CN110704838A - 一种基于信息物理融合的恶意数据注入攻击的检测方法 - Google Patents
一种基于信息物理融合的恶意数据注入攻击的检测方法 Download PDFInfo
- Publication number
- CN110704838A CN110704838A CN201910943488.4A CN201910943488A CN110704838A CN 110704838 A CN110704838 A CN 110704838A CN 201910943488 A CN201910943488 A CN 201910943488A CN 110704838 A CN110704838 A CN 110704838A
- Authority
- CN
- China
- Prior art keywords
- attack
- physical
- cyber
- malicious data
- network layer
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000001514 detection method Methods 0.000 title claims abstract description 35
- 238000002347 injection Methods 0.000 title claims abstract description 33
- 239000007924 injection Substances 0.000 title claims abstract description 33
- 230000004927 fusion Effects 0.000 title claims abstract description 17
- 239000011159 matrix material Substances 0.000 claims abstract description 32
- 238000000034 method Methods 0.000 claims abstract description 28
- 230000002159 abnormal effect Effects 0.000 claims abstract description 17
- 238000005259 measurement Methods 0.000 claims description 26
- 238000005457 optimization Methods 0.000 claims description 9
- 238000005516 engineering process Methods 0.000 claims description 8
- 238000013507 mapping Methods 0.000 claims description 5
- 238000012544 monitoring process Methods 0.000 claims description 5
- 238000004088 simulation Methods 0.000 claims description 5
- 230000005540 biological transmission Effects 0.000 claims description 4
- 238000004364 calculation method Methods 0.000 claims description 3
- 238000012790 confirmation Methods 0.000 claims description 3
- 239000000126 substance Substances 0.000 claims description 3
- 230000009286 beneficial effect Effects 0.000 abstract description 4
- 230000006399 behavior Effects 0.000 description 2
- 230000007123 defense Effects 0.000 description 2
- 230000035945 sensitivity Effects 0.000 description 2
- 230000001360 synchronised effect Effects 0.000 description 2
- 238000004422 calculation algorithm Methods 0.000 description 1
- 230000006854 communication Effects 0.000 description 1
- 238000005336 cracking Methods 0.000 description 1
- 230000001186 cumulative effect Effects 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 239000000284 extract Substances 0.000 description 1
- 238000000605 extraction Methods 0.000 description 1
- 230000010354 integration Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000005293 physical law Methods 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
- 238000011160 research Methods 0.000 description 1
- 230000001131 transforming effect Effects 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
一种基于信息物理融合的恶意数据注入攻击的检测方法,属于智能电网信息安全技术领域。方法包括步骤S01,根据监听到的网络层异常数据包,提取网络影响因数矩阵;步骤S02,构建加入影响因数矩阵的物理层状态估计方程;步骤S03,基于步骤S02中的物理层状态估计方程,利用卡方检验方法检测恶意数据注入攻击。本发明检测精准度高,有利于后续针对性的对电力工控***进行防御。
Description
技术领域
本发明属于智能电网信息安全技术领域,具体涉及一种基于信息物理融合的恶意数据注入攻击的检测方法。
背景技术
作为信息网络和传统电网的结合的产物,智能电网为电力***带来了很多新的特性,比如能观性,能控性,鲁棒性和恢复力。然而,由于对信息网络的高度依赖,很多安全问题也随之产生,智能电网的安全性和稳定性存在一定的隐患。比如,攻击者可以发动DoS,数据篡改,恶意控制指令注入等攻击,来渗透通信过程,窃取用户隐私,甚至危害控制***,给电力***造成巨大的破坏。因此,需要一种针对这些攻击的检测技术。而这些攻击往往是从信息网络层发起,进一步入侵物理层的,通过精心构造恶意数据,往往能绕过电力***物理层现有的恶意数据检测***。信息网络层和物理层的数据融合则给攻击检测提供了一种更优方法。
发明专利CN201510062192.3公开了一种智能电网恶意数据注入攻击及检测方法,并具体公开了方法首先通过攻击电网中少数的同步相角量测(PMU),将交流模型恶意数据注入攻击,转化为直流模型下的恶意数据注入攻击,构造出一种新的智能电网恶意数据注入攻击方式,然后针对这种新的攻击方式,又提出了两种即基于预测量测和估计量测残差的检测算子,来检测与定位判断电力***量测信息中可能存在的恶意注入数据,并做出相应的更新数据处理,以确保智能电网运行更加稳定安全可靠。该方法虽然能检测到攻击,但仅仅考虑了物理层状态,基于对同步相角量测(PMU) 注入恶意数据攻击的方式进行检测。
发明内容
本发明针对现有技术存在的问题,提出一种基于信息物理融合的恶意数据注入攻击的检测方法,通过融合信息网络层的流量和电力***内在的物理定律,拟合一个统一的模型,来对恶意数据注入攻击进行检测,检测精准度高,有利于后续针对性的对电力工控***进行防御。
本发明是通过以下技术方案得以实现的:
本发明提供一种基于信息物理融合的恶意数据注入攻击的检测方法,一种基于信息物理融合的恶意数据注入攻击的检测方法,包括:
步骤S01,根据监听到的网络层异常数据包,提取网络影响因数矩阵;
步骤S02,构建加入影响因数矩阵的物理层状态估计方程;
步骤S03,基于步骤S02中的物理层状态估计方程,利用卡方检验方法检测恶意数据注入攻击。
本发明利用信息网络层数据流量和物理层电学定律,拟合一个统一的模型,来对恶意数据注入攻击进行检测。通过监听数据包,特征提取,建立状态估计方程,实现对攻击的检测。目前国内在此领域的研究尚未成熟,本发明可以填补国内在此领域的空白,提高智能电网的安全性能。
作为优选,步骤S01包括:
步骤S11,监听网络层数据包,将监听到的网络层异常数据包记录于网络层警报日志;
步骤S12,将网络层警报日志中的警报记录根据设备-ip映射表分组,每组存储有对应设备的警报记录;
其中,m是威胁优先级权重系数( ),alert(device_i)是设备i的警报集合,priority(k)是警报k的威胁优先级;
作为优选,所述步骤S13还包括优化设备i的影响因数:
作为优选,所述警报k的威胁优先级为根据设备所对应的攻击事件预先设定的;所述威胁优先级权重系数为根据警报k的威胁优先级所对应的不同类型操作预先设定。
作为优选,在进行步骤S01中的网络层异常数据包为由设备信息改写、潜在DoS攻击行为、频繁密码状态确认、设备参数改写所引起的网络层异常数据包。
作为优选,步骤S02包括:
步骤S21,建立状态估计方程:
步骤S22,利用加权最小二乘法将状态估计方程表示为二次最优化方程:
步骤S23,将影响因数矩阵加入到二次最优化方程中:
步骤S24,利用牛顿法求解步骤S23中的二次最优化方程:
作为优选,步骤S03包括:
步骤S31,将步骤S02中的物理层状态估计方程改写成测量误差方程:
步骤S32, 利用卡方检验方法检测恶意数据注入攻击:
当为yes时,存在攻击,当为no时,不存在攻击。
作为优选,所述设备为智能电表。
作为优选,在进行检测方法检测性能验证时,所述网络层异常数据包通过仿真攻击获得,或者通过遍历攻击,改变所有输电线上的有功功率获得。
本发明具有以下有益效果:
本发明一种基于信息物理融合的恶意数据注入攻击的检测方法,实现了对恶意数据注入攻击的检测,有利于后续针对性的对电力工控***进行防御。
附图说明
图1为本发明一种基于信息物理融合的恶意数据注入攻击的检测方法流程图。
具体实施方式
以下是本发明的具体实施例并结合附图,对本发明的技术方案作进一步的描述,但本发明并不限于这些实施例。
如图1,一种基于信息物理融合的恶意数据注入攻击的检测方法,包括:
步骤S01,根据监听到的网络层异常数据包,提取网络影响因数矩阵;
步骤S02,构建加入影响因数矩阵的物理层状态估计方程;
步骤S03,基于步骤S02中的物理层状态估计方程,利用卡方检验方法检测恶意数据注入攻击。
本发明利用信息网络层数据流量和物理层电学定律,通过监听网络层数据包的流动,提取网络影响因数矩阵,加入到物理层的状态估计方程中,来对目前状态进行更精确的估计,实现对攻击的检测的方法。
具体地,所述步骤S01包括:
步骤S11,监听网络层数据包,将监听到的网络层异常数据包记录于网络层警报日志;
步骤S12,将网络层警报日志中的警报记录根据设备-ip映射表分组,每组存储有对应设备的警报记录;
在步骤S11中,网络层警报日志由多条警报记录组成。每条警报记录记录有网络层异常数据包来源的设备ip地址和操作类型,为此,每条警报记录以设备IP地址-操作类型-网络层异常数据包一一对应的方式存储信息。其中,网络层异常数据包为由设备信息改写、潜在DoS攻击行为、频繁密码状态确认(密码破解)、设备参数改写等各种攻击情况所引起的网络层异常数据包。
在步骤S12中,所述设备-ip映射表为以设备与ip地址一一对应存储的映射表。通过识别警报记录中的ip地址,确认这个警报记录中的网络层异常数据包来源于哪个设备。之后,依据ip地址,确认所有警报记录中的网络层异常数据包来源于哪个设备,之后以设备为小组,各组存储于设备对应的警报记录。
在步骤S13中,计算设备i的影响因数,即计算每个组的影响因数。所述警报k的威胁优先级为根据设备所对应的攻击事件预先设定的(参照表一)。所述威胁优先级权重系数为根据警报k的威胁优先级所对应的不同类型操作预先设定(参照表二)。
表一 不同设备发生不同攻击事件下的威胁优先级(即敏感等级)列表
表二 敏感等级对应不同操作类型下的威胁优先级权重系数列表
为了保证影响因数非线性增长,通过计算平方根来平滑由积累效应造成的数值快速增加。为此,所述步骤S13还包括优化设备i的影响因数:
具体地,所述步骤S02包括:
步骤S21,建立状态估计方程:
步骤S22,利用加权最小二乘法将状态估计方程表示为二次最优化方程:
步骤S24,利用牛顿法求解步骤S23中的二次最优化方程:
具体地,所述步骤S03包括:
步骤S31,将步骤S02中的物理层状态估计方程改写成测量误差方程:
步骤S32, 利用卡方检验方法检测恶意数据注入攻击:
当为yes时,存在攻击,当为no时,不存在攻击。
对于一个经过校正的***,测量误差e可以被认为服从均值为0,方差为R的高斯分布。这样的话,检测注入数据的目标函数可以被改写成步骤S31中的测量误差形式。服从标准正态分布,n个测量结果满足电力***的功率平衡方程,这意味着(m-n)个测量误差是线性独立的,因此目标函数满足(m-n)自由度的卡方分布。因此,可以应用卡方检验。
针对本发明检测方法进行攻击检测性能的评估。
例一,通过仿真实验,针对IEEE14总线***进行攻击。
网络层异常数据包通过仿真攻击获得,尤其挑选可以绕过传统检测技术的攻击数据。
表三 仿真攻击获取的示例性攻击数据
之后,执行上述步骤S01、S02、S03,检测是否存在攻击。
例二,针对IEEE14总线***进行遍历攻击。
进行遍历攻击,将输电线上的所有的有功功率测量数据乘1.3得到攻击数据。之后,执行上述步骤S01、S02、S03,检测,检测有多少数据被修改。
例三,针对IEEE39总线***,以误报率为影响因素,比较攻击检测技术与传统攻击检测技术应对遍历攻击的性能。
定义误报率:
针对每条传输线,将实际测量有功功率乘1.3得到攻击数据,根据实验结果,我们提出的攻击检测技术在任何FAR的条件下都要比传统检测方法效果要好。
本领域的技术人员应理解,上述描述及附图中所示的本发明的实施例只作为举例而并不限制本发明。本发明的目的已经完整有效地实现。本发明的功能及结构原理已在实施例中展示和说明,在没有背离所述原理下,本发明的实施方式可以有任何变形或修改。
Claims (9)
1.一种基于信息物理融合的恶意数据注入攻击的检测方法,其特征在于,包括:
步骤S01,根据监听到的网络层异常数据包,提取网络影响因数矩阵;
步骤S02,构建加入影响因数矩阵的物理层状态估计方程;
步骤S03,基于步骤S02中的物理层状态估计方程,利用卡方检验方法检测恶意数据注入攻击。
3.根据权利要求2所述的一种基于信息物理融合的恶意数据注入攻击的检测方法,其特征在于,所述步骤S13还包括优化设备i的影响因数:
。
4.根据权利要求2所述的一种基于信息物理融合的恶意数据注入攻击的检测方法,其特征在于,所述警报k的威胁优先级为根据设备所对应的攻击事件预先设定的;所述威胁优先级权重系数为根据警报k的威胁优先级所对应的不同类型操作预先设定。
5.根据权利要求1所述的一种基于信息物理融合的恶意数据注入攻击的检测方法,其特征在于,在进行步骤S01中的网络层异常数据包为由设备信息改写、潜在DoS攻击行为、频繁密码状态确认、设备参数改写所引起的网络层异常数据包。
8.根据权利要求2所述的一种基于信息物理融合的恶意数据注入攻击的检测方法,其特征在于,所述设备为智能电表。
9.根据权利要求1所述的一种基于信息物理融合的恶意数据注入攻击的检测方法,其特征在于,在进行检测方法检测性能验证时,所述网络层异常数据包通过仿真攻击获得,或者通过遍历攻击,改变所有输电线上的有功功率获得。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201910943488.4A CN110704838A (zh) | 2019-09-30 | 2019-09-30 | 一种基于信息物理融合的恶意数据注入攻击的检测方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201910943488.4A CN110704838A (zh) | 2019-09-30 | 2019-09-30 | 一种基于信息物理融合的恶意数据注入攻击的检测方法 |
Publications (1)
Publication Number | Publication Date |
---|---|
CN110704838A true CN110704838A (zh) | 2020-01-17 |
Family
ID=69196481
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201910943488.4A Pending CN110704838A (zh) | 2019-09-30 | 2019-09-30 | 一种基于信息物理融合的恶意数据注入攻击的检测方法 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN110704838A (zh) |
Cited By (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN111885033A (zh) * | 2020-07-14 | 2020-11-03 | 南京聚铭网络科技有限公司 | 基于多源安全检测框架的机器学习场景检测方法及*** |
CN112769797A (zh) * | 2020-12-30 | 2021-05-07 | 华北电力大学 | 一种闭源电力工控***的安全防御***及防御方法 |
CN113242209A (zh) * | 2021-04-08 | 2021-08-10 | 浙江大学 | 智能电网虚假数据注入攻击的广义累积和检测方法 |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN103634296A (zh) * | 2013-11-07 | 2014-03-12 | 西安交通大学 | 基于物理***和信息网络异常数据融合的智能电网攻击检测方法 |
US20150358359A1 (en) * | 2006-08-14 | 2015-12-10 | HID Global | Policy-based physical security system for restricting access to computer resources and data flow through network equipment |
CN108989330A (zh) * | 2018-08-08 | 2018-12-11 | 广东工业大学 | 一种电力***中虚假数据注入攻击的双层防御方法 |
CN109921415A (zh) * | 2019-03-13 | 2019-06-21 | 东北大学 | 一种面向混合量测的电网恶性数据注入攻击在线防御方法 |
-
2019
- 2019-09-30 CN CN201910943488.4A patent/CN110704838A/zh active Pending
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20150358359A1 (en) * | 2006-08-14 | 2015-12-10 | HID Global | Policy-based physical security system for restricting access to computer resources and data flow through network equipment |
CN103634296A (zh) * | 2013-11-07 | 2014-03-12 | 西安交通大学 | 基于物理***和信息网络异常数据融合的智能电网攻击检测方法 |
CN108989330A (zh) * | 2018-08-08 | 2018-12-11 | 广东工业大学 | 一种电力***中虚假数据注入攻击的双层防御方法 |
CN109921415A (zh) * | 2019-03-13 | 2019-06-21 | 东北大学 | 一种面向混合量测的电网恶性数据注入攻击在线防御方法 |
Non-Patent Citations (1)
Title |
---|
刘烃 等: "信息物理融合***综合安全威胁与防御研究", 《自动化学报》 * |
Cited By (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN111885033A (zh) * | 2020-07-14 | 2020-11-03 | 南京聚铭网络科技有限公司 | 基于多源安全检测框架的机器学习场景检测方法及*** |
CN111885033B (zh) * | 2020-07-14 | 2021-06-29 | 南京聚铭网络科技有限公司 | 基于多源安全检测框架的机器学习场景检测方法及*** |
CN112769797A (zh) * | 2020-12-30 | 2021-05-07 | 华北电力大学 | 一种闭源电力工控***的安全防御***及防御方法 |
CN113242209A (zh) * | 2021-04-08 | 2021-08-10 | 浙江大学 | 智能电网虚假数据注入攻击的广义累积和检测方法 |
CN113242209B (zh) * | 2021-04-08 | 2022-05-24 | 浙江大学 | 智能电网虚假数据注入攻击的广义累积和检测方法 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN110704838A (zh) | 一种基于信息物理融合的恶意数据注入攻击的检测方法 | |
US10362056B1 (en) | Content-aware spoofed sensor measurement data detection in microgrids | |
GB2558534A (en) | Detecting a bad data injection event within an industrial control system | |
Kang et al. | False data injection attacks on contingency analysis: Attack strategies and impact assessment | |
Chen et al. | A novel online detection method of data injection attack against dynamic state estimation in smart grid | |
CN110210229B (zh) | 电网信息物理***的脆弱性的评估方法、***及存储介质 | |
CN105553998A (zh) | 一种网络攻击异常检测方法 | |
CN106713233B (zh) | 一种网络安全状态的判断与保护方法 | |
CN111723366A (zh) | 一种基于状态估计偏差的错误数据注入攻击鲁棒检测方法 | |
CN112633649A (zh) | 电网多属性重要节点评估与规划方法 | |
Zhou et al. | Real-time detection of cyber-physical false data injection attacks on power systems | |
Khalaf et al. | Detection of false data injection in automatic generation control systems using Kalman filter | |
CN113242209B (zh) | 智能电网虚假数据注入攻击的广义累积和检测方法 | |
CN112749097B (zh) | 一种模糊测试工具性能测评方法、装置 | |
Wang et al. | An accurate false data detection in smart grid based on residual recurrent neural network and adaptive threshold | |
Zhang et al. | SPMA: Stealthy physics-manipulated attack and countermeasures in cyber-physical smart grid | |
Akbarian et al. | Intrusion detection on critical smart grid infrastructure | |
CN117061214A (zh) | 一种输电边缘网关网络安全防御***及方法 | |
CN114928500B (zh) | 数据注入使能的电网网络参数的攻击检测方法及装置 | |
Ding et al. | Quantifying the influence of local load redistribution attack on power supply adequacy | |
CN112261041B (zh) | 一种电力终端多级分布式监测与防渗透*** | |
Ge et al. | Detecting data integrity attacks in smart grid | |
Deng et al. | Optimal Defense Strategy Based on the Load Nodes’ Importance against Dummy Data Attacks in Smart Grids | |
CN108596361B (zh) | 一种电力***实用量测保护方案选择方法 | |
Parizad et al. | False data detection in power system under state variables' cyber attacks using information theory |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
RJ01 | Rejection of invention patent application after publication | ||
RJ01 | Rejection of invention patent application after publication |
Application publication date: 20200117 |