CN113595790A - 一种电力终端设备的安全访问评估方法及装置 - Google Patents

一种电力终端设备的安全访问评估方法及装置 Download PDF

Info

Publication number
CN113595790A
CN113595790A CN202110861794.0A CN202110861794A CN113595790A CN 113595790 A CN113595790 A CN 113595790A CN 202110861794 A CN202110861794 A CN 202110861794A CN 113595790 A CN113595790 A CN 113595790A
Authority
CN
China
Prior art keywords
terminal equipment
service system
server
power
power terminal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202110861794.0A
Other languages
English (en)
Other versions
CN113595790B (zh
Inventor
魏兴慎
吴超
张勃
陈连栋
曹永健
王海清
高鹏
祁龙云
马增洲
葛国栋
赵林丛
杨维永
刘苇
朱世顺
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
State Grid Corp of China SGCC
Nari Information and Communication Technology Co
State Grid Electric Power Research Institute
Information and Telecommunication Branch of State Grid Hebei Electric Power Co Ltd
Original Assignee
State Grid Corp of China SGCC
Nari Information and Communication Technology Co
State Grid Electric Power Research Institute
Information and Telecommunication Branch of State Grid Hebei Electric Power Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by State Grid Corp of China SGCC, Nari Information and Communication Technology Co, State Grid Electric Power Research Institute, Information and Telecommunication Branch of State Grid Hebei Electric Power Co Ltd filed Critical State Grid Corp of China SGCC
Priority to CN202110861794.0A priority Critical patent/CN113595790B/zh
Publication of CN113595790A publication Critical patent/CN113595790A/zh
Application granted granted Critical
Publication of CN113595790B publication Critical patent/CN113595790B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/12—Discovery or management of network topologies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明公开了一种电力终端设备的安全访问评估方法及装置，该方法用于在零信任网络中对终端设备的信任度和安全威胁进行持续评估，该方法在终端设备上安装采集探针，采集终端的安全状态，基于电力业务系统上服务器的网络连接关系构建网络拓扑图，并采用WL子树核算法将所构建的网络拓扑图转化为R‑跳的带权攻击树；针对接入的终端设备计算服务器节点R‑跳内的风险值，对带权攻击树进行剪枝，得到最终安全可访问的电力业务系统。本发明不仅考虑终端设备的安全状态，同时考虑终端设备在云端的访问权限、业务系统的安全防护能力等，并最终给出终端可以安全访问的最小安全业务集。

Description

一种电力终端设备的安全访问评估方法及装置
技术领域
本发明属于通信安全技术领域，具体涉及一种电力终端设备的安全访问评估方法及装置。
背景技术
在电力物联网场景下，传统的访问控制模型一般结合网络结构，采用静态部署、模块化的设计方法，未结合应用的业务流程和终端用户的行为特性，主要采取“一次认证、一次授权，长期有效”的防护措施，网络一旦被突破，攻击者将渗透到内部应用进行恶意操作。
发明内容
本发明的目的在于提供一种电力终端设备的安全访问评估方法及装置，使得业务系统可基于采集数据快速评估安全威胁，实现对终端设备的安全访问控制，提升电力物联网的安全接入与主动防御能力。
为达到上述目的，本发明采用的技术方案如下：
本发明提供一种基于图同构算法的快速终端安全访问评估方法，包括：
基于电力业务系统服务器的网络连接关系构建网络拓扑图；
将所构建的网络拓扑图转换为R-跳的带权攻击树，并计算带权攻击树中电力业务系统服务器的风险值；所述带权攻击树的顶点为接入的电力终端设备，其余节点为电力业务系统服务器；
基于电力业务系统服务器的风险值对R-跳的带权攻击树进行剪枝；
对剪枝后的R-跳的带权攻击树的节点进行安全访问。
进一步的，所述基于电力业务系统上服务器的网络连接关系构建网络拓扑图，包括：
周期性采集电力业务系统服务器的网络连接关系，根据解析的源地址和目的地址构建出服务器之间的网络拓扑关系；以所有电力业务系统服务器为节点，两台相连的电力业务系统服务器之间为边构建网络拓扑图；
将去重后的目的端口的数量将作为两个服务器之间网络拓扑图中边的权值，边的方向为服务器上网络连接的方向；
计算节点的权值为：
Figure BDA0003186026880000011
其中，G(h)表示服务器节点h的权值，k表示入度的系数，
Figure BDA0003186026880000012
表示网络拓扑图中指向服务器h的边的个数，
Figure BDA0003186026880000013
表示网络拓扑图中由服务器h连出的边的个数，n表示电力业务系统中服务器个数；
计算边的传播概率为：
Figure BDA0003186026880000014
其中，qi，j表示服务器节点i向服务器节点j的风险传播概率；
以此构建电力业务系统有向带权网络拓扑图。
进一步的，采用WL子树核算法对电力业务系统的网络拓扑图进行计算，得到R-跳的带权攻击树。
进一步的，在计算带权攻击树的子树核时，边的权值和节点的权值不变。
进一步的，所述计算电力业务系统服务器的风险值包括：
E(r)(j)＝∑iqi，jE(r-1)(i)E(r-1)(j)，对于
Figure BDA0003186026880000022
其中，E(r)(j)为第r跳计算时服务器节点j的风险值，eij表示在网络拓扑图中存在一跳从服务器节点i到服务器节点j的边，G表示网络拓扑图，E(r-1)(i)表示第r-1跳计算时计算的服务器节点i的风险值。
进一步的，计算过程中，服务器节点第1跳的风险值为终端设备的风险值。
进一步的，还包括：
采集电力终端设备的安全状态信息，基于采集的信息计算电力终端设备的风险值。
进一步的，
所述电力终端设备的风险值计算如下：
采用多种评估方式对电力终端设备进行打分，得到综合打分结果作为电力终端设备的风险值：
Figure BDA0003186026880000021
其中，E(t)表示电力终端设备t的综合打分值，xs表示第s种评估方式的评估结果，as表示第s种评估方式的权重，m为采用的评估方式个数；
所述评分方式包括：基线核查评估，漏洞检测评估，等级保护评估和行为异常评估中的至少一种。
进一步的，所述基于电力业务系统服务器的风险值对R-跳的带权攻击树进行剪枝，包括：
计算被测电力终端设备引入时服务器节点的风险值与理想的电力终端设备引入时服务器节点的风险值两者的差值：
当差值超过预设阈值时，断开被测电力终端设备与所计算的服务器节点在子树核中的子树的连接，所有的服务器节点均计算完成后，子树核中保留的即为被测电力终端设备最终可访问的电力业务系统；
所述理想的电力终端设备是指安全配置合规，系统漏洞不包含高危漏洞，以及没有异常的运行状态的终端设备。
进一步的，还包括：
使用hash表保存电力终端设备的风险值与需要进行剪枝的操作的关系，hash的key为电力终端设备的风险值。
进一步的，针对任意一个电力终端设备，首先查询hash表，当风险值在hash表中，则根据hash表进行剪枝；如果不在hash表中，则重新计算剪枝的行为，并将剪枝的操作插入到hash表中。
本发明另一方面提供一种电力终端设备的安全访问评估装置，包括：
构建模块，用于基于电力业务系统服务器的网络连接关系构建网络拓扑图；
转化模块，用于将所构建的网络拓扑图转换为R-跳的带权攻击树，并计算带权攻击树中电力业务系统服务器的风险值；所述带权攻击树的顶点为接入的电力终端设备，其余节点为电力业务系统服务器；
修剪模块，用于基于电力业务系统服务器的风险值对R-跳的带权攻击树进行剪枝；
以及，
访问模块，用于对剪枝后的R-跳的带权攻击树的节点进行安全访问。
进一步的，所述构建模块具体用于，周期性采集电力业务系统服务器的网络连接关系，根据解析的源地址和目的地址构建出服务器之间的网络拓扑关系；以所有电力业务系统服务器为节点，两台相连的电力业务系统服务器之间为边构建网络拓扑图；
将去重后的目的端口的数量将作为两个服务器之间网络拓扑图中边的权值，边的方向为服务器上网络连接的方向；
计算节点的权值为：
Figure BDA0003186026880000031
其中，G(h)表示服务器节点h的权值，k表示入度的系数，
Figure BDA0003186026880000032
表示网络拓扑图中指向服务器h的边的个数，
Figure BDA0003186026880000033
表示网络拓扑图中由服务器h连出的边的个数，n表示电力业务系统中服务器个数；
计算边的传播概率为：
Figure BDA0003186026880000034
其中，qi，j表示服务器节点i向服务器节点j的风险传播概率；
以此构建电力业务系统有向带权网络拓扑图。
进一步的，所述修剪模块具体用于，计算被测电力终端设备引入时服务器节点的风险值与理想的电力终端设备引入时服务器节点的风险值两者的差值：
当差值超过预设阈值时，断开被测电力终端设备与所计算的服务器节点在子树核中的子树的连接，所有的服务器节点均计算完成后，子树核中保留的即为被测电力终端设备最终可访问的电力业务系统；
所述理想的电力终端设备是指安全配置合规，系统漏洞不包含高危漏洞，以及没有异常的运行状态的电力终端设备。
本发明所达到的有益效果为：
本发明基于电力业务系统上服务器的网络连接关系构建网络拓扑图，并采用WL子树核算法将所构建的网络拓扑图转化为R-跳的带权攻击树；针对接入的终端设备计算服务器节点R-跳内的风险值，对带权攻击树进行剪枝，得到最终安全可访问的电力业务系统。本发明方法不仅需要考虑终端设备的安全状态，同时考虑终端设备在云端的访问权限、业务系统的安全防护能力等，并最终给出终端可以安全访问的最小安全业务集。
附图说明
图1为本发明的电力终端设备的安全访问控制评估架构；
图2为本发明中服务器节点的安全风险值的期望计算示例；
图3为本发明中R跳子树核计算示例。
具体实施方式
下面结合附图对本发明作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本发明的保护范围。
本发明的一个实施例提供一种电力终端设备的安全访问控制评估方法，如图1所示，包括如下过程：
S1、在电力终端设备上部署采集探针采集终端设备的安全状态信息，并通过利用专家系统，根据采集的静态配置和动态运行状态，对终端设备的安全状态进行评估，计算出终端设备受到攻击的概率；电力终端受到攻击的概率与其脆弱性相关，也与电力物联终端中的应用动态行为是否异常相关。
其中，终端设备的安全状态信息包括业务行为、运行状态和静态配置信息。
静态配置信息包括：操作系统版本、内核版本、软件包列表、防火墙状态等，并对终端设备进行安全基线核查，基线核查内容按照国家电网公司的相关规定的核查项进行。
动态运行状态信息包括当前终端设备中包含进程列表、CPU、内存、硬盘使用情况，是否开放了端口、存在哪些对外连接、是否有用户登录、地理位置、关键配置文件是否发生了变更、关键程序的完整性是否有变化等。
采集的数据以json格式发送到服务端进行分析。
应该知道，采集探针是一个小软件，通常也叫做agent，主要采集设备上的数据，在本技术领域属于通用术语。
S2、在服务端的专家系统基于规则对终端设备的安全风险进行打分，并使用sigmoid函数，将打分转化为概率值，过程如下：
本发明可支持任意多种打分评估模块的输入进行综合打分，典型的评估模块如基线核查结果、漏洞比对结果、行为异常偏离结果、等级保护评定，打分函数如下：
Figure BDA0003186026880000041
其中，E(t)表示终端设备t的安全评估的综合打分值，m表示一共有多少个评分子模块加入到该风险评估过程中，本发明中使用典型的四种模块。as表示第i个评分子模块的权重，取值为(0，1)，该值可基于经验值给出，且要求
Figure BDA0003186026880000042
因此业务系统安全风险评价的结果H为取值(0，1)的概率值；xs表示第s个评分子模块的评估结果。
例如本发明可基于基线核查、漏洞检查、等级保护三者的结果给出风险评估的最终结果，其中基线核查的基线核查计算出的值x1、漏洞分值x2、等级保护评定的等级为x3，行为异常计算结果为x4，设a1＝0.2，a2＝0.2，a3＝0.2，a4＝0.4。
其中基线核查的结果是基于国家电网公司发布的漏洞核查的相关规定进行核查，根据是否合规计算出分值，分值越高，说明风险越大。该模块不是本发明的内容，但是是本发明依赖的第三方模块。
漏洞检测的结果需要给出具体的评价分数，分值越高说明越危险。该漏洞检测模块不是本发明的内容，但是是本发明需要依赖的第三方模块，其计算原理为对比从终端设备上采集的操作系统名称、版本号和内核版本、安装的软件的名称和版本，并和服务端的漏洞库进行比对，就可以知道终端设备上包含哪些漏洞，漏洞的安全风险值有多大，从而计算终端因为漏洞造成的安全风险。
业务系统在上线前根据国家等级保护的要求，会进行等级保护的认定，该认定结果表示该业务系统的重要程度，分为1级、2级、3级、4级和5级。设某个业务系统给出的评定等级为L，L越大说明越重要，越可能成为攻击者的攻击目标。
终端异常导致的安全风险计算过程如下：采集探针采集的状态终端状态包括地理位置、进程等信息。
其中按照下列表格进行计算。
检测项 分值
采集探针完整性被破坏 12
发现未知进程 8
发现硬件设备接入 20
发现新开放端口 20
其中，探针完整性是在电力物联终端上部署的采集探针会定期上报采集探针MD5值、运行的进程列表、接入的硬件列表、开放的端口。服务端在初次收到上述信息后会将数据保存起来，作为基准值。服务器在后续收到的终端采集信息将和基准值进行比对，如果发现数据与基准值不同，则认为终端出现异常，将按照检测项对应的分值进行求和，得到终端异常行为安全风险值。
S3、采集电力业务系统服务器上的连接关系，以及采集电力业务系统上服务器的安全状态、网络连接关系和运行状态等信息。
其中，网络连接关系中需包括五元组信息，五元组定义如下：
<Protocol，srcip，srcport，dstip，dstport>
基于采集的网络连接关系，基于电力业务系统服务器上的连接关系生成电力业务系统的网络拓扑图。
网络拓扑图的构建过程为：
(1)网络拓扑中边的生成：周期性采集连接关系根据解析的源地址和目的地址就可以构建出服务器之间的网络拓扑关系，其中任意两台服务器之间的存在一条边，当且仅当采集的网络连接关系数据中，存在一条数据，数据中包含这两台服务器的IP地址：
<Protocol，srcip，srcport，dstip，dstport>
(2)网络拓扑中边的权重的生成：如果从srcip所在的服务器上采集的连接关系中，包含多条到某个dstip为地址的服务器的连接关系，则去重后的目的端口的数量将作为两个服务器之间网络拓扑图中边的权值，其物理含义为任何两个服务器之间的连接关系越多，则说明连个服务器的关系越紧密，则攻击者越容易从出发服务器攻入到目的服务器。
如服务器192.168.1.2上采集的连接关系如下：
Protocol Srcip Srcport Dstip Dstport
Tcp 192.168.1.2 3456 192.168.1.3 80
Tcp 192.168.1.2 67365 192.168.1.3 21
Tcp 192.168.1.2 67368 192.168.1.3 21
Tcp 192.168.1.2 6552 192.168.1.4 80
Tcp 192.168.1.2 10865 192.168.1.4 80
则服务器192.168.1.2将和服务器192.168.1.3存在一条指向192.168.1.3的边，边的权重是2(去重的目的端口的数量是2)，192.168.1.2将和服务器192.168.1.4存在一条指向192.168.1.34的边，边的权重是1(去重的目的端口的数量是1)。
(3)网络拓扑中服务器风险的生成：针对任意一个服务器，其出度和入度值作为计算服务器权重的依据，其权重越大，则表明其安全风险越大，任何一个服务器的连接越多，则认为该服务器越重要，但同时，入度比出度更为重要，也越容易成为攻击者的首要目标，边的方向为服务器上网络连接的方向，计算公式如下：
Figure BDA0003186026880000061
其中，G(h)表示服务器节点h的权重，k表示入度的系数，通常大于1，属于超参数；
Figure BDA0003186026880000062
表示拓扑图中指向服务器h的边的个数，
Figure BDA0003186026880000063
表示拓扑图中由服务器h连出的边的个数，n表示电力系统中共有n个服务器。
(4)计算边的传播概率：
通过上述方法构造出了有向带权的网络拓扑图，其中，边和点均有权值，边的方向为服务器上网络连接的方向。可以根据边权重，计算节点间攻击传播概率：
Figure BDA0003186026880000064
其中，qi，j表示服务器i向服务器j的风险传播概率，即如果服务器i被攻破，则攻击者可能从i攻击服务器j的概率，
Figure BDA0003186026880000065
表示服务器i的出度。
至此，本发明实现对电力业务系统的有向带权网络拓扑图G的构建，该图中边有方向，表示网络连接关系，边上有传播概率，图中的点为服务器，点的权重表示其重要程度。
S4、计算向带权网络拓扑图G的R-跳的带权攻击树。向电力物联网中接入任意一个终端设备，则可能导致电力业务系统安全风险的增加。其通常的计算过程为便利整个图G，根据风险的传播概率，计算每个服务器节点的安全风险值的期望如图2所示，图2为通过S3步骤计算出的图G，终端为节点t，其安全风险为
Figure BDA0003186026880000071
则每个边上表示传播概率，每个服务器(j)给出风险值，用E(j)表示。
S5、生成子树核：对于每一个电力物联终端设备，都需要按照上面的值进行计算，需要多次遍历图，本发明中，利用图的同构算法，将复杂的图转换为r-跳的相似的图，然后在相似的图中可以进行快速的计算，从而提高计算效率。具体而言使用WL子树核(WLsubtree kernel)算法对电力业务系统的连接拓扑图G进行计算，得到R跳的子树，其中树的顶点为接入的终端设备。在计算子树核时，节点的边的权值和节点的权值不变。从图G中生成R＝3的子树核如图3所示，在该图中，可根据沿着该子树核进行计算，其中R＝3表示经过三跳可以形成的子树核，在该图中就是子树核的高度为3。
在该子树核中，可以看出，当R＝2时，可以认为电力物联终端接入了两个系统，分别是两个子树的左右两边(不包括节点7)；当R＝3时，节点7同时出现在里子树中，因此，通过这个节点，计算得到的风险如果变大，则需要同时中断两条业务系统的连接。
则任意给定服务器j，其r跳的传播的风险表示为：
Figure BDA0003186026880000073
对于
Figure BDA0003186026880000074
其中，eij表示在图G中存在一跳从服务器i到服务器j的边，qi，j表示服务器i向服务器j的风险传播概率，E(r-1)(i)表示第r-1跳计算时，计算的服务器i的风险值。
需要知道，该带权攻击树的顶点为电力物联终端设备，所以，计算过程中，节点第1跳风险值由公式(1)电力物联终端设备的风险值给出。
S6、构建G的安全风险值基准值：在电力物联网建设之前，由于没有引入电力物联网终端设备，因此其安全风险较小，当引入终端设备后，如果安全配置合规、系统漏洞不包含高危漏洞、没有异常的运行状态，则电力物联网的安全性仍然能够得到保证。因此，我们认为这种状态为G的安全风险基准状态，其计算时，引入理想的电力物联终端O，O符合安全配置合规、系统漏洞不包含高危漏洞、没有异常的运行状态，则根据公式(1)计算出该终端设备的安全风险值为E(O)。针对每一个电力业务系统的服务器节点，根据公式(4)计算R跳的风险值Eo(r)(i)。
S7、针对电力物联终端设备T接入到电力业务系统，进行安全评估，根据公式(1)计算其安全风险值为E(T)，
根据公式4计算R跳的值风险值ET(r)(i)；
比较电力物联终端设备T与理想的电力物联终端O的引入，造成的电力业务系统服务器的安全风险变化的增量，当
Figure BDA0003186026880000072
其中，E′表示阈值，为根据安全需要设定的阈值，则说明引入电力物联终端T增大了业务系统的安全风险且超过了安全风险的承受能力，需要断开电力物联终端T与服务器节点i在子树核中的子树的连接，r表示子树核的深度，其物理含义为攻击者可能发生的横向移动的次数。可以根据经验设定，通常可以设定深度为3。
当针对该终端设备的计算结束后，子树核中保留的就是该节点可访问的业务系统，子树中删除的业务系统就是禁止访问的业务系统。
为了加快评估出现风险的电力终端设备哪些业务系统能访问，哪些业务系统不能访问，可使用hash表保存终端设备攻击概率与需要进行剪枝的操作的关系，hash的key为概率的值，精确到万分位。
针对任意一个终端设备，在完成攻击概率的评估后，首先查询hash表，当概率在hash表中，则通过查表的形式，决定如何剪枝，当不在表里，则重新计算剪枝的行为，并将值插入到hash表中。
本发明另一个实施例提供一种电力终端设备的安全访问评估装置，包括：
构建模块，用于基于电力业务系统服务器的网络连接关系构建网络拓扑图；
转化模块，用于将所构建的网络拓扑图转换为R-跳的带权攻击树，并计算带权攻击树中电力业务系统服务器的风险值；所述带权攻击树的顶点为接入的终端设备，其余节点为电力业务系统服务器；
修剪模块，用于基于电力业务系统服务器的风险值对R-跳的带权攻击树进行剪枝；
以及，
访问模块，用于对剪枝后的R-跳的带权攻击树的节点进行安全访问。
本发明实施例中，构建模块具体用于，周期性采集电力业务系统服务器的网络连接关系，根据解析的源地址和目的地址构建出服务器之间的网络拓扑关系；以所有电力业务系统服务器为节点，两台相连的电力业务系统服务器之间为边构建网络拓扑图；
将去重后的目的端口的数量将作为两个服务器之间网络拓扑图中边的权值，边的方向为服务器上网络连接的方向；
计算节点的权值为：
Figure BDA0003186026880000081
其中，G(h)表示服务器节点h的权值，k表示入度的系数，
Figure BDA0003186026880000082
表示网络拓扑图中指向服务器h的边的个数，
Figure BDA0003186026880000083
表示网络拓扑图中由服务器h连出的边的个数，n表示电力业务系统中服务器个数；
计算边的传播概率为：
Figure BDA0003186026880000084
其中，qi，j表示服务器节点i向服务器节点j的风险传播概率；
以此构建电力业务系统有向带权网络拓扑图。
本发明实施例中，修剪模块具体用于，计算被测电力终端设备引入时服务器节点的风险值与理想的电力终端设备引入时服务器节点的风险值两者的差值：
当差值超过预设阈值时，断开被测电力终端设备与所计算的服务器节点在子树核中的子树的连接，所有的服务器节点均计算完成后，子树核中保留的即为被测电力终端设备最终可访问的电力业务系统；
所述理想的电力终端设备是指安全配置合规，系统漏洞不包含高危漏洞，以及没有异常的运行状态的电力终端设备。值得指出的是，该装置实施例是与上述方法实施例对应的，上述方法实施例的实现方式均适用于该装置实施例中，并能达到相同或相似的技术效果，故不在此赘述。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，尽管参照上述实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者等同替换，而未脱离本发明精神和范围的任何修改或者等同替换，其均应涵盖在本发明的权利要求保护范围之内。

Claims (14)

1.一种电力终端设备的安全访问评估方法，其特征在于，包括：
基于电力业务系统服务器的网络连接关系构建网络拓扑图；
将所构建的网络拓扑图转换为R-跳的带权攻击树，并计算带权攻击树中电力业务系统服务器的风险值；所述带权攻击树的顶点为接入的电力终端设备，其余节点为电力业务系统服务器；
基于电力业务系统服务器的风险值对R-跳的带权攻击树进行剪枝；
对剪枝后的R-跳的带权攻击树的节点进行安全访问。
2.根据权利要求1所述的一种电力终端设备的安全访问评估方法，其特征在于，所述基于电力业务系统服务器的网络连接关系构建网络拓扑图，包括：
周期性采集电力业务系统服务器的网络连接关系，根据解析的源地址和目的地址构建出服务器之间的网络拓扑关系；以所有电力业务系统服务器为节点，两台相连的电力业务系统服务器之间为边构建网络拓扑图；
将去重后的目的端口的数量将作为两个服务器之间网络拓扑图中边的权值，边的方向为服务器上网络连接的方向；
计算节点的权值为：
Figure FDA0003186026870000011
其中，G(h)表示服务器节点h的权值，k表示入度的系数，
Figure FDA0003186026870000012
表示网络拓扑图中指向服务器h的边的个数，
Figure FDA0003186026870000013
表示网络拓扑图中由服务器h连出的边的个数，n表示电力业务系统中服务器个数；
计算边的传播概率为：
Figure FDA0003186026870000014
其中，qi,j表示服务器节点i向服务器节点j的风险传播概率；
以此构建电力业务系统有向带权网络拓扑图。
3.根据权利要求2所述的一种电力终端设备的安全访问评估方法，其特征在于，采用WL子树核算法对电力业务系统的网络拓扑图进行计算，得到R-跳的带权攻击树。
4.根据权利要求3所述的一种电力终端设备的安全访问评估方法，其特征在于，在计算带权攻击树的子树核时，边的权值和节点的权值不变。
5.根据权利要求2所述的一种电力终端设备的安全访问评估方法，其特征在于，所述计算电力业务系统服务器的风险值包括：
E(r)(j)＝∑iqi,jE(r-1)(i)E(r-1)(j),对于
Figure FDA0003186026870000015
其中，E(r)(j)为第r跳计算时服务器节点j的风险值，eij表示在网络拓扑图中存在一跳从服务器节点i到服务器节点j的边，G表示网络拓扑图，E(r-1)(i)表示第r-1跳计算时计算的服务器节点i的风险值。
6.根据权利要求5所述的一种电力终端设备的安全访问评估方法，其特征在于，计算过程中，服务器节点第1跳的风险值为电力终端设备的风险值。
7.根据权利要求1所述的一种电力终端设备的安全访问评估方法，其特征在于，还包括：
采集电力终端设备的安全状态信息，基于采集的信息计算电力终端设备的风险值。
8.根据权利要求6所述的一种电力终端设备的安全访问评估方法，其特征在于，所述电力终端设备的风险值计算如下：
采用多种评估方式对电力终端设备进行打分，得到综合打分结果作为电力终端设备的风险值：
Figure FDA0003186026870000021
其中，E(t)表示电力终端设备t的综合打分值，xs表示第s种评估方式的评估结果，as表示第s种评估方式的权重，m为采用的评估方式个数；
所述评分方式包括基线核查评估，漏洞检测评估，等级保护评估和行为异常评估中的至少一种。
9.根据权利要求5所述的一种电力终端设备的安全访问评估方法，其特征在于，所述基于电力业务系统服务器的风险值对R-跳的带权攻击树进行剪枝，包括：
计算被测电力终端设备引入时服务器节点的风险值与理想的电力终端设备引入时服务器节点的风险值两者的差值：
当差值超过预设阈值时，断开被测电力终端设备与所计算的服务器节点在子树核中的子树的连接，所有的服务器节点均计算完成后，子树核中保留的即为被测电力终端设备最终可访问的电力业务系统；
所述理想的电力终端设备是指安全配置合规，系统漏洞不包含高危漏洞，以及没有异常的运行状态的电力终端设备。
10.根据权利要求8所述的一种电力终端设备的安全访问评估方法，其特征在于，还包括：
使用hash表保存电力终端设备的风险值与需要进行剪枝的操作的关系，hash的key为电力终端设备的风险值。
11.根据权利要求10所述的一种电力终端设备的安全访问评估方法，其特征在于，还包括：
针对任意一个电力终端设备，首先查询hash表，当风险值在hash表中，则根据hash表进行剪枝；如果不在hash表中，则重新计算剪枝的行为，并将剪枝的操作插入到hash表中。
12.一种电力终端设备的安全访问评估装置，其特征在于，包括：
构建模块，用于基于电力业务系统服务器的网络连接关系构建网络拓扑图；
转化模块，用于将所构建的网络拓扑图转换为R-跳的带权攻击树，并计算带权攻击树中电力业务系统服务器的风险值；所述带权攻击树的顶点为接入的电力终端设备，其余节点为电力业务系统服务器；
修剪模块，用于基于电力业务系统服务器的风险值对R-跳的带权攻击树进行剪枝；
以及，
访问模块，用于对剪枝后的R-跳的带权攻击树的节点进行安全访问。
13.根据权利要求12所述的一种电力终端设备的安全访问评估装置，其特征在于，所述构建模块具体用于，周期性采集电力业务系统服务器的网络连接关系，根据解析的源地址和目的地址构建出服务器之间的网络拓扑关系；以所有电力业务系统服务器为节点，两台相连的电力业务系统服务器之间为边构建网络拓扑图；
将去重后的目的端口的数量将作为两个服务器之间网络拓扑图中边的权值，边的方向为服务器上网络连接的方向；
计算节点的权值为：
Figure FDA0003186026870000031
其中，G(h)表示服务器节点h的权值，k表示入度的系数，
Figure FDA0003186026870000032
表示网络拓扑图中指向服务器h的边的个数，
Figure FDA0003186026870000033
表示网络拓扑图中由服务器h连出的边的个数，n表示电力业务系统中服务器个数；
计算边的传播概率为：
Figure FDA0003186026870000034
其中，qi,j表示服务器节点i向服务器节点j的风险传播概率；
以此构建电力业务系统有向带权网络拓扑图。
14.根据权利要求12所述的一种电力终端设备的安全访问评估装置，其特征在于，所述修剪模块具体用于，计算被测电力终端设备引入时服务器节点的风险值与理想的电力终端设备引入时服务器节点的风险值两者的差值：
当差值超过预设阈值时，断开被测电力终端设备与所计算的服务器节点在子树核中的子树的连接，所有的服务器节点均计算完成后，子树核中保留的即为被测电力终端设备最终可访问的电力业务系统；
所述理想的电力终端设备是指安全配置合规，系统漏洞不包含高危漏洞，以及没有异常的运行状态的电力终端设备。
CN202110861794.0A 2021-07-29 2021-07-29 一种电力终端设备的安全访问评估方法及装置 Active CN113595790B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110861794.0A CN113595790B (zh) 2021-07-29 2021-07-29 一种电力终端设备的安全访问评估方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110861794.0A CN113595790B (zh) 2021-07-29 2021-07-29 一种电力终端设备的安全访问评估方法及装置

Publications (2)

Publication Number Publication Date
CN113595790A true CN113595790A (zh) 2021-11-02
CN113595790B CN113595790B (zh) 2024-04-05

Family

ID=78251778

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110861794.0A Active CN113595790B (zh) 2021-07-29 2021-07-29 一种电力终端设备的安全访问评估方法及装置

Country Status (1)

Country Link
CN (1) CN113595790B (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114268460A (zh) * 2021-11-25 2022-04-01 国网电力科学研究院有限公司 一种网络安全异常检测方法、装置、存储介质及计算设备
CN114301669A (zh) * 2021-12-28 2022-04-08 南方电网数字电网研究院有限公司 针对电网厂站主机的安全防御方法、装置、设备和介质
CN114938303A (zh) * 2022-05-20 2022-08-23 国网电力科学研究院有限公司 一种适用于电网调控云平台的微隔离安全防护方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106709613A (zh) * 2015-07-16 2017-05-24 中国科学院信息工程研究所 一种适用于工业控制系统的风险评估方法
WO2017105383A1 (en) * 2015-12-14 2017-06-22 Siemens Aktiengesellschaft System and method for passive assessment of industrial perimeter security
CN112087445A (zh) * 2020-09-04 2020-12-15 全球能源互联网研究院有限公司 一种融合业务安全的电力物联网安全脆弱性评估方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106709613A (zh) * 2015-07-16 2017-05-24 中国科学院信息工程研究所 一种适用于工业控制系统的风险评估方法
WO2017105383A1 (en) * 2015-12-14 2017-06-22 Siemens Aktiengesellschaft System and method for passive assessment of industrial perimeter security
CN108370370A (zh) * 2015-12-14 2018-08-03 西门子股份公司 用于被动评估工业边界安全的系统和方法
CN112087445A (zh) * 2020-09-04 2020-12-15 全球能源互联网研究院有限公司 一种融合业务安全的电力物联网安全脆弱性评估方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
魏晴;吕良双;姚珊;吴伟康;: "网络安全风险动态分析方法", 华中科技大学学报(自然科学版) *

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114268460A (zh) * 2021-11-25 2022-04-01 国网电力科学研究院有限公司 一种网络安全异常检测方法、装置、存储介质及计算设备
CN114268460B (zh) * 2021-11-25 2024-02-13 国网电力科学研究院有限公司 一种网络安全异常检测方法、装置、存储介质及计算设备
CN114301669A (zh) * 2021-12-28 2022-04-08 南方电网数字电网研究院有限公司 针对电网厂站主机的安全防御方法、装置、设备和介质
CN114938303A (zh) * 2022-05-20 2022-08-23 国网电力科学研究院有限公司 一种适用于电网调控云平台的微隔离安全防护方法
CN114938303B (zh) * 2022-05-20 2023-10-20 国网电力科学研究院有限公司 一种适用于电网调控云平台的微隔离安全防护方法

Also Published As

Publication number Publication date
CN113595790B (zh) 2024-04-05

Similar Documents

Publication Publication Date Title
CN113595790B (zh) 一种电力终端设备的安全访问评估方法及装置
US8863293B2 (en) Predicting attacks based on probabilistic game-theory
Roy et al. Scalable optimal countermeasure selection using implicit enumeration on attack countermeasure trees
Hoque et al. An implementation of intrusion detection system using genetic algorithm
CN109698819B (zh) 一种网络中的威胁处置管理方法及系统
CN111245807B (zh) 基于攻击链因子的网络态势量化评估方法
US11709944B2 (en) Intelligent adversary simulator
Soe et al. Rule generation for signature based detection systems of cyber attacks in iot environments
EP1990973B1 (en) Deployment of distributed network intrusion detection systems in social networks
Rahman et al. A data mining framework to predict cyber attack for cyber security
CN114615016A (zh) 一种企业网络安全评估方法、装置、移动终端及存储介质
Obeidat et al. Smart approach for botnet detection based on Network Traffic analysis
Wang et al. A Network Security Risk Assessment Method Based on a B_NAG Model.
Potteti et al. Intrusion detection system using hybrid Fuzzy Genetic algorithm
Wagner et al. A nature-inspired decision system for secure cyber network architecture
CN112422573B (zh) 攻击路径还原方法、装置、设备及存储介质
CN114372269A (zh) 一种基于系统网络拓扑结构的风险评估方法
WO2021243197A1 (en) Threat mitigation system and method
Li et al. SRAM: a state-aware risk assessment model for intrusion response
Vishnevsky et al. A survey of game-theoretic approaches to modeling honeypots
CN115622796B (zh) 网络安全联动响应作战图生成方法、系统、装置及介质
Hussain et al. A Hybrid Approach for Determining the Efficient Network Intrusion Detection System.
He et al. A differential privacy based multi-stage network fingerprinting deception game method
Keramati An Attack Graph Based Method for Predictive Risk Evaluation of Zero-Day Attacks
Kim et al. A method for risk measurement of botnet's malicious activities

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant