CN116566658A - 一种配电终端信息-物理双向跨域攻击分析方法 - Google Patents

Abstract

本发明公开了一种配电终端信息‑物理双向跨域攻击分析方法，属于网络安全领域。从多源双向跨域攻击入口及攻击目标定位和多区跨域攻击链路构建两方面进行分析研究，其中，多源双向跨域攻击入口及攻击目标定位旨在检测终端设备软硬件功能模块的漏洞，建立漏洞与设备状态的映射关系列表，定位双向跨域攻击入口和攻击目标；多区跨域攻击传播链路构建旨在根据业务逻辑分析设备间信息、物理连接耦合关系，结合配电网架构建立物理信息多区跨域耦合模型，计算最可能的跨域攻击传播链路，以便进行针对性的防御。通过对攻击过程的漏洞利用和攻击传播两个阶段进行分析，能够形成对跨域攻击的准确刻画。

Description

一种配电终端信息-物理双向跨域攻击分析方法

技术领域

本发明属于网络安全领域，具体涉及一种配电终端信息-物理双向跨域攻击分析方法。

背景技术

随着信息技术、大数据、人工智能和自动化技术等的不断发展，传统工业控制系统和基础设施智能化程度增加，信息技术被广泛的应用到配电网终端设备中，使得电力配网系统变得越来越开放，这给传统相对封闭的电力配网系统带来了全新的挑战。同时，以新能源为主体的新型电力系统加速推进，以分布式光伏、风电为代表的新能源发电装机容量和占比持续扩大，正处于高速发展阶段。区别于传统电网，新型电力系统具有高比例新能源发电、高度电力电子化、发电与用能高自由度的特征，导致新型电力系统的“发-输-配-用”协调增强、系统运行控制复杂化、“营-配-用”等智能终端增加，其中配网用户侧可以通过分布式新能源发电、可调节负荷等参与电网调控，使得跨域交互行为大幅增加，进而面临着信息物理跨域攻击等全新安全威胁。

众多安全事件表明，大量配电终端运行环境安全不受控，安全风险突出，攻击者可利用“信息-物理”跨域交互将配网终端作为攻击的入口和“跳板”，实现运行代码的篡改、网络病毒的传播和物理信号的注入等跨域攻击，最终向调控主站系统和内部网络等电网安全I、II区扩散，严重威胁配网安全。因此亟需提出一种配电终端信息-物理双向跨域攻击分析方法，以准确刻画跨域攻击。

目前，国内外已经针对跨域攻击预警开展了研究，如美国伯克利国家实验室研发微相量测量装置，实时检测并预警配电网中的“信息域→物理域”跨域攻击。我国也针对传统的“信息-物理”系统中信息域网络攻击态势感知和物理域的设备故障预测等进行了研究。然而由于配电网的边缘终端跨域交互激增、终端节点分散、投资主体多样的特点，现有工作不足以全面的检测和预警配网中的跨域攻击，亟需对跨域攻击过程，从“攻击机理揭示-系统异常检测-态势推演预警”三个步骤进行安全检测与预警。

针对以上问题提出面向配电终端的信息-物理双向跨域攻击，梳理终端传感、计算、执行等模块在换能与处理过程中的隐蔽性漏洞，寻找终端设备可能的攻击入口，并在此基础上，建立配网信息-物理多区跨域耦合模型，计算可行有效的跨域攻击传播链路，最终揭示针对配电终端的跨域攻击机理，厘清其可能的攻击入口和传播方式，为后续攻击的定位、阻断及响应工作提供理论基础，显得非常重要。综上所述，设计一种配电终端信息-物理双向跨域攻击分析方法，是非常有必要的。

发明内容

本发明提出了一种配电终端信息-物理双向跨域攻击分析方法，形成对跨域攻击的准确刻画，有助于精准防御威胁，提高电网稳定性。

该方法具体如下：

一种配电终端信息-物理双向跨域攻击分析方法，包括以下步骤：

步骤S1：基于物理域、信息域，定位配电终端的攻击入口及攻击目标；

步骤S2：根据攻击入口及攻击目标，寻找攻击可能性最高的攻击传播链路，对该链路进行防御。

进一步的，所述步骤S1具体为：

从物理域、信息域获取已有的针对配电终端中的传感器、执行器、控制器功能模块的攻击事件，得到配电终端漏洞，建立配电终端漏洞和配电终端状态的映射关系列表；

检测当前配电终端的状态，根据映射关系列表确定漏洞，根据相应的漏洞对攻击入口和攻击目标进行定位。

进一步的，所述步骤S2具体为：

根据配电终端中各功能模块在信息域、物理域上的连接耦合关系，建立信息-物理多区跨域耦合模型，再根据模型得到所有可能的攻击链路；

通过贝叶斯方法，从所有可能的攻击链路中筛选出攻击可能性最高的链路，对该链路进行防御。

进一步的，所述的信息-物理多区跨域耦合模型的构建方法为：

根据配电终端内部的功能模块及其连接关系，得到配电终端模型；

将配电终端模型中的物理域功能模块视为物理节点，物理域功能模块间的实际物理连接视为连接物理节点的边，考虑连接物理节点的边的方向性，得到物理域的双向稀疏拓扑图G_p＝(V_p，E_p，μ_p)，其中，V_p表示物理节点集合，E_p表示物理边集合，μ_p表示预设的物理边权重；

将配电终端模型中的信息域功能模块视为信息节点，信息传输的光纤链路视为连接信息节点的边，忽略连接信息节点的边的方向性，得到信息域的双向稀疏拓扑图G_c＝(V_c，E_c，μ_c)，其中，V_c表示信息节点集合，E_c表示信息边集合，μ_c表示信息边权重集合，其中每个信息边权重μ_{c_ij}的计算公式为：

μ_{c_ij}＝(k_ik_j)^σ

式中：σ为权重系数，k_i、k_j是通过信息边相连的第i，j个信息节点的度数；

根据配电终端模型中物理域功能模块和信息域功能模块之间存在的连接耦合关系，在物理域的双向稀疏拓扑图和信息域的双向稀疏拓扑图间添加域间链接耦合边，得到信息-物理多区跨域耦合模型。

进一步的，所述的配电终端模型具体为：

将配电终端内部功能模块的集合表示为V(D)＝{v₁，v₂，...，v_n}，其中v_i代表第i个功能模块，将功能模块的存在形式划分为物理域D_p和信息域D_d，物理域的功能模块V(D_p)代表设备以功能划分的硬件组成模块；信息域的功能模块V(D_d)代表设备以功能划分的逻辑组成模块；将功能模块之间的连接关系的集合表示为E(D)＝{e₁，e₂，...，e_m}，其中e_i代表第i个连接关系；根据功能模块的集合和连接关系的集合，构成配电终端模型D＝(V(D)，E(D))，其中V(D)＝(V(D_p)，V(D_d))。

进一步的，所述的攻击链路以攻击入口对应的物理节点为攻击链路起始点，以攻击目标对应的物理节点为攻击链路终止点，所述的攻击链路起始点和攻击链路终止点之间由信息节点构成，攻击链路中相邻节点之间在信息-物理多区跨域耦合模型中存在连接耦合边或者信息边。

进一步的，通过贝叶斯方法，在满足通过信息-物理多区跨域耦合模型和所有可能的攻击链路的条件后，计算所有可能的攻击链路的概率，并从所有可能的攻击链路中筛选出攻击可能性最高的链路，具体为：

1)针对每一个可能的攻击链路，例如E＝(v₁，v₂，v₃，v₄，v₅)，获取攻击链路的节点和边；

2)根据每一个节点的二元概率分布，1表示节点被攻击，0表示节点未被攻击，获取每一个节点受到攻击的先验概率，即获取p(v_i＝1)的值，i＝1，2，3，4，5；

3)确定每一个边的方向，根据贝叶斯方法计算边的条件概率，所述的条件概率表示在给定父节点的状态下，子节点被攻击的概率，即计算P(v_i＝1|v_i-1＝1)的值；

4)计算攻击链路的概率：

根据计算得到的各个边的条件概率，计算各个链路的后验概率；将后验概率最高的链路作为攻击可能性最高的链路输出。

本发明的有益效果是：

本发明提出了一种配电终端信息-物理双向跨域攻击分析方法，可针对配电网海量互联终端设备的安全漏洞设计跨域攻击方法，实现对终端设备工作状态的控制，能够对配电网系统的跨域攻击入口及攻击目标进行定位，支撑攻击链路构建的研究。

附图说明

图1是本发明一种配电终端信息-物理双向跨域攻击分析方法的流程图；

图2是分析方法与攻击过程的关系图；

图3是功能脆弱性模型的示意图；

图4是信息-物理多区跨域耦合模型的示意图。

具体实施方式

以下结合附图和实施例对本发明做进一步的说明。

本发明提出的一种配电终端信息-物理双向跨域攻击分析方法，如图1和图2所示，具体如下：

步骤S1：配电终端多源双向跨域攻击入口及攻击目标定位

针对配电终端设备海量互联的特点，在物理域、信息域视角下对终端设备内部功能模块进行检测，得到设备传感器、执行器、控制器等模块在换能与处理过程中的隐蔽性漏洞，建立设备终端的已有漏洞和设备终端状态的映射关系列表，检测当前设备终端的状态，根据映射关系列表确定漏洞，根据相应的漏洞实现攻击入口和攻击目标的定位。

本实施例中，针对一个风速测量的功能模块，建立如图3所示的功能脆弱性模型。风速测量功能模块由加速度计、滤波器、放大器、模数转换器级联构成，风速导致加速度计中的弹簧变形，电位器作为位移传感元件，感知到加速度信号经由换能器换能后得到模拟电信号，随后依次通过滤波器、放大器进行处理，最后经过模数转换器转换为数字电信号，即感知模块的输出，送至处理器进行后续计算，这一部分即为终端设备层面物理域到信息域的信息转换。在正常情况下，该功能模块能够正常测量当前加速度并转换为风速数值，图中，输入到输出间的传递函数为y＝f(x₁，n+a′)，其中a′＝[h₁(a₁)，...，h_m(a_m)]，h_i，i＝1，2，...，m为换能效应传递函数，输入到输出间的传递函数能够有效地对正常加速度信号进行模数转换等处理工作。但加速度计等传感器的内部机械结构存在固有共振频率，通过声波攻击可能引发内部机械结构的共振，产生错误的感知信号a′，攻击者通过调制特殊的声波信号，可以产生可控的传感器输出y。那么上述存在的可被攻击者利用的a_i，i＝1，2，...，m即是风速测量功能模块的漏洞。以上是对风速测量功能模块建立的功能脆弱性模型，用于得到风速测量功能模块存在的漏洞。同样的，对于终端设备其他的功能模块，也可以根据换能处理环节建立功能模型，分析其中存在的漏洞。得到设备传感器、执行器、控制器等模块在换能与处理过程中的隐蔽性漏洞后，即可建立设备终端的已有漏洞和设备终端状态的映射关系列表，然后通过检测当前设备终端的状态，根据映射关系列表确定漏洞，并根据相应的漏洞即可定位攻击入口和攻击目标。

步骤S2：配电终端多区跨域攻击传播链路构建

S2-1：分析多设备在信息域、物理域上的连接耦合关系，建立信息-物理多区跨域耦合模型

对于单终端设备，从完成业务功能的角度来看，海量互联的配电终端设备均可抽象描述为由不同的功能模块连接而组成的功能体。功能模块指具有实际物理、逻辑或认知意义的基本功能模块，其意义即为其所能实现的功能。对于设备，功能模块的意义均为其设计功能。例如，传感器的功能为感知，放大器的功能为信号放大，滤波器的功能为信号滤波，CPU的功能为计算。功能模块之间的连接关系代表信息在功能模块间具有可达性，该连接关系具有方向性，例如输入输出关系。功能模块和它们的拓扑关系代表了一个终端设备的系统设计和架构，而由这些功能模块相互连接而组成的功能体所实现的即为该终端设备的业务功能。

将功能模块的集合表示为V(D)＝{v₁，v₂，...，v_n}，其中v_i代表第i个功能模块；将功能模块之间的连接关系的集合表示为E(D)＝{e₁，e₂，...，e_m}，其中e_i代表第i个连接关系，例如e₁＝{v₁，v₂}代表信息可由功能模块v₁流向v₂，则由这些功能模块V(D)和它们的连接关系E(D)组成的终端设备可以表示为D＝(V(D)，E(D))。由于功能的实现同时涉及不同的范畴，例如软件和硬件，为方便后续威胁分析，进一步将终端设备D中功能模块的存在形式划分为物理域D_p和信息域D_d，即V(D)＝(V(D_p)，V(D_d))。物理域的功能模块V(D_p)代表设备以功能划分的硬件组成模块，例如传感器、信号处理器件和电路、处理器、存储器、执行器等；信息域的功能模块V(D_d)代表设备以功能划分的逻辑组成模块，例如系统进程、指令、程序、函数、算法等。

在建立单终端设备功能耦合模型的基础上，进一步地，针对多终端，同样从信息域、物理域上的连接关系入手，建立信息-物理多区跨域耦合模型。

将配电网信息域中的信息系统抽象为信息节点(如终端上运行的程序、各个设备之间通信的流量等)，信息传输的光纤链路为边。配电网的信息域可表示为m个信息节点和n条通信链路的双向稀疏拓扑图：Gc＝(V_c，E_c，μ_c)，其中信息节点集合V_c＝{v_c1，v_c2，...，v_cn}，信息边集合E_c＝{e_c13，e_c12，...，e_cnm}，信息边权重μ_{c_ij}为其连接的两个信息节点的度数函数：

μ_{c_ij}＝(k_ik_j)^σ

式中：σ为权重系数(0≤σ≤1)，k_i是信息节点v_ci的度数。

如图4所示，将配电网物理域中的各个设备抽象为物理节点(如智能电表集中器、负控终端等)，物理节点间的实际物理连接为边，区分不同物理节点的性质差异和物理信号传输方向。配电网的物理域可表示为双向稀疏拓扑图：G_p＝(V_p，E_p，μ_p)，其中物理节点集合V_p＝{v_p1，v_p2，...，v_pm}，物理边集合E_p＝{e_p13，e_p12，...，e_pnm}，物理边权重μ_p为其连接的两个物理节点的物理信号传输度量，由具体业务决定。

例如，若当前状态下攻击入口为v_p1，攻击目标为v_p5，结合以上模型可以找到所有可能的攻击链路：

E₁＝(v_p1，v_c1，v_c3，v_c5，v_p5)

E₂＝(v_p1，v_c1，v_c4，v_c5，v_p5)

E₃＝(v_p1，v_c1，v_c2，v_c3，v_c5，v_p5)

E₄＝(v_p1，v_c1，v_c2，v_c6，v_c5，v_p5)

E₅＝(v_p1，v_c1，v_c2，v_c6，v_c7，v_c5，v_p5)

E₆＝(v_p1，v_c1，v_c2，v_c6，v_c7，v_c8，v_c5，v_p5)

E₇＝(v_p1，v_c1，v_c2，v_c6，v_c7，v_c9，v_c8，v_c5，v_p5)

E₈＝(v_p1，v_c1，v_c2，v_c6，v_c7，v_c9，v_c10，v_c5，v_p5)

E₉＝(v_p1，v_c1，v_c2，v_c6，v_c7，v_c9，v_c8，v_c10，v_c5，v_p5)

E₁₀～E₁₅：在E₄～E₉中的v_c1，v_c2之间添加v_c3

S2-2：根据S2-1得到的攻击链路，通过贝叶斯方法，找到可能性最高的攻击链路，以便进行针对性的防御。步骤如下：

(1)确定攻击图的节点和边：在S2-1已经建立的信息-物理多区跨域耦合模型上，确定攻击图的节点和边，对于E₁＝(v_p1，v_c1，v_c3，v_c5，v_p5)，节点为v_p1，v_c1，v_c3，v_c5，v_p5，边为各个节点之间的连接线，即p1-c1，c1-c3，c3-c5，c5-p5。

(2)为每个节点定义一个概率分布：使用二元概率分布，表示节点被攻击的状态为1或0，分别拥有一个概率。以c1为例，c1具有受到攻击或不受到攻击两种状态，即p(c1＝1)为c1受到攻击的概率，p(c1＝0)为c1不受到攻击的概率。

(3)确定边的方向和条件概率：对于每条边，需要确定其方向和条件概率，条件概率表示在给定父节点的状态下，子节点被攻击的概率，对于E₁＝(v_p1，v_c1，v_c3，v_c5，v_p5)，其4条边的方向即为p1-c1，c1-c3，c3-c5，c5-p5。对不同的系统，各节点的先验概率和条件概率不同，将通过对系统进行检测和统计，来得到各节点的先验概率和条件概率。此处假设通过检测统计后得到各节点的先验概率如下：

p(v_p1＝1)＝0.2：v_p1被攻击的概率为20％；

p(v_c1＝1)＝0.1：v_c1被攻击的概率为10％；

p(v_c3＝1)＝0.05：v_c3被攻击的概率为5％；

p(v_c5＝1)＝0.01：v_c5被攻击的概率为1％；

p(v_p5＝1)＝0.3：v_p5被攻击的概率为30％。

同时，得到条件概率如下：

P(v_c1＝1|v_p1＝1)＝0.8：在v_p1被攻击的情况下，v_c1被攻击的概率为80％；

P(v_c3＝1|v_c1＝1)＝0.5：在v_c1被攻击的情况下，v_c3被攻击的概率为50％；

P(v_c5＝1|v_c3＝1)＝0.3：在v_c3被攻击的情况下，v_c5被攻击的概率为30％；

P(v_p5＝1|v_c5＝1)＝0.9：在v_c5被攻击的情况下，v_p5被攻击的概率为90％。

(4)计算攻击链路的概率：通过计算各个攻击链路的条件概率，可以得到概率值，其中条件概率使用贝叶斯公式计算，即给定观测值的条件下，计算各个链路的后验概率。对于E₁＝(v_p1，v_c1，v_c3，v_c5，v_p5)，p(E₁)＝p(v_p1＝1)·p(v_c1＝1|v_p1＝1)·p(v_c3＝1|v_c1＝1)·p(v_c5＝1|v_c3＝1)·p(v_p5＝|v_c5＝1)＝0.0216。因此，攻击链路E₁＝(v_p1，v_c1，v_c3，v_c5，v_p5)的概率为0.0216。注意，此处仅为示例，实际情况中，先验概率和条件概率需要根据具体的场景和数据进行确定。

(5)选择可能性最高的攻击链路：选择具有最高概率的攻击链路作为最终结果。

以上列举的仅是本发明的具体实施例。显然，本发明不限于以上实施例，还可以有许多变形。本领域的普通技术人员能从本发明公开的内容直接导出或联想到的所有变形，均应认为是本发明的保护范围。

Claims (7)

1.一种配电终端信息-物理双向跨域攻击分析方法，其特征在于，包括以下步骤：

步骤S1：基于物理域、信息域，定位配电终端的攻击入口及攻击目标；

步骤S2：根据攻击入口及攻击目标，寻找攻击可能性最高的攻击传播链路，对该链路进行防御。

2.根据权利要求1所述的一种配电终端信息-物理双向跨域攻击分析方法，其特征在于，所述步骤S1具体为：

从物理域、信息域获取已有的针对配电终端中的传感器、执行器、控制器功能模块的攻击事件，得到配电终端漏洞，建立配电终端漏洞和配电终端状态的映射关系列表；

检测当前配电终端的状态，根据映射关系列表确定漏洞，根据相应的漏洞对攻击入口和攻击目标进行定位。

3.根据权利要求1所述的一种配电终端信息-物理双向跨域攻击分析方法，其特征在于，所述步骤S2具体为：

根据配电终端中各功能模块在信息域、物理域上的连接耦合关系，建立信息-物理多区跨域耦合模型，再根据模型得到所有可能的攻击链路；

通过贝叶斯方法，从所有可能的攻击链路中筛选出攻击可能性最高的链路，对该链路进行防御。

4.根据权利要求3所述的一种配电终端信息-物理双向跨域攻击分析方法，其特征在于，所述的信息-物理多区跨域耦合模型的构建方法为：

根据配电终端内部的功能模块及其连接关系，得到配电终端模型；

将配电终端模型中的物理域功能模块视为物理节点，物理域功能模块间的实际物理连接视为连接物理节点的边，考虑连接物理节点的边的方向性，得到物理域的双向稀疏拓扑图G_p＝(V_p，E_p，μ_p)，其中，V_p表示物理节点集合，E_p表示物理边集合，μ_p表示预设的物理边权重；

将配电终端模型中的信息域功能模块视为信息节点，信息传输的光纤链路视为连接信息节点的边，忽略连接信息节点的边的方向性，得到信息域的双向稀疏拓扑图G_c＝(V_c，E_c，μ_c)，其中，V_c表示信息节点集合，E_c表示信息边集合，μ_c表示信息边权重集合，其中每个信息边权重μ_{c_ij}的计算公式为：

μ_{c_ij}＝(k_ik_j)^σ

式中：σ为权重系数，k_i、k_j是通过信息边相连的第i，j个信息节点的度数；

根据配电终端模型中物理域功能模块和信息域功能模块之间存在的连接耦合关系，在物理域的双向稀疏拓扑图和信息域的双向稀疏拓扑图间添加域间链接耦合边，得到信息-物理多区跨域耦合模型。

5.根据权利要求4所述的一种配电终端信息-物理双向跨域攻击分析方法，其特征在于，所述的配电终端模型具体为：

将配电终端内部功能模块的集合表示为V(D)＝{v₁，v₂，...，v_n}，其中v_i代表第i个功能模块，将功能模块的存在形式划分为物理域D_p和信息域D_d，物理域的功能模块V(D_p)代表设备以功能划分的硬件组成模块；信息域的功能模块V(D_d)代表设备以功能划分的逻辑组成模块；将功能模块之间的连接关系的集合表示为E(D)＝{e₁，e₂，...，e_m}，其中e_i代表第i个连接关系；根据功能模块的集合和连接关系的集合，构成配电终端模型D＝(V(D)，E(D))，其中V(D)＝(V(D_p)，V(D_d))。

6.根据权利要求4所述的一种配电终端信息-物理双向跨域攻击分析方法，其特征在于，所述的攻击链路以攻击入口对应的物理节点为攻击链路起始点，以攻击目标对应的物理节点为攻击链路终止点，所述的攻击链路起始点和攻击链路终止点之间由信息节点构成，攻击链路中相邻节点之间在信息-物理多区跨域耦合模型中存在连接耦合边或者信息边。

7.根据权利要求3所述的一种配电终端信息-物理双向跨域攻击分析方法，其特征在于，所述的通过贝叶斯方法，从所有可能的攻击链路中筛选出攻击可能性最高的链路，具体为：

1)针对每一个可能的攻击链路，获取攻击链路的节点和边；

2)根据每一个节点的二元概率分布，1表示节点被攻击，0表示节点未被攻击，获取每一个节点受到攻击的先验概率；

3)确定每一个边的方向，根据贝叶斯方法计算边的条件概率，所述的条件概率表示在给定父节点的状态下，子节点被攻击的概率；

4)计算攻击链路的概率：

根据计算得到的各个边的条件概率，计算各个链路的后验概率；将后验概率最高的链路作为攻击可能性最高的链路输出。