CN109218292A - 一种电力网络边界安全协同防御方法及*** - Google Patents

Abstract

一种基于链路自动关联的电力网络边界安全协同防御方法及***，通过在构建网络链路自动关联节点空间环节，分别定义地址、端口、协议三类节点网管配置的关联顺序，通信双方按照该序列映射的节点网管配置实施关联和通信，在网络链路自动关联协商流程中，主站端和客户端都需要向通信对象声明自己的拓扑关联图，拓扑关联图双向交换，然后按照既定拓扑关联图实施安全通信，以最大限度的保证了通信双方数据传输链路的动态随机特性，使攻击者难以实施攻击，主动规避了可能的网络安全威胁。

Description

一种电力网络边界安全协同防御方法及***

技术领域

本发明属于电力信息网络安全领域，具体涉及一种基于链路自动关联的电力网络边界安全协同防御方法及***。

背景技术

近年来网络空间安全事件频发，国家级、集团式网络安全威胁层出不穷，2010年“震网”病毒事件敲响了工控***安全的警钟，2015年乌克兰停电事件成为全球首例公开报道的因黑客攻击导致大范围停电事件。电力等重要基础设施领域成为“网络战”重点攻击目标之一，网络与信息安全形势异常严峻。

智能电网中用户用电信息采集、电动汽车运营管理***等智能化、互动化新业务不断发展，引入了智能表计终端、电动汽车、输变电设备状态在线监测终端、移动笔记本、移动作业终端(PDA、智能手机)等海量电网智能终端，通过3G/4G等无线网络直接接入信息内网的新业务模式，及电网终端边缘网络接入模式。考虑到电网的重要战略地位，针对电网终端无线接入的监测运行数据窃取、控制指令篡改、业务连续性破坏等网络攻击，将严重危害电网的安全稳定运行。目前，电网骨干网络已经建立了完善的边界隔离保护体系，然而不幸的是，在电网终端边缘接入网络环境下，终端来自社会各能源提供与消费方，且大部分终端均为嵌入式架构，计算能力和网络通信能力有限，传统的终端安全加固措施根本无法实施，加密传输等安全手段也将严重影响网络性能。因此研究适应电网终端边缘接入网络安全需求的高效、轻量级网络安全主动防御技术意义重大。基于以上因素，本申请提出一种基于链路自动关联的电力网络边界安全协同防御***及方法。

发明内容

为解决电网终端边缘接入安全防御问题，本发明提供了一种基于链路自动关联的电力网络边界安全协同防御***及方法，所述方法包括如下步骤：创建基于网络链路自动关联的电网智能终端信息安全接入威胁主动防御模型；获取网络中所有通信节点的网管配置，以此为基础构建网络链路自动关联空间；在既定的拓扑关联空间中动态选择可用通信节点自动关联形成通信拓扑；通信双方根据提出的网络链路自动关联流程自动协商通信链路并自动调整，为增加网络链路自动关联的随机性和多样性，引入伪随机序列和时间漂移进行控制。以最大限度保证网络通信链路的随机性，增加了攻击实施的时间与空间复杂度，以达到信息安全攻击主动防御目标，可提高防御收益。

本发明的有益效果包括：

本发明提供的技术方案可实现通信双方或者多方通过初始数据交换，在既定的可用网络节点集中随机协商确定出通信拓扑关联图和关联时间，在通信过程中按照约定的拓扑关联图建立动态通信链路，侦听者难以掌握通信拓扑中节点网管配置规律，从而难以跟踪通信全过程。网络链路自动关联过程中，合法实体使用正确节点网管配置维持正常通信，非法实体由于无法获知合法实体节点网管配置将难以实施有效攻击。

此外，主站端和客户端可以在特定情况下，安全更新拓扑关联图，以最大限度保证网络链路自动关联展现出的随机性，增加了攻击实施的时间与空间复杂度，以达到信息安全攻击主动防御目标。

附图说明

图1为本发明所提出的***构成框架；

图2为本发明所提出的方法流程图；

图3为本发明中步骤3的详细流程图。

具体实施方式

为了更好地理解本发明，下面结合附图参考实施例的描述，对本发明的方法进行进一步的说明。

为了全面理解本发明，在以下详细描述中提到了众多具体细节。但是本领域技术人员应该理解，本发明可以无需这些具体细节而实现。在实施例中，不详细描述公知的方法、过程、组件，以免不必要地使实施例繁琐。

参见图1所示，本发明提供了一种基于链路自动关联的电力信息网络安全协同防御***。为简化阐述，模型仅展示了将拓扑关联代理部署在电网主站端的情形，电网智能终端仅需等价的部署关联代理客户端，即可实现对等关联。关联代理是实现网络链路自动关联的基础，由关联代理控制、时间同步、延迟处理、异常检测、诱骗处理、通信转发6个模块以及若干可用关联节点组成。其中，关联代理控制模块是关联代理的核心，控制其他各模块和可用关联节点，协调电网智能终端客户端和电网主站业务***间的网络链路自动关联。时间同步模块负责电网智能终端客户端和关联代理之间的时间同步；异常检测模块用于对网络数据流进行抽样检测，利用异常检测算法分析网络异常；诱骗处理模块用于生成虚假报文，迷惑攻击者，增加攻击者对截获报文进行过滤和重组分析的难度；通信转发模块在电网主站业务***和电网智能终端客户端之间实施数据转发；每个可用关联节点分配一个节点网管配置，任意时刻只有处于活动期内的关联节点才能被激活。

电网智能终端客户端和电网主站业务***协商好拓扑关联图后，利用时间同步模块校准本地时钟，进入关联通信模式。关联代理控制模块根据既定的拓扑关联图进行活动节点切换；合法客户端发送的数据通过当前活动关联节点进入关联代理，经通信转发模块发送给电网主站业务***；电网主站业务***发出的数据包经过通信转发模块和活动关联节点返回给电网智能终端客户端；延迟处理模块和异常检测模块采样网络数据流，对网络异常和延迟进行评估，关联代理控制模块根据评估结果和自调整策略动态改变活动节点网管配置。

参见图2所示，本发明还提供了一种基于链路自动关联的电力信息网络安全协同防御方法，包括如下步骤：

步骤1：获取网络中所有可用通信节点网管配置信息，将所有网络通信节点构成网络通信节点资源池，为后期网络链路的动态选取和自动关联提供备选资源；

步骤2：构建网络链路自动关联空间，随机选取可用的网络通信节点构成可用链路空间；

步骤3：网络通信双方执行网络通信链路自动关联协商流程，协商选取当前通信链路，并定时隙地进行通信链路动态协商调整。

优选的，步骤1中，所述可用通信节点网管配置信息至少包括网络地址、端口、协议，所述网络地址是IPv4地址或者IPv6地址

优选的，步骤1：获取网络中所有可用通信节点网管配置信息，将所有网络通信节点构成网络通信节点资源池，具体包括：所有可用地址信息组成地址池I＝{ip₁，ip₂，…，ip_m}；端口是应用层各种协议进程与运输实体进行层间交互的地址，其可用范围为0到65535，除去前1024个熟知端口，剩余64512个可用端口，所有可用端口信息组成端口池P＝{port₁，port₂，…，port_n}；协议包括网络通信协议、数据加密协议、数据压缩算法等，所有可用协议信息组成协议池Ψ＝{pro₁，pro₂…，pro_s}。

节点网管配置e由地址、端口、协议三元组组成，单个节点网管配置e_i＝(ip_t，port_t，pro_i)，节点网管配置状态空间如下：

E＝I×P×Ψ＝{(ip_i，port_j，pro_k)|1≤i≤m，1≤j≤n，1≤k≤s}

优选的，步骤2：构建网络链路自动关联节点空间，通过伪随机数的方式从可用通信节点资源池中随机选取多条备选通信链路，并对通信端口、协议等信息进行伪随机选取和配置；

网络链路自动关联空间EH由节点网管配置状态空间E、伪随机序列集Ф、自动拓扑关联图节点网管配置状态集Ω、关联条件C、网络链路自动关联转移关系δ构成的五元组组成，即EH＝(E，Ф，Ω，C，δ)。

Ф＝{(Ф₁，Ф₂，Ф₃)^T|Ф₁＝(r₁ ¹，r₁ ²，…，r₁ ^m)，

Ф₃＝(r₃ ¹，r₃ ²，…，r₃ ^s)}，Ф₁，Ф₂，Ф₃为伪随机函数生成的伪随机序列，分别定义地址、端口、协议三类节点网管配置的关联顺序，通信双方按照该序列映射的节点网管配置实施关联和通信。伪随机序列保证网络链路自动关联的随机性，降低了攻击者匹配网络拓扑的能力，使攻击者难以把握目标主机的关联规律，增加了攻击者探测难度。

是构成拓扑关联图所有节点的网管配置状态集合，其中为在时刻t***使用的节点网管配置。

C是触发网络链路自动关联的条件，如收到某一确认信息、到达约定的时间、发送一定数量的数据包等，C＝(c₁，c₂，…，c_p)表征不同的触发条件。

表示关联条件c_i下，通信双方使用的节点网管配置从Ω(t_i)状态迁移到Ω(t_i+1)状态的过程，满足

优选的，步骤3通信双方执行网络链路自动关联协商流程，从备选通信链路中选取一条或多条通信链路作为实际通信链路，并定时隙的执行网络链路自动关联协商再调整流程，实现基于同态通信链路的网络攻击协同防御。

网络链路自动关联可以是通信一方单点关联，也可以是通信双方对等关联，甚至是多个通信对象之间的协同关联。因此本发明针对对等关联提供了关联方法。方法允许多个网络链路自动关联信道上独立的传输层节点，主站端和客户端都需要向通信对象声明自己的拓扑关联图，拓扑关联图双向交换，然后按照既定拓扑关联图实施安全通信，其中主站端相关流程由电网主站拓扑关联代理执行。

如图3所示，步骤3具体包括：

步骤3-1：当一个支持网络链路自动关联的客户端准备和主站端通信时，首先向主站端发送常规请求报文即使用客户端私钥K_rc对客户端身份ID_c、网络链路自动关联支持标记mark和请求报文发送时的时间戳T₁签名；

步骤3-2：主站端记录收到报文的时间T₂，使用客户端公钥K_uc进行签名验证，对客户端身份的合法性进行验证(如果主站端不支持网络链路自动关联，忽略该报文即可)；

步骤3-3：客户端身份认证成功后，主站端立即切换至网络链路自动关联通信模式，并向客户端发送响应报文即使用主站端私钥K_rs对主站端身份ID_s、主站端网络链路自动拓扑关联图HP_s和响应报文发送时间戳T₃进行签名；

步骤3-4：客户端记录收到报文的时间T₄，使用主站端公钥K_us进行签名验证，对主站端身份的合法性进行验证；

步骤3-5：主站端身份认证成功后，客户端向主站端发送响应报文即使用客户端私钥K_rc对客户端网络链路自动拓扑关联图HP_c和响应报文发送时间戳T₄进行签名；

步骤3-6：主站端根据时间戳T₁，T₂，T₃，T₄计算双方的时间漂移θ＝(T₂-T₁+T₃-T₄)/2，并将其发送给客户端

步骤3-7：客户端根据时间漂移θ对本地时间进行同步校正，并切换至网络链路自动关联通信模式；

步骤3-8：客户端和主站端按照既定网络链路自动拓扑关联图HP_s和HP_c进行安全通信；

步骤3-9：当拓扑关联图生存周期T_h到达时，更新网络链路自动拓扑关联图。

本发明与现有技术相比，其显著优点为：本发明可实现通信双方或者多方通过初始数据交换，在既定的可用网络节点集中随机协商确定出通信拓扑关联图和关联时间，在通信过程中按照约定的拓扑关联图建立动态通信链路，侦听者难以掌握通信拓扑中节点网管配置规律，从而难以跟踪通信全过程。网络链路自动关联过程中，合法实体使用正确节点网管配置维持正常通信，非法实体由于无法获知合法实体节点网管配置将难以实施有效攻击。同时，主站端和客户端可以在特定情况下，安全更新拓扑关联图，以最大限度保证网络链路自动关联展现出的随机性，增加了攻击实施的时间与空间复杂度，以达到信息安全攻击主动防御目标。

这里只说明了本发明的优选实施例，但其意并非限制本发明的范围、适用性和配置。相反，对实施例的详细说明可使本领域技术人员得以实施。应能理解，在不偏离所附权利要求书确定的本发明精神和范围情况下，可对一些细节做适当变更和修改。

Claims (11)

1.一种基于链路自动关联的电力网络边界安全协同防御方法，包括如下步骤：

步骤1：获取网络中所有可用通信节点网管配置信息，将所有可用通信节点构成可用通信节点资源池，为后期网络链路的动态选取和自动关联提供备选资源池；

步骤2：构建网络链路自动关联空间，随机选取可用通信节点构成可用链路空间；

步骤3：网络通信双方执行网络通信链路自动关联协商流程，协商选取当前通信链路，并定时隙地进行通信链路动态协商调整。

2.根据权利要求1所述的一种基于链路自动关联的电力网络边界安全协同防御方法，其特征在于，步骤1中，所述可用通信节点网管配置信息包括网络的地址信息、端口信息、协议信息；其中，

所有可用地址信息组成地址池l＝{ip₁，ip₂，…，ip_m}，m为可用地址数量；

所有可用端口信息组成端口池P＝{port₁，port₂，…，port_n}，所述端口是应用层各种协议进程与运输实体进行层间交互的地址，n为可用端口数量；

所有可用协议信息组成协议池Ψ＝{pro₁，pro₂，…，pro_s}，所述协议至少包括网络通信协议、数据加密协议、或数据压缩算法，s为可用协议数量；

其中，所述节点网管配置信息e由地址信息、端口信息、协议信息三元组组成，单个节点网管配置信息e_i＝(ip_i，port_i，pro_i)，节点网管配置状态空间如下：

E＝I×P×Ψ＝{(ip_i，port_j，pro_k)|1≤i≤m，1≤j≤n，1≤k≤s}。

3.根据权利要求2所述的一种基于链路自动关联的电力网络边界安全协同防御方法，其特征在于，所述地址是IPv4地址或者IPv6地址。

4.根据权利要求1所述的一种基于链路自动关联的电力网络边界安全协同防御方法，其特征在于，步骤2：构建网络链路自动关联空间，随机选取可用的网络通信节点构成可用链路空间，包括：

通过伪随机数的方式从可用通信节点资源池中随机选取多条备选通信链路，并对通信端口、协议信息进行伪随机选取和配置；所述网络链路自动关联空间EH由节点网管配置状态空间E、伪随机序列集Φ、自动拓扑关联图节点网管配置状态集Ω、关联条件C、网络链路自动关联转移关系δ构成的五元组组成，即EH＝(E，Φ，Ω，C，δ)。

5.根据权利要求4所述的一种基于链路自动关联的电力网络边界安全协同防御方法，其特征在于，伪随机序列集Φ＝(Φ₁，Φ₂，Φ₃)^T，即

Φ＝{(Φ₁，Φ₂，Φ₃)^T|Φ₁＝(r₁ ¹，r₁ ²，…，r₁ ^m)，

Φ₂＝(r₂ ¹，r₂ ²，…，r₂ ⁿ)，Φ₃＝(r₃ ¹，r₃ ²，…，r₃ ^s)}，

其中，Φ₁，Φ₂，Φ₃为伪随机函数生成的伪随机序列，分别定义地址、端口、协议三类节点网管配置的关联顺序，通信双方按照该序列映射的节点网管配置实施关联和通信。

6.根据权利要求4所述的一种基于链路自动关联的电力网络边界安全协同防御方法，其特征在于，自动拓扑关联图节点网管配置状态集是构成拓扑关联图所有节点的网管配置状态集合，其中，为在时刻t***使用的节点网管配置。

7.根据权利要求4所述的一种基于链路自动关联的电力网络边界安全协同防御方法，其特征在于，关联条件C是触发网络链路自动关联的条件，C＝(c₁，c₂，…，c_p)表征不同的触发条件，其中，p为触发条件数量。

8.根据权利要求4所述的一种基于链路自动关联的电力网络边界安全协同防御方法，其特征在于，网络链路自动关联转移关系表示关联条件c_i下，通信双方使用的节点网管配置从Ω(t_i)状态迁移到Ω(t_i+1)状态的过程，满足

9.根据权利要求1所述的一种基于链路自动关联的电力网络边界安全协同防御方法，其特征在于，步骤3：网络通信双方执行网络通信链路自动关联协商流程，从备选通信链路中选取一条或多条通信链路作为实际通信链路，并定时隙地执行网络链路自动关联协商再调整流程，实现基于同态通信链路的网络攻击协同防御；其中，网络通信链路自动关联是通信一方单点关联、通信双方对等关联、或者多个通信对象之间的协同关联。

10.根据权利要求1-9之一所述的一种基于链路自动关联的电力网络边界安全协同防御方法，其特征在于，所述步骤3：网络通信双方执行网络通信链路自动关联协商流程，协商选取当前通信链路，并定时隙地进行通信链路动态协商调整，

其中，所述网络通信链路自动关联采用通信双方对等关联，允许多个网络链路自动关联信道上独立的传输层节点，主站端和客户端都需要向通信对象声明自己的拓扑关联图，拓扑关联图双向交换，然后按照既定拓扑关联图实施安全通信，其中主站端相关流程由电网主站拓扑关联代理执行。

11.一种基于链路自动关联的电力网络边界安全协同防御***，执行如权利要求1-10之一的方法，用于实现电力网络边界安全协同防御，其特征在于，所述***由关联代理控制模块、时间同步模块、延迟处理模块、异常检测模块、诱骗处理模块、通信转发模块以及若干可用关联节点组成；

其中，关联代理控制模块是关联代理的核心，控制其他各模块和可用关联节点，协调电网智能终端客户端和电网主站业务***间的网络链路自动关联，时间同步模块负责电网智能终端客户端和关联代理之间的时间同步，异常检测模块用于对网络数据流进行抽样检测，利用异常检测算法分析网络异常，诱骗处理模块用于生成虚假报文，迷惑攻击者，增加攻击者对截获报文进行过滤和重组分析的难度，通信转发模块在电网主站业务***和电网智能终端客户端之间实施数据转发，每个可用关联通信节点分配一个节点网管配置，任意时刻只有处于活动期内的关联节点才能被激活；电网智能终端客户端和电网主站业务***协商好拓扑关联图后，利用时间同步模块校准本地时钟，进入关联通信模式，关联代理控制模块根据既定的拓扑关联图进行活动节点切换，合法客户端发送的数据通过当前活动关联节点进入关联代理，经通信转发模块发送给电网主站业务***，电网主站业务***发出的数据包经过通信转发模块和活动关联节点返回给电网智能终端客户端，延迟处理模块和异常检测模块采样网络数据流，对网络异常和延迟进行评估，关联代理控制模块根据评估结果和自调整策略动态改变活动节点网管配置。