基于虛擬元件主動誘騙的電力調(diào)度scada入侵檢測方法
【技術領域】
[0001]本發(fā)明涉及一種電力調(diào)度SCADA系統(tǒng)入侵檢測方法，具體涉及一種基于主動誘騙、虛擬重要元件弓I誘入侵者攻擊的入侵檢測方法。
【背景技術】
[0002]作為現(xiàn)代社會的關鍵性基礎設施，電力系統(tǒng)是網(wǎng)絡攻擊的高價值目標。在電力系統(tǒng)的數(shù)字化和網(wǎng)絡化發(fā)展過程中，電力系統(tǒng)逐漸發(fā)展成為由信息系統(tǒng)和物理電網(wǎng)融合構成的混雜系統(tǒng)。其中，電網(wǎng)的調(diào)度控制和生產(chǎn)管理高度依賴于信息系統(tǒng)，發(fā)生信息安全事件可能引發(fā)的后果顯著上升。美國還專門組建網(wǎng)絡司令部，專門從事電力等領域的網(wǎng)絡攻擊與防衛(wèi)研究。
[0003]當前，電力系統(tǒng)信息安全研究側(cè)重于邊界防護，對惡意軟件入侵以后的行為模式與防護方法研究相對有限。2010年新出現(xiàn)的震網(wǎng)病毒(Stuxnet)，可以通過優(yōu)盤傳播攻擊物理隔離的特定重要目標。采用類似震網(wǎng)病毒的方式，由有深厚電力系統(tǒng)背景知識的有組織攻擊方制作的惡意軟件侵入電力系統(tǒng)實時控制區(qū)，確實是存在現(xiàn)實可能性的。
[0004]為保證生產(chǎn)控制區(qū)的信息安全，它和其他電力信息系統(tǒng)在網(wǎng)絡物理層實現(xiàn)隔離，如在調(diào)度中心和廠站之間通過專用的調(diào)度數(shù)據(jù)網(wǎng)進行經(jīng)認證加密的遠程通信，同一廠站的不同安全區(qū)之間設置隔離防火墻，并在生產(chǎn)控制大區(qū)邊界設置入侵檢測系統(tǒng)；對設備廠家的撥號接入采用加密、認證和訪問控制措施，在安全區(qū)內(nèi)則對惡意代碼等攻擊行為通過離線更新病毒庫、木馬庫、入侵檢測庫等方式防護。總體來看，電力信息安防主要針對網(wǎng)絡和基于網(wǎng)絡的電力生產(chǎn)控制系統(tǒng)，重點強化邊界防護，提高內(nèi)部安全防護能力。傳統(tǒng)上，物理隔離被認為是網(wǎng)絡攻擊難以逾越的天然屏障，包括電力系統(tǒng)在內(nèi)、對安全性有較高要求的信息系統(tǒng)都以此為準則構建核心網(wǎng)絡。當前，電力企業(yè)的信息安全防御思想主要還是側(cè)重于邊界防護，并假定隔離的生產(chǎn)網(wǎng)絡自身是安全的。
[0005]總體來看，電力信息安防主要針對網(wǎng)絡和基于網(wǎng)絡的電力生產(chǎn)控制系統(tǒng)，重點強化邊界防護，提高內(nèi)部安全防護能力。傳統(tǒng)上，物理隔離被認為是網(wǎng)絡攻擊難以逾越的天然屏障。2010年出現(xiàn)的震網(wǎng)病毒顛覆了這一認識。首先，該病毒借助強化設計的優(yōu)盤傳播機制，可以繞過安全邊界攻擊物理隔離的工業(yè)控制系統(tǒng)；其次，因殺毒軟件僅能查殺已知病毒，而震網(wǎng)病毒利用多個零日漏洞，殺毒軟件無法查殺；最后，因震網(wǎng)病毒有精確的破壞目標且對目標系統(tǒng)有深刻認識，它不會像普通病毒、木馬一樣大肆傳播，還可以無需通信試探即可準確修改攻擊目標的控制參數(shù)、實施破壞，這種行為模式與一般的惡意軟件和病毒有明顯差異，現(xiàn)有的被動式入侵檢測系統(tǒng)很難準確捕捉。綜上，當前對類似震網(wǎng)病毒的惡意軟件缺乏針對性的防御手段。
[0006]在電力企業(yè)的各種信息系統(tǒng)中，調(diào)度SCADA涉及電網(wǎng)全局的監(jiān)視與控制，一旦侵入即可能造成全網(wǎng)性事故，是最具價值的攻擊目標。為保障調(diào)度SCADA系統(tǒng)的信息安全，我國電力企業(yè)將其置于最核心的生產(chǎn)控制安全I區(qū)，和其他安全區(qū)之間在網(wǎng)絡物理層實現(xiàn)隔離。在調(diào)度SCADA和廠站之間通過專用的調(diào)度數(shù)據(jù)網(wǎng)進行經(jīng)認證加密的遠程通信，并在生產(chǎn)控制大區(qū)邊界設置入侵檢測系統(tǒng)；對設備廠家的撥號接入采用加密、認證和訪問控制措施，在安全區(qū)內(nèi)則對惡意代碼等攻擊行為通過離線更新病毒庫、木馬庫、入侵檢測庫等方式防護。
[0007]對電力系統(tǒng)及調(diào)度SCADA有深入認識的有組織攻擊方，同樣可以采用類似震網(wǎng)病毒的傳播機制，經(jīng)系統(tǒng)或設備廠家維護升級渠道，繞過安全防護邊界侵入生產(chǎn)控制安全區(qū)向SCADA發(fā)起針對性攻擊。由于SCADA系統(tǒng)對電網(wǎng)、一次設備及其控制地址和端口均以數(shù)據(jù)表形式記錄，圖1即為根據(jù)網(wǎng)絡公開渠道搜集的電力調(diào)度SCADA系統(tǒng)數(shù)據(jù)庫表結構信息。對有組織攻擊方而言，其可根據(jù)SCADA的詳細數(shù)據(jù)表結構，查找各變壓器、發(fā)電機及輸配電線路的信息及其關聯(lián)斷路器的IP地址、MAC地址和端口號，再根據(jù)SCADA的通信協(xié)議發(fā)送跳閘控制命令和返校信號，誘使線路跳閘。為了最大化破壞效果，熟知調(diào)度SCADA系統(tǒng)結構的攻擊方還可獲取電網(wǎng)信息，控制對電網(wǎng)安全穩(wěn)定運行有突出影響的、具有較高電壓等級的線路、具有較大發(fā)電裝機容量的發(fā)電機或是具有較高電壓等級和較大變電容量的變壓器關聯(lián)的斷路器跳閘，以擴大破壞效果，造成大面積停電事故。從攻擊方入侵目的出發(fā)，可以為實現(xiàn)電力調(diào)度系統(tǒng)的主動信息安全防護提供新的思路。

【發(fā)明內(nèi)容】

[0008]本發(fā)明所要解決的技術問題是:針對上述現(xiàn)有技術中具有很好的邊界防護能力的調(diào)度SCADA系統(tǒng)面臨的類似震網(wǎng)病毒對其內(nèi)部攻擊的信息安全問題，提供一種基于虛擬元件主動誘騙的電力調(diào)度SCADA入侵檢測方法。該方法是以現(xiàn)有實際電網(wǎng)的電力調(diào)度SCADA系統(tǒng)及其入侵檢測系統(tǒng)為基礎，在現(xiàn)有實際電網(wǎng)的電力調(diào)度SCADA系統(tǒng)數(shù)據(jù)庫表中插入虛擬發(fā)電機、變壓器、線路數(shù)據(jù)及與之關聯(lián)的斷路器元件數(shù)據(jù)，以于該SCADA系統(tǒng)中生成對應的虛擬元件，然后將虛擬斷路器的遙控IP地址、MAC地址和端口號指向該現(xiàn)有實際電網(wǎng)的入侵檢測系統(tǒng)。當入侵檢測系統(tǒng)接收到發(fā)送給虛擬斷路器的控制命令時即可判定有惡意軟件入侵，并將控制命令信號轉(zhuǎn)發(fā)給入侵檢測系統(tǒng)的報警系統(tǒng)，發(fā)出警報。
[0009]為了解決上述技術問題，本發(fā)明所采用的技術方案是:一種基于虛擬元件主動誘騙的電力調(diào)度SCADA的入侵檢測方法，其特點是，該方法是根據(jù)現(xiàn)有實際電網(wǎng)的電力調(diào)度SCADA數(shù)據(jù)庫表，按拓撲連接關系虛擬數(shù)組輸配電線路數(shù)據(jù)、變壓器數(shù)據(jù)及發(fā)電機數(shù)據(jù)，并虛擬與該輸配電線路數(shù)據(jù)、變壓器數(shù)據(jù)及發(fā)電機數(shù)據(jù)相關聯(lián)的斷路器數(shù)據(jù)，將該些虛擬數(shù)據(jù)插入該電力調(diào)度SCADA數(shù)據(jù)庫表中，使與該電力調(diào)度SCADA數(shù)據(jù)庫表相對應的電力調(diào)度SCADA系統(tǒng)中生成相對應的虛擬輸配電線路、變壓器、發(fā)電機及斷路器，誘使惡意軟件先攻擊該虛擬的輸配電線路、變壓器和發(fā)電機；同時設置該虛擬斷路器的遙控IP地址、MAC地址和端口號，并將其指向該實際電網(wǎng)的電力調(diào)度SCADA系統(tǒng)的入侵檢測系統(tǒng)；一旦惡意軟件入侵，攻擊虛擬輸配電線路、變壓器及發(fā)電機，遙控與被攻擊的虛擬輸配電線路、變壓器和發(fā)電機相關聯(lián)的虛擬斷路器跳閘，向該虛擬斷路器對應的遙控IP地址、MAC地址和端口號發(fā)出控制命令信號時，入侵檢測系統(tǒng)即可檢測到發(fā)送給該虛擬斷路器的控制命令信號并判定有惡意軟件入侵，同時將該控制命令信號轉(zhuǎn)發(fā)到其報警系統(tǒng)，由報警系統(tǒng)發(fā)出警報。
[0010]本發(fā)明還可根據(jù)惡意攻擊方選擇攻擊目標偏好，選擇性設置虛構發(fā)電機、變壓器和線路及其關聯(lián)斷路器，提高快速準確檢測入侵及攻擊行為的成功率。因惡意軟件攻擊是以最大程度破壞電網(wǎng)穩(wěn)定為目標，為提高誘捕惡意攻擊軟件的準確性，需將部分虛擬線路、發(fā)電機、變壓器及斷路器設置為具有較高電壓等級和容量的發(fā)電機、變壓器、線路和斷路器，使得惡意軟件優(yōu)先遙控虛擬斷路器。最好是使上述大部分虛擬輸、配電線路數(shù)據(jù)對應的線路的電壓等級等于實際電網(wǎng)的電力調(diào)度SCADA系統(tǒng)中輸、配電線路的最高電壓等級；同樣，大部分虛擬變壓器數(shù)據(jù)對應的虛擬變壓器的電壓等級和變電容量等于實際電網(wǎng)的電力調(diào)度SCADA系統(tǒng)中的最高變壓器電壓等級和最大變電容量；大部分虛擬發(fā)電機數(shù)據(jù)對應的虛擬發(fā)電機的裝機容量等于實際電網(wǎng)的電力調(diào)度SCADA系統(tǒng)中的最大發(fā)電機裝機容量。設計虛擬線路、變壓器和發(fā)電機時，需先根據(jù)現(xiàn)有實際電網(wǎng)的電力調(diào)度SCADA數(shù)據(jù)庫表提供的電網(wǎng)數(shù)據(jù)，找出實際電壓等級最尚的輸配電線路、最尚電壓等級和最大變電容量的變壓器、發(fā)電容量最大的發(fā)電機，再設置虛擬輸配電線路、變壓器和發(fā)電機的電壓和容量。
[0011]本發(fā)明利用虛擬輸配電線路、變壓器及發(fā)電機誘騙攻擊方(惡意軟件)攻擊的特點，并為吸引惡意軟件優(yōu)先攻擊該些虛擬元件，在現(xiàn)有實際電網(wǎng)的電力調(diào)度SCADA數(shù)據(jù)庫表中按上段中的規(guī)則插入數(shù)臺虛擬變壓器的數(shù)據(jù)、數(shù)臺虛擬發(fā)電機的數(shù)據(jù)及數(shù)條虛擬輸、配電線路的數(shù)據(jù)，并虛擬與該虛擬線路、變壓器和發(fā)電機相關聯(lián)的斷路器元件數(shù)據(jù)，以于與該現(xiàn)有實際電網(wǎng)的電力調(diào)度SCADA數(shù)據(jù)庫表對應的電力調(diào)度SCADA系統(tǒng)中生成虛擬線路、虛擬變壓器、虛擬發(fā)電機及虛擬斷路器，作為該現(xiàn)有實際電網(wǎng)的電力調(diào)度SCADA系統(tǒng)的入侵檢測系統(tǒng)的誘餌，誘使攻擊方先攻擊該些虛擬輸配電線路、發(fā)電機和變壓器。如此，一旦惡意軟件