[发明专利]一种面向电力工控网络的攻击溯源方法及系统

说明书

本发明公开了一种面向电力工控网络的攻击溯源方法及系统，方法包括从电力VPN设备采集信息；对采集的信息进行攻击检测分析，检测是否存在网络攻击事件；对检测到的网络攻击事件进行溯源分析，定位攻击者所在区域或节点；生成处置策略，对攻击进行管控处置。本发明通过对电力工控网络边界处电力VPN设备相关信息的采集，结合电力工控业务通信的特点，对电力工控网络中网络攻击进行溯源，克服了传统的溯源方法成本高、改造难度大、精度低，可操作性不强的缺点，实现了电力工控网络攻击的自动发现与智能处置。

技术领域

本发明属于信息安全技术领域，具体涉及一种面向电力工控网络的攻击溯源方法及系统。

背景技术

当前，以开放、互联为特征TCP/IP协议占据着网络通信协议的主导，无论是互联网、物联网，还是企业信息网，甚至电力工控网络，大多构建在基于TCP/IP协议的网络上。然而TCP/IP协议在设计之初主要是用于科学研究，并没有考虑到安全性，伴随着网络通信的发展，利用TCP/IP的设计缺陷进行网络攻击成为一个不可忽视的问题。

对电力工控网络中网络攻击溯源，定位网络攻击的源头，是遏制网络攻击的前提。然而，当前盛行的伪造源IP地址攻击、利用跳板机(又称“肉鸡”、傀儡机、僵尸主机等)攻击等攻击手段，隐藏了真正的攻击者，给电力工控网络攻击的溯源带来了极大的挑战。

为此，有学者提出了分组标记溯源法、发送特定ICMP溯源法、日志记录溯源法、受控洪泛溯源法、链路测试溯源法等攻击溯源方法，但这些方法普遍存在需要特定路由器支持、溯源精度不高、可操作性不强等问题，难以在实际电力工控网络环境中推广应用。

发明内容

本发明的目的在于克服现有技术的不足，提供了一种面向电力工控网络的攻击溯源方法，通过对电力工控网络边界处电力VPN设备相关信息的采集，实现了对电力工控网络中网络攻击的溯源，并根据溯源结果进行管控处置。

为解决上述技术问题，本发明提供了一种面向电力工控网络的攻击溯源方法，其特征是，包括以下过程：

在电力工控网络静态时，采集电力工控网络中所有电力VPN设备的隧道配置信息、策略配置信息和链路信息，并获取中心节点及所有终端节点的节点配置表；根据隧道配置信息、链路信息和节点配置表构建网络连接静态模型；

在电力工控网络运行时，获取实时网络连接关系；

将实时网络连接关系与网络连接静态模型比对，若存在不匹配的网络连接，则判定所述网络连接为网络攻击链路；

对检测到的网络攻击链路进行溯源分析，定位攻击者源端所在区域或节点；

根据定位攻击者源端所在区域或节点，将所述策略配置信息更新为限制所述区域或节点的网络连接。

进一步的，所述隧道配置信息由至少一条隧道配置记录组成，每一条隧道配置记录包括隧道ID、本端电力VPN设备IP地址和对端电力VPN设备IP地址信息；

所述策略配置信息由至少一条策略配置记录组成，每一条策略配置记录包括该配置记录对应的隧道ID、本端局域网内主机IP地址及端口的范围、对端局域网内主机IP地址及端口的范围和协议信息；

链路信息由至少一条网络连接记录组成，每一条链路信息记录包括对应的隧道ID、本端局域网内主机IP地址、本端局域网内主机端口、对端局域网内主机IP地址、对端局域网内主机端口、协议和发起标识信息；

中心节点及所有终端节点的节点配置表由与节点个数相等的多条记录组成，每条记录包括节点ID和节点电力VPN设备的IP地址信息。

进一步的，网络连接静态模型为一条或多条网络连接记录，每条记录包括节点ID、对应的隧道ID、本端局域网内主机IP地址与本端局域网内主机端口和对端局域网内主机IP地址与对端局域网内主机端口信息。