CN115277116A

CN115277116A - 网络隔离的方法、装置、存储介质及电子设备

Info

Publication number: CN115277116A
Application number: CN202210800646.2A
Authority: CN
Inventors: 周扬
Original assignee: Zhongneng Power Tech Development Co Ltd
Current assignee: Zhongneng Power Tech Development Co Ltd
Priority date: 2022-07-06
Filing date: 2022-07-06
Publication date: 2022-11-01
Anticipated expiration: 2042-07-06
Also published as: CN115277116B

Abstract

本公开涉及一种网络隔离的方法、装置、存储介质及电子设备，以对整个区域网络进行分区隔离，且每个子网络采用对应的网络隔离策略，避免对整个区域网络进行完全物理隔离。所述方法包括：响应于区域网络中的第一子网络出现网络安全事件，获取所述区域网络中各子网络的状态特征数据；根据所述各子网络的状态特征数据确定所述各子网络对应的特征权重值，所述第一子网络对应的特征权重值为第一特征权重值；确定所述各子网络中除所述第一子网络外的第二子网络对应的特征权重值与所述第一特征权重值的距离值；根据所述距离值所对应的预设区间、预设区间与网络隔离策略的对应关系，确定所述第二子网络的目标网络隔离策略。

Description

网络隔离的方法、装置、存储介质及电子设备

技术领域

本公开涉及网络安全技术领域，具体地，涉及一种网络隔离的方法、装置、存储介质及电子设备。

背景技术

目前，风电企业对于网络安全事件的防护能力受限于设备和技术等原因，防护能力较差。通常，当风电场发生网络安全事件后，现场运维人员第一时间对整个信息系统的通信网络进行完全的物理隔离，包括网线拔除与电源线拔除等操作，从而在第一时间实现网络攻击行为的阻断封锁。

但是，风电场的设备数量庞大，直接采用完全物理隔离的方式，会导致整个风电场的通信网络处于无法正常通信的状态，进而导致风机设备无法正常工作，最终造成经济效益的损失。

发明内容

本公开的目的是提供一种网络隔离的方法、装置、存储介质及电子设备，以解决上述技术问题。

为了实现上述目的，本公开的第一方面提供一种网络隔离的方法，所述方法包括：

响应于区域网络中的第一子网络出现网络安全事件，获取所述区域网络中各子网络的状态特征数据；

根据所述各子网络的状态特征数据确定所述各子网络对应的特征权重值，所述第一子网络对应的特征权重值为第一特征权重值；

确定所述各子网络中除所述第一子网络外的第二子网络对应的特征权重值与所述第一特征权重值的距离值；

根据所述距离值所对应的预设区间、预设区间与网络隔离策略的对应关系，确定所述第二子网络的目标网络隔离策略。

可选地，所述根据所述各子网络的状态特征数据确定所述各子网络对应的特征权重值，包括：

对所述各子网络的状态特征数据进行标准化处理得到目标状态特征数据，并确定所述各子网络的目标状态特征数据对应的网络熵值；

根据所述状态特征数据的状态特征种类数、所述网络熵值确定所述各子网络对应的特征权重值。

可选地，所述确定所述各子网络的目标状态特征数据对应的网络熵值，包括：

对所述目标状态特征数据的取值区间进行划分得到多个特征区间；

根据预设的隶属度函数，确定所述每一特征区间与多个预设聚类中心对应的多个隶属度；

根据所述多个特征区间、所述多个预设聚类中心以及所述多个隶属度，确定所述各子网络的目标状态特征数据对应的网络熵值。

可选地，所述根据所述多个特征区间、所述多个预设聚类中心以及所述多个隶属度，确定所述各子网络的目标状态特征数据对应的网络熵值，包括：

根据如下计算式确定所述网络熵值：

1≤l≤L,1≤i≤C,1≤j≤N,1≤k≤K

其中，H_k表示第k个状态特征的网络熵值，K表示状态特征种类数，L表示特征区间的数量，C表示预设聚类中心的数量，N表示所述状态特征数据的数据量，

表示第k个状态特征的第l个特征区间属于第i个预设聚类中心的概率，

表示第j个状态特征数据的第k个状态特征的第l个特征区间对于所述第i个预设聚类中心的隶属度。

可选地，所述根据所述状态特征数据的状态特征种类数、所述网络熵值确定所述各子网络对应的特征权重值，包括：

根据如下计算式确定所述特征权重值：

其中，w_k表示第k个状态特征的特征权重值。

可选地，所述确定所述各子网络中除所述第一子网络外的第二子网络对应的特征权重值与所述第一特征权重值的距离值，包括：

将所述第二子网络对应的特征权重值与所述第一特征权重值的欧式距离作为所述距离值。

可选地，所述网络隔离策略包括对子网络进行完全封闭的第一网络隔离策略、保留目标用户访问权限和目标网络端口的第二网络隔策略、拒绝外部访问的第三隔离策略中的至少一者，且所述第一网络隔离策略对应的第一预设区间的上限阈值小于或等于所述第二网络隔离策略对应的第二预设区间的下限阈值，所述第二预设区间的上限阈值小于或等于所述第三网络隔离策略对应的第三预设区间的下限阈值。

本公开的第二方面还提供一种网络隔离的装置，所述装置包括：

获取模块，用于响应于区域网络中的第一子网络出现网络安全事件，获取所述区域网络中各子网络的状态特征数据；

权重确定模块，用于根据所述各子网络的状态特征数据确定所述各子网络对应的特征权重值，所述第一子网络对应的特征权重值为第一特征权重值；

距离确定模块，用于确定所述各子网络中除所述第一子网络外的第二子网络对应的特征权重值与所述第一特征权重值的距离值；

策略确定模块，用于根据所述距离值所对应的预设区间、预设区间与网络隔离策略的对应关系，确定所述第二子网络的目标网络隔离策略。

本公开的第三方面还提供一种非临时性计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现第一方面中任一项所述方法的步骤。

本公开的第四方面还提供一种电子设备，包括：

存储器，其上存储有计算机程序；

处理器，用于执行所述存储器中的所述计算机程序，以实现第一方面中任一项所述方法的步骤。

在上述技术方案中，响应于区域网络中的第一子网络出现网络安全事件，获取区域网络中各子网络的状态特征数据，然后根据各子网络的状态特征数据确定各子网络对应的特征权重值，第一子网络对应的特征权重值为第一特征权重值，进而确定各子网络中除第一子网络外的第二子网络对应的特征权重值与第一特征权重值的距离值，最后根据距离值所对应的预设区间、预设区间与网络隔离策略的对应关系，确定第二子网络的目标网络隔离策略。通过该方法，对整个区域网络进行分区隔离，且每个子网络采用对应的网络隔离策略，从而避免对整个区域网络进行完全物理隔离，进而导致整个区域网络无法正常工作。

本公开的其他特征和优点将在随后的具体实施方式部分予以详细说明。

附图说明

附图是用来提供对本公开的进一步理解，并且构成说明书的一部分，与下面的具体实施方式一起用于解释本公开，但并不构成对本公开的限制。在附图中：

图1是本公开实施例提供的一种网络隔离的方法的流程示意图；

图2是本公开实施例提供的一种网络隔离的装置的框图；

图3是本公开实施例示出的一种电子设备的示意图。

具体实施方式

以下结合附图对本公开的具体实施方式进行详细说明。应当理解的是，此处所描述的具体实施方式仅用于说明和解释本公开，并不用于限制本公开。

应当理解，本公开的方法实施方式中记载的各个步骤可以按照不同的顺序执行，和/或并行执行。此外，方法实施方式可以包括附加的步骤和/或省略执行示出的步骤。本公开的范围在此方面不受限制。本文使用的术语“包括”及其变形是开放性包括，即“包括但不限于”。术语“基于”是“至少部分地基于”。术语“一个实施例”表示“至少一个实施例”；术语“另一实施例”表示“至少一个另外的实施例”；术语“一些实施例”表示“至少一些实施例”。其他术语的相关定义将在下文描述中给出。

需要注意，本公开中提及的“第一”、“第二”等概念仅用于对不同的装置、模块或单元进行区分，并非用于限定这些装置、模块或单元所执行的功能的顺序或者相互依存关系。需要注意，本公开中提及的“一个”、“多个”的修饰是示意性而非限制性的，本领域技术人员应当理解，除非在上下文另有明确指出，否则应该理解为“一个或多个”。

但是，直接采用完全物理隔离的方式，也使得风机设备的状态信息、发电量、发电上网情况等重要信息无法进行传输，进而导致企业无法进行生产监控与信息分析，最终造成经济效益的损失。

有鉴于此，本公开提供一种网络隔离的方法、装置、存储介质及电子设备，以解决上述技术问题。

下面结合具体实施例对本公开进行说明。

本公开实施例提供一种网络隔离的方法，参照图1，该方法包括：

S101、响应于区域网络中的第一子网络出现网络安全事件，获取区域网络中各子网络的状态特征数据。

S102、根据各子网络的状态特征数据确定各子网络对应的特征权重值。

其中，第一子网络对应的特征权重值为第一特征权重值。

S103、确定各子网络中除第一子网络外的第二子网络对应的特征权重值与第一特征权重值的距离值。

S104、根据距离值所对应的预设区间、预设区间与网络隔离策略的对应关系，确定第二子网络的目标网络隔离策略。

采用上述方法，对整个区域网络进行分区隔离，且每个子网络采用对应的网络隔离策略，从而避免对整个区域网络进行完全物理隔离，进而导致整个区域网络无法正常工作。

为了使得本领域技术人员更加理解本公开提供的网络隔离的方法，下面对上述各步骤进行详细举例说明。

首先，基于区域网络中不同网络子区域及关键网络节点，并综合考虑风电系统线路的部署方式和业务数据流传导路线，将区域网络划分为多个子网络。并提取区域网络中的不同状态信息作为状态特征，例如通过流量、访问情况、是否告警等，本公开对此不作限定。但是由于不同的状态特征的特征值不一致，可以对状态特征数据进行标准化处理，使其同趋化。

在可能的方式中，根据各子网络的状态特征数据确定各子网络对应的特征权重值可以是：对各子网络的状态特征数据进行标准化处理得到目标状态特征数据，并确定各子网络的目标状态特征数据对应的网络熵值。根据状态特征数据的状态特征种类数、网络熵值确定各子网络对应的特征权重值。

示例地，可以通过标准差归一化、“max-min”归一化等方式对各子网络的状态特征数据进行标准化处理。以“max-min”归一化为例，可以通过如下计算式对各子网络的状态特征数据进行标准化处理：

其中，N表示状态特征数据的数据量(单个子网络)，K表示状态特征种类数，y_j，min表示状态特征数据中第k个状态特征的最小值，y_j，max表示状态特征数据中第k个状态特征的最大值，y_j，k是状态特征数据中第j个状态特征数据的第k个状态特征，x_j，k表示y_j，k标准化后的值，其范围为[0，1]。从而实现各子网络的状态特征数据的标准化处理，使得不同子网络间的状态特征可以进行比较。

在可能的方式中，确定各子网络的目标状态特征数据对应的网络熵值可以是：对目标状态特征数据的取值区间进行划分得到多个特征区间，再根据预设的隶属度函数，确定每一特征区间与多个预设聚类中心对应的多个隶属度，最后根据多个特征区间、多个预设聚类中心以及多个隶属度，确定各子网络的目标状态特征数据对应的网络熵值。

示例地，可以对网络安全事件进行分析，划分出不同的预设的聚类中心。以二分类为例，一类为未受灾，二类为受灾。此外，除了可以划分出受灾和未受灾，还可以对受灾程度进行量化分析，聚类中心数量越多，受灾程度量化越细，例如分为未受灾、严重受灾、中度受灾和轻度受灾等等，本公开对此不作限定。

进一步地，以x_j，k对聚类中心C_i的隶属度为例，构建隶属度的求解模型：

其中，C表示预设聚类中心的数量，μ_ij表示x_j，k对聚类中心C_i的隶属度，μ_ij∈[0,1]，m表示可控常数，d_ij表示x_j，k与第i个预设聚类中心的欧氏距离。

再一步地，对上述模型进行求解，例如可以运用拉格朗日乘子算法：

示例地，对目标状态特征数据的取值区间进行划分得到多个特征区间，特征区间的数量可以和预设聚类中心的数量相同，也可以不相同，本公开对此不作限定。以将目标状态特征数据的取值区间进行L等分得到L个特征区间为例：

其中，

表示第j个状态特征数据的第k个状态特征的第l个特征区间对于第i个预设聚类中心的隶属度。

在可能的方式中，根据多个特征区间、多个预设聚类中心以及多个隶属度，确定各子网络的目标状态特征数据对应的网络熵值可以是：根据如下计算式确定网络熵值：

1≤l≤L,1≤i≤C,1≤j≤N,1≤k≤K

其中，H_k表示第k个状态特征的网络熵值，K表示状态特征种类数，L表示特征区间的数量，C表示预设聚类中心的数量，N表示状态特征数据的数据量，

进一步地，在得到状态特征的网络熵值后，可以通过如下计算式确定子网络的熵值：

其中，H表示子网络的熵值，w_k表示第k个状态特征的特征权重值。

由于min(·)^1/2可以等效于min(·)，因此可以构建如下求解模型：

将w_k的初始值设置为1/k，引入拉格朗日因子λ进行求解：

进一步地，分别对w和λ求偏导，得到

由于归一化后

和

是等效的，因此将第k个状态特征的特征权重值调整为

H_k表示第k个状态特征的网络熵值，表征状态特征的无序性程度，1-H_k表征状态特征的有序性程度。通过综合考虑状态特征的有序性分布和无序性分布，重新调整状态特征的特征权重值得到最终的特征权重值。

因此，在可能的方式中，根据状态特征数据的状态特征种类数、网络熵值确定各子网络对应的特征权重值可以是：根据如下计算式确定特征权重值：

其中，w_k表示第k个状态特征的特征权重值。

在可能的方式中，确定各子网络中除第一子网络外的第二子网络对应的特征权重值与第一特征权重值的距离值可以是：将第二子网络对应的特征权重值与第一特征权重值的欧式距离作为距离值。

值得说明的是，第一子网络为出现网络安全事件的子网络，通过对比第一子网络和第二子网络的特征权重值，可以确定第一子网络和第二子网络在特征维度上的相似程度，从而确定第二子网络是否可能出现网络安全事件，进而判断是否需要进行网络隔离。

示例地，由于状态特征包括多个，因此可以将第二子网络的多个状态特征与第一子网络的多个状态特征的欧式距离作为距离值。除此之外，还可以利用余弦相似度等其他相似度计算方法，本公开对此不作限定。

在可能的方式中，网络隔离策略包括对子网络进行完全封闭的第一网络隔离策略、保留目标用户访问权限和目标网络端口的第二网络隔策略、拒绝外部访问的第三隔离策略中的至少一者，且第一网络隔离策略对应的第一预设区间的上限阈值小于或等于第二网络隔离策略对应的第二预设区间的下限阈值，第二预设区间的上限阈值小于或等于第三网络隔离策略对应的第三预设区间的下限阈值。

值得说明的是，由于距离值可以表征第二子网络和第一子网络在特征维度上的相似程度，那么距离值越小，说明第二子网络和第一子网络在特征维度上的相似程度越高，也就是说，第二子网络发生网络安全事件的可能性越大。因此，可以确定一个或多个距离阈值，并为不同距离阈值区间制定不同的网络隔离措施。

示例地，已设置3个距离阈值为例，其中第一距离阈值大于0且小于第二距离阈值，第二距离阈值小于第三距离阈值，计算各子网络中除第一子网络外的多个子网络与第一子网络的距离值。距离值在0到第一距离阈值的阈值区间的子网络，与第一子网络相似程度最高，对该子网络执行进行完全封闭的第一网络隔离策略，阻断所有数据流与用户访问行为。距离值在第一距离阈值到第二距离阈值的阈值区间的子网络，与第一子网络相似程度较高，对该子网络执行保留目标用户访问权限和目标网络端口的第二网络隔策略，例如支持关键业务运行的核心数据流所需的网络端口和用户访问权限、网络安全管理人员的用户访问权限、安全诊断所需的网络端口等。距离值在第二距离阈值到第三距离阈值的阈值区间的子网络，与第一子网络相似程度较低，对该子网络执行拒绝外部访问的第三隔离策略，可以保留大部分内网数据流流通，保留内部网络安全管理人员的用户访问权限，只需阻断外部人员的远程访问与直接接线访问等外部访问即可，避免其受到外部攻击。距离值大于第三距离阈值的子网络，与第一子网络相似程度最低，可以不对其进行网络隔离，仅进行持续关注即可。

通过距离区间的划分，对整个区域网络的每个子网络进行分等级隔离，避免对整个区域网络进行完全物理隔离，进而导致整个区域网络无法正常工作。上述距离区间的划分作为示例性说明，距离阈值的具体数量本公开对此不作限定。

此外，相似程度是指业务功能、通过数据流情况、受灾后对系统全体的影响层面与程度等方面的相似程度。还可以根据第二子网络和第一子网络在特征维度上的相似程度，进一步分析出攻击者的攻击模式，下一步攻击目标和攻击目的等等。

基于同一发明构思，本公开实施例还提供一种网络隔离的装置，参照图2，所述装置200包括：

获取模块201，用于响应于区域网络中的第一子网络出现网络安全事件，获取所述区域网络中各子网络的状态特征数据。

权重确定模块202，用于根据所述各子网络的状态特征数据确定所述各子网络对应的特征权重值，所述第一子网络对应的特征权重值为第一特征权重值。

距离确定模块203，用于确定所述各子网络中除所述第一子网络外的第二子网络对应的特征权重值与所述第一特征权重值的距离值。

策略确定模块204，用于根据所述距离值所对应的预设区间、预设区间与网络隔离策略的对应关系，确定所述第二子网络的目标网络隔离策略。

采用上述装置，对整个区域网络进行分区隔离，且每个子网络采用对应的网络隔离策略，从而避免对整个区域网络进行完全物理隔离，进而导致整个区域网络无法正常工作。

可选地，所述权重确定模块202用于：

根据如下计算式确定所述网络熵值：

1≤l≤L,1≤i≤C,1≤j≤N,1≤k≤K

可选地，所述权重确定模块202用于：

根据如下计算式确定所述特征权重值：

其中，w_k表示第k个状态特征的特征权重值。

可选地，所述距离确定模块203用于：

关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

基于同一发明构思，本公开实施例还提供一种非临时性计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述网络隔离的方法的步骤。

基于同一发明构思，本公开实施例还提供一种电子设备，包括：

存储器，其上存储有计算机程序；

处理器，用于执行所述存储器中的所述计算机程序，以实现网络隔离的方法的步骤。

图3是根据一示例性实施例示出的一种电子设备300的框图。参照图3，电子设备300包括处理器301，其数量可以为一个或多个，以及存储器302，用于存储可由处理器301执行的计算机程序。存储器302中存储的计算机程序可以包括一个或一个以上的每一个对应于一组指令的模块。此外，处理器301可以被配置为执行该计算机程序，以执行上述的网络隔离的方法。

另外，电子设备300还可以包括电源组件305和通信组件303，该电源组件305可以被配置为执行电子设备300的电源管理，该通信组件303可以被配置为实现电子设备300的通信，例如，有线或无线通信。此外，该电子设备300还可以包括输入/输出(I/O)接口304。电子设备300可以操作基于存储在存储器302的操作系统，例如Windows Server^TM，Mac OSX^TM，Unix^TM，Linux^TM等等。

在另一示例性实施例中，还提供了一种包括程序指令的计算机可读存储介质，该程序指令被处理器执行时实现上述的网络隔离的方法的步骤。例如，该非临时性计算机可读存储介质可以为上述包括程序指令的存储器302，上述程序指令可由电子设备300的处理器301执行以完成上述的网络隔离的方法。

在另一示例性实施例中，还提供一种计算机程序产品，该计算机程序产品包含能够由可编程的装置执行的计算机程序，该计算机程序具有当由该可编程的装置执行时用于执行上述的网络隔离的方法的代码部分。

以上结合附图详细描述了本公开的优选实施方式，但是，本公开并不限于上述实施方式中的具体细节，在本公开的技术构思范围内，可以对本公开的技术方案进行多种简单变型，这些简单变型均属于本公开的保护范围。

另外需要说明的是，在上述具体实施方式中所描述的各个具体技术特征，在不矛盾的情况下，可以通过任何合适的方式进行组合，为了避免不必要的重复，本公开对各种可能的组合方式不再另行说明。

此外，本公开的各种不同的实施方式之间也可以进行任意组合，只要其不违背本公开的思想，其同样应当视为本公开所公开的内容。

Claims

1.一种网络隔离的方法，其特征在于，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述根据所述各子网络的状态特征数据确定所述各子网络对应的特征权重值，包括：

3.根据权利要求2所述的方法，其特征在于，所述确定所述各子网络的目标状态特征数据对应的网络熵值，包括：

4.根据权利要求3所述的方法，其特征在于，所述根据所述多个特征区间、所述多个预设聚类中心以及所述多个隶属度，确定所述各子网络的目标状态特征数据对应的网络熵值，包括：

根据如下计算式确定所述网络熵值：

1≤l≤L,1≤i≤C,1≤j≤N,1≤k≤K

5.根据权利要求4所述的方法，其特征在于，所述根据所述状态特征数据的状态特征种类数、所述网络熵值确定所述各子网络对应的特征权重值，包括：

根据如下计算式确定所述特征权重值：

其中，w_k表示第k个状态特征的特征权重值。

6.根据权利要求1所述的方法，其特征在于，所述确定所述各子网络中除所述第一子网络外的第二子网络对应的特征权重值与所述第一特征权重值的距离值，包括：

7.根据权利要求1-6中任一项所述的方法，其特征在于，所述网络隔离策略包括对子网络进行完全封闭的第一网络隔离策略、保留目标用户访问权限和目标网络端口的第二网络隔策略、拒绝外部访问的第三隔离策略中的至少一者，且所述第一网络隔离策略对应的第一预设区间的上限阈值小于或等于所述第二网络隔离策略对应的第二预设区间的下限阈值，所述第二预设区间的上限阈值小于或等于所述第三网络隔离策略对应的第三预设区间的下限阈值。

8.一种网络隔离的装置，其特征在于，所述装置包括：

9.一种非临时性计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现权利要求1-7任一项所述方法的步骤。

10.一种电子设备，其特征在于，包括：

存储器，其上存储有计算机程序；

处理器，用于执行所述存储器中的所述计算机程序，以实现权利要求1-7中任一项所述方法的步骤。