[發明專利]一種用于電力調度系統的拒接服務攻擊判斷方法及裝置

在審

• 申請號: 201711161982.2
• 申請日: 2017-11-21
• 公開（公告）號: CN107920077A
• 公開（公告）日: 2018-04-17
• 發明（設計）人: 胡斌;易國華
• 申請（專利權）人: 湖北鑫英泰系統技術股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京天奇智新知識產權代理有限公司11340
• 代理人: 李艷雙

1.一種用于電力調度系統的拒接服務攻擊判斷方法，其特征在于，包括：

數據收集步驟，通過收集模組收集電力調度系統中的數據包；

數據解析步驟，解析所述數據包，調用相應判斷模型識別所述拒接服務攻擊。

2.根據權利要求1所述的一種用于電力調度系統的拒接服務攻擊判斷方法，其特征在于，

所述數據收集步驟中，在監控網絡中的網絡節點部署相關收集程序，所述網絡節點包括交換及路由設備，網絡安全設備。

3.根據權利要求1所述的一種用于電力調度系統的拒接服務攻擊判斷方法，其特征在于，所述數據收集步驟中，在監控目標設備上部署收集程序，對收集到的數據包包頭信息進行處理后再發送到收集模組的數據采集服務器，由數據采集服務器采用分布式信息處理系統對信息進行采集處理。

4.根據權利要求1所述的一種用于電力調度系統的拒接服務攻擊判斷方法，其特征在于，所述數據解析步驟具體包括以下子步驟：

全網廣播掃描子步驟，對所述全網廣播掃描的監控通過對每臺設備自身發出的網絡數據包進行分析，當對大量非常用設備發送數據包時則認為是全網廣播掃描；

網絡端口掃描子步驟，對所述網絡端口掃描的監控通過對每臺設備收到的網絡數據包進行分析，當設備的多個未開放端口或非常用端口收到數據包時任務發生了網絡端口掃描；

全網端口掃描子步驟，對所述全網端口掃描通稱端口清掃的監控是通過分析設備發出的網絡數據包，如一臺設備對多臺設備的同一端口發送數據包，且目標設備的數量大于該發送設備自身設置的預警閾值，則認為發生了全網端口掃描；

多并發連接攻擊判斷子步驟，對所述多并發連接的監控通過網絡連接信息和對設備收到的網絡數據包進行聯合分析完成，當短時間內連接進入設備的同一端口連接數量超過了該設備的連接數閾值則認為發生了多并發連接攻擊。

5.一種用于電力調度系統的拒接服務攻擊判斷裝置，其特征在于，包括：

數據收集模塊，通過收集模組收集電力調度系統中的數據包；

數據解析模塊，解析所述數據包，調用相應判斷模型識別所述拒接服務攻擊。

6.根據權利要求5所述的一種用于電力調度系統的拒接服務攻擊判斷裝置，其特征在于，

所述數據收集模塊中，在監控網絡中的網絡節點部署相關收集程序，所述網絡節點包括交換及路由設備，網絡安全設備。

7.根據權利要求5所述的一種用于電力調度系統的拒接服務攻擊判斷裝置，其特征在于，所述數據收集模塊中，在監控目標設備上部署收集程序，對收集到的數據包包頭信息進行處理后再發送到收集模組的數據采集服務器，由數據采集服務器采用分布式信息處理系統對信息進行采集處理。

8.根據權利要求5所述的一種用于電力調度系統的拒接服務攻擊判斷裝置，其特征在于，所述數據解析模塊具體包括以下單元：

全網廣播掃描單元，對所述全網廣播掃描的監控通過對每臺設備自身發出的網絡數據包進行分析，當對大量非常用設備發送數據包時則認為是全網廣播掃描；

網絡端口掃描單元，對所述網絡端口掃描的監控通過對每臺設備收到的網絡數據包進行分析，當設備的多個未開放端口或非常用端口收到數據包時任務發生了網絡端口掃描；

全網端口掃描單元，對所述全網端口掃描通稱端口清掃的監控是通過分析設備發出的網絡數據包，如一臺設備對多臺設備的同一端口發送數據包，且目標設備的數量大于該發送設備自身設置的預警閾值，則認為發生了全網端口掃描；

多并發連接攻擊判斷單元，對所述多并發連接的監控通過網絡連接信息和對設備收到的網絡數據包進行聯合分析完成，當短時間內連接進入設備的同一端口連接數量超過了該設備的連接數閾值則認為發生了多并發連接攻擊。