CN110752966A - 网络协议安全测试方法及装置、电子设备及存储介质 - Google Patents

Abstract

本申请提供网络协议安全测试方法及装置、电子设备及存储介质。所述方法包括：基于网络协议集的原始报文，建立所述协议集的多个协议层的多个协议模型；根据多个所述协议模型和变异策略生成多种变异报文；将所述变异报文和背景流量报文发送给所述待测设备；监测所述待测设备在接收所述变异报文和背景流量报文的传输过程，以判定所述待测设备是否安全。

Description

网络协议安全测试方法及装置、电子设备及存储介质

技术领域

本申请涉及电力工程自动化通信技术领域，具体涉及网络协议安全测试方法及装置、电子设备及存储介质。

背景技术

随着智能变电站的大面积推广使用，智能变电站成为易受网络攻击的主要对象。

智能变电站二次系统用到的协议主要是IEC 61850标准，具体包括SV报文(Sampled Value，采样值)、GOOSE报文(Generic Object Oriented Substation Event，面向通用对象的变电站事件)、MMS报文(Manufacturing Message Specification，制造报文规范)。这些协议报文采用明文的方式传输，容易被截获、篡改、伪造和重放。一旦被攻击将可能导致二次系统瘫痪或一次设备故障，破坏系统运行方式和损失负荷，造成极大的经济损失和政治影响隐患。

发明内容

本申请实施例提供一种网络协议安全测试方法，包括：基于网络协议集的原始报文，建立所述协议集的多个协议层的多个协议模型；根据多个所述协议模型和变异策略生成多种变异报文；将所述变异报文和背景流量报文发送给待测设备；监测所述待测设备在接收所述变异报文和背景流量报文的传输过程，以判定所述待测设备是否安全。

根据一些实施例，基于所述网络协议集的原始报文的多个协议层的多种服务请求分别建立协议模型。

根据一些实施例，所述原始报文包括MMS报文、GOOSE报文、SV报文的至少一种。

根据一些实施例，所述MMS报文的协议层包括：TPKT网络层、ISO8073传输层、ISO8027-1会话层、ISO8823表示层、ISO9506 MMS应用层；所述GOOSE报文的协议层均包括：Ethernet II层、GOOSE层；所述SV报文的协议层包括：Ethernet II层、SV层。

根据一些实施例，所述TPKT网络层、ISO8073传输层、ISO8027-1会话层、ISO8823表示层、ISO9506 MMS应用层的服务请求包括：初始化、读命名列表、读属性、读值、写值、读文件列表、读文件、写文件、读日志的至少一种；所述Ethernet II层、所述GOOSE层或所述SV层的服务请求包括发送服务。

根据一些实施例，所述基于所述网络协议集的原始报文的多个协议层的多种服务请求分别建立协议模型，包括：对多个所述协议层的多种服务请求分别建立基本字段与组合字段相结合的协议模型。

根据一些实施例，所述基本字段包括整形数、浮点数、字符串、二进制串的至少一种。

根据一些实施例，对所述TPKT网络层、ISO8073传输层、ISO8027-1会话层、Ethernet II层的所述组合字段建立普通组合式编码模型，所述组合式编码模型包括的编码序列为基本字段的直接拼接组合。

根据一些实施例，对所述ISO8823表示层、ISO9506 MMS应用层、GOOSE层的所述组合字段建立树形字段模型，所述树形字段模型包括TLV组合，所述T为8位整形，L为变长整形，V为基本字段或组合字段组成的具体值。

根据一些实施例，所述根据多个所述协议模型和变异策略生成多种变异报文，包括：扫描所述协议模型的各个字段；判定所述字段为基本字段时，根据所述变异策略直接变异所述基本字段；判定所述字段为组合字段时，根据所述变异策略依次扫描变异所述组合字段的基本字段；直到所有字段变异完成，形成变异报文列表，所述变异报文列表包括所有变异所述基本字段形成的多种变异报文。

根据一些实施例，所述变异策略包括：增加所述协议模型的字段、删除所述协议模型的字段、改变所述协议模型的字段的至少一种。

根据一些实施例，所述将所述变异报文和背景流量报文发送给待测设备，包括：将所述变异报文和背景流量报文通过TCP套接字或直接内核网络驱动发送给所述待测设备。

根据一些实施例，所述监测所述待测设备在接收所述变异报文和背景流量报文的传输过程，以判定所述待测设备是否安全，包括：监测所述待测设备在接收所述变异报文和背景流量报文的传输过程，如果所述传输过程未出现超时或中断，则判定所述待测设备安全。

本申请实施例还提供一种网络协议安全测试装置，包括建模单元、变异控制器、发送器、测试单元，所述建模单元基于网络协议集的原始报文，建立所述协议集的多个协议层的多个协议模型；所述变异控制器根据多个所述协议模型和变异策略生成多种变异报文；所述发送器将所述变异报文和背景流量报文发送给待测设备；所述测试单元监测所述待测设备在接收所述变异报文和背景流量报文的传输过程，以判定所述待测设备是否安全。

本申请实施例还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其中，当所述程序被所述处理器执行时，使得所述处理器执行如上所述的方法。

本申请实施例还提供一种计算机可读存储介质，其上存储有计算机程序,其中，当所述计算机程序被处理器执行时，使得所述处理器执行如上所述的方法。

根据本申请实施例提供的技术方案，在通信网络投运前或者运行中，进行网络通信协议安全测试，验证通讯协议的健壮性，提前发现通讯协议漏洞，提高通信网络的安全防护等级，加强通信网络的安全防护能力。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例提供的一种变电站设备层次结构示意图；

图2是本申请实施例提供的一种MMS协议层次结构示意图；

图3是本申请实施例提供的一种GOOSE协议、SV协议层次结构示意图；

图4是本申请实施例提供的一种网络协议安全测试方法流程示意图；

图5是本申请实施例提供的一种TPKT协议建模示意图；

图6是本申请实施例提供的一种MMS协议的初始化请求示意图；

图7是本申请实施例提供的一种MMS协议的初始化请求建模示意图；

图8是本申请实施例提供的一种报文变异流程示意图；

图9是本申请实施例提供的一种网络协议安全测试装置功能组成框图；

图10为本申请实施例提供的一种电子设备的示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，以下将结合附图和实施例，对本申请技术方案的具体实施方式进行更加详细、清楚的说明。然而，以下描述的具体实施方式和实施例仅是说明的目的，而不是对本申请的限制。其只是包含了本申请一部分实施例，而不是全部的实施例，本领域技术人员对于本申请的各种变化获得的其他实施例，都属于本申请保护的范围。

应当理解，本申请的权利要求、说明书及附图中的术语“第一”、“第二”、“第三”和“第四”等是用于区别不同对象，而不是用于描述特定顺序。本申请的说明书和权利要求书中使用的术语“包括”和“包含”指示所描述特征、整体、步骤、操作、元素和/或组件的存在，但并不排除一个或多个其它特征、整体、步骤、操作、元素、组件和/或其集合的存在或添加。

变电站自动化技术发展很快，国内外厂商相继推出了多种变电站自动化系统产品。为使不同厂商的产品具有互操作性(interoperation)，IEC已制定关于变电站自动化系统的通信网络和系统的国际标准IEC 61850。

智能变电站是采用智能设备，以全站信息数字化、通信平台网络化、信息共享标准化为基本要求。自动完成信息采集、测量、控制、保护、计量和监测等基本功能，并根据需要支持电网实时自动控制、智能调节、在线分析决策、协同互动等高级功能的变电站。

图1是本申请实施例提供的一种变电站设备层次结构示意图。

如图1所示，IEC 61850标准提出了变电站自动化系统功能分层的概念，将变电站设备按照功能分为三层：过程层、间隔层、站控层。

过程层主要功能是将交流模拟量、直流模拟量、状态量就地转化为数字信号提供给上层，并接受和执行上层下发的控制命令。过程层设备包括一次设备及其智能组件。间隔层主要功能是采集本间隔一次设备的信号，控制操作一次设备，并将相关信息上送给站控层设备和接受站控层设备的命令。间隔层设备由每个间隔的控制、保护、监视装置组成。站控层主要功能是实现对全站一次、二次设备进行监视、控制以及与远方控制中心通信。站控层设备包括监控主机、远动工作站、操作员工作站、对时系统等。

IEC 61850标准的一个重要目的就是使不同厂家的设备实现“互操作性”。这就需要在这些设备之间建立网络连接，并规范设备间的通信内容。使得接受请求的设备知道发送请求的设备的目的和要求，接受请求的设备进行操作后返回其结果，从而实现某一特定功能。

智能变电站二次系统用到的协议主要是IEC 61850标准协议，具体包括MMS协议、GOOSE协议、SV协议。

MMS协议作为间隔层设备与站控层设备之间以及站控层设备相互之间的通信协议标准，使得不同厂家的设备可以实现互操作。

MMS协议是一个非常大的OSI协议集，MMS报文帧(MMS PDU)基于TCP/IP网络协议模型进行传输。

图2是本申请实施例提供的一种MMS协议层次结构示意图。

如图2所示，MMS协议的报文实际包括以下几层协议：TPKT网络层、ISO8073传输层、ISO8027-1会话层、ISO8823表示层、ISO9506MMS应用层。

GOOSE协议被广泛应用到间隔闭锁和保护功能间的信号传递，例如用于IED设备传送开关量状态信号、保护跳闸信号及闭锁信号。

在过程层和间隔层之间传输的最为重要的两类信息是采样测量值和跳闸命令，跳闸命令通过GOOSE协议的报文传输，采样值通过SV协议的报文传输。

图3是本申请实施例提供的一种GOOSE协议、SV协议层次结构示意图。

如图3所示，GOOSE协议的报文的协议层包括：Ethernet II层，以及GOOSE层。SV协议的报文的协议层均包括：Ethernet II层，以及SV层。其中GOOSE层和SV层均包括：APPID字段、Length字段、Reserved字段、APDU组合。

图4是本申请实施例提供的一种网络协议安全测试方法流程示意图，示出了网络协议安全测试的控制流程。

如图4所示，在S110中，基于网络协议集的原始报文，建立协议集的多个协议层的多个协议模型。

网络协议包括MMS协议、GOOSE协议、SV协议的至少一种。

根据一些实施例，MMS协议报文的每个协议层，例如TPKT网络层、ISO8073传输层、ISO8027-1会话层、ISO8823表示层、ISO9506 MMS应用层的服务请求包括：初始化、读命名列表、读属性、读值、写值、读文件列表、读文件、写文件、读日志的至少一种。

根据一些实施例，GOOSE协议报文和SV协议报文的服务请求包括发送服务。

基于网络协议集的原始报文的多个协议层的多种服务请求分别建立协议模型。对多个协议层的多种服务请求，都可以建立基本字段与组合字段相结合的协议模型。

根据一些实施例，，基本字段包括整形数、浮点数、字符串、二进制串的至少一种。

对MMS报文的TPKT网络层、ISO8073传输层、ISO8027-1会话层、GOOSE报文和/或SV报文的Ethernet层、GOOSE层或SV层的组合字段建立普通组合式编码模型。

组合式编码模型包括的编码序列为基本字段的直接拼接组合。如图5所示，图5是本申请实施例提供的一种TPKT协议建模示意图。其包括四个字节三个字段，第一字段为一字节的版本标识，第二字段为一字节的保留字节，第三字段为两字节的PAYload长度，编码序列为int8(8位整形)、int8(8位整形)、int16(16位整形)的直接拼接。

对MMS报文的ISO8823表示层、ISO9506 MMS应用层、GOOSE报文和/或SV报文的GOOSE层或SV层的组合字段建立树形字段模型。

树形字段模型包括TLV组合，T为8位整形，L为变长整形，V为五个字段组成的具体值，实际为基本字段或组合字段。这样就建立了层次关系的树形字段模型，如图6、图7所示，图6是本申请实施例提供的一种MMS协议的初始化请求示意图，初始化请求根据其ASN.1语法，图7是本申请实施例提供的一种MMS协议的初始化请求建模示意图。如图所示，Initiate-Request PDU为连接请求PDU。localDetailCaling为PDU最大尺寸。mms.proposedMaxServOutstandingCalling为服务调用最大数目。mms.proposedMaxServOutstandingCalled为服务被调用最大数目。mms.proposedDataStructureNestingLevel为结构化层次等级。mms.mmsInitRequestDetail_element为连接请求具体细节。mms.proposedVersionNumber为版本号。mms.proposedParameterCBB为CBB参数。mms.servicesSupportedCalling为支持的服务列表

如图4所示，在S120中，根据多个协议模型和变异策略生成多种变异报文。

变异策略包括：增加协议模型的字段、删除协议模型的字段、改变协议模型的字段的至少一种。

根据一些实施例，基本字段进行改值操作：整形字段的取值为最大值、最小值、中间值；浮点字段取值范围外值、边界值、零等；字符串字段取值包括长度为0的串、长度超范围的串，特殊字符串(如包括空白符、回车换行符的串)；二进制串字段取值包括长度为0的串、长度超范围的串。

组合字段变异包括增加、删除两种策略。即在依次变异其子字段基础上，还进行以下变异方法：额外增加一个或多个子字段、删除一个或多个子字段、同时变异多个子字段，调整子字段顺序等。TLV结构组合字段变异策略除了上述策略外还有改变L大小同时调整V长度的策略。

优先扫描协议模型各个子节点，依次变异其对应的字段，如图8所示。扫描所建立的协议模型的各个字段。判定字段为基本字段时，根据变异策略直接变异基本字段。判定字段为组合字段时，根据变异策略依次扫描变异组合字段的基本字段。直到所有字段变异完成，形成变异报文列表，变异报文列表包括所有变异基本字段形成的多种变异报文。

当扫描到某一节点时，判断其是否为基本字段或组合字段，若为基本字段，直接变异其本身。若为组合字段依次扫描变异其子节点。当某个子节点变异结束后，依次变异其兄弟子节点，直至所有子节点变异完成。每变异一次，形成一帧变异报文，所有节点变异结束，形成变异报文列表。

如图4所示，在S130中，将变异报文和背景流量报文发送给智能变电站的待测设备。

将变异报文和背景流量报文通过TCP套接字或直接内核网络驱动发送给智能变电站的待测设备。

将变异报文发送给待测设备，同时根据需求，发送一定流量的背景报文。背景流量报文一般是固定的报文，用以检验报文是否发送正确。

MMS协议变异报文由于是TCP报文，采用TCP套接字方式建立TCP连接，通过SOCKET发给待测设备。MMS协议变异报文发送时，除初始化请求变异报文外，其他变异报文发送前先建立正常MMS连接，连接后再发送对应变异报文，发送每一帧报文前建立一次连接。

而GOOSE、SV协议变异报文直接基于链路层协议，通过pcap类似的内核网络驱动接口软件直接从内核发送出去。同时背景流量报文考虑到发送效率，也采用pcap类软件，通过内核驱动直接发送，流量大小通过改变报文的发送间隔来控制。

如图4所示，在S140中，监测待测设备在接收变异报文和背景流量报文的传输过程，以判定待测设备安全。

监测待测设备在接收变异报文和背景流量报文的传输过程，如果传输过程未出现超时或中断，则判定待测设备安全。

在变异报文发送过程中，为了监测待测设备是否出现异常或拒绝服务，采用多种设备异常监测模块监测传输过程。

对于MMS协议的攻击测试，监视模块主要采用启动icmp监测、tcp ping监测、ftp传输监测。icmp监测与tcp ping监测主要通过周期性发送icmp请求与tcp syn请求待测设备检查的icmp与tcp syn回复是否超时，若超时可认为待测设备异常。还可通过反复文件传输来判断待测设备异常，例如ftp传输或其他协议的文件传输，传输中断即意味着待测设备异常。

对于GOOSE协议攻击测试，由于很多时候GOOSE网口只有GOOSE收发报文，没有tcp/ip协议报文，因此通过检测待测设备GOOSE发送是否中断来判断。

对于SV协议来说，由于此协议为单向协议，无法通过监测待测设备SV发送来监视。若待测设备接收SV时还有GOOSE发送链路，则通过监测对应网口的GOOSE发送来监视，否则的话通过监视待测设备其他网口的TCP/IP报文发送是否中断来判断。

根据本实施例提供的技术方案，在通信网络投运前或者运行中，进行网络通信协议安全测试，验证通讯协议的健壮性，提前发现通讯协议漏洞，提高通信网络的安全防护等级，加强通信网络的安全防护能力。

具体而言，在通信网络投运前或者运行中，进行网络通信协议安全测试，通过分析MMS、GOOSE、SV协议原始报文，对协议分层建模，再通过变异控制器产生变异报文，然后通过TCP套接字或内核网络驱动发送变异报文及背景流量，同时根据监测器监测被测设备通讯状况，判断是否存在安全漏洞，达到测试目的。测试简单有效，能快速测试智能变电站MMS、GOOSE、SV等协议健壮性，提前发现通讯协议漏洞，提高通信网络的安全防护等级，加强通信网络的安全防护能力。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于可选实施例，所涉及的动作和模块并不一定是本申请所必须的。

图9是本申请实施例提供的一种网络协议安全测试装置功能组成框图。

如图9所示，网络协议安全测试装置100包括建模单元10、变异控制器20、发送器30、测试单元40。

建模单元10基于网络协议集的原始报文，建立协议集的多个协议层的多个协议模型。变异控制器20根据多个协议模型和变异策略生成多种变异报文。发送器30将变异报文和背景流量报文发送给智能变电站的待测设备。测试单元40监测待测设备在接收变异报文和背景流量报文的传输过程，以判定待测设备是否安全。

图10为本申请实施例提供的一种电子设备的示意图。该电子设备可以为一种芯片。如图所示，该芯片可以包括输出单元401、输入单元402、处理器403、存储器404、通讯接口405，以及内存单元406。

存储器404作为一种非暂态计算机可读存储器，可用于存储软件程序、计算机可执行程序以及模块，如上述描述的方法对应的程序指令/模块。

处理器403通过运行存储在存储介质中的软件程序、指令以及模块，从而执行电子设备的各种功能应用以及数据处理，即实现上述所述的方法。

存储器404可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储根据电子器件的使用所创建的数据等。此外，存储器404可以包括高速随机存取存储器，还可以包括非暂态性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非暂态性固态存储器件。在一些实施例中，存储器404可选包括相对于处理器403远程设置的存储器，这些远程存储器可以通过网络连接至电子设备。

本申请实施例还提供一种计算机可读存储介质，其上存储有处理器可执行的程序，处理器执行该程序用于执行以上描述的方法。

若无特别说明，所述计算机可读存储介质可以是任何适当的磁存储介质或者磁光存储介质，比如，阻变式存储器RRAM(Resistive Random Access Memory)、动态随机存取存储器DRAM(Dynamic Random Access Memory)、静态随机存取存储器SRAM(Static Random-Access Memory)、增强动态随机存取存储器EDRAM(Enhanced Dynamic Random AccessMemory)、高带宽内存HBM(High-Bandwidth Memory)、混合存储立方HMC(Hybrid MemoryCube)等等。

需要说明的是，以上参照附图所描述的每个实施例仅用以说明本申请而非限制本申请的范围，本领域的普通技术人员应当理解，在不脱离本申请的精神和范围的前提下对本申请进行的修改或者等同替换，均应涵盖在本申请的范围之内。此外，除上下文另有所指外，以单数形式出现的词包括复数形式，反之亦然。另外，除非特别说明，那么任何实施例的全部或一部分可结合任何其它实施例的全部或一部分来使用。

Claims (16)

1.一种网络协议安全测试方法，包括：

基于网络协议集的原始报文，建立所述协议集的多个协议层的多个协议模型；

根据多个所述协议模型和变异策略生成多种变异报文；

将所述变异报文和背景流量报文发送给所述待测设备；

监测所述待测设备在接收所述变异报文和背景流量报文的传输过程，以判定所述待测设备是否安全。

2.根据权利要求1所述的方法，其中，所述基于网络协议集的原始报文，建立所述协议集的多个协议层的多个协议模型，包括：

基于所述网络协议集的原始报文的多个协议层的多种服务请求分别建立协议模型。

3.根据权利要求1所述的方法，其中，所述原始报文包括MMS报文、GOOSE报文、SV报文的至少一种。

4.根据权利要求3所述的方法，其中，

所述MMS报文的协议层包括：TPKT网络层、ISO8073传输层、ISO8027-1会话层、ISO8823表示层、ISO9506 MMS应用层；

所述GOOSE报文的协议层包括：EthernetII层、GOOSE层；

所述SV报文的协议层包括：EthernetII层、SV层。

5.根据权利要求4所述的方法，其中，

所述TPKT网络层、ISO8073传输层、ISO8027-1会话层、ISO8823表示层、ISO9506 MMS应用层的服务请求包括：初始化、读命名列表、读属性、读值、写值、读文件列表、读文件、写文件、读日志的至少一种；

所述Ethernet II层、所述GOOSE层或所述SV层的服务请求包括发送服务。

6.根据权利要求5所述的方法，其中，所述基于所述网络协议集的原始报文的多个协议层的多种服务请求分别建立协议模型，包括：

对多个所述协议层的多种服务请求分别建立基本字段与组合字段相结合的协议模型。

7.根据权利要求6所述的方法，其中，所述基本字段包括整形数、浮点数、字符串、二进制串的至少一种。

8.根据权利要求7所述的方法，其中，对所述TPKT网络层、ISO8073传输层、ISO8027-1会话层、Ethernet II层的所述组合字段建立普通组合式编码模型，所述组合式编码模型包括的编码序列为基本字段的直接拼接组合。

9.根据权利要求8所述的方法，其中，对所述ISO8823表示层、ISO9506 MMS应用层、GOOSE层的所述组合字段建立树形字段模型，所述树形字段模型包括TLV组合，所述T为8位整形，L为变长整形，V为基本字段或组合字段组成的具体值。

10.根据权利要求8或9所述的方法，其中，所述根据多个所述协议模型和变异策略生成多种变异报文，包括：

扫描所述协议模型的各个字段；

判定所述字段为基本字段时，根据所述变异策略直接变异所述基本字段；

判定所述字段为组合字段时，根据所述变异策略依次扫描变异所述组合字段的基本字段；

直到所有字段变异完成，形成变异报文列表，所述变异报文列表包括所有变异所述基本字段形成的多种变异报文。

11.根据权利要求1所述的方法，其中，所述变异策略包括：增加所述协议模型的字段、删除所述协议模型的字段、改变所述协议模型的字段的至少一种。

12.根据权利要求1所述的方法，其中，所述将所述变异报文和背景流量报文发送给待测设备，包括：

将所述变异报文和背景流量报文通过TCP套接字或直接内核网络驱动发送给所述待测设备。

13.根据权利要求1所述的方法，其中，所述监测所述待测设备在接收所述变异报文和背景流量报文的传输过程，以判定所述待测设备是否安全，包括：

监测所述待测设备在接收所述变异报文和背景流量报文的传输过程，如果所述传输过程未出现超时或中断，则判定所述待测设备安全。

14.一种网络协议安全测试装置，包括：

建模单元，基于网络协议集的原始报文，建立所述协议集的多个协议层的多个协议模型；

变异控制器，根据多个所述协议模型和变异策略生成多种变异报文；

发送器，将所述变异报文和背景流量报文发送给待测设备；

测试单元，监测所述待测设备在接收所述变异报文和背景流量报文的传输过程，以判定所述待测设备是否安全。

15.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，当所述程序被所述处理器执行时，使得所述处理器执行如权利要求1至权利要求13之任一项所述的方法。

16.一种计算机可读存储介质，其上存储有计算机程序,其特征在于，当所述计算机程序被处理器执行时，使得所述处理器执行如权利要求1至权利要求13之任一项所述的方法。

Images