CN107483344A - 基于控制报文协议的电力系统的网络拓扑获取方法和系统 - Google Patents

Abstract

本发明涉及一种基于控制报文协议的电力系统的网络拓扑获取方法和系统，对电力系统进行网络诊断，获取处于活动状态的各个节点，通过控制报文协议进行深度搜索扫描和路由跟踪操作，获取到达各个节点的第一路由并进行拓扑拼接，获得电力系统的网络拓扑信息。在此方案中，主要利用控制报文协议进行深度搜索扫描和路由跟踪操作，由于电力系统中的各网络节点都支持控制报文协议，因此，可以通过控制报文协议来确定处于活动状态的节点，并对其进行搜索扫描和路由跟踪，进而得到电力系统完整的网络拓扑信息，整个过程简单可靠，避免使用SNMP协议的安全性问题。

Description

基于控制报文协议的电力系统的网络拓扑获取方法和系统

技术领域

本发明涉及电力工业信息安全技术领域，特别是涉及一种基于控制报文协议的电力系统的网络拓扑获取方法和系统。

背景技术

目前，电力系统网络安全形势比较严峻，各种新型攻击类型的出现使得电力网络安全存在许多不确定性，进而要求在网络架构方面做更多全面细致的工作。在电力工业信息安全等级保护方面来看，各电力单位还存在许多跨区互联、不明资产和网络拓扑信息不完整的问题，使得各单位对自身真实网络情况不明确，对许多类似问题无法及时排查并达到符合监管要求。

传统使用的网络拓扑呈现技术需要使用SNMP协议(Simple Network ManagementProtocol，简单网络管理协议)，由于SNMP协议的安全性问题，电力行业网络安全标准不建议打开此协议，在不打开SNMP协议的条件下无法对电力系统进行完整的网络拓扑结构呈现与监控。

发明内容

基于此，有必要针对在不打开SNMP协议的条件下无法对电力系统进行完整的网络拓扑结构呈现与监控的问题，提供一种基于控制报文协议的电力系统的网络拓扑获取方法和系统。

一种基于控制报文协议的电力系统的网络拓扑获取方法，包括以下步骤：

通过控制报文协议对电力系统进行网络诊断，获取电力系统中处于活动状态的各个节点；

通过控制报文协议对各个节点进行深度搜索扫描，在深度搜索扫描的同时对各个节点进行路由跟踪操作，获取到达各个节点的第一路由；

对到达各个节点的第一路由进行拓扑拼接，获得电力系统的网络拓扑信息。

一种基于控制报文协议的电力系统的网络拓扑获取系统，包括：

诊断获取单元，用于通过控制报文协议对电力系统进行网络诊断，获取电力系统中处于活动状态的各个节点；

扫描跟踪单元，用于通过控制报文协议对各个节点进行深度搜索扫描，在深度搜索扫描的同时对各个节点进行路由跟踪操作，获取到达各个节点的第一路由；

拓扑拼接单元，用于对到达各个节点的第一路由进行拓扑拼接，获得电力系统的网络拓扑信息。

根据上述本发明的基于控制报文协议的电力系统的网络拓扑获取方法和系统，对电力系统进行网络诊断，获取处于活动状态的各个节点，通过控制报文协议进行深度搜索扫描和路由跟踪操作，获取到达各个节点的第一路由并进行拓扑拼接，获得电力系统的网络拓扑信息。在此方案中，主要利用控制报文协议进行深度搜索扫描和路由跟踪操作，由于电力系统中的各网络节点都支持控制报文协议，因此，可以通过控制报文协议来确定处于活动状态的节点，并对其进行搜索扫描和路由跟踪，进而得到电力系统完整的网络拓扑信息，整个过程简单可靠，避免使用SNMP协议的安全性问题。

一种可读存储介质，其上存储有可执行程序，该程序被处理器执行时实现上述的基于控制报文协议的电力系统的网络拓扑获取方法的步骤。

一种检测设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的可执行程序，处理器执行程序时实现上述的基于控制报文协议的电力系统的网络拓扑获取方法的步骤。

根据上述本发明的基于控制报文协议的电力系统的网络拓扑获取方法，本发明还提供一种可读存储介质和检测设备，用于通过程序实现上述基于控制报文协议的电力系统的网络拓扑获取方法。

附图说明

图1为其中一个实施例的基于控制报文协议的电力系统的网络拓扑获取方法的流程示意图；

图2为其中一个实施例的基于控制报文协议的电力系统的网络拓扑获取系统的结构示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步的详细说明。应当理解，此处所描述的具体实施方式仅仅用以解释本发明，并不限定本发明的保护范围。

参见图1所示，为本发明一个实施例的基于控制报文协议的电力系统的网络拓扑获取方法的流程示意图。该实施例中的基于控制报文协议的电力系统的网络拓扑获取方法，包括以下步骤：

步骤S101：通过控制报文协议对电力系统进行网络诊断，获取电力系统中处于活动状态的各个节点；

在本步骤中，控制报文协议是一种电力系统中各个节点都支持的用于传输报文的协议；

步骤S102：通过控制报文协议对各个节点进行深度搜索扫描，在深度搜索扫描的同时对各个节点进行路由跟踪操作，获取到达各个节点的第一路由；

步骤S103：对到达各个节点的第一路由进行拓扑拼接，获得电力系统的网络拓扑信息。

在本步骤中，到达节点的第一路由是电力系统的网络拓扑的一部分，进行拓扑拼接后才能得到完整的网络拓扑信息。

在本实施例中，对电力系统进行网络诊断，获取处于活动状态的各个节点，通过控制报文协议进行深度搜索扫描和路由跟踪操作，获取到达各个节点的第一路由并进行拓扑拼接，获得电力系统的网络拓扑信息。在此方案中，主要利用控制报文协议进行深度搜索扫描和路由跟踪操作，由于电力系统中的各网络节点都支持控制报文协议，因此，可以通过控制报文协议来确定处于活动状态的节点，并对其进行搜索扫描和路由跟踪，进而得到电力系统完整的网络拓扑信息，整个过程简单可靠，避免使用SNMP协议的安全性问题。

可选的，控制报文协议可以是ICMP协议(Internet Control Message Protocol，因特网控制消息协议)，也可以是电力系统节点支持的其他类型的控制报文协议。

在其中一个实施例中，通过控制报文协议对电力系统进行网络诊断，获取电力系统中处于活动状态的各个节点的步骤包括以下步骤：

通过ping操作对属于电力系统的IP地址区间中的每个IP地址进行检测，获取每个IP地址的ping操作结果；

根据ping操作结果确定IP地址所对应的节点是否处于活动状态。

在本实施例中，ping是一种网络诊断工具，ping操作需要使用控制报文协议，通过ping操作可以对电力系统的各个IP地址进行检测，判断IP地址在网络中的状态，根据ping操作结果可以确定IP地址所对应的节点是否处于活动状态，以此可以获取电力系统中处于活动状态的各个节点，提高最终获取的网络拓扑信息的有效性。

在其中一个实施例中，ping操作包括向每个IP地址发送请求数据包，接收每个IP地址返回的反馈数据包；

根据ping操作结果确定IP地址所对应的节点是否处于活动状态的步骤包括以下步骤：

在当前IP地址返回的反馈数据包中的响应时间值小于预设值时，确定当前IP地址所对应的节点处于活动状态。

在本实施例中，ping操作时向每个IP地址发送请求数据包，请求数据包包括控制报文协议内容，接收每个IP地址返回的反馈数据包，反馈数据包的数据中包括IP地址对应节点的响应时间，响应时间可以反映IP地址所对应的节点的活动程度，以此可以确定IP地址所对应的节点处于活动状态，

可选的，通过广播方式发送请求数据包，如此可以快速发现所有活动的节点。

在其中一个实施例中，通过控制报文协议对各个节点进行深度搜索扫描的步骤包括以下步骤：

选择一个未扫描的节点作为起始节点，从起始节点开始扫描，在扫描完当前节点后，扫描与当前节点连接的下一节点，直至扫描完末端节点；

回溯到上一节点，扫描与上一节点递进连接的未扫描的节点，直至扫描完所有的节点。

在本实施例中，深度搜索扫描是选择一个未扫描的节点作为起始节点，按照节点的连接顺序依次扫描至末端节点，至此就完成一条深度扫描链路通道，然后回溯到上一节点，扫描与上一节点递进连接的未扫描的节点，也就是扫描得到其他链路通道，直至扫描完所有的节点。深度搜索扫描可以得到多条扫描链路通道用于拓扑拼接，而且无需保留所有节点，占用数据空间小。

在其中一个实施例中，在深度搜索扫描的同时进行路由跟踪操作，获取到达各个节点的第一路由的步骤包括以下步骤：

在深度搜索扫描的同时，沿扫描链路通道向各个节点发送请求报文，接收各个节点返回的响应报文，根据各响应报文分别获取到达各个节点的第一路由。

在本实施例中，路由跟踪操作是沿扫描链路通道向各个节点发送请求报文，以收到的响应报文为依据获取达到各个节点的第一路由，利用报文的请求和响应可以明确各个节点之间的关系，进一步提高电力系统的网络拓扑信息的准确性。

在其中一个实施例中，基于控制报文协议的电力系统的网络拓扑获取方法还包括以下步骤：

通过控制报文协议对各个节点进行广度搜索扫描，在广度搜索扫描的同时对各个节点进行路由跟踪操作，获取到达各个节点的第二路由；

对到达各个节点的第一路由进行拓扑拼接的步骤包括以下步骤：

对比到达各个节点的第一路由和到达各个节点的第二路由，排除重复的路由，将各第一路由和各第二路由进行拓扑拼接。

在本实施例中，通过广度搜索扫描，可以获取到达各个节点的第二路由，对比到达各个节点的第一路由和到达各个节点的第二路由，可以排查只有一种路由时可能产生的路由错误，进一步提高电力系统的网络拓扑信息的准确性。

在其中一个实施例中，通过控制报文协议对各个节点进行广度搜索扫描的步骤包括以下步骤：

选择一个未扫描的节点作为起始节点，从起始节点开始扫描，在扫描完当前节点后，扫描与当前节点连接的所有下一节点，直至扫描完末端节点。

在本实施例中，广度搜索扫描是选择一个未扫描的节点作为起始节点，扫描完当前节点后，扫描与当前节点连接的所有下一节点，也就是说一层一层地向下扫描，直至扫描至末端节点。广度搜索扫描无需进行回溯操作，扫描速度较快。

可选的，深度搜索扫描和广度搜索扫描中的起始节点可以是同一节点。

在其中一个实施例中，直至扫描完末端节点的步骤之后还包括以下步骤：

在存在未扫描的节点时，从未扫描的节点中选择一个节点重新作为起始节点，执行从起始节点开始扫描的步骤，直至扫描完所有节点。

在本实施例中，电力系统中的节点可能存在不同的区域，在不同的区域中，可以重新选择一个节点重新作为起始节点，再进行广度搜索扫描，如此可以确保扫描所有的节点。

在其中一个实施例中，对到达各个节点的第一路由进行拓扑拼接，获得电力系统的网络拓扑信息的步骤包括以下步骤：

利用制图软件开发工具对到达各个节点的第一路由进行拓扑拼接，获得电力系统的网络拓扑图。

在本实施例中，利用制图软件开发工具进行拓扑拼接，可以得到电力系统的网络拓扑图，而且该网络拓扑图是可编辑的，即使在扫描时出现差错，也可以通过制图软件手动编辑的方式进行纠正，从而得到最精准的网络拓扑图。

可选的，通过控制报文协议对各个节点进行广度搜索扫描，在广度搜索扫描的同时对各个节点进行路由跟踪操作，获取到达各个节点的第二路由，对比到达各个节点的第一路由和到达各个节点的第二路由，排除重复的路由，利用制图软件开发工具对第一路由和第二路由进行拓扑拼接，获得电力系统的网络拓扑图。

可选的，制图软件可以是Visio软件。

在一个具体的实施例中，电力系统中的节点可以基于ICMP协议进行扫描；

通过ping操作依次检测属于电力系统的IP地址区间里的每一个IP地址，以发现所有活动IP对应的可管理的活动节点；对ping操作后得到的活动节点进行深度搜索扫描，同时对扫描的活动节点进行traceroute(路由跟踪)操作，记录traceroute操作的结果，获取到达各活动节点的路由；

ping操作执行时，使用ICMP协议向IP地址所对应的节点的网络设备发送接收请求数据包，并接收反馈数据包。以反馈数据包中的响应时间数据来判断节点是否处于活动状态，并且在此基础上使用ICMP协议对各个节点进行深度搜索扫描，在深度搜索扫描的同时对各个节点进行路由跟踪操作，即沿扫描链路通道向各个节点发送掩码请求报文，接收各个节点返回的子网掩码，根据子网掩码将各个节点加入到不同的子网，分别获取到达各个节点的第一路由。基于ICMP协议的扫描方式简单、可靠，避免使用SNMP协议的安全性问题，而且由于几乎所有基于TCP/IP协议体系结构的网络设备都支持ICMP协议，因此可以发现网络中活动的所有网络设备。

对各个节点的第一路由进行拓扑拼接后，得到电力系统的网络拓扑信息。拓扑拼接的方法是使用Visio和相应的SDK开发任务的可重用函数、类和过程，达到制图效果与控件编程所不能达到的效果，拼接获得的拓扑图可导出至Visio打开进行编辑。

另外，还可以使用ICMP协议对各个节点进行广度搜索扫描，在广度搜索扫描的同时对各个节点进行路由跟踪操作，获取到达各个节点的第二路由；通过对比排除各个节点的第一路由和第二路由中重复的路由，再对第一路由和第二路由进行拓扑拼接，得到完整的拓扑信息。

还有，第二路由可以基于地址解析协议进行获取。电力系统中的节点可以基于ARP协议(地址解析协议)进行扫描；

任何运行在电力系统局域网中的IP网络设备都运行地址解析协议ARP，实现IP地址与MAC地址间的地址解析，该协议会自动建立和维护一个MAC地址与IP地址映射表。因此，可以根据任何一台路由器或交换机的ARP映射表，发现与其相连的局域网中的所有设备。可以查找网络中的路由器和交换机，并根据其ARP映射表进行发现，最终得到完整的拓扑结构。

由于ARP表中的网络设备地址都是最近活动过的有效设备的IP地址，几乎没有冗余信息，因此搜索扫描的效率很高，可以通过登录到交换节点上的网络设备来获取ARP信息来实现。

在具体实现过程中，根据所述地址映射表查找与交换节点相连的其他节点，确定所有交换节点以及与交换节点相连的其他节点为所述电力系统中处于活动状态的各个节点，根据所述地址映射表对所述电力系统中处于活动状态的各个节点进行深度搜索扫描，获取到达处于活动状态的各个节点的第二路由；

通过网络拓扑拼接与呈现，自动识别和定位网络区域之间跨区互联的问题，以图样的形式直观的展现风险，定位可疑设备。传统每年的信息安全等级保护测评——边界完整性检查测评项，都需要投入大量人力与时间去人工排查跨区互连问题，而且容易误报出错，使用本发明的方案，可节省人力和时间成本，准确率高。而且可以导出生成的网络拓扑图，便于用户进行编辑与工作汇报。传统大多类似技术的产品所呈现的都只是纯粹图片格式的网络拓扑图，不能进行编辑，如果拓扑生成过程发生误判，所生成的拓扑图即无法更改，从而降低之前的扫描、排查工作的成果价值，带来工作上的不便。通过本发明的方案，即便之前扫描，排查工作由于客观因素而产生的误判，在生成拓扑图以后还可以通过Visio手动编辑的方式去纠正，通过人工与机器只能相结合得出最精准的网络拓扑图。

根据上述基于控制报文协议的电力系统的网络拓扑获取方法，本发明还提供一种基于控制报文协议的电力系统的网络拓扑获取系统，以下就本发明的基于控制报文协议的电力系统的网络拓扑获取系统的实施例进行详细说明。

参见图2所示，为本发明一个实施例的基于控制报文协议的电力系统的网络拓扑获取系统的结构示意图。该实施例中的基于控制报文协议的电力系统的网络拓扑获取系统包括:

诊断获取单元210，用于通过控制报文协议对电力系统进行网络诊断，获取电力系统中处于活动状态的各个节点；

扫描跟踪单元220，用于通过控制报文协议对各个节点进行深度搜索扫描，在深度搜索扫描的同时对各个节点进行路由跟踪操作，获取到达各个节点的第一路由；

拓扑拼接单元230，用于对到达各个节点的第一路由进行拓扑拼接，获得电力系统的网络拓扑信息。

在其中一个实施例中，诊断获取单元210通过ping操作对属于电力系统的IP地址区间中的每个IP地址进行检测，获取每个IP地址的ping操作结果；根据ping操作结果确定IP地址所对应的节点是否处于活动状态。

在其中一个实施例中，ping操作包括向每个IP地址发送请求数据包，接收每个IP地址返回的反馈数据包；

诊断获取单元210在当前IP地址返回的反馈数据包中的响应时间值小于预设值时，确定当前IP地址所对应的节点处于活动状态。

在其中一个实施例中，扫描跟踪单元220选择一个未扫描的节点作为起始节点，从起始节点开始扫描，在扫描完当前节点后，扫描与当前节点连接的下一节点，直至扫描完末端节点；回溯到上一节点，扫描与上一节点递进连接的未扫描的节点，直至扫描完所有的节点。

在其中一个实施例中，扫描跟踪单元220在深度搜索扫描的同时，沿扫描链路通道向各个节点发送请求报文，接收各个节点返回的响应报文，根据各响应报文分别获取到达各个节点的第一路由。

在其中一个实施例中，扫描跟踪单元220通过控制报文协议对各个节点进行广度搜索扫描，在广度搜索扫描的同时对各个节点进行路由跟踪操作，获取到达各个节点的第二路由；

拓扑拼接单元230对比到达各个节点的第一路由和到达各个节点的第二路由，排除重复的路由，将各第一路由和各第二路由进行拓扑拼接。

在其中一个实施例中，扫描跟踪单元220选择一个未扫描的节点作为起始节点，从起始节点开始扫描，在扫描完当前节点后，扫描与当前节点连接的所有下一节点，直至扫描完末端节点。

在其中一个实施例中，扫描跟踪单元220在存在未扫描的节点时，从未扫描的节点中选择一个节点重新作为起始节点，执行从起始节点开始扫描的步骤，直至扫描完所有节点。

在其中一个实施例中，拓扑拼接单元230利用制图软件开发工具对到达各个节点的第一路由进行拓扑拼接，获得电力系统的网络拓扑图。

本发明的基于控制报文协议的电力系统的网络拓扑获取系统与本发明的基于控制报文协议的电力系统的网络拓扑获取方法一一对应，在上述基于控制报文协议的电力系统的网络拓扑获取方法的实施例阐述的技术特征及其有益效果均适用于基于控制报文协议的电力系统的网络拓扑获取系统的实施例中。

根据上述基于控制报文协议的电力系统的网络拓扑获取方法，本发明实施例还提供一种可读存储介质和一种检测设备。可读存储介质上存储有可执行程序，该程序被处理器执行时实现上述基于控制报文协议的电力系统的网络拓扑获取方法的步骤；检测设备包括存储器、处理器及存储在存储器上并可在处理器上运行的可执行程序，处理器执行程序时实现上述基于控制报文协议的电力系统的网络拓扑获取方法的步骤。

以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成。所述的程序可以存储于可读取存储介质中。该程序在执行时，包括上述方法所述的步骤。所述的存储介质，包括：ROM/RAM、磁碟、光盘等。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种基于控制报文协议的电力系统的网络拓扑获取方法，其特征在于，包括以下步骤：

通过控制报文协议对电力系统进行网络诊断，获取所述电力系统中处于活动状态的各个节点；

通过所述控制报文协议对各个所述节点进行深度搜索扫描，在深度搜索扫描的同时对各个所述节点进行路由跟踪操作，获取到达各个所述节点的第一路由；

对到达各个所述节点的第一路由进行拓扑拼接，获得电力系统的网络拓扑信息。

2.根据权利要求1所述的基于控制报文协议的电力系统的网络拓扑获取方法，其特征在于，所述通过控制报文协议对电力系统进行网络诊断，获取所述电力系统中处于活动状态的各个节点的步骤包括以下步骤：

通过ping操作对属于电力系统的IP地址区间中的每个IP地址进行检测，获取每个IP地址的ping操作结果；

根据所述ping操作结果确定IP地址所对应的节点是否处于活动状态。

3.根据权利要求2所述的基于控制报文协议的电力系统的网络拓扑获取方法，其特征在于，所述ping操作包括向每个IP地址发送请求数据包，接收每个IP地址返回的反馈数据包；

根据所述ping操作结果确定IP地址所对应的节点是否处于活动状态的步骤包括以下步骤：

在当前IP地址返回的反馈数据包中的响应时间值小于预设值时，确定当前IP地址所对应的节点处于活动状态。

4.根据权利要求1所述的基于控制报文协议的电力系统的网络拓扑获取方法，其特征在于，所述通过所述控制报文协议对各个所述节点进行深度搜索扫描的步骤包括以下步骤：

选择一个未扫描的节点作为起始节点，从所述起始节点开始扫描，在扫描完当前节点后，扫描与当前节点连接的下一节点，直至扫描完末端节点；

回溯到上一节点，扫描与上一节点递进连接的未扫描的节点，直至扫描完所有的节点。

5.根据权利要求4所述的基于控制报文协议的电力系统的网络拓扑获取方法，其特征在于，所述在深度搜索扫描的同时进行路由跟踪操作，获取到达各个所述节点的第一路由的步骤包括以下步骤：

在深度搜索扫描的同时，沿扫描链路通道向各个所述节点发送请求报文，接收各个所述节点返回的响应报文，根据各所述响应报文分别获取到达各个所述节点的第一路由。

6.根据权利要求1所述的基于控制报文协议的电力系统的网络拓扑获取方法，其特征在于，还包括以下步骤：

通过所述控制报文协议对各个所述节点进行广度搜索扫描，在广度搜索扫描的同时对各个所述节点进行路由跟踪操作，获取到达各个所述节点的第二路由；

所述对到达各个所述节点的第一路由进行拓扑拼接的步骤包括以下步骤：

对比到达各个所述节点的第一路由和到达各个所述节点的第二路由，排除重复的路由，将各所述第一路由和各所述第二路由进行拓扑拼接。

7.根据权利要求6所述的基于控制报文协议的电力系统的网络拓扑获取方法，其特征在于，所述通过所述控制报文协议对各个所述节点进行广度搜索扫描的步骤包括以下步骤：

选择一个未扫描的节点作为起始节点，从所述起始节点开始扫描，在扫描完当前节点后，扫描与当前节点连接的所有下一节点，直至扫描完末端节点。

8.根据权利要求7所述的基于控制报文协议的电力系统的网络拓扑获取方法，其特征在于，所述直至扫描完末端节点的步骤之后还包括以下步骤：

在存在未扫描的节点时，从未扫描的节点中选择一个节点重新作为起始节点，执行从所述起始节点开始扫描的步骤，直至扫描完所有节点。

9.根据权利要求1所述的基于控制报文协议的电力系统的网络拓扑获取方法，其特征在于，所述对到达各个所述节点的第一路由进行拓扑拼接，获得电力系统的网络拓扑信息的步骤包括以下步骤：

利用制图软件开发工具对所述到达各个所述节点的第一路由进行拓扑拼接，获得电力系统的网络拓扑图。

10.一种基于控制报文协议的电力系统的网络拓扑获取系统，其特征在于，包括：

诊断获取单元，用于通过控制报文协议对电力系统进行网络诊断，获取所述电力系统中处于活动状态的各个节点；

扫描跟踪单元，用于通过所述控制报文协议对各个所述节点进行深度搜索扫描，在深度搜索扫描的同时对各个所述节点进行路由跟踪操作，获取到达各个所述节点的第一路由；

拓扑拼接单元，用于对到达各个所述节点的第一路由进行拓扑拼接，获得电力系统的网络拓扑信息。