CN110213233A - 防御电网分布式拒绝服务攻击的仿真平台及建立方法 - Google Patents

Abstract

本发明公开一种防御电网分布式拒绝服务攻击的仿真平台及建立方法。该建立方法包括：采用RT‑LAB仿真工具，建立电力网络模型；采用OPNET仿真工具，建立通信网络模型；建立主站控制系统；将网络接口和系统在环接口连接；将数据接口和系统在环接口连接；数据接口用于将数据包封装为如下的结构：依次设置的填充段和至少一个数据段，每一数据段包括：依次设置的启动字符68H、地址段、时间段和载荷段，地址段包括：依次设置的源地址和目的地址，时间段包括：依次设置的量测数据的数据包生成时刻和网络传输延时，载荷段的载荷为量测数据或控制命令。本发明使主站控制系统实现电力网络模型和通信网络模型同步分析控制，达到联合仿真的要求。

Description

防御电网分布式拒绝服务攻击的仿真平台及建立方法

技术领域

本发明涉及电力系统网络安全技术领域，尤其涉及一种防御电网分布式拒绝服务攻击的仿真平台及建立方法。

背景技术

随着智能电网建设的不断推进，先进的感知、计算、通信与控制技术在电力系统中得到深入应用。传统电力系统逐渐与信息控制设备和通信传感网络深度融合，形成电网信息物理系统(Cyber Physical System,CPS)。在促进电力资源高效配置、实时分析、科学决策的同时，通信网络和信息设备中的安全漏洞也带来了潜在威胁。

电力通信网络作为电力工控系统的专用网络，具有“安全分区、网络专用、横向隔离、纵向认证”的特点，长期以来被认为具备较强的安全性和可靠性。因此与相对健壮的电力一次系统相比，针对电力信息通信系统的安全防护研究起步较晚。目前针对电力系统网络攻击实例的研究表明，由于规划和运行管理漏洞的存在，物理隔离并不能保证电网CPS的绝对安全。近年来，随着电力信息化的推动和工业化进程的加速，越来越多的计算机和网络技术应用于电力系统，在为电力工业生产带来极大推动作用的同时，也带来了诸如木马、病毒、钓鱼邮件等一系列网络安全问题。作为针对基础工控设施的新型攻击方式，网络攻击已成为电力系统安全稳定运行不容忽视的威胁，其攻击机理、防御手段及相应的系统安全态势评估方法亟待深入研究。

在电网CPS环境中，对网络攻击的研究需要分析物理环境、通信环境与控制设备间的关联特性。由于信息物理耦合程度高，机理复杂，面向网络攻击的检测、定位与保护措施难度较大。

发明内容

本发明实施例提供一种防御电网分布式拒绝服务攻击的仿真平台及建立方法，以解决现有技术缺少对防御电网分布式拒绝服务攻击进行仿真使得面向网络攻击的检测、定位与保护措施难度较大的问题。

第一方面，提供一种防御电网分布式拒绝服务攻击的仿真平台的建立方法，包括：

采用RT-LAB仿真工具，建立电力网络模型，其中，所述电力网络模型包括：仿真电力网络和网络接口；

采用OPNET仿真工具，建立通信网络模型，其中，所述通信网络模型包括：仿真通信网络和系统在环接口；

建立主站控制系统，其中，所述主站控制系统包括：数据接口，所述数据接口为通过socket套接字开通的UDP协议端口；

将所述网络接口和所述系统在环接口连接，以使所述电力网络模型和所述通信网络模型通信连接；

将所述数据接口和所述系统在环接口连接，以使所述主站控制系统和所述通信网络模型通信连接；

其中，所述主站控制系统用于基于在所述通信网络模型中仿真的分布式拒绝服务攻击，根据所述电力网络模型和所述通信网络模型发送的量测数据，生成控制命令的数据包，并将所述控制命令的数据包发送到所述电力网络模型和所述通信网络模型，以使所述电力网络模型和所述通信网络模型执行对应的所述控制命令；

所述数据接口用于将数据包封装为如下的结构：依次设置的填充段和至少一个数据段，其中，每一所述数据段包括：依次设置的启动字符68H、地址段、时间段和载荷段，所述地址段包括：依次设置的源地址和目的地址，所述时间段包括：依次设置的量测数据的数据包生成时刻和网络传输延时，所述载荷段的载荷为量测数据或控制命令。

第二方面，提供一种采用上述的防御电网分布式拒绝服务攻击的仿真平台的建立方法建立的防御电网分布式拒绝服务攻击的仿真平台。

第三方面，提供一种防御电网分布式拒绝服务攻击的仿真方法，采用如上所述的防御电网分布式拒绝服务攻击的仿真平台进行仿真，所述仿真方法包括：

在所述仿真通信网络中模拟分布式拒绝服务攻击；

所述主站控制系统接收所述电力网络模型和所述通信网络模型的量测数据的数据包，并根据所述量测数据判断是否存在所述分布式拒绝服务攻击；

若存在所述分布式拒绝服务攻击，则所述主站控制系统生成针对所述分布式拒绝服务攻击的控制命令的数据包，并将所述控制命令的数据包发送到所述电力网络模型和所述通信网络模型，以使所述电力网络模型和所述通信网络模型执行所述控制命令。

本发明实施例，可以建立防御电网分布式拒绝服务攻击的仿真平台，通过数据接口对电力网络模型和通信网络模型的不同的数据包进行统一的传送处理，使主站控制系统实现电力网络模型和通信网络模型同步分析控制，达到联合仿真的要求；通过该仿真平台，对分布式拒绝服务攻击进行复现、分析与防御，使电网保持稳定运行。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例的描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例的防御电网分布式拒绝服务攻击的仿真平台的建立方法的流程图；

图2是本发明实施例的网络接口的结构示意图；

图3是本发明实施例的数据接口封装的数据包的数据段的结构示意图；

图4是本发明实施例的线路的分布式拒绝服务攻击的流程及原理图；

图5是本发明实施例的防御电网分布式拒绝服务攻击的仿真平台的结构框图；

图6是本发明实施例的防御电网分布式拒绝服务攻击的仿真方法的流程图；

图7是本发明实施例的仿真电力网络和仿真通信网络的示意图；

图8是本发明一优选实施例的变电站与控制主站之间的通信传输延时的结果图；

图9是本发明一优选实施例的防火墙与访问接入控制列表的工作原理示意图；

图10是本发明一优选实施例的攻防过程中的服务器内存与流量占用情况的示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获取的所有其他实施例，都属于本发明保护的范围。

本发明实施例公开了一种防御电网分布式拒绝服务攻击的仿真平台的建立方法。该仿真平台用于对分布式拒绝服务攻击进行复现、分析与防御。如图1所示，本发明实施例的建立方法包括如下的步骤：

步骤S101：采用RT-LAB仿真工具，建立电力网络模型。

具体的，电力网络模型包括：仿真电力网络和网络接口。

RT-LAB提供了非常全面的电力元件模型，但为了满足实时运行要求，RT-LAB中的模型规模受到限制。因此通常首先用戴维南等值方法对原始实际电力网络等值化简，使其规模适合实时仿真，然后根据等值化简后的网络搭建仿真电力网络，并可通过离线仿真验证该仿真电力网络是否正确。仿真电力网络是由电力元件模型组成的拓扑结构。在电力网络模型中可建立稳态潮流。

网络接口为RT-LAB仿真工具提供的已有模型。仿真电力网络采用以太网与外部通信，通信协议可以根据需求采用TCP或者UDP协议。网络接口由三个模块组成，如图2所示，OpIPSocketCtrl模块负责控制通信协议、端口和IP地址，OpAsyncRecv模块负责数据帧接收，OpAsyncSend模块负责数据帧发送。仿真电力网络中可以有多组网络接口，各组网络接口通过端口号区分。

步骤S102：采用OPNET仿真工具，建立通信网络模型。

具体的，通信网络模型包括：仿真通信网络和系统在环接口。

该仿真通信网络是利用OPNET的进程级、节点级和网络级的三层建模机制，建立得到的电力广域通信网络。OPNET仿真工具作为分布式拒绝服务攻击攻防策略的承担场景。

系统在环接口(System In the Loop，SITL)为OPNET仿真工具提供的已有模型。

在该通信网络模型中可配置数据接口、背景流量和电力业务等等，模拟分布式拒绝服务攻击。

步骤S103：建立主站控制系统。

主站控制系统可通过编程语言建立。在本发明一优选的实施例中采用C语言建立主站控制系统。

其中，主站控制系统包括：数据接口。数据接口为通过socket套接字开通的UDP协议端口。

步骤S104：将网络接口和系统在环接口连接，以使电力网络模型和通信网络模型通信连接。

步骤S105：将数据接口和系统在环接口连接，以使主站控制系统和通信网络模型通信连接。

通过上述的过程，建立了防御电网分布式拒绝服务攻击的仿真平台。应当理解的是，该仿真平台采用同一时间轴同步。RT-LAB仿真工具、OPNET仿真工具和主站控制系统均以实际时间为基准，独立实时运行。

在量测数据上传的过程中，OPNET仿真工具可截获数据流(例如从网卡中)，并且根据网络拓扑及故障设置计算出延时、丢包率、误码率等数据，并作用在数据流上。主站控制系统用于基于在通信网络模型中仿真的分布式拒绝服务攻击，根据电力网络模型和通信网络模型发送的量测数据，生成控制命令的数据包，并将控制命令的数据包发送到电力网络模型和通信网络模型，以使电力网络模型和通信网络模型执行对应的控制命令，以便改变仿真电力网络和仿真通信网络的运行状态。

如图3所示，数据接口用于将数据包封装为如下的结构：依次设置的填充段和至少一个数据段。每一数据段包括：依次设置的启动字符68H、地址段、时间段和载荷段。具体的，地址段包括：依次设置的源地址和目的地址。时间段包括：依次设置的量测数据的数据包生成时刻和网络传输延时。量测数据的数据包生成时刻可用于不同软件中的时间同步进程。该网络传输延时可用于判断是否出现攻击。载荷段的载荷为量测数据或控制命令。控制命令用于对该命令内容进行说明。因此，每一数据段可存储一条量测数据或控制命令。数据接口可将接收到的数据包按照上述结构重新封装，以便主站控制系统进行处理。

本发明实施例，通过网络接口和系统在环接口的连接，使得数据包可以在电力网络模型和通信网络模型之间传送，通过主站控制系统的数据接口和系统在环接口的连接，使得数据包可以在通信网络模型和主站控制系统之间传送，通过上述的传送路径，使数据包最终可以在电力网络模型和主站控制系统之间传送。并且，采用本发明实施例的数据接口及该数据接口对数据包的封装，使得主站控制系统可同时处理电力网络模型和通信网络模型发送的不同类型的数据包，实现对电力网络模型和通信网络模型的同步分析控制，达到联合仿真的要求。

具体的，量测数据包括：电力量测数据和通信量测数据。电力量测数据是电力网络模型的数据，通信量测数据是通信网络模型的数据。

控制命令包括：电力控制命令和通信控制命令。电力控制命令是电力网络模型执行的控制命令。通信控制命令是通信网络模型执行的控制命令。

主站控制系统根据电力网络模型发送的电力量测数据，生成电力控制命令，并将电力控制命令的数据包发送到电力网络模型，以使电力网络模型执行电力控制命令；主站控制系统根据通信网络模型发送的通信数据，将通信控制命令的数据包发送到通信网络模型，以使通信网络模型执行通信控制命令。

具体的，电力网络模型还包括：量测模块和第一控制模块。通常一组网络接口对应一组量测模块和第一控制模块。

量测模块用于确定采样频率、电力量测数据的种类、电力量测数据的数据包结构，并将电力量测数据的数据包发送到主站控制系统。

具体的，电力量测数据的种类包括：电压、电流、频率、功角等等。通过确定电力量测数据的数据包结构，可将不同种类的电力量测数据的数据包格式化，使得数据包结构统一，便于主站控制系统接收处理。除常规数据段外，电力量测数据的数据包还包括额外两个数据段，即用于存储发送时间戳的数据段和用于存储接收时间戳的数据段。这两个额外添加的数据段用于分析延时。一般的，量测模块在预设时间点采集电力量测数据。

第一控制模块用于确定控制对象，接收并解析主站控制系统发送的电力控制命令的数据包，并将解析得到的电力控制命令转化为控制量输出到控制对象。

具体的，控制对象包括：断路器、发电机、变压器分接头等。

此外，第一控制模块还用于读取电力控制命令的数据包的发送时间戳和接收时间戳，计算并存储仿真通信网络的传输延时。

该传输延时可被发送到主站控制系统，以便主站控制系统进行分析。

优选的，电力网络模型(例如第一控制模块)以周期0.833ms与主站控制系统进行通信。在一个周期内，完成如下的操作：

(1)向主站控制系统发送电力受控负荷量等量测数据的数据包，并等待主站控制系统返回数据包。

应当理解的是，该数据包包括了电力量测数据的源地址，即可使主站控制系统将电力量测数据发送到对应的控制对象。

(2)第一控制模块接收主站控制系统返回的数据包，并根据数据包中的报文头判断数据包的类型。

根据数据包的类型，具体可有如下的三种相应的操作。

(3)若数据包的类型为对时数据包，则根据数据包中的数据域内容修改仿真平台的时钟。

(4)若数据包的类型为异常数据包，则向主站控制系统返回异常数据包。

(5)若数据包的类型为电力控制命令的数据包，则根据数据包中的电力控制命令生成执行队列。

(6)若执行队列不为空，则将执行队列中的所有电力控制命令分发给相应的控制对象执行。

电力网络模型通过上述的模块设计，实现对仿真电力网络的数据的采集和传送，以及，执行控制命令等操作。

具体的，通信网络模型还包括：模拟攻击模块和第一网络安全模块。

其中，模拟攻击模块用于模拟分布式拒绝服务攻击的过程。具体的，模拟攻击模块利用OPNET仿真工具的Cyber Effects模块，模拟分布式拒绝服务攻击的过程，如图4所示。该模拟分布式拒绝服务攻击的过程包括如下的步骤：

(1)基于攻击者自身主机，对网络进行IP与端口渗透扫描，提取网络终端节点的IP与端口的特征。

IP与端口的特征包括流量、内容、长度等特征数据。

(2)基于提取的IP与端口的特征，对终端主机进行木马植入，以对网络终端节点进行渗透，并将网络终端节点作为发送控制指令的主控端。

具体的，可基于上述的流量、内容、长度等特征数据。通过该过程，以便隐藏攻击者自身位置。

(3)通过主控端对网络终端节点进行随机扫描与感染渗透，使被感染的网络终端节点成为代理端。

具体的，主控端采用类似的木马植入方法进行随机扫描与感染渗透。被感染的网络终端节点会给攻击者发送确认，成为代理端。

(4)对目标服务器的IP分布特征进行扫描，确定目标服务器的IP地址。

具体的，基于单位时间内的会话数量、数据包流量、地址分布特征等特征，确定目标服务器的IP地址。

(5)通过代理端对目标服务器进行SYN(Synchronize Sequence Numbers)泛洪攻击，得到传输延时结果。

具体的，通过在报文中加入虚假源地址，对目标服务器发送大量半连接请求，使得目标服务器和发起攻击的终端节点之间不能完成TCP协议的“三次握手”，网络流量异常增大，从而消耗目标服务器的资源，导致网络中通信延时急剧增加。

通过上述具体的过程，可以对分布式拒绝服务的攻击行为进行仿真。

第一网络安全模块用于采集通信量测数据，并将通信量测数据发送到主站控制系统；接收主站控制系统发送的通信控制命令的数据包，并根据通信控制命令，调整仿真通信网络的参数。

通信网络模型通过上述的模块设计，实现对仿真通信网络的数据的采集和传送，分布式拒绝服务攻击的模拟，以及，执行控制命令等操作。

基于上述的电力网络模型和通信网络模型的不同模块的功能设计，根据载荷的不同情况，数据接口封装的数据包不同。具体如下：

(1)若数据接口用于将量测数据的数据包发送到主站控制系统，则载荷为量测数据，源地址为量测模块或者第一网络安全模块的地址编号，目的地址为主站控制系统的地址编号，量测数据包生成时刻为当前仿真时刻。

(2)若数据接口模块用于将控制命令的数据包发送到对应的第一控制模块或者第一网络安全模块，则载荷为控制命令，源地址为主站控制系统的地址编号，目的地址为第一控制模块或者第一网络安全模块的地址编号，网络传输延时通过OPNET仿真工具计算得到。该通过OPNET仿真工具计算得到网络传输延时为现有技术，在此不再赘述。

载荷段除了具有量测数据或控制命令的载荷外，载荷段还可以包括：校验和、报文头。校验和用于校验报文是否正确。报文头用于判断数据包的业务类型和数据内容的特征。此外，根据情况，载荷段还可以包括：命令码。命令码用于使相应的模块执行控制命令。例如，数据包是量测模块发送的数据包，量测模块并不对主站控制系统发送辅助控制命令，则该数据包中可以不含有命令码。若量测模块需要对主站控制系统发送读取数据等辅助命令，则该数据包含有控制命令和命令码，分别用于说明命令内容和使主站控制系统执行该控制命令。应当理解的是，若数据包是控制命令的数据包，则该数据包中含有命令码。

主站控制系统还包括：协议转换模块。主站控制系统中的协议转换模块用于解析量测模块和第一网络安全模块发送的数据包。协议转换模块在接收到数据包后，首先，根据预设偏移量截取数据包中的数据段，并根据校验和，校验报文是否正确；其次，读取报文头，判断报文类型。若有命令码，则可根据命令码执行相应操作。

主站控制系统还包括：存储模块、第二网络安全模块和第二控制模块。

存储模块用于存储量测模块发送的电力量测数据与第一网络安全模块发送的通信量测数据。

通过电力量测数据可以确定电网实时状态，具体包括：断路器状态、变压器分接头位置、线路有功功率、线路无功功率、电压、频率等等。通过通信量测数据可以确定通信实时状态，具体包括：服务器的CPU占用率、通信线路的延时、线路利用率与数据量等等。

第二网络安全模块用于每当存储模块存储的电力量测数据和通信量测数据更新时，检测是否出现攻击行为；若检测到攻击行为，则报警，并生成通信控制命令的数据包，将通信控制命令的数据包发送到第一网络完全防御模块。

具体的，该检测攻击行为的过程包括：在仿真通信网络中，利用访问接入控制列表，在路由器中构建防火墙，针对感染设备与数据进行入侵检测。在访问接入控制列表中设置了匹配关系、条件与查询语句。通过流量分析，对比正常与异常数据，得出攻击数据规则。从而对未受信任的源地址、目的地址、端口号进行屏蔽，以此来验证数据源身份与保证数据完整性，并防止相同报文不断重播。通过安全加载封装和互联网密钥管理协议提供对数据内容机密性保障和数据流机密性保障。

第二控制模块用于当第二网络安全模块报警时，根据防御策略生成电力控制指令，发送到对应的所述第一控制模块。

具体的，第二控制模块根据防御策略制定出多种协同控制方案，并分析对比实施效果，选择最优方案生成包含控制指令的控制队列。

因此，主站控制系统的主要功能为电力状态信息辨识、协议转换、安全状态分析与控制决策下发等等，在具体执行过程中，主要以电力系统负荷与发电之间的平衡控制为例，在负荷动态变化时，实时调整发电机出力，制定调整出力的最优策略，通过仿真通信网络下发反馈到电力网络模型。

基于与上述的电力网络模型和通信网络模型的不同模块进行交互，主站控制系统作为服务器采用并行运行模式，为每个客户端动态分配独立进程，并且根据客户端发送的数据包自动判断客户端类型(客户端类型包括：量测模块、第一控制模块、第一网络安全模块)。主站控制系统从网卡中读取数据包，根据数据包中的源地址将其分配给相应的进程。进程接收到数据包后解析数据包中的命令域，并据此对数据域进行相应操作。例如，命令可以分为以下四种：(1)量测数据读取，主站控制系统将数据库中的量测数据打包发送给客户端，使客户端可以反向调用历史数据，从主站控制系统提取出数据，因此，数据是可以双向传输的。(2)量测数据写入，主站控制系统将数据域的量测数据写入存储模块中。(3)控制命令读取，主站控制系统将控制队列中相应的控制命令取出发送给客户端。(4)控制命令写入，主站控制系统读取数据域中的控制命令并放入控制队列。

综上，本发明实施例的防御电网分布式拒绝服务攻击的仿真平台的建立方法，可以建立防御电网分布式拒绝服务攻击的仿真平台，通过数据接口对电力网络模型和通信网络模型的不同的数据包进行统一的传送处理，使主站控制系统实现电力网络模型和通信网络模型同步分析控制，达到联合仿真的要求；通过该仿真平台，对分布式拒绝服务攻击进行复现、分析与防御，使电网保持稳定运行。

本发明实施例还公开了一种采用上述的防御电网分布式拒绝服务攻击的仿真平台的建立方法建立的防御电网分布式拒绝服务攻击的仿真平台。如图5所示，该仿真平台包括：电力网络模型50、通信网络模型51和主站控制系统52。电力网络模型51包括：仿真电力网络501、量测模块502、第一控制模块503和网络接口504。通信网络模型51包括：仿真通信网络511、模拟攻击模块512、第一网络安全模块513和系统在环接口514。主站控制系统52包括：协议转换模块521、存储模块522、第二网络安全模块523、第二控制模块524和数据接口525。应当理解的是由于通信网络模型连接电力网络模型和主站控制系统，此外，为了实现通信网络模型内部的连接，系统在环接口514有三个。具体的，网络接口504和一个系统在环接口514连接，数据接口525和另一个系统在环接口514连接。网络接口504还连接量测模块502和第一控制模块503，以便使这两个模块与主站控制系统52进行交互。量测模块502和第一控制模块503还与仿真电力网络501连接，以便可获取电力量测数据，以及分发电力控制命令。三个系统在环接口514均与仿真通信网络511连接。模拟攻击模块512和第一网络安全模块513均与又一系统在环接口514连接，以便在仿真通信网络511中模拟分布式拒绝服务攻击，以及，采集通信量测数据，执行通信控制命令。数据接口525连接协议转换模块521、存储模块522、第二网络安全模块523和第二控制模块524。协议转换模块521和存储模块522连接，存储模块522和第二网络安全模块523连接，第二网络安全模块523和第二控制模块524连接。应当理解的是，无论哪种接口，在硬件上都会适配网络适配器，例如，电力网络模型50的量测模块502与第一控制模块503通过通信网络模型51与主站控制系统52进行数据交互，因此在OPNET主机中插入2张网卡，网卡1通过交换机与RT-LAB建立的通信网络模型51通信，网卡2直接与主站控制系统52通信。通信网络模型51中包含的系统在环接口514，通过设置过滤器，分别与主站控制系统52、第一控制模块503、量测模块502等等一一对应；网络N1模拟量测模块502与主站控制系统52之间的通信网络，网络N2模拟第一控制模块503与主站控制系统52之间的通信网络。

该仿真平台可使主站控制系统实现电力网络模型和通信网络模型同步分析控制，达到联合仿真的要求；通过该仿真平台，对分布式拒绝服务攻击进行复现、分析与防御，使电网保持稳定运行。

本发明实施例还公开了一种防御电网分布式拒绝服务攻击的仿真方法。该仿真方法采用上述的防御电网分布式拒绝服务攻击的仿真平台进行仿真。具体的，如图6所示，该仿真方法包括如下的步骤：

步骤S601：在仿真通信网络中模拟分布式拒绝服务攻击。

步骤S602：主站控制系统接收电力网络模型和通信网络模型的量测数据的数据包，并根据量测数据判断是否存在分布式拒绝服务攻击。

步骤S603：若存在分布式拒绝服务攻击，则主站控制系统生成针对分布式拒绝服务攻击的控制命令的数据包，并将控制命令的数据包发送到电力网络模型和通信网络模型，以使电力网络模型和通信网络模型执行控制命令。

综上，本发明实施例的防御电网分布式拒绝服务攻击的仿真方法，利用上述的仿真平台，可以实现电力网络模型和通信网络模型同步分析控制，达到联合仿真的要求；通过该仿真平台，对分布式拒绝服务攻击进行复现、分析与防御，使电网保持稳定运行。

下面以一具体实施例对本发明的技术方案做进一步的说明。

通过该仿真平台，建立IEEE14节点系统的电力信息物理系统网络，其中电力网络拓扑和通信网络拓扑如图7所示。电力网络模型中变电站之间的通信链路一般与输电线并行架设，因此假设IEEE14母线系统中有输电线路相连的变电站之间存在通信链路，则仿真通信网络的拓扑结构与仿真电力网的拓扑结构相似，一变电站作为控制中心站，与其他变电站交换信息。

在分布式拒绝服务攻击之后，仿真通信网络中各线路的通信延时后果如图8所示，以每条线路的最大延时时刻为统计对象，统计每条通信线路的双向传输延时。图8中，从0到14，节点的上传信号的传输延时依次为：0、0.0933、0.534、0.582、0.607、0.0734、0.624、1.16、0.624、1.14、0.607、0.607、0.656、0.653；节点的下发信号的传输延时依次为：0、0.582、0.534、0.582、1.12、0.582、1.12、1.12、1.14、1.16、0.631、0.631、1.16、1.68。在攻击发生后，由于延时变化，电力业务信息的传输路径可能发生变化，按照最短路径dijkstra寻优算法(Dijkstra E W.A Note on Two Problems in Connection with Graphs[J].Numerische Mathematics,1959,1(1):269--271.)，分析主站控制系统到每个变电站的信息最传输路径，累积每条链路上的传输延时为该节点业务上传与下发延时。

为了辨识受攻击的客户端，基于Cyber-Effects模块中的防御脚本，在OPNET中建立了防火墙模型，配置了访问控制列表，工作流程如图9所示。在ACL中设置了匹配关系、条件与查询语句。通过流量分析，如果检测报文与正常报文的包头、格式、发送间隔、源地址或目标地址有任一种参数不同，即认定其为攻击报文，从而得出攻击数据规则，对未受信任的源地址、目的地址、端口号进行屏蔽，以此来验证数据源身份与保证数据完整性，并防止相同报文不断重播，从而利用业务过滤与流量控制等手段对分布式拒绝服务攻击进行安全防御。

整个攻防过程中，仿真通信网络的参数情况如图10所示，当防御策略成功时，防火墙中的ACL将会过滤攻击数据，时延回归到正常水平，图10显示主站服务器在攻击前、中、后过程中的CPU占用比与数据包接收情况。可以看出，系统在110s攻击开始后，开始逐步感染目标节点，在240s左右感染完毕，控制全部代理端，向服务器发送泛洪攻击，导致服务器内存占比与收发流量急剧增加。在310s部署防御策略后，在400s左右，系统完成对业务与节点的过滤清理流程，流量与内存占用回归到正常状态。

因此，通过上述实施例，在本发明的仿真平台的基础上，在通信仿真网络中模拟分布式拒绝服务攻击的影响，针对电力系统负荷频率控制业务，在电力仿真网络中模拟负荷频率控制业务效果，从而验证了分布式拒绝服务攻击造成的网络延时堵塞对电力运行效果影响。在此基础上，本发明可根据该影响提出相应的信息物理防御方法，在信息层利用业务过滤与流量控制等手段对分布式拒绝服务攻击进行安全防御，从而维持电力频率与功率稳定。通过对攻击在电网物理信息系统的跨空间传播机制及其防御恢复机理进行全面的分析，刻画了完整的电网物理信息系统的攻防周期，为其风险评估与安全防御提供了指导。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (10)

1.一种防御电网分布式拒绝服务攻击的仿真平台的建立方法，其特征在于，包括：

采用RT-LAB仿真工具，建立电力网络模型，其中，所述电力网络模型包括：仿真电力网络和网络接口；

采用OPNET仿真工具，建立通信网络模型，其中，所述通信网络模型包括：仿真通信网络和系统在环接口；

建立主站控制系统，其中，所述主站控制系统包括：数据接口，所述数据接口为通过socket套接字开通的UDP协议端口；

将所述网络接口和所述系统在环接口连接，以使所述电力网络模型和所述通信网络模型通信连接；

将所述数据接口和所述系统在环接口连接，以使所述主站控制系统和所述通信网络模型通信连接；

其中，所述主站控制系统用于基于在所述通信网络模型中仿真的分布式拒绝服务攻击，根据所述电力网络模型和所述通信网络模型发送的量测数据，生成控制命令的数据包，并将所述控制命令的数据包发送到所述电力网络模型和所述通信网络模型，以使所述电力网络模型和所述通信网络模型执行对应的所述控制命令；

所述数据接口用于将数据包封装为如下的结构：依次设置的填充段和至少一个数据段，其中，每一所述数据段包括：依次设置的启动字符68H、地址段、时间段和载荷段，所述地址段包括：依次设置的源地址和目的地址，所述时间段包括：依次设置的量测数据的数据包生成时刻和网络传输延时，所述载荷段的载荷为量测数据或控制命令。

2.根据权利要求1所述的建立方法，其特征在于，所述量测数据包括：电力量测数据和通信量测数据；所述控制命令包括：电力控制命令和通信控制命令。

3.根据权利要求2所述的建立方法，其特征在于，所述电力网络模型还包括：量测模块和第一控制模块；

其中，所述量测模块用于确定采样频率、所述电力量测数据的种类、所述电力量测数据的数据包结构，并将所述电力量测数据的数据包发送到所述主站控制系统；其中，所述电力量测数据的数据包包括：用于存储发送时间戳的数据段和用于存储接收时间戳的数据段；

所述第一控制模块用于确定控制对象，接收并解析所述主站控制系统发送的所述电力控制命令的数据包，并将解析得到的所述电力控制命令转化为控制量输出到所述控制对象。

4.根据权利要求3所述的建立方法，其特征在于：所述第一控制模块还用于读取所述电力控制命令的数据包的发送时间戳和接收时间戳，计算并存储所述仿真通信网络的传输延时。

5.根据权利要求3所述的建立方法，其特征在于，所述通信网络模型还包括：模拟攻击模块和第一网络安全模块；

其中，所述模拟攻击模块用于模拟分布式拒绝服务攻击的过程；

所述第一网络安全模块用于采集所述通信量测数据，并将所述通信量测数据的数据包发送到所述主站控制系统；接收所述主站控制系统发送的所述通信控制命令的数据包，并根据所述通信控制命令，调整所述仿真通信网络的参数。

6.根据权利要求5所述的建立方法，其特征在于：

若所述数据接口用于将所述量测数据的数据包发送到所述主站控制系统，则所述载荷为所述量测数据，所述源地址为所述量测模块或者所述第一网络安全模块的地址编号，所述目的地址为所述主站控制系统的地址编号，所述量测数据包生成时刻为当前仿真时刻；

若所述数据接口模块用于将所述控制命令的数据包发送到对应的所述第一控制模块或者所述第一网络安全模块，则所述载荷为所述控制命令，所述源地址为所述主站控制系统的地址编号，所述目的地址为所述第一控制模块或者所述第一网络安全模块的地址编号，所述网络传输延时通过所述OPNET仿真工具计算得到。

7.根据权利要求5所述的建立方法，其特征在于，所述模拟分布式拒绝服务攻击的过程包括：

基于攻击者自身主机，对网络进行IP与端口渗透扫描，提取网络终端节点的IP与端口的特征；

基于提取的所述IP与端口的特征，对终端主机进行木马植入，以对所述网络终端节点进行渗透，并将所述网络终端节点作为发送控制指令的主控端；

通过所述主控端对所述网络终端节点进行随机扫描与感染渗透，使被感染的所述网络终端节点成为代理端；

对目标服务器的IP分布特征进行扫描，确定目标服务器的IP地址；

通过所述代理端对所述目标服务器进行SYN泛洪攻击，得到传输延时结果。

8.根据权利要求5所述的建立方法，其特征在于，所述主站控制系统还包括：协议转换模块、存储模块、第二网络安全模块和第二控制模块；

所述协议转换模块用于解析所述量测模块和所述第一网络安全模块发送的数据包；

所述存储模块用于存储所述量测模块发送的电力量测数据与所述第一网络安全模块发送的通信量测数据；

所述第二网络安全模块用于每当所述存储模块存储的所述电力量测数据和所述通信量测数据更新时，检测是否出现攻击行为；若检测到所述攻击行为，则报警，并生成所述通信控制命令的数据包，将所述通信控制命令的数据包发送到所述第一网络安全模块；

所述第二控制模块用于当所述第二网络安全模块报警时，根据防御策略生成电力控制命令，发送到对应的所述第一控制模块。

9.一种采用如权利要求1～8任一项所述的防御电网分布式拒绝服务攻击的仿真平台的建立方法建立的防御电网分布式拒绝服务攻击的仿真平台。

10.一种防御电网分布式拒绝服务攻击的仿真方法，其特征在于，采用如权利要求9所述的防御电网分布式拒绝服务攻击的仿真平台进行仿真，所述仿真方法包括：

在所述仿真通信网络中模拟分布式拒绝服务攻击；

所述主站控制系统接收所述电力网络模型和所述通信网络模型的量测数据的数据包，并根据所述量测数据判断是否存在所述分布式拒绝服务攻击；

若存在所述分布式拒绝服务攻击，则所述主站控制系统生成针对所述分布式拒绝服务攻击的控制命令的数据包，并将所述控制命令的数据包发送到所述电力网络模型和所述通信网络模型，以使所述电力网络模型和所述通信网络模型执行所述控制命令。