CN112968798A - 适用于电力工控靶场平台的虚实网络环境自动生成方法 - Google Patents

Abstract

本发明公开了适用于电力工控靶场平台的虚实网络环境自动生成方法，该方法包括：拓扑对象识别、生成虚实网络环境、环境验证和导出三步。本发明能够通过图像识别技术对各电厂已有的电力工控系统网络拓扑图图纸进行自动识别，并自动生成满足电力工控靶场平台的虚实网络攻防环境，解决现有网络攻防环境由人在靶场平台中一步步手工创建、绘制、配置和测试带来的工作量大、效率低、准确度低、绘制标准不统一等问题，实现了快速、批量的创建网络攻防环境，大大减轻了人员工作负担，提高了平台的智能化程度和易用性。

Description

适用于电力工控靶场平台的虚实网络环境自动生成方法

技术领域

本发明属于网络安全技术领域，具体涉及适用于电力工控靶场平台的虚实网络环境自动生成方法。

背景技术

近年来，电力工控系统网络安全作为国家安全的重要组成部分，各大发电企业、科研院所对电力工控系统网络安全的重视程度越来越高，开始大力建设各类电力工控靶场平台，用于开展网络安全研究、检测、培训、教学等目的。此类平台支持将现实中的火电、水电、风电、光伏等电厂的工控系统网络环境映射到平台中，形成虚拟的工控系统网络环境，方便用户在不影响生产运行的情况下，开展研究、攻击、渗透测试等工作。该虚拟的工控系统网络环境和以往的网络拓扑图设计技术存在较大区别，网络环境中的节点不再全部是虚拟的路由器、交换机等软件模拟的节点，而是有部分节点可以直接通过网络连接的方式，实现节点和实体设备的映射，从而实现将真实设备纳入到拓扑图中，形成虚实结合的电力工控系统网络环境，以提升工控系统网络环境的仿真程度。

目前存在的各类平台中，映射的过程都是通过提供一个可视化的，包括各类拓扑元素的控件的操作面板，由用户通过鼠标拖拽、点击的方式，在可视化面板中手工绘制网络拓扑图，然后对拓扑图中的每个节点进行手工配置参数、创建容器、安装操作系统环境等，对于有数十个、上百个节点的工控系统网络环境，搭建周期通常需要几天、甚至十几天，对于有数百家电厂的企业来讲，每家企业的电厂工控网络环境都不尽相同，全部创建为虚实结合网络环境的工作量巨大，成本也很高，而且，随着现实中设备的改造、更换，每次变化都需要重新创建，不利于平台的推广和使用。

因此，需要结合电力工控靶场平台的实际情况和电厂的实际业务特点，提出一种适用于电力工控靶场平台的虚实网络环境自动生成方法。

发明内容

本发明针对现有技术下存在的上述问题，提供了一种适用于电力工控靶场平台的虚实网络环境自动生成方法，有利于应对真实网络环境改造、升级带来的环境需要重新修改的能力，进一步提高了平台的灵活性。

本发明是通过如下技术方案实现的：

适用于电力工控靶场平台的虚实网络环境自动生成方法，包括如下步骤：

拓扑对象识别：将现有的电力工控系统网络拓扑图纸质图纸转换为电子图片，然后通过图像识别技术提取出电子图片中的各种拓扑对象，建立虚拟节点队列和连接关系矩阵；

生成虚实网络环境：通过对虚拟节点队列进行虚实映射、实体节点初始化、虚拟节点环境创建，完成虚拟节点、实体节点的准备工作，然后根据连接关系矩阵生成虚实网络环境；

环境验证和导出：首先采用遍历算法对虚实网络环境进行验证，当验证通过后，按照电力工控靶场平台的代码规范导出自动创建代码，然后导入电力工控靶场平台进行创建。

所述拓扑对象识别具体包括如下步骤：

A、将电力工控系统网络拓扑图图纸转换为电子图片：通过扫描、拍照等图片采集技术，将电力工控系统网络拓扑图纸质图纸转换为JPEG、PNG格式的电子图片；

B、识别电子图片中的各种拓扑对象，建立虚拟节点队列VNodes和连接关系矩阵Matrix：通过采用图像识别技术，将电子图片中的各类拓扑对象提取出来，放入虚拟节点队列VNodes中，拓扑对象包括交换机、路由器、防火墙、服务器、主机、其他设备，然后识别各个拓扑对象之间的连线情况，然后以拓扑对象分别为行、列元素，形成二维的连接关系矩阵Matrix，矩阵的每一个行列交叉点表示行列元素的连通性。

所述生成虚实网络环境具体包括如下步骤：

A、虚实映射：建立虚实节点映射表，对需要进行虚实节点映射的虚拟节点进行描述，描述内容包括：虚节点的名称、设备类型、虚拟IP地址、实体设备编号、实体设备的名称、设备类型、实际IP地址、用户账号和密码，通过虚实节点映射表，将物理世界的实体设备映射为虚拟节点；

B、实体节点初始化：建立实体节点初始配置表，以虚实节点映射表中的实体节点为初始化数据，采用信息收集技术逐一验证、收集实体节点设备的配置信息，包括实体设备IP地址、设备存活情况、操作系统版本信息和开放的远程连接服务类型，并更新到实体节点初始配置表中，然后隔10分钟重复一次初始化操作，连续进行3次，形成实体节点配置表；

C、虚拟节点初始化：建立虚拟节点配置表，对虚拟节点的配置环境进行详细描述，描述内容包括：虚拟节点的名称、设备类型、虚拟IP地址、操作系统版本、CPU频率、内存大小、磁盘空间大小、分区情况和网卡数量，然后采用虚拟化容器Docker技术创建虚拟节点容器和配置容器环境，当环境创建完成后，形成容器快照，并更新快照信息到虚拟节点配置表中；对每一个虚拟节点进行初始化操作，直至形成最终的虚拟节点配置表；

D、生成虚实网络环境：根据实体节点配置表、虚拟节点配置表、连接关系矩阵Matrix，使用开源的网络模拟器Shadow生成模拟网络拓扑环境，由于网络模拟器不具备映射实体节点的能力，因此，此时的网络环境中实体节点如果设备类型为主机，则以计算机代替，如果是网络设备或其他设备，则以交换机代替，确保节点之间能够连通即可，被替换的实体节点进行标记，以便在下一步骤中进行恢复。

所述环境验证和导出具体包括如下步骤：

A、虚实网络环境验证：随机选取虚实网络环境中的任一节点作为起点，通过基于深度优先和广度优先的遍历算法，对该节点到各节点之间的连通性进行检测，当该节点到各节点均为可连通时，即通过检测，再选取下一个节点作为起点，进行同样的检测，直至所有节点均已完成遍历；如果存在某两个节点无法连通的情况，则说明网络拓扑存在不完整，需要给出错误信息，进行人工检查原始拓扑图资料是否存在缺陷，修正后从拓扑对象识别步骤重新开始；

B、导出虚实网络环境并创建：将通过验证的虚实网络环境中被标记的实体节点重新恢复为实体节点，按照电力工控靶场平台的代码编码规范，对每一个虚拟节点、实体节点、容器环境和连接线按照编码规范，生成创建代码，然后导入电力工控靶场平台中进行自动生成。

和现有技术相比较，本发明具备如下优点：

应用本发明后，能够实现为电力工控靶场平台快速、批量的创建网络攻防环境，将环境创建时间从现有以天为单位，降低到以分钟为单位，极大地减轻人员工作负担，进一步增强平台的智能化程度和易用性，同时，有利于应对真实网络环境改造、升级带来的环境需要重新修改的能力，进一步提高了平台的灵活性。

本发明能够通过图像识别技术对各电厂已有的电力工控系统网络拓扑图图纸进行自动识别，并自动生成满足电力工控靶场平台的虚实网络攻防环境，解决现有网络攻防环境由人在靶场平台中一步步手工创建、绘制、配置和测试带来的工作量大、效率低、准确度低、绘制标准不统一等问题，实现了快速、批量的创建网络攻防环境，大大减轻了人员工作负担，提高了平台的智能化程度和易用性。

附图说明

图1是本发明实施例适用于电力工控靶场平台的虚实网络环境自动生成方法流程示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明所述方案做进一步地详细说明。

实施例

本发明实施例公开了适用于电力工控靶场平台的虚实网络环境自动生成方法，包括以下步骤，流程示意图如图1所示。

S1、拓扑对象识别：将现有的电力工控系统网络拓扑图纸质图纸转换为电子图片，然后通过图像识别技术提取出电子图片中的各种拓扑对象，建立虚拟节点队列和连接关系矩阵；

S2、生成虚实网络环境：通过对虚拟节点队列进行虚实映射、实体节点初始化、虚拟节点环境创建等，完成虚拟节点、实体节点的准备工作，然后根据连接关系矩阵生成虚实网络环境；

S3、环境验证和导出：首先采用遍历算法对虚实网络环境进行验证，当验证通过后，按照电力工控靶场平台的代码规范导出自动创建代码，然后导入电力工控靶场平台进行创建。

进一步的，在S1中，所述拓扑对象识别具体包括如下步骤：

A、将电力工控系统网络拓扑图图纸转换为电子图片：通过扫描、拍照等图片采集技术，将电力工控系统网络拓扑图纸质图纸转换为JPEG、PNG格式的电子图片。

B、识别电子图片中的各种拓扑对象，建立虚拟节点队列VNodes和连接关系矩阵Matrix：通过采用图像识别技术，将电子图片中的各类拓扑对象提取出来，放入虚拟节点队列VNodes中，拓扑对象包括交换机、路由器、防火墙、服务器、主机、其他设备，然后识别各个拓扑对象之间的连线情况，然后以拓扑对象分别为行、列元素，形成二维的连接关系矩阵Matrix，矩阵的每一个行列交叉点表示行列元素的连通性。

进一步的，在S1中，所述图像识别技术可以从对象检测算法RCNN、Fast RCNN和Faster RCNN中选择一种。

进一步的，所述生成虚实网络环境具体包括如下步骤：

A、虚实映射：建立虚实节点映射表，对需要进行虚实节点映射的虚拟节点进行描述，描述内容包括：虚节点的名称、设备类型、虚拟IP地址、实体设备编号、实体设备的名称、设备类型、实际IP地址、用户账号和密码，通过虚实节点映射表，将物理世界的实体设备映射为虚拟节点。

B、实体节点初始化：建立实体节点初始配置表，以虚实节点映射表中的实体节点为初始化数据，采用信息收集技术逐一验证、收集实体节点设备的配置信息，包括实体设备IP地址、设备存活情况、操作系统版本信息和开放的远程连接服务类型，并更新到实体节点初始配置表中，然后隔10分钟重复一次初始化操作，连续进行3次，形成实体节点配置表。

进一步的，所述信息收集技术可以采用端口扫描、主机探测中的一种或多种组合。

C、虚拟节点初始化：建立虚拟节点配置表，对虚拟节点的配置环境进行详细描述，描述内容包括：虚拟节点的名称、设备类型、虚拟IP地址、操作系统版本、CPU频率、内存大小、磁盘空间大小、分区情况和网卡数量，然后采用虚拟化容器Dokcer技术创建虚拟节点容器和配置容器环境，当环境创建完成后，形成容器快照，并更新快照信息到虚拟节点配置表中。对每一个虚拟节点进行初始化操作，直至形成最终的虚拟节点配置表。

D、生成虚实网络环境：根据实体节点配置表、虚拟节点配置表、连接关系矩阵Matrix，使用开源的网络模拟器Shadow生成模拟网络拓扑环境，由于网络模拟器不具备映射实体节点的能力，因此，此时的网络环境中实体节点如果设备类型为主机，则以计算机代替，如果是网络设备或其他设备，则以交换机代替，确保节点之间能够连通即可，被替换的实体节点进行标记，以便在下一步骤中进行恢复。

进一步的，所述环境验证和导出具体包括如下步骤：

A、虚实网络环境验证：随机选取虚实网络环境中的任一节点作为起点，通过基于深度优先和广度优先的遍历算法，对该节点到各节点之间的连通性进行检测，当该节点到各节点均为可连通时，即通过检测，再选取下一个节点作为起点，进行同样的检测，直至所有节点均已完成遍历。如果存在某两个节点无法连通的情况，则说明网络拓扑存在不完整，需要给出错误信息，进行人工检查原始拓扑图资料是否存在缺陷，修正后从拓扑对象识别步骤重新开始。

B、导出虚实网络环境并创建：将通过验证的虚实网络环境中被标记的实体节点重新恢复为实体节点，按照电力工控靶场平台的代码编码规范，对每一个虚拟节点、实体节点、容器环境和连接线按照编码规范，生成创建代码，然后导入电力工控靶场平台中进行自动生成。

综上，本发明的有益效果在于：

一、能够实现为电力工控靶场平台快速、批量的创建网络攻防环境，实现将环境创建时间从现有以天为单位，降低到以分钟为单位，极大地减轻人员工作负担，进一步增强平台的智能化程度和易用性。

二、有利于帮助电力工控靶场平台提高应对真实网络环境改造、升级带来的环境需要重新修改的能力，进一步提高了平台的灵活性。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (4)

1.适用于电力工控靶场平台的虚实网络环境自动生成方法，其特征在于，包括如下步骤：

拓扑对象识别：将现有的电力工控系统网络拓扑图纸质图纸转换为电子图片，然后通过图像识别技术提取出电子图片中的各种拓扑对象，建立虚拟节点队列和连接关系矩阵；

生成虚实网络环境：通过对虚拟节点队列进行虚实映射、实体节点初始化、虚拟节点环境创建，完成虚拟节点、实体节点的准备工作，然后根据连接关系矩阵生成虚实网络环境；

环境验证和导出：首先采用遍历算法对虚实网络环境进行验证，当验证通过后，按照电力工控靶场平台的代码规范导出自动创建代码，然后导入电力工控靶场平台进行创建。

2.如权利要求1所述的方法，其特征在于，所述拓扑对象识别具体包括如下步骤：

A、将电力工控系统网络拓扑图图纸转换为电子图片：通过扫描、拍照图片采集技术，将电力工控系统网络拓扑图纸质图纸转换为JPEG、PNG格式的电子图片；

B、识别电子图片中的各种拓扑对象，建立虚拟节点队列VNodes和连接关系矩阵Matrix：通过采用图像识别技术，将电子图片中的各类拓扑对象提取出来，放入虚拟节点队列VNodes中，拓扑对象包括交换机、路由器、防火墙、服务器和主机，然后识别各个拓扑对象之间的连线情况，然后以拓扑对象分别为行、列元素，形成二维的连接关系矩阵Matrix，矩阵的每一个行列交叉点表示行列元素的连通性。

3.如权利要求1所述的方法，其特征在于，所述生成虚实网络环境具体包括如下步骤：

A、虚实映射：建立虚实节点映射表，对需要进行虚实节点映射的虚拟节点进行描述，描述内容包括：虚节点的名称、设备类型、虚拟IP地址、实体设备编号、实体设备的名称、设备类型、实际IP地址、用户账号和密码，通过虚实节点映射表，将物理世界的实体设备映射为虚拟节点；

B、实体节点初始化：建立实体节点初始配置表，以虚实节点映射表中的实体节点为初始化数据，采用信息收集技术逐一验证、收集实体节点设备的配置信息，包括实体设备IP地址、设备存活情况、操作系统版本信息和开放的远程连接服务类型，并更新到实体节点初始配置表中，然后隔10分钟重复一次初始化操作，连续进行3次，形成实体节点配置表；

C、虚拟节点初始化：建立虚拟节点配置表，对虚拟节点的配置环境进行详细描述，描述内容包括：虚拟节点的名称、设备类型、虚拟IP地址、操作系统版本、CPU频率、内存大小、磁盘空间大小、分区情况和网卡数量，然后采用虚拟化容器Docker技术创建虚拟节点容器和配置容器环境，当环境创建完成后，形成容器快照，并更新快照信息到虚拟节点配置表中；对每一个虚拟节点进行初始化操作，直至形成最终的虚拟节点配置表；

D、生成虚实网络环境：根据实体节点配置表、虚拟节点配置表、连接关系矩阵Matrix，使用开源的网络模拟器Shadow生成模拟网络拓扑环境，由于网络模拟器不具备映射实体节点的能力，因此，此时的网络环境中实体节点如果设备类型为主机，则以计算机代替，如果是网络设备或其他设备，则以交换机代替，确保节点之间能够连通，被替换的实体节点进行标记，以便在下一步骤中进行恢复。

4.如权利要求1所述的方法，其特征在于，所述环境验证和导出具体包括如下步骤：

A、虚实网络环境验证：随机选取虚实网络环境中的任一节点作为起点，通过基于深度优先和广度优先的遍历算法，对该节点到各节点之间的连通性进行检测，当该节点到各节点均为可连通时，即通过检测，再选取下一个节点作为起点，进行同样的检测，直至所有节点均已完成遍历；如果存在某两个节点无法连通的情况，则说明网络拓扑存在不完整，需要给出错误信息，进行人工检查原始拓扑图资料是否存在缺陷，修正后从拓扑对象识别步骤重新开始；

B、导出虚实网络环境并创建：将通过验证的虚实网络环境中被标记的实体节点重新恢复为实体节点，按照电力工控靶场平台的代码编码规范，对每一个虚拟节点、实体节点、容器环境和连接线按照编码规范，生成创建代码，然后导入电力工控靶场平台中进行自动生成。

Images