应用于电力通信网络中的网络攻击可达性计算方法及装置

摘要

本发明公开了一种应用于电力通信网络中的网络攻击可达性计算方法及装置，该方法包括，通过模拟不同的网络攻击对电力通信网络造成的影响过程，采集网络节点漏洞分布、节点防御功能相互关系以及不同攻击模式网络攻击利用漏洞情况等数据，进而计算电力通信网络漏洞利用成功率，电力通信网络中网络攻击先验概率和后验概率，最终计算网络攻击可达性，网络攻击可达性可以有效评估电力通信网络抵抗网络攻击的能力。

说明书

技术领域

本发明涉及电力信息系统防御网络攻击技术领域，具体涉及一种应用于电力通信网络中的网络攻击可达性计算方法。

背景技术

随着能源行业的不断发展和国家政策的需求，现代电力系统向着安全、稳定、环保的方向不断发展，为了接纳更多的新能源发电、实现能源系统的协调控制、形成完整的能源互联网，电力系统向着泛在电力物联网的方向发展。为了处理海量的终端信息数据的采集和应用，在电力系统中接入大量信息元件，推动电力物理系统和信息系统的融合。在电网通信网络中应用的现代先进的通信和信息技术提升了对电力系统的控制，同时也使得电力系统的业务越来越依托于电网通信网络，愈加容易遭受来源于信息系统的网络攻击的威胁。网络攻击可以通过削弱甚至破坏电网通信网络的正常功能，迫使依赖于电网通信网络的电力系统运行业务出现问题甚至瘫痪，严重威胁电力系统的安全稳定运行。基于上述问题，近年来出现了大量针对网络攻击的研究成果。对网络攻击的行为和目的进行了分析，分析了网络攻击的影响传播链，针对网络攻击的特性提出了相应的检测识别方法，研究了应对网络攻击的阻断策略，通过阻断网络攻击的传播进行防御，对网络攻击的攻击方式和传播过程进行研究，提出了相应的防御方法，研究了安全防御措施的最佳部署策略。但由于电力系统和通信与信息系统自身内在原因，通信与信息系统依然存在安全隐患，仍存在网络攻击无法防御，如2010年，“震网”病毒成功入侵伊朗核电站导致核电站延迟发电，2015年乌克兰电网被网络攻击成功入侵，造成大范围停电事故，2016年，以色列电网遭受网络攻击入侵，在付出了极大的防御代价的情况下避免了电网的崩溃。这些网络攻击无法防御是因为系统本身存在大量问题，所以有必要从防御效果的角度，开展网络攻击可达性的研究。

发明内容

针对现有技术的不足，本发明的目的在于提供一种应用于电力通信网络中的网络攻击可达性计算方法及装置，以解决现有技术中存在的量化电力通信网络防御网络攻击能力的问题。

为解决上述技术问题，本发明采用的技术方案为：

本发明提供一种应用于电力通信网络中的网络攻击可达性计算方法，包括：

模拟电力通信网络遭受不同网络攻击的多次攻击情景，构建网络攻击图；

基于所构建的网络攻击图中节点信息，计算节点漏洞利用成功率；

基于节点漏洞利用成功率计算网络攻击入侵节点的先验概率；

基于网络攻击入侵节点的先验概率，计算网络攻击入侵节点的后验概率；

基于网络攻击入侵节点的后验概率，计算网络攻击可达性指标。

进一步的，所述模拟电力通信网络遭受不同网络攻击的多次攻击情景，构建网络攻击图，包括：

选择不同的网络攻击方式和攻击路径组成不同的攻击模式，构建攻击模式库；

随机选择攻击模式库中未选择的攻击模式；

采用所选择的攻击模式，对电力通信网络进行多次攻击；

基于攻击过程构建网络攻击图，并收集每次攻击下的系统漏洞分布、漏洞访问复杂度、身份认证次数以及节点防御信息，直至完成攻击模式库中所有攻击模式的网络攻击模拟，形成网络攻击图；

所述网络攻击图由代表信息设备的节点和连接这些节点的有向边构成，有向边代表了网络攻击利用的数据传输关系。

进一步的，所述基于所构建的网络攻击图中节点信息，计算节点漏洞利用成功率，包括：

P(e

其中，P(e

进一步的，所述基于节点漏洞利用成功率计算网络攻击入侵节点的先验概率，包括：

其中，P(S

进一步的，所述基于网络攻击入侵节点的先验概率，计算网络攻击入侵节点的后验概率，包括：

其中，P(S

进一步的，所述基于网络攻击入侵节点的后验概率，计算网络攻击可达性指标，包括：

其中，H(X)表示当前网络拓扑结构X的网络攻击可达性指标，P

本发明还提供一种应用于电力通信网络中的网络攻击可达性计算装置，包括：

仿真模拟模块，用于模拟电力通信网络遭受不同网络攻击的多次攻击情景，构建网络攻击图；

第一计算模块，用于基于所构建的网络攻击图中节点信息，计算节点漏洞利用成功率；

第二计算模块，用于基于节点漏洞利用成功率计算网络攻击入侵节点的先验概率；

第三计算模块，用于基于网络攻击入侵节点的先验概率，计算网络攻击入侵节点的后验概率；

第四计算模块，用于基于网络攻击入侵节点的后验概率，计算网络攻击可达性指标。

进一步的，所述仿真模拟模块具体用于，

选择不同的网络攻击方式和攻击路径组成不同的攻击模式，构建攻击模式库；

随机选择攻击模式库中未选择的攻击模式；

采用所选择的攻击模式，对电力通信网络进行多次攻击；

基于攻击过程构建网络攻击图，并收集每次攻击下的系统漏洞分布、漏洞访问复杂度、身份认证次数以及节点防御信息，直至完成攻击模式库中所有攻击模式的网络攻击模拟，形成网络攻击图；

所述网络攻击图由代表信息设备的节点和连接这些节点的有向边构成，有向边代表了网络攻击利用的数据传输关系。

进一步的，所述第一计算模块具体用于，

计算节点漏洞利用成功率：

P(e

其中，P(e

进一步的，所述第二计算模块具体用于，

计算网络攻击入侵节点先验概率：

其中，P(S

进一步的，所述第三计算模块具体用于，

计算网络攻击入侵节点的后验概率：

其中，P(S

进一步的，所述第四计算模块具体用于，

计算网络攻击可达性指标：

其中，H(X)表示当前网络拓扑结构X的网络攻击可达性指标，P

本发明的有益效果为：

本发明通过模拟不同的网络攻击对电力通信网络造成的影响过程，采集网络节点漏洞分布、节点防御功能相互关系以及不同攻击模式网络攻击利用漏洞情况等数据，计算漏洞利用成功率，电力通信网络中网络攻击先验概率和后验概率的计算，最后进行网络攻击可达性的计算，网络攻击是否可达可以直接反映网络攻击是否会危害到电网运行，该方法可以广泛利用于电力通信网络建设初期的规划阶段，对网络拓扑结构进行安全性优化规划或评估；利用本方法可以有效评估电力通信网络抵抗网络攻击的能力。

附图说明

图1为本发明的网络攻击可达性计算流程图；

图2为本发明的通过仿真模拟电力通信网络遭受网络攻击构建网络攻击图流程图；

图3为本发明形成的网络攻击图示意。

具体实施方式

下面结合附图对本发明的技术方案作进一步说明。应当了解，以下提供的实施例仅是为了详尽地且完全地公开本发明，并且向所属技术领域的技术人员充分传达本发明的技术构思，本发明还可以用许多不同的形式来实施，并且不局限于此处描述的实施例。对于表示在附图中的示例性实施方式中的术语并不是对本发明的限定。

本发明提供一种应用于电力通信网络中的网络攻击可达性计算方法，参见图1，包括：

模拟电力通信网络遭受不同网络攻击的多次攻击情景，构建网络攻击图，采集系统漏洞分布、漏洞访问复杂度、身份认证次数以及节点防御功能相互关系等信息。

利用所构建的网络攻击图中节点访问途径，漏洞访问复杂度以及节点身份认证机制等数据计算节点漏洞利用成功率。节点访问途径是指网络攻击访问节点漏洞的方式，分为远程网络访问，临近网络访问以及本地访问三种，具体由攻击者来决定。

计算网络攻击入侵节点的先验概率。

以先验概率为基础数据，利用贝叶斯理论计算网络攻击入侵节点的后验概率。

以网络攻击入侵节点的后验概率为基础，计算网络攻击可达性指标。

具体的，模拟电力通信网络遭受不同网络攻击的多次攻击情景，构建攻击图，参照图2，包括：

选择不同的网络攻击方式和攻击路径组成不同的攻击模型，构建攻击模式库；

随机选择攻击模式库中未选择的攻击模式；

采用所选择的攻击模式，对电力通信网络进行多次攻击，并收集每次攻击下的系统漏洞分布、漏洞访问复杂度、身份认证次数以及节点防御功能相互关系等信息，直至完成攻击模式库中所有攻击模式的网络攻击模拟，形成网络攻击图。

参照图3，网络攻击图是由代表信息设备的节点和连接这些节点的有向边构成，节点间的有向边代表了网络攻击利用的数据传输关系。遍历所有的网络节点以及数据传输路径，可以实现网络攻击图的构建。

网络攻击图是有向无环图，每条线路从终端设备/控制中心出发到控制中心/终端设备结束，尽管在实际网络中存在连接的线路构成环路，结合其线路上传输关系属性，并不构成数据传输的环路。

具体的，利用节点访问途径，节点访问复杂度以及节点身份认证机制等数据计算节点漏洞利用成功率，包括：

节点漏洞利用成功率定义为，网络攻击利用设备中固有的漏洞进行入侵成功的概率。

采用美国标准与技术研究院提供的方法来评估漏洞利用成功率。主要对以下三个属性进行分析，分别是：访问途径(access route,AR)、访问复杂度(access complexity,AC)、身份认证(authentication,AU)，其等级和取值如表1所示。

表1属性等级

根据美国标准与技术研究院提供的漏洞利用成功率的评估方法。该方法是一个通用的评估体系，目前主流的方式是通过专家打分的方式来确定数值。

节点漏洞利用成功率为：

P(e

式中，P(e

具体的，计算网络攻击入侵节点的先验概率，包括：

网络攻击入侵节点先验概率定义为一种对入侵结果的静态评估，指不考虑其它因素，网络攻击成功入侵该通信节点的概率。

受到当前技术的限制，信息设备中尚未解决的漏洞有很多，因此，考虑到网络攻击利用不同的漏洞实现对当前节点的入侵，将Pa(S

式中，N表示当前节点可被利用漏洞的数量，P(S

网络攻击在入侵S

式中，P(S

具体的，以先验概率为基础数据，利用贝叶斯理论计算网络攻击入侵节点的后验概率，包括：

网络攻击入侵节点后验概率定义为，后验概率是一种对入侵结果的动态评估，指网络攻击已经入侵其它通信节点成功的情况下，成功入侵该通信节点的概率。由于网络中的安全条件、安全因素的改变，以及发生的实时攻击事件对网络各个属性节点的先验概率都会产生影响。利用后验概率计算可以动态实时评估在网络攻击下的安全风险。

定义O＝{O

得到当前节点S

式中，P(S

具体的，以网络攻击入侵节点后验概率为基础，计算网络攻击可达性指标，包括：

网络攻击可达性定义为，网络攻击成功入侵电网通信网络的一个攻击点并传播至目标设备的概率。目标设备可以是服务器，控制中心，交换机和路由器等通信网络中重要的通信以及数据分析设备。

可达的网络攻击需要成功入侵一整条路径上所有的设备，对于不可达的网络攻击，无法完成既定攻击内容，其影响尚未传递至电网，对电力系统的危害很小甚至没有，所以，网络攻击是否可达可以直接反映网络攻击是否会危害到电网运行。

网络攻击可达性的计算方式为：

式中，X代表当前网络拓扑结构，P

P

P(S

攻击事件与攻击模式的关系。攻击事件指的是在遭受某一种攻击情况下，系统所表现出的反应。攻击模式是指攻击发动的具体的攻击类型，例如错误数据注入攻击，拒绝服务攻击等。

本发明实施例还提供一种应用于电力通信网络中的网络攻击可达性计算装置，包括：

仿真模拟模块，用于模拟电力通信网络遭受不同网络攻击的多次攻击情景，构建网络攻击图；

第一计算模块，用于基于所构建的网络攻击图中节点信息，计算节点漏洞利用成功率；

第二计算模块，用于基于节点漏洞利用成功率计算网络攻击入侵节点的先验概率；

第三计算模块，用于基于网络攻击入侵节点的先验概率，计算网络攻击入侵节点的后验概率；

第四计算模块，用于基于网络攻击入侵节点的后验概率，计算网络攻击可达性指标。

具体的，仿真模拟模块用于，

选择不同的网络攻击方式和攻击路径组成不同的攻击模式，构建攻击模式库；

随机选择攻击模式库中未选择的攻击模式；

采用所选择的攻击模式，对电力通信网络进行多次攻击；

基于攻击过程构建网络攻击图，并收集每次攻击下的系统漏洞分布、漏洞访问复杂度、身份认证次数以及节点防御信息，直至完成攻击模式库中所有攻击模式的网络攻击模拟，形成网络攻击图；

所述网络攻击图由代表信息设备的节点和连接这些节点的有向边构成，有向边代表了网络攻击利用的数据传输关系。

具体的，第一计算模块用于，

计算节点漏洞利用成功率：

P(e

其中，P(e

具体的，第二计算模块用于，

计算网络攻击入侵节点先验概率：

其中，P(S

具体的，第三计算模块用于，

计算网络攻击入侵节点的后验概率：

其中，P(S

具体的，第四计算模块用于，

计算网络攻击可达性指标：

其中，H(X)表示当前网络拓扑结构X的网络攻击可达性指标，P

本发明实施例还提供一种应用于电力通信网络中的网络攻击可达性计算方法的系统，所述系统包括处理器和存储介质；

所述存储介质用于存储指令；

所述处理器用于根据所述指令进行操作以执行上述所述方法的步骤。

计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现上述所述方法的步骤。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上仅为本发明的实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均包含在申请待批的本发明的权利要求范围之内。