CN112165470A - 一种基于日志大数据分析的智能终端接入安全预警系统 - Google Patents

一种基于日志大数据分析的智能终端接入安全预警系统 Download PDF

Info

Publication number
CN112165470A
CN112165470A CN202010984600.1A CN202010984600A CN112165470A CN 112165470 A CN112165470 A CN 112165470A CN 202010984600 A CN202010984600 A CN 202010984600A CN 112165470 A CN112165470 A CN 112165470A
Authority
CN
China
Prior art keywords
attack
detection
internal
information
intelligent terminal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202010984600.1A
Other languages
English (en)
Other versions
CN112165470B (zh
Inventor
胡博
雷振江
李伟
王大维
杨超
邸卓
田小蕾
李巍
高萧
毛洪涛
孙岩
曹国强
杨卫东
许海丰
徐睿
代作松
刘坤
伏广东
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
State Grid Corp of China SGCC
Electric Power Research Institute of State Grid Liaoning Electric Power Co Ltd
Nari Information and Communication Technology Co
Original Assignee
State Grid Corp of China SGCC
Electric Power Research Institute of State Grid Liaoning Electric Power Co Ltd
Nari Information and Communication Technology Co
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by State Grid Corp of China SGCC, Electric Power Research Institute of State Grid Liaoning Electric Power Co Ltd, Nari Information and Communication Technology Co filed Critical State Grid Corp of China SGCC
Priority to CN202010984600.1A priority Critical patent/CN112165470B/zh
Publication of CN112165470A publication Critical patent/CN112165470A/zh
Application granted granted Critical
Publication of CN112165470B publication Critical patent/CN112165470B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

一种基于日志大数据分析的智能终端接入安全预警系统属于电力信息系统技术领域，尤其涉及一种基于日志大数据分析的智能终端接入安全预警系统。本发明用于智能采集终端的安全预警，能够实现三方面的功能，分别是：内部失陷检测、外部攻击检测和内部违规检测。利用全流量威胁检测分析服务工具，采用大数据分析技术和高级网络攻防模型，对已采集的流量事件进行分析和研判，快速分析当前智能终端或系统是否已经被恶意者挂了webshell，内部是否存在反弹shell以及Redis服务的数量及详情等。

Description

一种基于日志大数据分析的智能终端接入安全预警系统
技术领域
本发明属于电力信息系统技术领域，尤其涉及一种基于日志大数据分析的智能终端接入安全预警系统。
背景技术
随着智能电网、全球能源互联网、“互联网+电力”的全面实施，分布式能源、新能源、电力交易、智能用电等新业务不断涌现，智能电网和用户双向互动性增强，智能采集终端和移动作业终端的广泛接入，对智能电网的发展提出了新的安全问题。智能终端呈现出分布广、种类多、接入方式复杂、统一防护困难等特点，容易遭受病毒、木马、系统漏洞、匿名访问等安全攻击，存在“一点突破，影响全网”的风险，对以物理防护为主的电网安全防御体系带来了挑战。
目前信息安全、网络攻击检测和预警系统能够从网络行为中检测出异常行为，但还没有适用于电力行业智能采集终端和移动作业终端的相关方案，基于日志大数据分析的智能终端接入安全预警系统对安全事件的不同阶段进行分析和预警，及时发现监控链路、内外网主机或应用通信的异常变化，并可根据网络链路流量特点和当前安全形势，调整各种警报的参数以发现最新的安全隐患。真实模拟文件的运行环境，充分激发和全面捕捉样本文件的多种动作行为，准确识别通过各种途径传递的文件中含有的未知攻击或恶意代码。通过专门的关联分析模块对所有检测模块的检测结果进行集中关联查询和展示。
发明内容
本发明用于智能采集终端的安全预警，能够实现三方面的功能，分别是：内部失陷检测、外部攻击检测和内部违规检测。
4.1)内部失陷检测
利用全流量威胁检测分析服务工具，采用大数据分析技术和高级网络攻防模型，对已采集的流量事件进行分析和研判，快速分析当前智能终端或系统是否已经被恶意者挂了webshell，内部是否存在反弹shell以及Redis服务的数量及详情等。
4.2)外部攻击检测
外部攻击检测主要是攻击态势分析，可以发现内部服务器受到攻击的总体情况，提供整体攻击类型的态势分布、每种攻击手段的详细信息和攻击的结果(攻击告警、攻陷和提示)。
4.3)内部违规检测
内部违规检测包括多个方面。
4.3.1)威胁情报告警:可发现有实际行为的IOC告警行为，内部网络受害者的详细信息，包括目的地址、域名、URL、请求方式、访问时间等信息。
4.3.2)暴露面检测:可以快速的分析出当前网络内的非法攻击面的信息，主要包括攻击面的统计信息、各种开放端口的统计信息、新增攻击面信息、攻击面变更信息、攻击面的详细信息(服务器IP、端口、服务类型)。
4.3.3)非法外联:可提供内部网络详细的非法外联信息，包括非法外联的目的IP物理地址、非法外联事件的历史趋势、以及非法外联事件的详细时间、源IP、目的IP、端口等信息。源IP、目的IP、端口等信息。
4.3.4)恶意DNS分析发现:提供内部网络请求的DNS监控与分析，结合云端威胁情报，分析出内部DNS的信誉度情况，发现内部存在的恶意DNS的请求。
4.3.5)ACL梳理:可分析出当前网络内现有的所有IP的访问关系，包括源IP到目的IP不同端口的访问关系。
4.3.6)弱口令:可通过主动和被动的方式分析发现内部服务器的弱口令的状态，主要报告弱口令总数、被动统计发现的次数、字典匹配发现的次数和主动发现的次数。
4.3.7)异常登录:可发现内部服务器的异常登录行为，主要包括外部登录内部服务器异常详细情况(外部IP、IP归属地、内部服务器IP、协议、访问时间)、异地登录详细情况(用户、常用登录地点、异地登录地点和发现的时间)、非工作时间登录详细情况(来源IP、IP归属地、目的IP、协议和访问时间)等。
4.3.8)非常规服务分析:可提供内部网络非常规服务的检测和发现，如远程控制服务、代理服务等，主要包括Regeory Tunnel、HTTP代理、SOCKS代理、Teamview/IRC等服务的检测和发现。
为了实现以上目标功能，本发明针对智能终端日志大数据利用层次分析法对入侵行为进行分析和判断，该发明在逻辑上分为指标体系层、权重赋予层和评价层。
指标体系层的主要功能包括：
按照网络链路流量特点和智能采集终端和移动作业段信息安全攻击行为及趋势(图1)建立分析指标体系，包括攻击来源、攻击态势、攻击规律、攻击结果、攻击类型、供给关系攻击发起者和攻击部位；
通过统一标准与规范，对指标体系中的各指标进行实时信息采集与处理；
权重赋予层的主要功能包括：
基于各指标权重对影响智能终端和移动作业端运行状态的各影响因素的重要程度进行评估，并对其进行相应的维护。
基于对终端设备历史数据的采集及统计分析，实现对各指标重要程度的趋势性分析及预测。
评价层的主要功能包括：
设备评价功能通过对设备历史运行状态的评价，实现对设备状态的管理，及时对入侵行为进行分析和判断。
智能终端接入安全预警系统以指标层次体系为基础，通过指标权值对安全事件的等级和攻击行为进行评价。通过系统实际运行的数据，结合业务需求，为电网安全事件的设计评估、终端设备的优化、系统实用化提供辅助，所述方法包括下述步骤：
(1)经过调研智能采集终端和移动作业端信息安全攻击行为及趋势的日志内容，发现目前安全预警缺少有效的验证手段等问题并通过数据抽取及集成软件进行数据采集与预处理；
(2)建立安全等级、安全预警系统指标；
(3)根据评价对象的情况，将各个评价因素分类组合，形成一种包括目标层、准则层和评价对象层的层次结构；
(4)通过专家组对指标的两两比较建立比较判断矩阵，输入指标数据，由判断矩阵计算相对权重系数，并进行一致性检验；具体如下：
1)使用数量化的相对权重qij来描述第i个元素与第j个元素相对上一层因素的重要性。
2)成对比较矩阵中qij的取值按下述标度进行赋值。qij将在1-9及其倒数中间取值：
qij＝1，表示元素i和元素j对上一层次因素具有相同的重要性；
qij＝3，表示元素i比元素j稍微重要；
qij＝5，表示元素i比元素j更重要；
qij＝7，表示元素i比元素j重要很多；
qij＝9，表示元素i比元素j显得极其重要；
qij＝2n，n＝1,2,3，元素i与j的重要性介于qij＝2n-1与qij＝2n+1之间；
qij＝1/n，n＝1,2,...,9，当且仅当qij＝n。最终得出判断矩阵。
3)求解矩阵最大特征值对应的应的特征向量并将其标准化，其中定义特征向量求解公式如下：
Figure BDA0002688729210000051
4)按照上述步骤迭代计算出各个子目标特征向量，并结合上一层判断矩阵向量求出加权平均和作为最终得分，从而实现对各影响因素的重要程度进行分析评估。
(5)分别对每个一级指标所分解的二级指标进行模糊综合评判，建立评价因素集、评语集、数值集和权重集。安全事件预警系统的评价因素集包括预警和预警时间、检测率和虚警率、通过率和过滤率。评语集包括安全、警告和危险。权重集为第四步中层次分析法所得出的各级指标权重；
(6)结合实际情况确定一级指标的汇总，由各评估主题得到综合评估矩阵并根据系统中的权重及矩阵数据，得出安全事件的最终评价。
本发明有益效果。
本发明提出了一种基于日志大数据分析的智能终端接入安全预警系统，可以用来监测智能终端信息交互中的异常行为，可以对异常行为进行深度解析，可以对入侵行为进行安全预警，可以对攻击进行追踪溯源，能够保障各类智能终端的接入安全，保障关键网络免受长期干扰、破坏或未授权访问，防止网络数据的被泄露、窃取或篡改。
本发明实现了从安全事件数据获取到安全事件等级报告的闭环流程，可以提供用于电力行业终端设备的安全预警评估。利用层次分析法，将不容易量化的指标通过模糊数学理论进行评价，提高了安全事件预警的准确度。
附图说明
下面结合附图和具体实施方式对本发明做进一步说明。本发明保护范围不仅局限于以下内容的表述。
图1电力行业智能采集终端和移动作业端信息安全攻击行为及趋势图
图2智能终端接入安全预警系统性能监测流程图
具体实施方式
如图所示，本实例根据日志数据选取弱口令、异常登录、远程控制三类事件进行安全预警等级的评价，分别选取请求方式、访问时间、源IP、目的IP、端口信息5个指标进行决策：
(1)根据指标数据构建判断矩阵：
Figure BDA0002688729210000061
(2)成对比较三类事件的请求方式，得出比较矩阵：
Figure BDA0002688729210000062
经计算，B1的权向量：
wx1(Y)＝(0.082,0.236,0.682)z
同理可以得出三类事件在访问时间、源IP、目的IP、端口信息的比较矩阵：
Figure BDA0002688729210000071
(3)通过公式可计算得出相应的权向量分别为：
wx2(Y)＝(0.606,0.265,0.129)z
wx3(Y)＝(0.429,0.429,0.143)z
wx4(Y)＝(0.636,0.185,0.179)z
wx5(Y)＝(0.167,0.167,0.667)z
它们可分别视为各事件的访问时间、源IP、目的IP、端口信息得分。
(4)最后计算各事件的总得分：
wz(y1)＝∑5j＝1ujwxj(y1)＝0.457*0.082+0.263*0.606+0.051*0.429+0.414*0.6
366+0.162*0.167＝0.305
由公式可知总得分实际上是各条件得分的加权平均，权重就是各条件的重要性。同时可得wz(y2)＝0.243，wz(y3)＝0.452
即安全等级评价结果为远程控制>弱口令>异常登录,并以此为依据建立安全预警系统。
可以理解的是，以上关于本发明的具体描述，仅用于说明本发明而并非受限于本发明实施例所描述的技术方案，本领域的普通技术人员应当理解，仍然可以对本发明进行修改或等同替换，以达到相同的技术效果；只要满足使用需要，都在本发明的保护范围之内。

Claims (1)

1.一种基于日志大数据分析的智能终端接入安全预警系统，其特征在于包括内部失陷检测、外部攻击检测和内部违规检测；
1)内部失陷检测
利用全流量威胁检测分析服务工具，采用大数据分析技术和高级网络攻防模型，对已采集的流量事件进行分析和研判，快速分析当前智能终端或系统是否已经被恶意者挂了webshell，内部是否存在反弹shell以及Redis服务的数量及详情等；
2)外部攻击检测
外部攻击检测主要是攻击态势分析，可以发现内部服务器受到攻击的总体情况，提供整体攻击类型的态势分布、每种攻击手段的详细信息和攻击的结果（攻击告警、攻陷和提示）；
3)内部违规检测
内部违规检测包括多个方面；
3.1)威胁情报告警:可发现有实际行为的IOC告警行为，内部网络受害者的详细信息，包括目的地址、域名、URL、请求方式、访问时间等信息；
3.2)暴露面检测:可以快速的分析出当前网络内的非法攻击面的信息，主要包括攻击面的统计信息、各种开放端口的统计信息、新增攻击面信息、攻击面变更信息、攻击面的详细信息（服务器IP、端口、服务类型）；
3.3)非法外联:可提供内部网络详细的非法外联信息，包括非法外联的目的IP物理地址、非法外联事件的历史趋势、以及非法外联事件的详细时间、源IP、目的IP、端口等信息；
源IP、目的IP、端口等信息；
3.4)恶意DNS分析发现:提供内部网络请求的DNS监控与分析，结合云端威胁情报，分析出内部DNS的信誉度情况，发现内部存在的恶意DNS的请求；
3.5)ACL梳理:可分析出当前网络内现有的所有IP的访问关系，包括源IP到目的IP不同端口的访问关系；
3.6)弱口令:可通过主动和被动的方式分析发现内部服务器的弱口令的状态，主要报告弱口令总数、被动统计发现的次数、字典匹配发现的次数和主动发现的次数；
3.7)异常登录:可发现内部服务器的异常登录行为，主要包括外部登录内部服务器异常详细情况（外部IP、IP归属地、内部服务器IP、协议、访问时间）、异地登录详细情况（用户、常用登录地点、异地登录地点和发现的时间）、非工作时间登录详细情况（来源IP、IP归属地、目的IP、协议和访问时间）等；
3.8)非常规服务分析:可提供内部网络非常规服务的检测和发现，如远程控制服务、代理服务等，主要包括Regeory Tunnel、HTTP代理、SOCKS代理、Teamview/IRC等服务的检测和发现。
CN202010984600.1A 2020-09-18 2020-09-18 一种基于日志大数据分析的智能终端接入安全预警系统 Active CN112165470B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010984600.1A CN112165470B (zh) 2020-09-18 2020-09-18 一种基于日志大数据分析的智能终端接入安全预警系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010984600.1A CN112165470B (zh) 2020-09-18 2020-09-18 一种基于日志大数据分析的智能终端接入安全预警系统

Publications (2)

Publication Number Publication Date
CN112165470A true CN112165470A (zh) 2021-01-01
CN112165470B CN112165470B (zh) 2023-04-07

Family

ID=73858236

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010984600.1A Active CN112165470B (zh) 2020-09-18 2020-09-18 一种基于日志大数据分析的智能终端接入安全预警系统

Country Status (1)

Country Link
CN (1) CN112165470B (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113360739A (zh) * 2021-06-02 2021-09-07 北京天融信网络安全技术有限公司 情报源质量分析方法、装置、电子设备及存储介质
CN114978584A (zh) * 2022-04-12 2022-08-30 深圳市蔚壹科技有限公司 基于单位单元的网络安全防护安全方法及系统
CN115022056A (zh) * 2022-06-09 2022-09-06 国网湖南省电力有限公司 针对电网系统的网络攻击行为智能处置方法
CN117240612A (zh) * 2023-11-10 2023-12-15 杭州海康威视数字技术股份有限公司 基于多模过滤的失陷物联网设备安全检测方法及装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070283436A1 (en) * 2006-06-02 2007-12-06 Nicholas Duffield Method and apparatus for large-scale automated distributed denial of service attack detection
CN107196910A (zh) * 2017-04-18 2017-09-22 国网山东省电力公司电力科学研究院 基于大数据分析的威胁预警监测系统、方法及部署架构
CN107577805A (zh) * 2017-09-26 2018-01-12 华南理工大学 一种面向日志大数据分析的业务服务系统
CN107609754A (zh) * 2017-08-25 2018-01-19 国网辽宁省电力有限公司 一种电网信息系统性能监测系统及方法
CN110300027A (zh) * 2019-06-29 2019-10-01 西安交通大学 一种异常登录检测方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070283436A1 (en) * 2006-06-02 2007-12-06 Nicholas Duffield Method and apparatus for large-scale automated distributed denial of service attack detection
CN107196910A (zh) * 2017-04-18 2017-09-22 国网山东省电力公司电力科学研究院 基于大数据分析的威胁预警监测系统、方法及部署架构
CN107609754A (zh) * 2017-08-25 2018-01-19 国网辽宁省电力有限公司 一种电网信息系统性能监测系统及方法
CN107577805A (zh) * 2017-09-26 2018-01-12 华南理工大学 一种面向日志大数据分析的业务服务系统
CN110300027A (zh) * 2019-06-29 2019-10-01 西安交通大学 一种异常登录检测方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
王海涛: "基于大数据和人工智能技术的信息安全态势感知系统研究", 《网络安全技术与应用》 *

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113360739A (zh) * 2021-06-02 2021-09-07 北京天融信网络安全技术有限公司 情报源质量分析方法、装置、电子设备及存储介质
CN114978584A (zh) * 2022-04-12 2022-08-30 深圳市蔚壹科技有限公司 基于单位单元的网络安全防护安全方法及系统
CN115022056A (zh) * 2022-06-09 2022-09-06 国网湖南省电力有限公司 针对电网系统的网络攻击行为智能处置方法
CN115022056B (zh) * 2022-06-09 2023-11-21 国网湖南省电力有限公司 针对电网系统的网络攻击行为智能处置方法
CN117240612A (zh) * 2023-11-10 2023-12-15 杭州海康威视数字技术股份有限公司 基于多模过滤的失陷物联网设备安全检测方法及装置
CN117240612B (zh) * 2023-11-10 2024-01-26 杭州海康威视数字技术股份有限公司 基于多模过滤的失陷物联网设备安全检测方法及装置

Also Published As

Publication number Publication date
CN112165470B (zh) 2023-04-07

Similar Documents

Publication Publication Date Title
CN112165470B (zh) 一种基于日志大数据分析的智能终端接入安全预警系统
Kumar et al. A Distributed framework for detecting DDoS attacks in smart contract‐based Blockchain‐IoT Systems by leveraging Fog computing
CN107204876B (zh) 一种网络安全风险评估方法
US11212299B2 (en) System and method for monitoring security attack chains
CN110620759B (zh) 基于多维关联的网络安全事件危害指数评估方法及其系统
CN113079143A (zh) 一种基于流数据的异常检测方法及系统
CN113965404A (zh) 一种网络安全态势自适应主动防御系统及方法
CN114584405B (zh) 一种电力终端安全防护方法及系统
CN105009132A (zh) 基于置信因子的事件关联
Stiawan et al. Characterizing network intrusion prevention system
CN112995161A (zh) 一种基于人工智能的网络安全态势预测系统
Xue et al. Prediction of computer network security situation based on association rules mining
Waskita et al. A simple statistical analysis approach for intrusion detection system
He et al. Research on DoS traffic detection model based on random forest and multilayer perceptron
CN115795330A (zh) 一种基于ai算法的医疗信息异常检测方法及系统
CN117478433A (zh) 一种网络与信息安全动态预警系统
CN115632884B (zh) 基于事件分析的网络安全态势感知方法与系统
CN116644437A (zh) 数据安全评估方法、装置及存储介质
Li et al. A distributed intrusion detection model based on cloud theory
KR20130033161A (ko) 클라우드 컴퓨팅 서비스에서의 침입 탐지 시스템
CN115766235A (zh) 一种网络安全预警系统及预警方法
Huang et al. Application of type-2 fuzzy logic to rule-based intrusion alert correlation detection
Moharamkhani et al. Intrusion detection system based firefly algorithm‐random forest for cloud computing
Kadam et al. Various approaches for intrusion detection system: an overview
Shi et al. The effect evaluation of the network attack based on the fuzzy comprehensive evaluation method

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant