版本号 confRev
10 @字节:1:布尔:未配置好标志@ 未配置好标志 ndscom
11 @字节:4:整数:数据集数目@ 数据个数 NumDatasetEntries
12 @字节::集合:数据集值@ 数据值集合 AllDataSet
GOOSE报文应用协议单元（APDU）完整模板格式如下：
@字节:65:字符串:控制模块引用@ @字节:时间:生存时间@ @字节:65:字符串:数据集@ @字节:65:字符串:报文标识@ @字节:8:时间:事件时间@ @字节:4:整数:变化序号@ @字节:4:整数:顺序号@ @字节:1:布尔:测试@ @字节:4:版本号:配置版本@ @字节:1:布尔:未配置好标志@ @字节:4:整数:数据集数目@ @字节::集合:数据集值@
根据上面GOOSE报文的协议模板，对GOOSE协议数据包的模板匹配过程采用了“多模式树模板匹配技术”，多模式模树就是根据报文的模板建立一棵模式匹配树，树的节点就是数据项模板单元，每个数据项模板单元定义了原始数据到结构化数据的匹配模式。通过一次GOOSE模板模式树与协议数据包的扫描交互完成GOOSE报文数据单元的匹配结构化处理，极大提高了GOOSE报文分析和数据单元提取的效率；提取出的报文数据以键、值对的形式输出存储，供相关数据项的多级关联分析检测。
2、GOOSE报文的数据单元的多级关联检测
GOOSE通过快速过滤和数据结构化提取完成后，多级检测需要依次检测报文中的若干数据单元项（见图2GOOSE报文帧结构图中标记灰色数据项），以完成对GOOSE数据包报文的合规性检测：
1）GOOSE报文的以太网络类型及源目标MAC地址
这部分检测涉及模板单元有“以太网络类型（@字节:2:字节:网络类型@）”、“报文目标地址（@字节:6:字节:目标地址@）”、“报文源地址（@字节:6:字节:源地址@）”。对报文源地址的检测可以判断GOOSE报文是否来自可信的IED智能设备，太网络类型的检测可以提高过滤GOOSE报文的准确性。
2）GOOSE报文的变化序号及顺序序列号检测
报文变化序号（STNUM）与报文顺序序号（SQNUM）的合规检测涉及到GOOSE报文的应用协议单元模板的数据项“报文变化序号”和“报文顺序序号”，通过对前后报文中该两个数据项值的自身比较、相互逻辑判断和与其它数据项比较处理来检测GOOSE报文的安全性、可信性和合规性。
如果当前报文变化序号（STNUM）小于前次报文的变化序号，且当前报文变化序号没有被复位过，且当前报文在生存周期内，则该GOOSE报文未通过报文的变化序号及顺序序列号检测。
如果当前报文变化序号（STNUM）大于前次报文变化序号，且当前报文顺序序号（SQNUM）不为0及报文顺序序号未复位，且当前报文在生存周期内，则该GOOSE报文未通过报文的变化序号及顺序序列号检测。
如果当前报文变化序号(STNUM)等于前次报文变化序号，且当前报文顺序序列号(SQNUM)等于或小于前次报文顺序序列号，则该GOOSE报文未通过报文的变化序号及顺序序列号检测
3）GOOSE报文的时间检测
有关报文的时间项目检测涉及报文模板中的数据项中的“事件产生时间”和“报文生存时间”的两个数据项，检测步骤由以下项目组成：
报文事件产生时间检测：当报文事件产生时间晚于该报文的接收时间，该报文未通报文的时间检测。
报文的存活时间检测：当该报文的接收时间减去报文的产生时间大于4ms，则该报文未通过GOOSE报文的时间检测。
报文单位时间段流量检测：可根据某数字变电站网络正常运行时GOOSE报文在单位时长出现的数量为基准值，设定正常GOOSE报文的基准值范围。当在同一环境中发现GOOSE报文在定义的相同时长中出现的数量远远大于基准值或未接收到GOOSE报文，则报文未通过报文的时间检测。
4）GOOSE报文中的应用协议（APDU）单元数据项检测
应用协议单元数据项的检测是为了保证相关应用数据的完整性，防止协议单元中的二进制控制数据被非法修改。该检测涉及到报文应用协议模板中的“数据值集合”数据项。
IEC61850协议中规定当GOOSE应用协议单元中的二进制控制数据的值改变，该报文变化序号（STNUM）按顺序增加，同时将报文顺序序列号（SQNUM）复位为0。通过这样的关联检测机制可以发现二进制数据单元项是否被篡改和非法报文的注入。
3、GOOSE报文的危害性评估
根据检测的方法将GOOSE的报文分为三个安全级别，安全级别“0”为可信，代表该GOOSE报文数据未包含任何威胁隐患，通过报文多级关联检测的报文可归为“0”级；安全级别“-1”代表可疑报文，包含检测方法中的报文状态和序列数检测中的失序报文和报文时间检测中的非合规报文；安全级别“-2”代表不可信报文，此类报文包含未通过数据项检测的报文，未通过数据项检测和状态及序列数检测的报文，未通过数据项检测和时间项检测的报文，这些报文都划分为不可信报文。
结合图3就IEC61850-GOOSE报文的入侵检测过程进行详细描述：
1、接收IEC61850报文后首先识别GOOSE报文，报文通过GOOSE报文的匹配模板，完成对GOOSE类型报文的提取和报文数据的结构化处理和数据的提取；
2、完成结构数据化处理的GOOSE报文进入多级关联的报文检测过程，第一级检测为报文的可信度检测，检测报文的源和目的物理地址是否匹配定义可信源，实现对非可信设备报文的过滤；
3、可信的GOOSE报文进入报文变化序号（STNUM）和顺序序号（SQNUM）数的关联检测，报文状态数的变化会影响报文序列数，通过对前后报文中这报文数据参数的关联检测，能够检测出可疑的报文，尤其是非法注入的报文；
4、通过变化序号与顺序序号检测的报文进入报文的时间级检测，时间级分两个层级检测，报文产生时间和存活时间的可信度检测，以及单位时间报文接收量异常的检测；报文接收量异常检测是检测短时间内接收报文数量超标（可能存在拒绝服务DDOS攻击）和未见报文（恶意截断报文）。
5、GOOSE报文时间检测后，开始GOOSE应用协议单元中二进制控制数据的关联检测，数据检测涉及前后的GOOSE报文及报文变化序号和顺序序号。数据检测是一种关联检测，前后报文中的某个数据项发生变化时必然会影响到该报文的当前报文中的变化序号和顺序序号。数据项的关联检测可以发现非合规的报文。
6、报文经过可信源检测、报文变化序号和顺序序号检测、报文时间检测和数据项检测后，报文进入危害度评估系统，评估系统根据报文通过的多级关联流程检测的结果给出相关报文的危害程度，本发明将报文分为三级，0级为无害报文，-1级为可疑报文，-2为不可信报文。报文的危害性评估过程能够提供一个辨别GOOSE可信度的一个手段和方法。
本发明方案所公开的技术手段不仅限于上述实施方式所公开的技术手段，还包括由以上技术特征任意组合所组成的技术方案。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本发明的保护范围。

Claims (2)

1.一种对IEC61850数字变电站GOOSE报文的入侵检测的方法，其特征在于：所述实现方法包括如下步骤；
1）GOOSE报文的快速过滤及数据结构化：GOOSE报文的快速过滤及数据结构化机制是为了对IEC61850数字变电站中网络里各类报文中迅速提取出需要进行检测的GOOSE的报文和对报文内容进行数据结构化处理；
2）GOOSE报文的数据单元的多级关联检测：GOOSE通过快速过滤和数据结构化提取完成后，多级检测需要依次检测报文中的若干数据单元项，以完成对GOOSE数据包报文的合规性检测；
3）GOOSE报文的危害性评估：根据检测的方法将GOOSE的报文分为三个安全级别，安全级别“0”为可信，代表该GOOSE报文数据未包含任何威胁隐患，通过报文多级关联检测的报文可归为“0”级；安全级别“-1”代表可疑报文，包含检测方法中的报文状态和序列数检测中的失序报文和报文时间检测中的非合规报文；安全级别“-2”代表不可信报文，此类报文包含未通过数据项检测的报文，未通过数据项检测和状态及序列数检测的报文，未通过数据项检测和时间项检测的报文，这些报文都划分为不可信报文。
2.根据权利要求1所述的一种对IEC61850数字变电站GOOSE报文的入侵检测的方法，其特征在于：所述步骤2中GOOSE数据包报文的合规性检测包括如下部分，1）GOOSE报文的以太网络类型及源目标MAC地址；2）GOOSE报文的变化序号及顺序序列号检测；3）GOOSE报文的时间检测。
CN201710156870.1A 2017-03-16 2017-03-16 一种对iec61850数字变电站goose报文的入侵检测的方法 Active CN106953855B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710156870.1A CN106953855B (zh) 2017-03-16 2017-03-16 一种对iec61850数字变电站goose报文的入侵检测的方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710156870.1A CN106953855B (zh) 2017-03-16 2017-03-16 一种对iec61850数字变电站goose报文的入侵检测的方法

Publications (2)

Publication Number Publication Date
CN106953855A true CN106953855A (zh) 2017-07-14
CN106953855B CN106953855B (zh) 2020-10-20

Family

ID=59472682

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710156870.1A Active CN106953855B (zh) 2017-03-16 2017-03-16 一种对iec61850数字变电站goose报文的入侵检测的方法

Country Status (1)

Country Link
CN (1) CN106953855B (zh)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107547438A (zh) * 2017-08-02 2018-01-05 许继电气股份有限公司 一种基于动态特征字的goose/sv报文处理方法及其交换机
CN110138773A (zh) * 2019-05-14 2019-08-16 北京天地和兴科技有限公司 一种针对goose攻击的防护方法
CN110750442A (zh) * 2019-09-06 2020-02-04 平安医疗健康管理股份有限公司 测试用例的生成方法、装置、设备及存储介质
CN110995588A (zh) * 2019-12-25 2020-04-10 华南理工大学 适用于goose报文向r-goose报文的转换方法
CN114006954A (zh) * 2021-10-19 2022-02-01 许继集团有限公司 一种goose报文的收发方法及装置
CN114124538A (zh) * 2021-11-25 2022-03-01 国网四川省电力公司眉山供电公司 一种智能变电站goose、sv报文的入侵检测方法
CN114697081A (zh) * 2022-02-28 2022-07-01 国网江苏省电力有限公司淮安供电分公司 基于iec61850 sv报文运行态势模型的入侵检测方法和系统
CN114745152A (zh) * 2022-02-28 2022-07-12 国网江苏省电力有限公司淮安供电分公司 基于iec61850 goose报文运行态势模型的入侵检测方法和系统

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6211627B1 (en) * 1997-07-29 2001-04-03 Michael Callahan Lighting systems
US20080097953A1 (en) * 2006-10-20 2008-04-24 Adobe Systems Incorporated Pattern-based file relationship inference
CN101836122A (zh) * 2007-10-25 2010-09-15 Abb研究有限公司 操作变电站自动化系统
CN102055674A (zh) * 2011-01-17 2011-05-11 工业和信息化部电信传输研究所 Ip报文及基于该ip报文的信息处理方法及装置
KR20150037285A (ko) * 2013-09-30 2015-04-08 한국전력공사 침입 탐지 장치 및 방법
CN105226823A (zh) * 2015-10-22 2016-01-06 南京国电南自电网自动化有限公司 一种站域运维支撑平台
US20160274169A1 (en) * 2015-03-19 2016-09-22 Abb Inc. Secured fault detection in a power substation
CN106130950A (zh) * 2016-05-20 2016-11-16 南京理工大学 针对iec61850协议sv报文的异常检测方法
CN106254277A (zh) * 2016-08-17 2016-12-21 云南电网有限责任公司电力科学研究院 一种适用于iec 61850的epon dba算法

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6211627B1 (en) * 1997-07-29 2001-04-03 Michael Callahan Lighting systems
US20080097953A1 (en) * 2006-10-20 2008-04-24 Adobe Systems Incorporated Pattern-based file relationship inference
CN101836122A (zh) * 2007-10-25 2010-09-15 Abb研究有限公司 操作变电站自动化系统
CN102055674A (zh) * 2011-01-17 2011-05-11 工业和信息化部电信传输研究所 Ip报文及基于该ip报文的信息处理方法及装置
KR20150037285A (ko) * 2013-09-30 2015-04-08 한국전력공사 침입 탐지 장치 및 방법
US20160274169A1 (en) * 2015-03-19 2016-09-22 Abb Inc. Secured fault detection in a power substation
CN105226823A (zh) * 2015-10-22 2016-01-06 南京国电南自电网自动化有限公司 一种站域运维支撑平台
CN106130950A (zh) * 2016-05-20 2016-11-16 南京理工大学 针对iec61850协议sv报文的异常检测方法
CN106254277A (zh) * 2016-08-17 2016-12-21 云南电网有限责任公司电力科学研究院 一种适用于iec 61850的epon dba算法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
朱立朋: "IEC_61850智能变电站在线监测系统设计", 《中国优秀硕士学位论文全文数据库》 *

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107547438A (zh) * 2017-08-02 2018-01-05 许继电气股份有限公司 一种基于动态特征字的goose/sv报文处理方法及其交换机
CN110138773A (zh) * 2019-05-14 2019-08-16 北京天地和兴科技有限公司 一种针对goose攻击的防护方法
CN110138773B (zh) * 2019-05-14 2022-01-11 北京天地和兴科技有限公司 一种针对goose攻击的防护方法
CN110750442A (zh) * 2019-09-06 2020-02-04 平安医疗健康管理股份有限公司 测试用例的生成方法、装置、设备及存储介质
CN110995588A (zh) * 2019-12-25 2020-04-10 华南理工大学 适用于goose报文向r-goose报文的转换方法
CN114006954A (zh) * 2021-10-19 2022-02-01 许继集团有限公司 一种goose报文的收发方法及装置
CN114006954B (zh) * 2021-10-19 2023-07-14 许继集团有限公司 一种goose报文的收发方法及装置
CN114124538A (zh) * 2021-11-25 2022-03-01 国网四川省电力公司眉山供电公司 一种智能变电站goose、sv报文的入侵检测方法
CN114697081A (zh) * 2022-02-28 2022-07-01 国网江苏省电力有限公司淮安供电分公司 基于iec61850 sv报文运行态势模型的入侵检测方法和系统
CN114745152A (zh) * 2022-02-28 2022-07-12 国网江苏省电力有限公司淮安供电分公司 基于iec61850 goose报文运行态势模型的入侵检测方法和系统
CN114745152B (zh) * 2022-02-28 2023-09-29 国网江苏省电力有限公司淮安供电分公司 基于iec61850 goose报文运行态势模型的入侵检测方法和系统
CN114697081B (zh) * 2022-02-28 2024-05-07 国网江苏省电力有限公司淮安供电分公司 基于iec61850 sv报文运行态势模型的入侵检测方法和系统

Also Published As

Publication number Publication date
CN106953855B (zh) 2020-10-20

Similar Documents

Publication Publication Date Title
CN106953855A (zh) 一种对iec61850数字变电站goose报文的入侵检测的方法
CN103905451B (zh) 一种智能电网嵌入式设备网络攻击诱捕系统和诱捕方法
Pan et al. Developing a hybrid intrusion detection system using data mining for power systems
CN103905450B (zh) 智能电网嵌入式设备网络检测评估系统与检测评估方法
Yang et al. Impact of cyber-security issues on smart grid
CN105959111B (zh) 基于云计算和可信计算的信息安全大数据资源访问控制系统
CN104796261A (zh) 一种网络终端节点的安全接入管控系统及方法
CN106898065A (zh) 一种智能门锁的开锁方法
CN106941494A (zh) 一种适用于用电信息采集系统的安全隔离网关及其使用方法
CN105592107B (zh) 一种基于fpga的工业过程数据安全采集装置及方法
CN104702466B (zh) 一种基于iec62351的过程层安全测试系统及方法
CN106789015A (zh) 一种智能配电网通信安全系统
CN105610837A (zh) 用于scada系统主站与从站间身份认证的方法及系统
CN106027520A (zh) 一种检测处理盗取网站帐号的方法及装置
CN107333262A (zh) 一种基于cn39码认证手机号码的系统及方法
CN109245894A (zh) 一种基于智能合约的分布式云存储系统
CN106878257A (zh) 具有攻击防护的工业网络闭环控制方法及其架构
Wang et al. Anomaly detection for insider attacks from untrusted intelligent electronic devices in substation automation systems
Suo et al. Research on the application of honeypot technology in intrusion detection system
CN106027237B (zh) 一种rfid系统中基于组的密钥矩阵安全认证方法
CN106936834A (zh) 一种对iec61850数字变电站smv报文的入侵检测的方法
CN107277070A (zh) 一种计算机网络入侵防御系统及入侵防御方法
Case et al. Interoperable private attribution: A distributed attribution and aggregation protocol
Wang et al. Feature selection for precise anomaly detection in substation automation systems
Hadbah et al. Powerful IEDs, ethernet networks and their effects on IEC 61850-based electric power utilities security

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant