CN114666117A - 一种面向电力互联网的网络安全态势度量和预测方法 - Google Patents

Abstract

本发明公开了一种面向电力互联网的网络安全态势度量和预测方法，涉及信息安全技术领域。面向电力互联网的外部安全威胁以及自身安全脆弱性进行在线观测、度量评估、异常检测和展示预测；所述的外部安全威胁包括程序运行、登录操作、外设接入、网络行为四个方面；所述的自身安全脆弱性包括系统漏洞、设备配置、开放服务、运行状态、互联拓扑、资产发现六个方面。实现对电力互联网的网络安全风险数据的获取、诊断、预测以及处置的目的，进而保证电力互联网能够安全稳定的持续运行。

Description

一种面向电力互联网的网络安全态势度量和预测方法

技术领域

本申请涉及电力互联网安全技术领域，特别是涉及一种面向电力互联网的网络安全态势度量和预测方法。

背景技术

近年来，网络安全问题日益突出，许多领域都面临着巨大安全性威胁。其中，电力互联网作为国家关键信息基础设施，面临的网络安全形势日趋严峻，一旦遭受网络安全攻击将严重威胁企业和国家安全。另一方面，随着电力互联网规模急剧扩大化和网络空间的一体化的趋势，针对电力互联网网络安全的管控愈加复杂，传统预测与管控技术无法有效实现电力互联网安全态势度量和预测。

发明内容

本发明提供了一种面向电力互联网的网络安全态势度量和预测方法，实现了对现代电力互联网系统的安全状态评估与预测。

本发明采用如下技术方案：

一种面向电力互联网的网络安全态势度量和预测方法，包括：

面向电力互联网的外部安全威胁以及自身安全脆弱性进行在线观测、度量评估、异常检测和展示预测；所述的外部安全威胁包括程序运行、登录操作、外设接入、网络行为四个方面；所述的自身安全脆弱性包括系统漏洞、设备配置、开放服务、运行状态、互联拓扑、资产发现六个方面。

进一步的，所述的在线观测为特定周期内对所述的电力互联网的外部安全威胁以及自身安全脆弱性进行安全风险数据采集，具体为：

针对程序运行的观测：对所述电力互联网中的程序代码修改和运行状况进行数据采集；

针对登录操作的观测：对所述电力互联网中的设备登录状态及登录时间内相关设备操作进行数据采集，所述设备登录状态包括登录成功、登录失败；

针对外设接入的观测：对所述电力互联网中的服务器的USB接口状态进行数据采集；

针对网络行为的观测：对所述电力互联网中的非法接入、跨区互联行为进行数据采集；

针对系统漏洞的观测：对所述电力互联网中的系统漏洞进行数据采集。

针对设备配置的观测：对所述电力互联网中的设备的合理配置进行数据采集；

针对开放服务的观测：对所述电力互联网中的设备开放端口及服务情况进行数据采集；

针对运行状态的观测：对所述电力互联网中的服务器、嵌入式系统、网络设备和安全设备的运行状态数据进行采集，所述的运行状态数据包括电压、电流、功率和功率因数；

针对互联拓扑的观测：对所述电力互联网中的网络拓扑信息进行整合，并以动态拓扑图的形式展示；

针对资产发现的观测：对所述电力互联网中的合法资产和非法资产进行数据采集。

进一步的，所述的度量评估为对电力互联网的安全风险数据进行安全性和稳定性评估，具体为：建立二分类模型，利用历史网络安全风险数据对二分类模型进行训练，利用训练好的二分类模型对实时采集的网络安全风险数据进行二分类评估，评估结果为安全或存在风险。

进一步的，所述的异常检测为：

首先对实时采集的网络安全风险数据进行降维，提取主成分变量，再基于主成分变量计算T2指标和SPE指标，指标高于阈值的数据视为异常数据；

之后，对降维后的主成分变量进行基于自编码器的编码处理，提取特征向量，再将特征向量通过解码器进行原始值重构，重构误差高于阈值的数据视为异常数据；若两次均被判断为异常数据，则执行溯源诊断和故障隔离；所述的溯源诊断是指确定故障变量之间的传播路径与异常发生的根本原因；所述的故障隔离是指异常故障发生后，找到受异常故障影响最大的若干故障变量。

进一步的，所述的展示预测为将度量评估和异常检测结果进行可视化展示，提供网络安全的决策支持。

本发明具备的有益效果是：

本发明通过在线观测、度量评估、异常检测和展示预测四个方面对电力互联网的网络安全外部威胁以及自身安全脆弱性进行数据采集、安全评估、异常检测以及状态预测，实现对电力互联网的网络安全风险数据的获取、诊断、预测以及处置的目的，进而保证电力互联网能够安全稳定的持续运行。

附图说明

图1为本发明实施例示出的面向电力互联网的网络安全态势度量和预测方法的流程示意图。

具体实施方式

下面结合附图对本发明做进一步的说明。

为了更加有效地对大规模电力互联网系统进行安全态势感知与预测，本发明提出了一种面向电力互联网的网络安全态势度量和预测方法，如图1所示，包括以下步骤：

通过在线观测、度量评估、异常检测和展示预测四个方面，对电力互联网的网络安全外部威胁以及自身安全脆弱性进行数据采集、安全评估、异常检测以及状态预测，实现对电力互联网的网络安全风险数据的获取、诊断、预测以及处置。

需要说明的是，在传统技术中实现实时监测的方式有很多，具体可参照传统技术，而在本申请中提供了一种可以对特定周期内的网络安全风险数据进行在线分析，检验电力互联网的安全风险的方法。其中，网络安全风险包括外部安全威胁和自身的安全脆弱性，所述的外部安全威胁包括程序运行、登录操作、外设接入、网络行为四个主要方面；自身的安全脆弱性包括系统漏洞、设备配置、开放服务、运行状态、互联拓扑、资产发现六个主要方面。

在传统技术中实现针对网络行为、外设接入、登录操作、程序代码、资产发现、互联拓扑、运行状态、开放服务、设备配置和系统漏洞的监测方式有很多，具体可参照传统技术，本实施例中提供了其中一种可实现的方式。

具体的，程序运行方面：对所述电力互联网中的程序代码修改和运行状况进行实时监测；网络行为方面：对电力互联网的非法网络接入、跨区互联进行实时监测；外设接入方面：对电力互联网中的服务器的USB接口状态进行实时监测；登录操作方面：对电力互联网中的设备登录状态及登录时间内相关设备操作进行实时监测；程序代码方面：对电力互联网中的系统关键程序变更情况进行实时监测；资产发现方面：对电力互联网中的合法资产和非法资产情况进行实时监测；互联拓扑方面：整合所述电力互联网中的网络拓扑信息，并以动态拓扑图的形式展示；运行状态方面：对电力互联网中的通用主机、嵌入式主机设备、网络设备和安全设备运行状态进行实时监视和告警；开放服务方面：对电力互联网中的设备开放端口及服务情况进行实时监测；设备配置方面：对电力互联网中的设备的配置情况进行实时监测；系统漏洞方面：对电力互联网中的设备的系统漏洞情况进行实时监测。

为保证对电力互联网数据的监测的有效性，需获得可靠的数据，在一个实施例中，通过被动数据收集、主动探测或第三方工具获取网络安全风险数据。

在传统技术中实现异常检测的方式有很多，然而传统异常检测技术在面对海量的电力互联网数据时表现不足，本申请中提供一种基于主成分分析和自编码器的异常检测方式，具体的，首先对在线观测到的电网数据进行降维处理提取关键特征，再对关键特征进行编码，用于异常诊断。当检测到异常数据后，还需要对电力互联网进行溯源诊断和故障隔离，以排查异常环节，进而实施相应处置。

在传统技术中实现展示预测的方式有很多，具体可参照传统技术，而在本申请中提供一种可实现展示预测的方式，具体的，展示处置是指通过数据降维、聚类等可视化分析方式，提供网络安全的决策支持；通过深度学习等人工智能方法进行安全状态预测。

为了更好地理解本申请中的网络安全态势度量和预测方法，以下将详细地说明：

通过在线观测、度量评估、异常检测和展示预测四个方面对电力互联网的外部安全威胁以及自身的安全脆弱性进行数据采集、安全评估、异常检测以及状态预测，实现对电力互联网的网络安全风险数据的获取、诊断、预测以及处置。包括以下步骤：

步骤S110，获取数据采集装置采集到的电力互联网内产生的网络安全风险数据，并获取电力互联网的历史网络安全风险数据。本实施例中，所述的数据采集装置接入电力互联网的网络内，具体安装位置以及安装数量可根据电力互联网的大小而定。所述的网络安全风险数据是指当前时刻的电力互联网内产生的与安全相关的数据，数据采集装置实时采集电力互联网产生的网络安全风险数据，并将各时刻采集到的网络安全风险数据进行存储，成为历史经验数据，用于后续训练深度学习模型来学习电力互联网态势走向特点，从而进行电力互联网的安全状态识别和态势预测。在一个示例中，网络安全风险数据包括外部安全威胁和自身的安全脆弱性相关的变量指标、运行参数等。

步骤S120，分析步骤S110获取的网络安全风险数据，利用历史经验数据训练得到一个深度学习模型，对当前时刻电力互联网的外部安全威胁以及自身的安全脆弱性进行度量评估，分析与评估结果是当前电力互联网为安全或者存在安全风险的二分类判定结果，以及对未来一段时间内的电力互联网状态预测。

需要说明的是，针对电力互联网的安全性度量评估主要就是识别历史网络安全风险数据中是否存在对电力互联网造成外部威胁的数据和是否存在影响电力互联网脆弱性的数据，具体的，首先选用深度学习模型，通过历史经验数据训练得到可以进行安全与存在风险的二分类判别模型，之后再输入当前电力数据，进行安全风险识别，在识别出有上述数据后，将这些数据按照时序进行顺序存储或者按照威胁性质进行分类存储，补充进入历史经验数据，以备后续深度模型用以学习电力互联网的态势走向。

步骤S130，在对电力网络进行安全威胁的度量评估的基础上，进一步对网络安全风险数据进行异常检测，检验目前是否已经出现安全性失误，并依据异常检测结果作进一步的溯源诊断和故障隔离，排查异常部位或环节，进行后续处置。

需要说明的是，对当前采集的网络安全风险数据进行异常检测、故障排查，是及时采取调控措施，阻止进一步危害发展的关键步骤。不同于步骤S120中的度量评估是针对可能存在的安全威胁进行评估，步骤S130的异常检测是检验目前的电力互联网是否正在发生异常行为。具体的，对步骤S110获取的电力互联网数据采用基于主成分分析和自编码器的异常检测，首先对电力数据进行降维，提取主成分变量，再基于主成分变量计算T2指标和SPE指标，指标高于阈值的数据视为异常数据；进一步对降维后的主成分变量进行基于自编码器的编码处理，提取特征向量，再将特征向量通过解码器进行原始值重构，重构误差高于阈值的数据视为异常数据。若两次均被判断为异常数据，则执行溯源诊断和故障隔离。所述的溯源诊断是指确定故障变量之间的传播路径与异常发生的根本原因，采用时间序列的因果推断分析；所述的故障隔离是指异常故障发生后，找到受异常故障影响最大的若干故障变量，采用线性判别分析和稀疏指数判别分析。从而为后续调整处置提供决策支持。

步骤S140，对上述分析结果进行展示，对电力互联网态势的未来走向进行预测，并为后续的调整处置提供决策依据。

需要说明的是，将步骤S110中获取的电力数据通过时序图方式、将步骤S120进行的安全威胁度量评估通过指标形式、将步骤S130进行的异常检测通过指示形式，分别进行可视化展示，使相关工作人员能够直观地监测电力互联网的运行状态以及相关安全态势。

本申请电力互联网的网络安全态势度量和预测方法的各实施例中，获取数据采集装置采集到的电力互联网内产生的网络安全风险数据，并获取电力互联网的历史网络安全风险数据，通过分析网络安全风险数据和历史网络安全风险数据进行电力互联网的安全态势度量评估，进一步，对网络安全风险数据进行异常检测，检验目前可能存在的异常行为并进行溯源诊断与故障隔离，接着将上述分析结果、检验结果进行可视化展示，同时对电力互联网的未来安全态势进行预测。从而，本申请能够全面地对电力互联网的外部安全威胁以及自身的安全脆弱性进行在线观测、度量评估、异常检测和展示预测，进而做出相应的调控处置，保证电力互联网的安全、稳定、持续运行。

本领域普通技术人员可以理解实现上述各实施例中的全部或部分流程，并通过计算机程序结合相关的硬件完成。

以上各实施例的技术特征可以进行组合，为使描述简洁，未对上述实施例的技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本申请范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请的保护范围应以所附权利要求为准。

Claims (5)

1.一种面向电力互联网的网络安全态势度量和预测方法，其特征在于，包括：

面向电力互联网的外部安全威胁以及自身安全脆弱性进行在线观测、度量评估、异常检测和展示预测；所述的外部安全威胁包括程序运行、登录操作、外设接入、网络行为四个方面；所述的自身安全脆弱性包括系统漏洞、设备配置、开放服务、运行状态、互联拓扑、资产发现六个方面。

2.根据权利要求1所述的面向电力互联网的网络安全态势度量和预测方法，其特征在于，所述的在线观测为特定周期内对所述的电力互联网的外部安全威胁以及自身安全脆弱性进行安全风险数据采集，具体为：

针对程序运行的观测：对所述电力互联网中的程序代码修改和运行状况进行数据采集；

针对登录操作的观测：对所述电力互联网中的设备登录状态及登录时间内相关设备操作进行数据采集，所述设备登录状态包括登录成功、登录失败；

针对外设接入的观测：对所述电力互联网中的服务器的USB接口状态进行数据采集；

针对网络行为的观测：对所述电力互联网中的非法接入、跨区互联行为进行数据采集；

针对系统漏洞的观测：对所述电力互联网中的系统漏洞进行数据采集。

针对设备配置的观测：对所述电力互联网中的设备的合理配置进行数据采集；

针对开放服务的观测：对所述电力互联网中的设备开放端口及服务情况进行数据采集；

针对运行状态的观测：对所述电力互联网中的服务器、嵌入式系统、网络设备和安全设备的运行状态数据进行采集，所述的运行状态数据包括电压、电流、功率和功率因数；

针对互联拓扑的观测：对所述电力互联网中的网络拓扑信息进行整合，并以动态拓扑图的形式展示；

针对资产发现的观测：对所述电力互联网中的合法资产和非法资产进行数据采集。

3.根据权利要求2所述的面向电力互联网的网络安全态势度量和预测方法，其特征在于，所述的度量评估为对电力互联网的安全风险数据进行安全性和稳定性评估，具体为：建立二分类模型，利用历史网络安全风险数据对二分类模型进行训练，利用训练好的二分类模型对实时采集的网络安全风险数据进行二分类评估，评估结果为安全或存在风险。

4.根据权利要求1所述的面向电力互联网的网络安全态势度量和预测方法，其特征在于，所述的异常检测为：

首先对实时采集的网络安全风险数据进行降维，提取主成分变量，再基于主成分变量计算T2指标和SPE指标，指标高于阈值的数据视为异常数据；

之后，对降维后的主成分变量进行基于自编码器的编码处理，提取特征向量，再将特征向量通过解码器进行原始值重构，重构误差高于阈值的数据视为异常数据；若两次均被判断为异常数据，则执行溯源诊断和故障隔离；所述的溯源诊断是指确定故障变量之间的传播路径与异常发生的根本原因；所述的故障隔离是指异常故障发生后，找到受异常故障影响最大的若干故障变量。

5.根据权利要求1所述的面向电力互联网的网络安全态势度量和预测方法，其特征在于，所述的展示预测为将度量评估和异常检测结果进行可视化展示，提供网络安全的决策支持。

Images