CN115801460B - 考虑网络攻击漏洞的配电信息物理系统安全风险评估方法 - Google Patents

Abstract

本发明公开了一种考虑网络攻击漏洞的配电信息物理系统安全风险评估方法，首先建立配电网CPS的信息‑物理耦合的信息传递模型，在漏洞数据库中查找配电网信息层各设备可能存在的漏洞信息，得出各漏洞被攻击者所利用的概率，得到贝叶斯模型建立的基础。本发明给出用动态贝叶斯网络对配电网CPS作安全风险评估的方法，利用配电网信息层漏洞被攻击者利用的概率和配电网CPS信息下发的耦合模型，建立起设备节点之间的逻辑关系，从而得到各设备的条件概率表，并且考虑攻击者在控制关键节点时对攻击目标的选择性及防御资源的被动防御，建立起配电网CPS的信息下发的贝叶斯网络模型，并根据不同的网络攻击场景得到动态贝叶斯网络的后验概率。

Description

考虑网络攻击漏洞的配电信息物理系统安全风险评估方法

技术领域

本发明涉及配电网安全技术领域，具体为一种考虑网络攻击漏洞的配电信息物理系统安全风险评估方法。

背景技术

 随着可控分布式电源以及柔性负荷的大规模接入，互联网通信技术和自动控制技术的融合应用，配电网系统的数字化和信息化程度不断提高，已成为典型的信息物理系统（cyber physical system，CPS）。在配电网智能化的过程中，大量智能电子设备和复杂通信链路在配电网中大量应用，并在电网调度控制和电力生产管理中起着核心作用，由于这些设施的网络开放性，一些不法分子利用其掌握的基本电力系统知识及网络攻击手段，对其发动网络攻击，从而从中获利。一旦信息系统遭到攻击，则会威胁电力系统的安全稳定运行，造成严重后果。遭到网络攻击的案例表明了遭到网络攻击造成影响的严重性，同时打击范围的广泛性展现了攻击者对电力系统的精确把控。已有研究表明，当攻击者具备一定电力系统认知时，可实行更为精确的攻击措施。目前关于配电网CPS的信息安全问题已经得到了学界的重视。

传统应对网络攻击的方法以被动防御为主，如防火墙拦截、入侵检测等方式，但这些防御资源起到的作用通常是有限的，为了精准消除网络攻击的影响，大量科研组织和学者针对CPS网络安全问题展开了研究，利用各种安全风险评估方法去测量和预防入侵，通常这些安全风险评估方法指识别信息设施中的漏洞、威胁和资产，准确有效地评估攻击后的系统风险，并实施保护策略以减少威胁负面影响的方法。

目前，针对网络攻击的风险评估中，各种评估方法对配电网CPS的风险评估有很好的参考作用。

文献[安宇,刘东,陈飞,徐玮韡.考虑信息攻击的配电网信息物理运行风险分析[J].电网技术,2019,43(07):2345-2352.]提出了一种融合信息决策处理和物理设备动态模型的信息到物理风险传递模型，但是其风险判断流程繁杂，由于实际操作中存在各种不确定因素的变动，可能会导致结果偏差。

 文献[C. Siaterlis, B. Genge and M. Hohenadel, "EPIC: A Testbed forScientifically Rigorous Cyber-Physical Security Experimentation," in IEEETransactions on Emerging Topics in Computing, vol. 1, no. 2, pp. 319-330,Dec. 2013.]提到威胁建模试验平台，可以支持异构网络设施实时、可重复和真实的实验，但该文献没有给出不同风险场景下的平台适用性。

 文献[Qi Zhang, Chunjie Zhou, Naixue Xiong, et al. Huang. Multimodel-Based Incident Prediction and Risk Assessment in Dynamic CybersecurityProtection for Industrial Control Systems[J]. IEEE Transactions on Systems,Man, and Cybernetics: Systems, vol. 46, no. 10, pp. 1429-1444, Oct. 2016.]提出了一种基于贝叶斯网络(Bayesian network, BN)、故障树和事件树组成了一个多模型框架的事件预测和风险评估方法，但并没有将三种方法融合使用。

 文献[Chang-Ju Lee, Kun Jai Lee. Application of Bayesian network tothe probabilistic risk assessment of nuclear waste disposal[J]. Rel. Eng.Syst. Safety, vol. 91, no. 5, pp. 515-532, 2006.]提出了一种将BN的推理过程与传统概率风险分析相结合的定量评估框架，并将其应用于核废料处理的概率风险评估，但没有考虑系统本身的防御资源。

 文献[Xiaorong Lyu, Yulong Ding, Shuang-Hua Yang. Bayesian NetworkBased C2P Risk Assessment for Cyber-Physical Systems[J]. IEEE Access, vol. 8,pp. 88506-88517, 2020.利用到BN刻画工业控制系统网络到物理系统动态风险值，提出一种用于动态风险评估的模糊概率贝叶斯网络，是BN方法的拓展使用，但在刻画复杂对象时，系统存在不确定性因素过多，在应用的时候不太方便。

发明内容

针对上述问题，本发明的目的在于提供一种考虑网络攻击漏洞的配电信息物理系统安全风险评估方法，使用信息节点与物理节点一一对应的模型，利用贝叶斯网络直白地刻画了风险由信息系统到物理系统的传递过程，同时考虑到了攻击者视角下，基于攻击者电力系统知识水平的攻击选择，以及系统本身的防御资源，最后量化的描述了配电网CPS的风险。技术方案如下：

一种考虑网络攻击漏洞的配电信息物理系统安全风险评估方法，包括以下步骤：

步骤1：建立配电网CPS耦合模型

建立包括网络层和物理层的配电网CPS耦合模型，获取配电网CPS物理系统中各个目标节点所带的静态负荷量；通过漏洞数据库查找配电网CPS信息系统中不同设备的漏洞节点的基本指标，计算出各个漏洞节点被攻击者利用的概率；

步骤2：构建电网CPS的贝叶斯网络模型

根据配电网CPS耦合模型的网络层和物理层两个系统的各个组件结构，以及漏洞信息，并考虑系统防御资源建立配电网CPS信息下发过程的贝叶斯网络模型，刻画网络风险从网络层到物理层的传递过程；

步骤3：使用模糊层次分析法与熵权法的组合赋权法进行攻击偏好修正

利用多评价指标判断目标节点的重要性，建立模糊互补判断矩阵，根据专家意见计算主观权重；对评价指标进行标准化处理，根据熵权法计算客观权重；再根据组合赋权法计算综合权重作为各评价指标的重要度权重，将评价指标划分理想区间标准化，根据各个评价指标的综合权重计算出修正攻击者选择性的加权风险率，并修正贝叶斯网络中各个目标节点的风险率；

步骤4：以特定时刻下目标节点负荷量代替资产大小，通过以上步骤得到各个目标节点的风险率，根据风险量化模型计算目标节点的量化风险值。

进一步的，构建电网CPS的贝叶斯网络模型具体为：根据配电网CPS的信息与基本的贝叶斯网络模型，在配电网服务主站调度信息下发的过程中，刻画出贝叶斯网络的五种要素，选择用贝叶斯网络评估配电网CPS的风险；所述五种要素包括：

1）属性节点：将风险评估的贝叶斯网络属性节点表示为：

，

其中，漏洞表示能够被攻击者利用的网络系统中的漏洞节点，权限表示攻击者想要进行攻击操作必须获取的权限节点，目标表示攻击者拟攻击的目标节点，防御表示被动防御系统； z表示网络的总节点数；

2）有向边：贝叶斯网络有向无环结构中包含有向边：

D={ d _ij ｜ i=1,2,…, z； j=1,2,…, z}

其中， d _ij 表示父节点 S _i 向子节点 S _j 的转移过程；

3）逻辑结构：包含逻辑“与”、逻辑“或”；逻辑“与”表示所有的父节点必须同时被攻陷子节点才有概率被攻击者掌握，逻辑“或”表示任一个父节点被攻陷子节点就会有概率被掌握；

4）先验概率 P ₁：以漏洞节点传递到其子节点的逻辑为逻辑“或”关系，其余均为逻辑“与”关系，从而根据基本的概率计算得到 P ₁；

5）后验概率 P ₂：表示网络遭到成功攻击后各个节点动态变化后的概率。

更进一步的，所述各个漏洞节点被攻击者利用的概率及条件概率计算如下：

1）在得到了漏洞的基本指标信息之后，计算漏洞节点被利用的概率，公式如下：

P _e =2.1× AV× AC× PR× UI（1）

其中， P _e 是漏洞被成功利用的概率； AV、 AC、 PR、 UI分别表示漏洞所对应的访问向量度量、攻击复杂度量、干预所需权限度量和用户交互度量的值；

2）在贝叶斯网络的某一非根节点中，若其各个父节点满足“与”的关系，则该节点的条件概率计算如下：

（2）

其中， S _i 表示节点 S _j 的父节点； P ₁( S _j ｜ S _i )表示节点 S _j 的条件概率；

表示父节点 S _i 被攻击者成功利用的概率；

表示成功利用节点 S _j 漏洞的事件，并将风险从父节点 S _i 传递给 S _j ；

表示父节点 S _i 的状态，是否成功被利用。

=1表示成功，

=0表示失败；若存在父节点

=0，则上式为0；

3）在贝叶斯网络的某一非根节点中，如果其各个父节点满足“或”的关系，则该节点的条件概率计算如下：

（3）

其中， S _i 表示节点 S _j 的父节点；若对所有的父节点

=0，则上式为0；

4）当攻击发生时，计算其后验概率的方式如下：

（4）

其中， P( S _j ｜ O)表示在安全事件场景集合 O中，节点 S _j 被攻击者掌握的概率； P( O｜ S _j )表示在节点 S _j 被攻击者掌握的前提下，安全事件 O发生的条件概率； P ₁( S _j )表示节点 S _j 被掌握的先验概率； P ₁( O)表示安全事件 O发生的先验概率。

 更进一步的，所述步骤3具体为：

步骤3.1：指标定义

利用度中心性判断网络中节点的重要性，度中心性的大小与节点的重要度成正比；则定义目标节点 S _P 的度中心性 D _P 如下式（5）所示：

（5）

其中， z为网络的总节点数， q _a 与 q _b 为目标节点 S _p 相邻两节点的度，即各节点相关联的边的条数；

步骤3.2：主观权重计算

假设所有攻击目标中，会有 n个节点，使用 m个指标来判断这些节点的重要程度。使用0.1~0.9标度法评判重要程度，根据 k位不同电力系统专家的意见获得 k个不同的模糊互补判断矩阵 A ₁ ～ A _k ，其中第b位专家的模糊互补判断矩阵的元素为 A _b =( a _cd ) _{m× m} ； b=0,1,… k，根据以上 k位专家的意见，按照下式（6）计算得到任意专家意见给出的第 e个指标权重：

（6）

其中， a _cd 表示模糊判断矩阵 A _b 第 c行第 d列的元素； c,d,e=0,1,… m；

步骤3.3：一致性检验

进行一致性检验，验证获得的权重的合理性：设 W _b =( w ₁ ,w ₂ ,…, w _m ) ^T 是专家给出的权重矩阵，令 w _cd = w _c /( w _c +w _d )，利用式（7）计算相容性指标，该指标小于0.1则合理；

（7）

步骤3.4：主观赋权

根据 k位专家给出的意见得到权重矩阵 W=( W ₁ ,W ₂ ,…, W _k )，采取最大特征根的方法求平均水平，步骤如下：

①令矩阵 F= WW ^T ；

②计算矩阵 F的特征根矩阵λ和特征向量矩阵 T；

③找出其中的最大特征根λ_max及其对应的特征向量 θ=( θ ₁, θ ₂…， θ _m)；

④将特征向量 θ进行归一化处理，得到 k位专家群体给出的主观权重矩阵：

，

；

步骤3.5：基于熵权法的客观权重计算

对数据进行标准化处理：

（8）

其中， S _gh 为第 h个节点的第 g个指标的数值，min｛ S _gh ｝为第 g个指标的最小值，max｛ S _gh ｝为第 g个指标的最大值；

第 g个评价指标的熵为：

（9）

其中，

、

，并假设当 f _gh =0时， f _gh In f _gh =0；

熵权按照式（10）计算得到，作为客观权重矩阵 V中第 g个指标的客观权重：

（10）

其中， m为指标的数量； e _q 为第 q个评价指标的熵； g, q=1,2,…, m；

步骤3.6：基于组合赋权法的综合权重计算

得到主观权重矩阵

和客观权重矩阵 V=[ v ₁, v ₂…, v _m]后，根据式（11）计算综合权重，并以此权重为网络攻击者攻击偏好的修正值；

（11）

其中，

为第 g个指标的综合权重； ω _g 和 v _g 分别表示第 g个指标的主观权重和客观权重； ω _q 和 v _q 分别表示第 q个指标的主观权重和客观权重； g, q=1,2,…, m；

步骤3.7：理想区间

设定第 g个指标的最大理想值 M _g ，各个指标的最小理想值设定为0，从而得到修正攻击者选择性的加权概率如式（12）所示：

（12）

其中， P _zh 为考虑攻击者选择性的第 h个节点的被攻击率， S _gh 为第 h个节点的第 g个指标的数值，

为第 g个指标的综合权重。

 更进一步的，步骤4中所述风险量化模型为：

R _p = P( S _p )· F _p （13）

其中， R _p 为量化后的风险值， P( S _p )= P _zp · P ₁( S _p )为目标节点 S _p 的最终风险率， P _zp 为考虑攻击者选择性的目标节点的被攻击率， P ₁( S _p )为目标节点 S _p 考虑防御资源的贝叶斯网络先验概率，当攻击发生时，以目标节点的后验概率 P ₂( S _p )来代替该先验概率， F _p 为目标节点 S _p 控制的负荷量。

与现有技术相比，本发明的有益效果是：

1、建模方便：本发明考虑到配电网CPS的信息下发模型与动态贝叶斯网络十分契合，所以将其用在配电网CPS的安全风险评估中；配电网模型符合贝叶斯建模，只需要利用漏洞评分系统上获得漏洞信息，便能得到配电网CPS风险评估模型；

2、评价准确：本发明开创性的利用熵权法加模糊层次分析法的方式修正攻击者的选择性，结合了电力专家主观赋权对实际问题的考虑和客观赋权对评价数据差异性分析的优势；

3、流程完善：本发明提到防御资源有限的情况下，根据节点资产的大小分配防御资源的方法，在配电网CPS风险评估中考虑被动防御系统，使得量化的风险值更符合事实。

附图说明

图1为配电网CPS模型。

图2为基本贝叶斯网络模型。

图3为本发明的算例流程。

图4（a）为配电网信息系统结构示意图。

图4（b）为配电网物理系统结构示意图。

图5为配电网CPS贝叶斯网络图。

具体实施方式

下面结合附图和具体实施例对本发明做进一步详细说明。

为评估配电网CPS中网络风险问题，本发明提出了考虑攻击者视角的动态贝叶斯网络定量的刻画由控制层传递到物理层的配电网CPS风险值。本发明使用信息节点与物理节点一一对应的模型，利用贝叶斯网络直白地刻画了风险由信息系统到物理系统的传递过程，同时考虑到了攻击者视角下，基于攻击者电力系统知识水平的攻击选择，以及系统本身的防御资源，最后量化的描述了配电网CPS的风险值。

 （1）首先建立配电网CPS的信息-物理耦合的信息传递模型，在漏洞数据库中查找配电网网络层各个设备可能存在的漏洞信息，根据漏洞评分系统给出的漏洞指标及漏洞被攻击者利用概率的计算方式，得出各个漏洞被攻击者所利用的概率，以此得到贝叶斯模型建立的基础。

 （2）本发明给出了用动态贝叶斯网络对配电网CPS作安全风险评估的方法，利用配电网网络层漏洞被攻击者利用的概率和配电网CPS信息下发的耦合模型，建立起设备节点之间的逻辑关系，从而得到各个设备的条件概率表，以此建立起配电网CPS的信息下发的贝叶斯网络模型，并根据不同的网络攻击场景得到动态贝叶斯网络的后验概率。

 （3）攻击者控制区域开关控制器时，当攻击目标有多个时，攻击者往往会根据自身的电力系统知识打击最优的目标节点，因此本发明考虑几种可以评判攻击者行为的指标，利用熵权法加模糊层次分析法相结合的主客观组合赋权法来判断攻击者的攻击目标选择性。

 （4）被动的风险防御是配电网CPS中重要的抵御风险的手段，在基于贝叶斯网络的安全风险评估中加入了入侵检测系统及防火墙的防御措施，考虑资源有限的情况下按照节点资产大小分配防御资源，从而大大降低系统的风险值。

模型构建

为了量化配电网CPS的风险，就需要建立起风险评估模型。本发明使用动态贝叶斯网络对其网络到物理层的风险进行量化评估。根据配电网CPS的网络层和物理层两个系统的各个组件结构，利用贝叶斯网络将网络风险从网络层到物理层的传递过程刻画出来。

 1.1配电网CPS模型

配电网CPS是一个大型集成系统，其物理层的设备及组件由网络层的传输控制监管维护。

根据系统设备的不同功能，如图1所示，配电网的典型CPS架构可以分为三层：

1）控制层是CPS的重要部分，其功能是统一集成来自不同通信网络传输的数据，并生成控制命令以响应，是电力系统安全稳定运转的保障。

 2）网络层连接着物理层和控制层，担负着系统运行中的信息数据传输的作用。

 3）物理层主要包括电力设备和相应的网络组件，例如分布式发电装置及其控制器，负载及其测量单元，断路器及其装置，以及变电站及其通信系统。

 1.2漏洞评分系统

为了得到贝叶斯网络模型，首先要获取配电网信息系统漏洞被攻击者利用的概率，我们利用漏洞评分系统的计算方式，通过漏洞数据库获取到配电网CPS信息系统中不同设备的漏洞节点的信息。其中部分漏洞的信息如下表1所示。

表1.配电网CPS漏洞

。

 得到漏洞信息之后，通过漏洞数据库可以获得漏洞的评价基本指标信息，再获得漏洞的各个基本指标的值如下表2所示。

表2.漏洞指标信息

。

 1.3贝叶斯网络模型

贝叶斯网络是一种模拟推理过程中因果关系的不确定性处理模型，其网络拓扑结构为有向无环图，完整的包含配电网CPS特色的贝叶斯网络模型包含以下5种元素如图2所示，按照该结构构建配电网CPS的贝叶斯网络模型。

 1）属性节点

为了更清晰的反映网络攻击的过程，将风险评估的贝叶斯网络属性节点表示为

，其中，漏洞表示可以被攻击者利用的网络系统中的漏洞节点，权限表示攻击者想要进行攻击操作必须获取的权限节点，目标表示攻击者拟攻击的传感器或执行器等目标节点，防御表示被动防御系统。不同的属性节点表示在某次网络攻击中承担的责任或产生的作用不同。

 2）有向边

贝叶斯网络有向无环结构中包含了有向边， D={ d _ij ｜ i=1,2,…, z； j=1,2,…, z}， d _ij 表示父节点 S _i 向子节点 S _j 的转移过程。

 3）逻辑结构

贝叶斯网络包含逻辑“与”、逻辑“或”两种逻辑结构。逻辑“与”表示所有的父节点必须同时被攻陷子节点才有概率被攻击者掌握，逻辑“或”表示任一个父节点被攻陷子节点就会有概率被掌握。其计算方式后文已给出。

 4）先验概率 P ₁

通过节点之间的逻辑关系计算获得，本发明仅以漏洞节点传递到其子节点的逻辑为逻辑“或”关系，其余均为逻辑“与”关系，从而根据基本的概率计算得到 P ₁。

 5）后验概率 P ₂

表示网络遭到成功攻击后各个节点动态变化后的概率。

 根据配电网CPS的信息与基本的贝叶斯网络模型，在配电网服务主站调度信息下发的过程中，能够刻画出贝叶斯网络的五种要素，利用贝叶斯网络能够用概率传递的形式清楚地刻画出配电网CPS的信息传递过程，信息系统与物理系统的交互过程，因此，本发明选择用贝叶斯网络评估配电网CPS的风险。

 1.4先验概率的计算

1.4.1计算漏洞被利用概率

在得到了漏洞之后，根据上述指标计算该漏洞被利用的概率公式如下：

P _e =2.1× AV× AC× PR× UI（1）

其中， P _e 是漏洞被成功利用的概率。 AV、 AC、 PR、 UI分别表示漏洞所对应的访问向量度量、攻击复杂度量、干预所需权限度量和用户交互度量的值。

 1.4.2计算先验概率

在贝叶斯网络的某一非根节点中，如果其各个父节点满足“与”的关系，则该节点的条件概率计算如下：

（2）

其中， S _i 表示节点 S _j 的父节点； P ₁( S _j ｜ S _i )表示节点 S _j 的条件概率；

表示父节点 S _i 被攻击者成功利用的概率；

表示成功利用节点 S _j 漏洞的事件，并将风险从父节点 S _i 传递给 S _j ；

表示父节点 S _i 的状态，是否成功被利用。

=1表示成功，

=0表示失败；若存在父节点

=0，则上式为0。

 在贝叶斯网络的某一非根节点中，如果其各个父节点满足“或”的关系，则该节点的条件概率计算如下：

（3）

其中， S _i 表示节点 S _j 的父节点；若对所有的父节点

=0，则上式为0。

 1.5后验概率的计算

上述过程仅仅描述了配电网CPS的静态条件概率，当攻击发生时，计算其后验概率的方式如下：

（4）

其中， P( S _j ｜ O)表示在安全事件场景集合 O中，节点 S _j 被攻击者掌握的概率；

表示在节点 S _j 被攻击者掌握的前提下，安全事件 O发生的条件概率； P ₁( S _j )表示节点 S _j 被掌握的先验概率； P ₁( O)表示安全事件 O发生的先验概率。

 本发明为更准确展现配电网CPS的被动防御功能，在配电网主站服务器下设置了防火墙，其功能为必须掌握主站服务器的所有漏洞，才有可能利用主站服务器，即其后验概率的发生条件必须满足主站服务器所有漏洞被利用，以此削弱漏洞的影响。

 2风险量化评估

2.1组合赋权法

在网络攻击中，攻击者往往还会窃取大量的有效数据，以最小的代价去得到最大的攻击影响，因此在风险评估中还应该考虑到攻击者的攻击目标偏好，因此，假设所有攻击目标中，会有 n个节点，使用 m个指标来判断这些节点的重要程度。使用模糊层次分析法与熵权法的组合赋权法进行攻击偏好修正。

 2.1.1指标定义

利用度中心性判断网络中节点的重要性，度中心性的大小与节点的重要度成正比。本发明定义目标节点 S _p 的度中心性 D _p 如下式（5）所示：

（5）

其中， z为网络的总节点数， q _a 与 q _b 为目标节点 S _p 相邻两节点的度，即各节点相关联的边的条数。

 2.1.2基于模糊层次分析法的主观权重计算

1）计算步骤

模糊层次分析法(Fuzzy Analytic Hierarchy Process, FAHP)的基本思想是根据多目标评价问题的性质和总目标，把问题本身按层次进行分解，构成一个由下而上的多层次结构。因此在运用FAHP决策时，大体上可以分为以下四个步骤：

①分析问题，确定系统中各元素间的因果关系，对决策问题的各要素建立多级结构模型；

②对同一层次的要素，以上一级的要素为准则进行两两比较，并根据给定的评价尺度确定其相对重要程度，最后根据此建立模糊判断矩阵；

③通过一定计算方式，计算各要素的相对重要度；

④通过综合重要度的计算，为决策人选择最优方案提供科学的决策依据。

 2）建立模糊互补判断矩阵

在模糊层次分析中两两因素间的比较判断时，采用一个因素比另一个因素的重要程度定量表示则得到的模糊判断矩阵 A=( a _cd ) _{m× m} 。如果其具有性质：① a _cc ＝0.5； c＝1，2，…， m；②

。

 则这样的判断矩阵称为模糊互补判断矩阵，为了使任意两个方案关于某准则的相对重要程度得到定量描述，通常采用如下表3所示的0.1~0.9标度法给予数量标度。表中反比较中的相反指：若元素 a _c 和元素 a _d 相比较时得到判断 r _cd ，则元素 a _d 和元素 a _c 相比较时得到判断

。

 表3 0.1~0.9标度法

。

 3）主观权重计算

使用0.1~0.9标度法评判重要程度，根据 k位不同电力系统专家的意见获得 k个不同的模糊互补判断矩阵 A ₁ ～ A _k ，其中第 b位专家的模糊互补判断矩阵的元素为 A _b =( a _cd ) _{m× m} ； b=0,1,… k，根据以上 k位专家的意见，按照下式（6）计算得到任意专家意见给出的第 e个指标权重：

（6）

其中， a _cd 表示模糊判断矩阵 A _b 第 c行第 d列的元素； c,d,e=0,1,… m。

 4）一致性检验

进行一致性检验，验证获得的权重是否合理。设 W _b =( w ₁ ,w ₂ ,…, w _m ) ^T 是专家给出的权重矩阵，令 w _cd = w _c /( w _c +w _d )，利用式（7）计算相容性指标，该指标小于0.1则合理，如下式（7）所示：

（7）

5）主观赋权

根据 k位专家给出的意见得到初始权重矩阵 W=( W ₁ ,W ₂ ,…, W _k )，采取最大特征根的方法求平均水平，步骤如下：

①令矩阵 F= WW ^T ；

②计算矩阵 F的特征根矩阵λ和特征向量矩阵 T；

③找出其中的最大特征根λ_max及其对应的特征向量 θ=( θ ₁, θ ₂…， θ _m)；

④将特征向量 θ进行归一化处理，得到 k位专家群体给出的主观权重向量：

，

。

 2.1.3基于熵权法的客观权重计算

各评价指标量纲不一致，无法进行比较，为此利用式（8）对数据进行标准化处理：

（8）

其中， S _gh 为第 h个节点的第 g个指标的数值，min｛ S _gh ｝为第 g个指标的最小值，max｛ S _gh ｝为第 g个指标的最大值。

 第 g个评价指标的熵为下式（9）：

（9）

其中，

、

，并假设当 f _gh =0时， f _gh In f _gh =0。

 熵权按照下式（10）计算得到，作为客观权重矩阵 V中第 g个指标的客观权重，如下式（10）所示：

（10）

其中， m为指标的个数； e _q 为第 q个评价指标的熵； g, q=1,2,…, m。

 2.1.4基于组合赋权法的综合权重计算得到主观权重

和客观权重矩阵 V=[ v ₁, v ₂…, v _m]后，根据下式（11）计算综合权重，并以此权重为网络攻击者攻击偏好的修正值，如下式（11）所示：

 （11）

其中，

为第 g个指标的综合权重； ω _g 和 v _g 分别表示第 g个指标的主观权重和客观权重； ω _g 和 v _g 分别表示第 q个指标的主观权重和客观权重； g, q=1,2,…, m。

 2.1.5理想区间

在考虑攻击者的选择性时，本发明选取了几种不同的评价指标，为了使修正值符合客观实际，为各个评价指标设定了相应的正理想区间，设定第 g个指标的最大理想值 M _g ，各个指标的最小理想值设定为0，从而得到修正攻击者选择性的加权概率如下式（12）所示：

（12）

其中， P _zh 为考虑攻击者选择性的第 h个节点的被攻击率， S _gh 为第 h个节点的第 g个指标的数值，

为第 g个指标的综合权重。

 2.2风险量化模型

为了量化风险值，本发明以特定时刻下目标节点负荷量 F _i 代替资产大小，按照下式（13）计算目标节点 S _p 量化风险值 R _p 。

  R _p = P( S _p )· F _p （13）

其中， R _p 为量化后的风险值， P( S _p )= P _zp · P ₁( S _p )为目标节点 S _p 的最终风险率， P _zp 为考虑攻击者选择性的目标节点的被攻击率， P ₁( S _p )为目标节点 S _p 考虑防御资源的贝叶斯网络先验概率，当攻击发生时，以目标节点的后验概率 P ₂( S _p )来代替该先验概率， F _p 为目标节点 S _p 控制的负荷量。

 2.3算例流程

基于上述提供的计算方式，本发明的算例分析整个计算过程的流程图如图3所示，按照该流程展开算例分析。

 3配电网CPS的贝叶斯模型风险评估

3.1配电网CPS耦合模型

建立配电网CPS模型如图4（a）和图4（b）所示。配电网CPS分为网络层和物理层，其中物理系统主要包含母线、线路及开关等传统的一次设备；信息系统主要包含服务器、交换机、通信线路、配电专用安全接入网关及远程终端单元、馈线终端单元、继电保护装置等各类智能电子设备，如图4（a）所示。本发明使用改进的IEEE 33节点系统作为配电网的物理层，其结构如图4（b）所示。

 首先在仿真中得到IEEE 33节点配电网系统中各个目标节点所带的静态负荷量。

 漏洞数据库中查找到的以上配电网CPS信息系统各个漏洞的基本指标如表4所示。根据表1和式（1）计算出各个漏洞节点的可利用概率 P _e 。

表4.漏洞节点被利用的概率

。

根据以上配电网CPS模型和表4中的漏洞信息，并考虑系统防御资源建立配电网CPS信息下发过程的贝叶斯网络模型。贝叶斯模型以及各个节点之间的逻辑关系如图5所示的。

 图5中，在节点主站服务器信息下发的过程中考虑到防火墙的存在而使漏洞 V ₁ ～ V ₃ 的作用弱化。节点交换机、子交换机代表交换机网络，节点漏洞代表各个信息站点存在的漏洞，子站代表子站服务器，区域控制代表区域控制器，节点电子设备代表智能电子设备，节点电子设备代表IED控制的每一个开关，即为目标节点，其开关与图5物理系统中的各个节点对应，节点防御表示资源有限的情况下，信息系统的入侵检测系统、防火墙等防御资源对风险做出的简化防御方式。网络中每个节点都有各自的逻辑结构，且每个节点都带有条件概率表，该表在不同场景和不同逻辑关系中由式（2）、式（3）和式（4）计算得到。

 3.2配电网CPS风险值量化

3.2.1不同网络攻击的场景设定

根据上述的漏洞概率以及信息下发的贝叶斯网络模型，使用GeNIe贝叶斯仿真软件中定义的节点概率计算方式，并在GeNle软件中建立起静态的模型，设定该静态场景为场景0。

为了验证整个模型的动态风险，分别设置三种不同的攻击场景：

1）漏洞 V ₆ 已经被攻击者利用，设定为场景1。

 2）漏洞 V ₇ 已经被攻击者利用，设定为场景2。

 3）漏洞 V ₅ 、 V ₇ 已经被攻击者利用，设定为场景3。

 3.2.2防御资源对风险率的修正

当攻击发生时，本发明根据历史数据、专家经验、系统的资产价值等因素，综合得到被动防御系统消除风险影响（风险状态1）的概率的防御策略。

 3.2.3攻击者对打击目标的选择性修正

选取三个指标评估攻击者的攻击目标选择性。其中A指标为目标节点所带负荷量，B指标为目标节点所带节点数，C指标为目标节点的度中心性，由式（5）得到。

 按照式（11）计算得到组合权重以此作为三种指标的重要程度评价权重，如表5所示。

表5.综合权重

。

为了给出较为合理满意的结果，给指标设置理想区间，按照式（12）计算得到攻击者的攻击偏好概率。

 基于以上研究得到静态场景与三种攻击场景下的各个目标节点考虑防御资源以及攻击者视角修正后的风险概率。

 3.2.4风险量化

根据式（13）计算得到不同场景下各个节点的量化风险值如下表6所示。

表6.风险值的量化

。

由于漏洞的存在，正常运行状态下的配电网CPS仍然存在风险概率。为了准确评估一个配电网CPS是否遭到网络攻击，必须确定其静态场景下各个目标节点的风险值，由

表示为静态下第 i个目标节点的风险值，该值越小，表明系统中存在的漏洞对系统的影响越小。上表中，将三个不同的攻击场景风险值与静态风险值做比较，得出一旦受到网络攻击，其漏洞遭到利用，整个系统各个节点的风险值均会上升，也就是说风险值一旦上升，这个系统就可能遭受到网络攻击，这时候就应该倾注资源去抵御网络风险。则当经过 k轮风险评估之后，若节点 i的风险值

，则系统一定遭到了网络攻击，此时就应调动资源采取相应的防御措施对节点 i进行风险管控，同时，在表6中可以看出，从左到右7个节点的风险值依次增加，而在资源有限的情况下，节点风险值越高，越应该被重点保护，施加更多的防御资源。

再比较表中三种不同攻击场景下各节点的风险值，不同漏洞节点遭到利用产生的影响程度不同，可以按照本例的流程计算出可能存在的每个漏洞被利用后的风险值，得出不同漏洞被利用的影响程度，可以凭此先着重修复或者监管影响程度较高的漏洞，对于一些短时间无法修复的漏洞，就需要加重防御资源应对不确定的网络攻击。就本例而言，在单一漏洞被利用的场景中，场景2的风险值最高，即漏洞 V ₇ 被利用后产生的影响最大，因此需要着重解决漏洞 V ₇ 产生的影响，可以将防御资源多倾向于这个节点。

综上，态贝叶斯网络是风险评估的有效方法，但很少用于配电网CPS的风险评估，由于配电网CPS的信息传递模型非常契合贝叶斯网络建模，因此本发明考虑设计多场景下的动态贝叶斯网络模型对配电网CPS做安全风险评估。在攻击者控制多个节点时，往往会选择最优的攻击目标，但很少有技术考虑到这点，因此本发明给出一种评估攻击者视角的方式。入侵检测系统等是配电网CPS重要的防御资源，在对配电网CPS风险评估时很少被考虑到，本发明给出一种考虑防御资源有限情况下考虑被动防御的方法。本发明旨在为配电网CPS的提出一种更完善的安全风险评估方式，从而提前制定相应的最优防御策略，大大减少配电网CPS可能存在的网络攻击的影响。

Claims (2)

1.一种考虑网络攻击漏洞的配电信息物理系统安全风险评估方法，其特征在于，包括以下步骤：

步骤1：建立配电网CPS耦合模型

建立包括网络层和物理层的配电网CPS耦合模型，获取配电网CPS物理系统中各个目标节点所带的静态负荷量；通过漏洞数据库查找配电网CPS信息系统中不同设备的漏洞节点的基本指标，计算出各个漏洞节点被攻击者利用的概率；

步骤2：构建电网CPS的贝叶斯网络模型

根据配电网CPS耦合模型的网络层和物理层两个系统的各个组件结构，以及漏洞信息，并考虑系统防御资源建立配电网CPS信息下发过程的贝叶斯网络模型，刻画网络风险从网络层到物理层的传递过程；

所述构建电网CPS的贝叶斯网络模型具体为：根据配电网CPS的信息与基本的贝叶斯网络模型，在配电网服务主站调度信息下发的过程中，刻画出贝叶斯网络的五种要素，选择用贝叶斯网络评估配电网CPS的风险；所述五种要素包括：

1)属性节点：将风险评估的贝叶斯网络属性节点表示为：

其中，漏洞表示能够被攻击者利用的网络系统中的漏洞节点，权限表示攻击者想要进行攻击操作必须获取的权限节点，目标表示攻击者拟攻击的目标节点，防御表示被动防御系统；z表示网络的总节点数；

2)有向边：贝叶斯网络有向无环结构中包含有向边：

D＝{d_ij|i＝1，2，…，z；j＝1，2，…，z}

其中，d_ij表示父节点S_i向子节点S_j的转移过程；

3)逻辑结构：包含逻辑“与”、逻辑“或”；逻辑“与”表示所有的父节点必须同时被攻陷子节点才有概率被攻击者掌握，逻辑“或”表示任一个父节点被攻陷子节点就会有概率被掌握；

4)先验概率P₁：以漏洞节点传递到其子节点的逻辑为逻辑“或”关系，其余均为逻辑“与”关系，从而根据基本的概率计算得到P₁；

5)后验概率P₂：表示网络遭到成功攻击后各个节点动态变化后的概率；

步骤3：使用模糊层次分析法与熵权法的组合赋权法进行攻击偏好修正

利用多评价指标判断目标节点的重要性，建立模糊互补判断矩阵，根据专家意见计算主观权重；对评价指标进行标准化处理，根据熵权法计算客观权重；再根据组合赋权法计算综合权重作为各评价指标的重要度权重，将评价指标划分理想区间标准化，根据各个评价指标的综合权重计算出修正攻击者选择性的加权风险率，并修正贝叶斯网络中各个目标节点的风险率；

所述步骤3具体为：

步骤3.1：指标定义

利用度中心性判断网络中节点的重要性，度中心性的大小与节点的重要度成正比；则定义目标节点S_P的度中心性D_P如下式(5)所示：

其中，z为网络的总节点数，q_a与q_b为目标节点S_p相邻两节点的度，即各节点相关联的边的条数；

步骤3.2：主观权重计算

假设所有攻击目标中，有n个节点，使用m个指标来判断这些节点的重要程度，使用0.1～0.9标度法评判重要程度，根据k位不同电力系统专家的意见获得k个不同的模糊互补判断矩阵A₁～A_k，其中，第b位专家的模糊互补判断矩阵的元素为A_b＝(a_cd)_m×m；b＝0,1,…k，根据以上k位专家的意见，按照下式(6)计算得到任意专家意见给出的第e个指标权重：

其中，a_cd表示模糊判断矩阵A_b第c行第d列的元素；c,d,e＝0,1,…m；

步骤3.3：一致性检验

进行一致性检验，验证获得的权重的合理性：设W_b＝(w₁,w₂,…,w_m)^T是专家给出的权重矩阵，令w_cd＝w_c/(w_c+w_d)，利用式(7)计算相容性指标，该指标小于0.1则合理；

步骤3.4：主观赋权

根据k位专家给出的意见得到初始权重矩阵W＝(W₁,W₂,…,W_k)，采取最大特征根的方法求平均水平，步骤如下：

①令矩阵F＝WW^T；

②计算矩阵F的特征根矩阵λ和特征向量矩阵T；

③找出其中的最大特征根λ_max及其对应的特征向量θ＝(θ₁,θ₂…，θ_m)；

④将特征向量θ进行归一化处理，得到k位专家群体给出的最终的主观权重矩阵：

步骤3.5：基于熵权法的客观权重计算

对数据进行标准化处理：

其中，S_gh为第h个节点的第g个指标的数值，min{S_gh}为第g个指标的最小值，max{S_gh}为第g个指标的最大值；

第g个评价指标的熵为：

其中，

并假设当f_gh＝0时，f_ghInf_gh＝0；

熵权按照式(10)计算得到，作为客观权重矩阵V中第g个指标的客观权重：

其中，m为指标的个数；e_q为第q个评价指标的熵；g,q＝1,2,…,m；

步骤3.6：基于组合赋权法的综合权重计算

得到主观权重矩阵W′＝(ω₁，ω₂，…，ω_m)和客观权重矩阵V＝[v₁,v₂…,v_m]后，根据式(11)计算综合权重，并以此权重为网络攻击者攻击偏好的修正值；

其中，

为第g个指标的综合权重；ω_g和v_g分别表示第g个指标的主观权重和客观权重；ω_q和v_q分别表示第q个指标的主观权重和客观权重；g,q＝1,2,…,m；

步骤3.7：理想区间

设定第g个指标的最大理想值M_g，各个指标的最小理想值设定为0，从而得到修正攻击者选择性的加权概率如式(12)所示：

其中，P_zh为考虑攻击者选择性的第h个节点的被攻击率，S_gh为第h个节点的第g个指标的数值，

为第g个指标的综合权重；

步骤4：以特定时刻下目标节点负荷量代替资产大小，根据风险量化模型计算目标节点的量化风险值；

所述风险量化模型为：R_p＝P(S_p)·F_p (13)

其中，R_p为量化后的风险值，P(S_p)＝P_zp·P₁(S_p)为目标节点S_p的最终风险率，P_zp为考虑攻击者选择性的目标节点的被攻击率，P₁(S_p)为目标节点S_p考虑防御资源的贝叶斯网络先验概率，当攻击发生时，以目标节点的后验概率P₂(S_p)来代替该先验概率，F_p为目标节点S_p控制的负荷量。

2.根据权利要求1所述的考虑网络攻击漏洞的配电信息物理系统安全风险评估方法，其特征在于，所述各个漏洞节点被攻击者利用的概率及条件概率计算如下

1)在得到了漏洞的基本指标信息之后，计算漏洞节点被利用的概率，公式如下：

P_e＝2.1×AV×AC×PR×UI  (1)

其中，P_e是漏洞被成功利用的概率；AV、AC、PR、UI分别表示漏洞所对应的访问向量度量、攻击复杂度量、干预所需权限度量和用户交互度量的值；

2)在贝叶斯网络的某一非根节点中，若其各个父节点满足“与”的关系，则该节点的条件概率计算如下：

其中，S_i表示节点S_j的父节点；P₁(S_j|S_i)表示节点S_j的条件概率；P_e(l_i)表示父节点S_i被攻击者成功利用的概率；l_i表示成功利用节点S_j漏洞的事件，并将风险从父节点S_i传递给S_j；

表示父节点S_i的状态，是否成功被利用；

表示成功，

表示失败；若存在父节点S_i ^s＝0，则上式为0；

3)在贝叶斯网络的某一非根节点中，如果其各个父节点满足“或”的关系，则该节点的条件概率计算如下：

其中，S_i表示节点S_j的父节点；若对所有的父节点

则上式为0；

4)当攻击发生时，计算其后验概率的方式如下：

其中，P(S_j|O)表示在安全事件场景集合O中，节点S_j被攻击者掌握的概率；P(O|S_j)表示在节点S_j被攻击者掌握的前提下，安全事件O发生的条件概率；P₁(S_j)表示节点S_j被掌握的先验概率；P₁(O)表示安全事件O发生的先验概率。

Images