CN108173854B - 一种电力私有协议的安全监测方法 - Google Patents

Abstract

本发明提供一种电力私有协议的安全监测方法，该发明应用Progressive neural networks（渐进式神经网络模型）于电力私有协议的识别与解析，为电力私有协议的安全监测提供基础保障；根据电力私有协议网络通信数据，生成动态电力私有协议安全监测规则，为电力私有协议安全监测提供依据，大大减少纯人工创建规则导致误操作等情况的发生；通过对电力私有协议识别与解析、安全监测规则建立以及通信数据安全监测，实现了对于电力私有协议的安全监测，突破了传统的应用协议级安全监测必须依赖于完整协议规范的限制，可有效拓展安全监测系统的覆盖范围。

Description

一种电力私有协议的安全监测方法

技术领域

本发明涉及电力监控网络系统领域，更具体地，涉及一种电力私有协议的安全监测方法。

背景技术

随着信息技术的飞速发展、国际政治经济竞争的加剧，能源、电力、通信、水利等国家关键信息基础设施面临日益严峻的网络攻击风险，2010年发生的伊朗核电站“震网”攻击事件和2015年、2016年乌克兰电网连续两次遭受攻击导致的大面积停电事件，表明网络空间的恶意攻击已成为电网安全稳定运行的现实威胁。因此，电力监控系统的网络安全直接关系着国家安全。

电力系统主要应用的工控协议有包括IEC101/102/103/104在内的IEC60870-5协议以及包括MMS、GOOSE和SV等在内的IEC61850协议，除此之外，由于各个方面的需求，也应用着各种私有协议，如国网IEC103协议等。对于标准协议，由于存在对应的国际或者内部标准，实现监测与管控相对容易；而针对私有协议，因为协议规范未知，所以先验信息未知，在学术研究中，称为先验信息匮乏或损失，根据概率论，先验信息损失，只能观测到后验概率，因为无法还原字段规格的联合概率分布，从理论上来讲，永远不可能求解字段的正确位置，更难以实现对其协议通信的安全监测。

不过通常应用环境下的私有协议，也是在借鉴已有协议标准的基础上，通过不同的组合形式演变而来，如国网IEC103协议，正是借鉴了国际IEC103协议和IEC104协议规范。同时，电力监控系统中，也包括其他很多特征不明显的私有通信协议，针对此类应用情况，本专利论述通过基于Progressive neural networks（渐进式神经网络模型）实现对电力私有协议的识别、解析与安全监测。在针对电网应用场景涉及到的工控协议IEC61850、IEC60870-5、MODBUS-TCP以及其他电力通信议进行深度学习的基础上，生成协议解析神经网络，实现对电力私有协议的解析与针对性的安全监测。

发明内容

本发明提供一种为电力私有协议的安全监测提供基础保障的电力私有协议的安全监测方法。

为了达到上述技术效果，本发明的技术方案如下：

一种电力私有协议的安全监测方法，包括以下步骤：

S1：识别与解析电力私有协议；

S2：基于识别与解析出的电力私有协议，建立电力私有协议安全监测规则；

S3：根据建立的电力私有协议安全监测规则，安全监测电力私有协议通信数据。

进一步地，所述步骤S1的具体过程是：

S11：构建一个基础协议数据分析提取网络，并且随机初始化所有连接的权重；

S12：将已知的协议通信数据应用于所述分析提取网络中，分析提取网络处理这些解析并且进行学习；

S13：若分析提取网络解析出的动作是正确的，则进行奖励，否则惩罚，以拟合最佳连接权重；

S14：经过对于已知通信协议的识别与解析训练，学习私有协议的识别与解析，并提取相应的字段，期间搭建模拟环境，使用该私有协议的通信软件，设置针对性的通信内容，深度学习该通信数据输入与输出，对学习结果进行奖励与惩罚，提升深度学习算法的准确率。

进一步地，所述步骤S2的具体过程是：

基于识别与解析出的电力私有协议，对电力系统中的私有协议网络流量提取相应的操作指令和数据字段；通过对操作指令数据范围进行统计分析，得出操作指令有效性配置；通过对各种操作指令的使用频率进行统计，对于使用概率极低的数据指令配置为可疑数据指令；

通过数据字段类型与范围统计分析，生成数据字段有效性配置策略；对于时间字段，统计其最早时间，时间字段的范围应该在最早时间至当前时间加上时间同步合理偏差；对于数据字段通过进行线性回归分析，生成数据字段的动态阈值配置。

进一步地，所述步骤S3的具体过程是：

1）操作指令有效性检测：

根据有效数据指令配置，判断数据指令是否是协议有效，对于无效指令进行告警；

2）可疑操作指令检测：

根据可以操作指令黑名单配置，对在黑名单指令中的数据指令进行告警；

3）数据字段有效性检测：

基于数据字段有效性配置，对于无效传输数据进行告警；

4）数据字段阈值检测：

基于数据字段动态阈值范围配置，在阈值配置之外的传输数据进行告警。

进一步地，所述基础协议数据分析提取网络进行的操作包括以下过程：

S111：基础数据类型提取：

（1）位数据提取：

通过对输入的字节，按照BIT位进行有序拆分, 按照BIT位输出进行提取，比如输入字节49，输出0、0、1、1、0、0、0、1BIT位；

（2）字节整数拆分提取：

对于输入单个字节，按照BIT位进行有序拆分组合，按照整数输出进行学习，比如输入字节49，输出【0，49】、【0，0，49】，【0，0，1，17】、【1，17】等多种整数序列；

（3）整数提取：

对于输入单个或多个字节的整数，按照字节进行有序拆分与组合，按照整数输出进行提取；

（4）浮点数提取：

对于输入浮点数，按照浮点数进行提取；

（5）字符提取：

输入字节流，按照以’\0’结尾输出字符串；不判断结尾字符输出字符串；

S112：复合数据类型提取，包括时间、实数数据类型提取；

S113：字符编码提取，包括常用的UTF8编码提取、GBK编码提取、UNICODE编码提取；

S114：常用编码规则，包括BASE64解码提取、ASN.1解码提取、URL解码提取、OLE通信产常用到的Unmarshalling提取；

S115：多类型数据组合、嵌套提取，包括对数据分组，学习数据分组格式。

与现有技术相比，本发明技术方案的有益效果是：

本发明应用Progressive neural networks（渐进式神经网络模型）于电力私有协议的识别与解析，为电力私有协议的安全监测提供基础保障；根据电力私有协议网络通信数据，生成动态电力私有协议安全监测规则，为电力私有协议安全监测提供依据，大大减少纯人工创建规则导致误操作等情况的发生；通过对电力私有协议识别与解析、安全监测规则建立以及通信数据安全监测，实现了对于电力私有协议的安全监测，突破了传统的应用协议级安全监测必须依赖于完整协议规范的限制，可有效拓展安全监测系统的覆盖范围。

附图说明

图1为本发明流程图；

图2为实施例1中人工神经网络模型；

图3为实施例1中Progressive neural networks模型图；

图4为实施例1中IEC103应用服务数据单元结构图；

图5为实施例1中私有协议通信数据样例；

图6为实施例1中私有协议解析效果图；

图7为实施例1中操作指令规则图；

图8为实施例1中数据字段规则图。

具体实施方式

附图仅用于示例性说明，不能理解为对本专利的限制；

为了更好说明本实施例，附图某些部件会有省略、放大或缩小，并不代表实际产品的尺寸；

对于本领域技术人员来说，附图中某些公知结构及其说明可能省略是可以理解的。

下面结合附图和实施例对本发明的技术方案做进一步的说明。

实施例1

本发明提出的针对电力私有协议的安全监测方案，由电力私有协议识别与解析、电力私有协议安全监测规则建立和电力私有协议通信数据安全监测三部分组成，如图1所示。

电力私有协议识别与解析

由于私有协议规范的构建通常都根据自身通信环境需求，对已有通信协议进行定制化而得来，其基本原理与已有协议相同或则类似，本发明采用基于Progressive neuralnetworks（渐进式神经网络模型），对电力系统中常用的IEC60870-5（IEC102/103/104等）、IEC71850（GOOSE、SV、MMS）以及其他应用协议通信数据进行深度学习，利用对已知协议进行识别与解析的经验，实现对电网私有协议的识别与解析。

电力私有协议安全监测规则建立

基于电力私有协议识别与解析，对操作指令与操作字段进行统计与阈值回归分析，生成操作指令和数据字段监测规则，为后续的安全监测提供参考依据。

电力私有协议通信数据安全监测

通过操作指令有效性检测、可疑操作指令检测、数据字段有效性检测、数据字段阈值检测和畸形报文检测等手段实现对私有通信协议通信数据的安全监测。

电力私有协议识别与解析

电力私有协议识别与解析基于Progressive neural networks（渐进式神经网络模型）对已知协议规范的深度学习，实现电力私有协议的识别与解析。

深度学习的概念源于人工神经网络的研究，人工神经网络ANN（ArtificialNeural Networks）是机器学习的一个算法，它是由人类的大脑结构产生的灵感。这个网络由许多节点组成，如同大脑由神经元组成，并且互相之间联系在一起，如同神经元之间通过神经突触和神经树联系在一起。对于每个神经元，都会对其应该传递的信号的情况做特殊规定，通过改变这些连接的强弱，可以使得这些网络计算更加快速。现在神经网络的结构通常由如下部分组成：神经的输入层（获得目标的描述）、隐藏层（主要部分，在这些层中学习）、输出层（对于每个种类都一个神经节点，分数最高的一个节点就是预测的种类）。在学习过程结束之后，新的物体就能够送入这个网络，并且能够在输出层看到每个种类的分数，如图2所示。

Progressive neural networks（渐进式神经网络模型）目前主要应用于医疗保健等行业，其原理是让已经训练好的神经网络也参与到新任务网络的训练过程中，因为已经训练好的网络所具有的信息抽取的能力，可能对新的任务有一定的参考价值，如图3所示。

由于目前电力系统中的私有协议，也是在借鉴已有协议标准的基础上，结合电力系统实际应用情况，进行定制化修改，其基本原理与已有协议相同或则类似。因此，本发明创造性应用Progressive neural networks（渐进式神经网络模型）于电力系统私有协议的识别与解析。核心思路就是通过对电力系统已知协议规范的识别与解析的训练，学习协议通用识别与解析方法，应用于未知的私有协议识别与解析。处理过程如下：

（1）构建一个基础协议数据分析提取网络，并且随机初始化所有连接的权重。

（2）将已知的协议通信数据应用于该网络中。

（3）网络处理这些解析并且进行学习。

（4）如果这个动作是好的，则进行奖励，否则惩罚，以拟合最佳连接权重。

（5）经过对于已知通信协议的识别与解析训练，学习私有协议的识别与解析，并提取相应的字段。期间可以搭建模拟环境，使用该私有协议的通信软件，设置针对性的通信内容，深度学习该通信数据输入与输出，对学习结果进行奖励与惩罚，提升深度学习算法的准确率。

电力私有协议识别与解析基础在于协议数据分析提取网络的建立。根据数据提取方式的不同，协议数据分析提取网络包含基础数据类型提取、复合数据类型提取、字符编码数据提取、常用编码数据提起、多类型数据组合提取和嵌套数据提取等六个部分。

基础数据类型提取

（1）位数据提取

通过对输入的字节，按照BIT位进行有序拆分, 按照BIT位输出进行提取，比如输入字节49,输出0、0、1、1、0、0、0、1等BIT位。

（2）字节整数拆分提取

对于输入单个字节，按照BIT位进行有序拆分组合，按照整数输出进行学习，比如输入字节49,输出【0，49】、【0，0，49】，【0，0，1，17】、【1，17】等多种整数序列。

（3）整数提取

对于输入单个或多个字节的整数，按照字节进行有序拆分与组合，按照整数输出进行提取。

（4）浮点数提取

对于输入浮点数，按照浮点数进行提取。

字符提取

输入字节流，按照以’\0’结尾输出字符串；不判断结尾字符输出字符串。

复合数据类型提取，包括时间、实数数据类型提取。

字符编码提取，包括常用的UTF8编码提取、GBK编码提取、UNICODE编码提取等等。

常用编码规则，包括BASE64解码提取、ASN.1解码提取、URL解码提取、OLE通信产常用到的Unmarshalling提取等等。

多类型数据组合、嵌套提取，包括对数据分组，学习数据分组格式，比如IEC103通信协议中，当可变结构限定值表示连续多个数据单元时，多个信息体为连续序列，如图4所示。

在反复测试并构建基础协议数据分析提取网络后，针对性输入IEC61850和IEC60870-5以及其它已知应用协议网络数据，如数据包pcap文件和旁路镜像的网络流量等，使用该数据分析提取网络进行反复拟合并更新各种数据提取方式的权值，构建完整的协议识别与解析算法。该过程需要大量已知应用协议数据的学习，协议数据分析提取拟合程度越高，对于未知协议识别与解析的效果更好。如图5私有协议二进制报文，识别与解析后效果如图6所示。

电力私有协议安全监测规则建立

基于以上电力私有协议识别与解析方法，对电力系统中的私有协议网络流量提取相应的操作指令和数据字段。通过对操作指令数据范围进行统计分析，得出操作指令有效性配置；通过对各种操作指令的使用频率进行统计，对于使用概率极低的数据指令配置为可疑数据指令，如图7所示。

通过数据字段类型与范围统计分析，生成数据字段有效性配置策略，如对于时间字段，统计其最早时间，时间字段的范围应该在最早时间至当前时间加上时间同步合理偏差；对于数据字段通过进行线性回归分析，生成数据字段的动态阈值配置，如图8所示。

电力私有协议通信数据安全监测

基于对私有协议的解码以及对合规性的分析，可实时发现工业控制网络内的危险指令、高风险指令、无效数据、数据夹带等异常业务数据。其合规性检查方法如下：

操作指令有效性检测，根据有效数据指令配置，判断数据指令是否是协议有效，对于无效指令进行告警。

可疑操作指令检测，根据可以操作指令黑名单配置，对在黑名单指令中的数据指令进行告警。

数据字段有效性检测，基于数据字段有效性配置，对于无效传输数据进行告警。

数据字段阈值检测，基于数据字段动态阈值范围配置，在阈值配置之外的传输数据进行告警。

相同或相似的标号对应相同或相似的部件；

附图中描述位置关系的用于仅用于示例性说明，不能理解为对本专利的限制；

显然，本发明的上述实施例仅仅是为清楚地说明本发明所作的举例，而并非是对本发明的实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明权利要求的保护范围之内。

Claims (4)

1.一种电力私有协议的安全监测方法，其特征在于，包括以下步骤：

S1：识别与解析电力私有协议；

S2：基于识别与解析出的电力私有协议，建立电力私有协议安全监测规则；

S3：根据建立的电力私有协议安全监测规则，安全监测电力私有协议通信数据；

所述步骤S1的具体过程是：

S11：构建一个基础协议数据分析提取网络，并且随机初始化所有连接的权重；

S12：将已知的协议通信数据应用于所述分析提取网络中，分析提取网络处理这些解析并且进行学习；

S13：若分析提取网络解析出的动作是正确的，则进行奖励，否则惩罚，以拟合最佳连接权重；

S14：经过对于已知通信协议的识别与解析训练，学习私有协议的识别与解析，并提取相应的字段，期间搭建模拟环境，使用该私有协议的通信软件，设置针对性的通信内容，深度学习该通信数据输入与输出，对学习结果进行奖励与惩罚，提升深度学习算法的准确率。

2.根据权利要求1所述的电力私有协议的安全监测方法，其特征在于，所述步骤S2的具体过程是：

基于识别与解析出的电力私有协议，对电力系统中的私有协议网络流量提取相应的操作指令和数据字段；通过对操作指令数据范围进行统计分析，得出操作指令有效性配置；通过对各种操作指令的使用频率进行统计，对于使用概率极低的数据指令配置为可疑数据指令；

通过数据字段类型与范围统计分析，生成数据字段有效性配置策略；对于时间字段，统计其最早时间，时间字段的范围应该在最早时间至当前时间加上时间同步合理偏差；对于数据字段通过进行线性回归分析，生成数据字段的动态阈值配置。

3.根据权利要求2所述的电力私有协议的安全监测方法，其特征在于，所述步骤S3的具体过程是：

1)操作指令有效性检测：

根据有效数据指令配置，判断数据指令是否是协议有效，对于无效指令进行告警；

2)可疑操作指令检测：

根据可以操作指令黑名单配置，对在黑名单指令中的数据指令进行告警；

3)数据字段有效性检测：

基于数据字段有效性配置，对于无效传输数据进行告警；

4)数据字段阈值检测：

基于数据字段动态阈值范围配置，在阈值配置之外的传输数据进行告警。

4.根据权利要求3所述的电力私有协议的安全监测方法，其特征在于，所述基础协议数据分析提取网络进行的操作包括以下过程：

S111：基础数据类型提取：

(1)位数据提取：

通过对输入的字节，按照BIT位进行有序拆分,按照BIT位输出进行提取，输入字节49，输出0、0、1、1、0、0、0、1BIT位；

(2)字节整数拆分提取：

对于输入单个字节，按照BIT位进行有序拆分组合，按照整数输出进行学习，输入字节49，输出整数序列【0，49】、【0，0，49】、【0，0，1，17】、【1，17】；

(3)整数提取：

对于输入单个或多个字节的整数，按照字节进行有序拆分与组合，按照整数输出进行提取；

(4)浮点数提取：

对于输入浮点数，按照浮点数进行提取；

(5)字符提取：

输入字节流，按照以’\0’结尾输出字符串；不判断结尾字符输出字符串；

S112：复合数据类型提取，包括时间、实数数据类型提取；

S113：字符编码提取，包括常用的UTF8编码提取、GBK编码提取、UNICODE编码提取；

S114：常用编码规则，包括BASE64解码提取、ASN.1解码提取、URL解码提取；

S115：多类型数据组合、嵌套提取，包括对数据分组，学习数据分组格式。

Images