CN114338074A - 一种配电终端ip白名单自动检测方法及检测系统 - Google Patents

Abstract

本发明提出了一种配电终端IP白名单自动检测方法及检测系统，涉及网络安全技术领域，具体涉及一种配电终端IP白名单自动检测方法及检测系统，具体步骤为：建立白名单IP地址池；检测终端持续从白名单IP地址池选取白名单IP地址，每选取一条白名单IP地址，则给被测配电终端发送数据包，根据被测配电终端的响应情况判断被测终端白名单工作状态；从非白名单IP地址池中随机取出一条非白名单IP地址，向被测配电终端发送数据包，根据被测配电终端响应情况，校验被测配电终端白名单认证机制；利用该检测方法可以自动快速检测智能配电终端的白名单机制是否开启，白名单机制是否配置正确。

Description

一种配电终端IP白名单自动检测方法及检测系统

技术领域

本发明涉及网络安全技术领域，具体涉及一种配电终端IP白名单自动检测方法及检测系统。

背景技术

网络安全在近几年来逐渐受到重视，工控设备及电力设备更是关系民生和国家命脉的基础设施，因此需要推动国家的工控安全建设。在电力设施中，配电室的主要作用是为低电压用户提供电力，关系到基础民生建设，因此配电室的配电终端安全显得更为重要。

配电室中的配电终端是配电开关监控，现场配电终端主要通过光纤、无线网络等通信方式接入配电自动化系统，目前安全防护措施相对薄弱以及黑客攻击手段的增强,加上配电终端有着点多面广的分布特点,攻击者可通过伪造终端身份、重放攻击等攻击形式对配电主站系统进行恶意破坏和攻击以及其它非法操作,致使配电自动化系统面临来自公网或专网的网络攻击风险,进而影响配电系统对用户的安全可靠供电，因此配电终端的网络安全就显得更为重要。而在整个工控安全环节中配电终端的白名单配置是非常重要的一个环节，部分配电终端有IEC104服务IP白名单机制，而部分缺乏此项机制。IP白名单机制是抵御黑客的一道重要防线，但是部分拥有IP白名单机制的配电终端没有开启该机制或者IP白名单机制配置错误。因此需要一种方法可以智能自动检测配电终端的白名单机制是否开启、是否配置正确。

在传统的检测方法中，需要配电室的工作人员携带笨重的电脑，通过繁琐的手工命令依次输入IP地址去判断配电室的白名单机制是否开启、配置是否正确，这样复杂的情况下就急需一款可以轻巧便捷的设备去智能自动快捷的检测判断白名单机制是否开启，白名单机制是否配置正确。

申请号为CN202010166190.X的中国专利公开了一种基于IP白名单的域名检测方法及装置，包括以下步骤：接收来自网页或云端的配置，生成域名白名单；根据所述域名白名单中的域名信息分别周期性的发出DNS请求报文，若得到DNS回复，将对应域名信息解析后得到的IP地址信息保存至IP白名单中实时监控客户端发出的数据流，获取所述数据流对应的目的IP地址，并基于所述IP白名单进行IP地址匹配；根据IP地址匹配结果决定是否放行所述数据流。但是该发明并未实现对现有IP白名单配置的检测。

现有技术中未提供一种可以在配电室自动化检测配电终端白名单是否开启及白名单机制是否配置正确，以便安全人员判断配电终端安全性的工具。目前配电室维修、检测人员和配电终端连接后，仍需要需要通过手动输入系统命令的方式去检测白名单是否开启、配置是否正确，此过程繁琐复杂，难以快速的给安全人员一个准确的参考结果。

发明内容

基于以上问题，本发明的目的在于提供了一种配电终端IP白名单自动检测方法及检测系统，可以在配电室的配电终端与检测设备一对一进行连接，基于IEC104协议自动化检测配电终端的IP白名单是否开启、配置是否正确，简化工作人员的工作复杂度，推进配电室的网络安全建设，为安全评估提供一个可靠的参考值。

为实现上述目的，本发明提供如下技术方案：

一种配电终端IP白名单自动检测方法，包括以下步骤：

S1、建立白名单IP地址池；

S2、检测终端持续从白名单IP地址池选取白名单IP地址，每选取一条白名单IP地址，则给被测配电终端发送数据包，检测终端判断是否接收被测配电终端的响应数据，自动判断被测终端白名单工作状态；

S3、检测终端从非白名单IP地址池中随机取出一条非白名单IP地址，向被测配电终端发送数据包，检测终端判断是否接收被测配电终端的响应数据，校验被测配电终端白名单认证机制的工作状态。

优选地，在步骤S2和步骤S3中，所述被测配电终端还包括IEC104服务；所述检测终端与所述被测配电终端之间通过IEC104协议进行数据传输。

优选地，所述检测终端向被测配电终端发送的数据包为连接请求报文；所述被测配电终端IEC104服务接收并判断请求报文的原地址的合法性，并对合法地址发送返回响应报文。

优选地，在步骤S2中，自动判断被测终端工作状态和IEC104服务工作状态的方法为：

2.1、检测设备取第一条白名单IP地址，向被测配电终端发送连接请求报文；若检测终端未接收到返回响应报文，则配置错误，结束测试；检测终端接收到被测配电终端的ICE104服务的返回响应报文，则表明IP白名单机制开启且当下这条白名单IP地址配置正常，执行下一步骤；

2.2、继续从IP白名单地址池中取下一条检测设备的白名单IP地址并进行测试；

2.3、若有一条IP白名单地址出现被测配电终端未发送返回响应报文的情况，则配置错误，结束测试；若IP白名单地址池中的所有IP地址发送请求报文后，检测终端均接收到返回响应报文，则说明白名单IP配置正确。

优选地，所述白名单IP地址配置包括：在数据库录入白名单IP地址和允许白名单内的IP地址进行通讯。

优选地，在步骤S3中，自动判断被测配电终端IEC104服务白名单认证机制的工作状态的方法为：

若被测配电终端对该非白名单IP地址发送返回响应报文并被检测终端接收，说明被测配电终端IP白名单机制配置错误，结束测试；若检测终端未接收到返回响应报文，则说明IP白名单机制配置正确，结束测试。

优选地，步骤S1中，所述白名单IP地址池根据被测配电终端可通讯的IP账户信息建立，所述非白名单IP地址池根据被测配电终端不可通讯的IP账户信息建立，建立方式为均为人工手动录入分别输入到两个不同的数据库中。

一种配电终端IP白名单自动检测系统，利用上述任意一条所述的配电自动化终端IP白名单检测方法，具体包括以下模块：

IP信息存储模块，用于分类建立白名单IP地址池和非白名单IP地址池；

白名单筛查模块，用于选取白名单IP地址，并基于该IP地址向被测配电终端发送数据包；

分析处理模块，用于接收被测配电终端返回的数据包并进行解析，将解析后的数据与发送的数据进行匹配，并输出结果。

与现有技术相比，本发明有以下优势：

本发明提出了一种配电自动化终端IP白名单检测方法，基于工作人员提前建立的白名单IP地址池，校验请求的来源IP，若来源IP不在配置的IP白名单范围内，则配电终端将拦截掉对应请求，不会返回数据信息。利用该检测方法可以自动快速检测智能配电终端的白名单机制是否开启，白名单机制是否配置正确，解决了现在人工一个一个输入系统命令去检测IP地址的操作繁琐、复杂、不够自动化智能化的问题。

附图说明

附图1是本发明一种配电终端IP白名单自动检测方法的结构框图；

附图2是本发明利用IEC104协议的数据传输示意图。

具体实施方式

为使本发明实施例的目的和技术方案更加清楚，下面将结合本发明实施例，对本发明的技术方案进行清楚、完整地描述。

在本申请的描述中，需要理解的是，术语“长度”、“上”、“下”、“竖直”、“水平”、“顶”、“底”、“内”、“外”、等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本申请和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本申请的限制。

如图1和图2所示，基于IEC104协议，提供了一种配电终端IP白名单自动检测方法，通过向被测配电终端ICE104服务发送数据及判断是否接收返回数据，来检测配电终端IP白名单是否开启和配装状况，具体包括以下步骤：

S1、建立白名单IP地址池；

S2、检测终端持续从白名单IP地址池选取白名单IP地址，每选取一条白名单IP地址则给被测配电终端发送数据包，根据被测配电终端的响应情况，自动判断被测终端白名单工作状态；

S3、检测终端从非白名单IP地址池中随机取出一条非白名单IP地址，向被测配电终端发送数据包，根据被测配电终端响应情况，校验被测配电终端白名单认证机制的工作状态。

所述白名单IP地址池根据被测配电终端可通讯的IP账户信息建立，所述非白名单IP地址池根据被测配电终端不可通讯的IP账户信息建立，建立方式为均为人工手动录入分别输入到两个不同的数据库中。

在步骤S2和步骤S3中，所述被测配电终端还包括IEC104服务；所述检测终端与所述被测配电终端之间通过IEC104协议进行数据传输。IEC104协议规约由国际电工委员会制定。IEC104规约把IEC101的应用服务数据单元(ASDU)用网络规约TCP/IP进行传输的标准，该标准为远动信息的网络传输提供了通信规约依据。采用104规约组合101规约的应用服务数据单元的方式后，可很好的保证规约的标准化和通信的可靠性。

在本实施方式中，通过IEC104协议进行数据传输，所述检测终端向被测配电终端发送的数据包为IEC104连接请求报文；所述被测配电终端IEC104服务接收并判断请求报文的原地址的合法性后，对合法地址发送返回响应报文，对于不合法的地址则不会进行反馈。因此，可以根据被测配电终端的响应情况，自动判断被测配电终端IP白名单工作状态。

在步骤S2中，判断被测终端工作状态和IEC104服务工作状态的方法为：

2.1、检测设备取第一条白名单IP地址，向被测配电终端发送连接请求报文；若检测终端未接收到返回响应报文，则说明IP白名单机制未开启或者配置错误，结束测试；检测终端接收到被测配电终端的ICE104服务的返回响应报文，则表明IP白名单机制开启且当下这条白名单IP地址配置正常，执行下一步骤；

2.2、继续从IP白名单地址池中取下一条检测设备的白名单IP地址，并向被测配电终端发送连接请求报文，进行测试，检测终端判断是否接收到返回响应报文；

2.3、若有一条IP白名单地址出现被测配电终端未发送返回响应报文的情况，则配置错误，结束测试；若IP白名单地址池中的所有IP地址发送请求报文后，检测终端均接收到返回响应报文，则说明白名单IP配置正确。

所述白名单IP地址配置包括：在数据库录入白名单IP地址和允许白名单内的IP地址进行通讯。白名单IP地址配置正确的情况下，白名单IP地址录入到数据库内的操作应正常，且允许白名单内的IP地址对外进行通讯。

为了判断被测配电终端IP白名单是否正确开启，避免非白名单IP地址依然可通过配电终端访问配电室，在步骤S4中，选取非白名单IP地址进行测试，自动判断被测配电终端IEC104服务白名单认证机制的工作状态的方法为：

若被测配电终端对该非白名单IP地址发送返回响应报文并被检测终端接收，说明非白名单IP地址也可通过配电终端，被测配电终端IP白名单机制配置错误，结束测试；若检测终端未接收到返回响应报文，则说明IP白名单机制配置正确，可结束测试。

优选地，步骤S1中，建立白名单IP地址池的方式为人工手动输入白名单IP地址。

本发明还提供了一种配电自动化终端IP白名单检测系统，利用上述所述的配电自动化终端IP白名单检测方法，具体包括以下模块：IP信息存储模块、白名单筛查模块和分析处理模块，其中：

IP信息存储模块，用于分类建立白名单IP地址池和非白名单IP地址池，存储不同的IP地址；

白名单筛查模块，用于从IP信息存储模块中选取IP地址，并基于该IP地址向被测配电终端发送数据包；

分析处理模块，用于接收被测配电终端返回的数据包并进行解析，将解析后的数据与发送的数据进行匹配，并输出匹配结果。

在选取白名单IP地址池中的IP地址并发送数据后，若接收到被测配电终端的返回的与IP地址对应的数据，则表明IP白名单机制开启且当下这条白名单IP地址配置正常，否则IP白名单机制出现问题，测试结束；在选取非白名单IP地址池中的IP地址并发送数据后，若接收到被测配电终端的返回的与IP地址对应的数据，则表明IP白名单机制出现问题，无法拦截非白名单IP地址对应请求；反之则IP白名单机制配置正常。

本发明提出了一种配电终端IP白名单自动化检测方法及检测系统，基于工作人员提前建立的白名单IP地址池，校验请求的来源IP，若来源IP不在配置的IP白名单范围内，则配电终端将拦截掉对应请求，不会返回数据信息。利用该检测方法可以自动快速检测智能配电终端的白名单机制是否开启，白名单机制是否配置正确，解决了现在人工一个一个输入系统命令去检测IP地址的操作繁琐、复杂、不够自动化智能化的问题。

以上仅为本发明的实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些均属于本发明的保护范围。

Claims (8)

1.一种配电终端IP白名单自动检测方法，其特征在于，包括以下步骤：

S1、建立白名单IP地址池；

S2、检测终端持续从白名单IP地址池选取白名单IP地址，每选取一条白名单IP地址，则给被测配电终端发送数据包，检测终端判断是否接收被测配电终端的响应数据，自动判断被测终端白名单工作状态；

S3、检测终端从非白名单IP地址池中随机取出一条非白名单IP地址，向被测配电终端发送数据包，检测终端判断是否接收被测配电终端的响应数据，校验被测配电终端白名单认证机制的工作状态。

2.根据权利要求1中所述的一种配电终端IP白名单自动检测方法，其特征在于：在步骤S2和步骤S3中，所述被测配电终端还包括IEC104服务；所述检测终端与所述被测配电终端之间通过IEC104协议进行数据传输。

3.根据权利要求2中所述的一种配电终端IP白名单自动检测方法，其特征在于：所述检测终端向被测配电终端发送的数据包为连接请求报文；所述被测配电终端IEC104服务接收并判断请求报文的原地址的合法性，并对合法地址发送返回响应报文。

4.根据权利要求3中所述的一种配电终端IP白名单自动检测方法，其特征在于：在步骤S2中，自动判断被测终端工作状态和IEC104服务工作状态的方法为：

2.1、检测设备取第一条白名单IP地址，向被测配电终端发送连接请求报文；若检测终端未接收到返回响应报文，则配置错误，结束测试；检测终端接收到被测配电终端的ICE104服务的返回响应报文，则表明IP白名单机制开启且当下这条白名单IP地址配置正常，执行下一步骤；

2.2、继续从IP白名单地址池中取下一条检测设备的白名单IP地址并进行测试；

2.3、若有一条IP白名单地址出现被测配电终端未发送返回响应报文的情况，则配置错误，结束测试；若IP白名单地址池中的所有IP地址发送请求报文后，检测终端均接收到返回响应报文，则说明白名单IP配置正确。

5.根据权利要求4中所述的一种配电终端IP白名单自动检测方法，其特征在于：所述白名单IP地址配置包括：在数据库录入白名单IP地址和允许白名单内的IP地址进行通讯。

6.根据权利要求3中所述的一种配电终端IP白名单自动检测方法，其特征在于：在步骤S3中，自动判断被测配电终端IEC104服务白名单认证机制的工作状态的方法为：

若被测配电终端对该非白名单IP地址发送返回响应报文并被检测终端接收，说明被测配电终端IP白名单机制配置错误，结束测试；若检测终端未接收到返回响应报文，则说明IP白名单机制配置正确，结束测试。

7.根据权利要求1中所述的一种配电终端IP白名单自动检测方法，其特征在于：步骤S1中，所述白名单IP地址池根据被测配电终端可通讯的IP账户信息建立，所述非白名单IP地址池根据被测配电终端不可通讯的IP账户信息建立，所述白名单IP地址池和所述非白名单IP地址池建立方式为人工手动录入分别输入到两个不同的数据库中。

8.一种配电终端IP白名单自动检测系统，其特征在于：该检测系统使用如权利要求1-7中任意一条所述的配电自动化终端IP白名单检测方法，具体包括以下模块：

IP信息存储模块，用于分类建立白名单IP地址池和非白名单IP地址池；

白名单筛查模块，用于选取白名单IP地址，并基于该IP地址向被测配电终端发送数据包；

分析处理模块，用于接收被测配电终端返回的数据包并进行解析，将解析后的数据与发送的数据进行匹配，并输出结果。

Images