[發明專利]一種基于電網信息系統異常流量的防護方法

在審

• 申請號: 201910904725.6
• 申請日: 2019-09-24
• 公開（公告）號: CN110868393A
• 公開（公告）日: 2020-03-06
• 發明（設計）人: 陳連棟;王玨;袁翰青;王曉光;楊會峰;許俊現;王占魁;辛銳;申培培;程凱;劉瑋;趙建斌;劉欣;孫辰軍;黃鏡宇;劉宏;高麗芳;林靜;郭少勇;楊楊;高會生
• 申請（專利權）人: 國網河北省電力有限公司信息通信分公司;國家電網有限公司;中國科學院計算機網絡信息中心
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 石家莊新世紀專利商標事務所有限公司 13100
• 代理人: 甄伊寧;王忠瑋

1.一種基于電網信息系統異常流量的防護方法，其特征在于：包括如下步驟，

S1建立網絡流量特征庫

建立國家電網信息系統特點的網絡流量特征庫，包含源IP和QPS信息并定期更新；

S2流量監控

進行流量檢測與分析，采用深度學習技術發現流量特征符合國家電網信息系統特點時，重復回到S2步驟；發現流量特征不符合國家電網信息系統特點時，進入S3步驟；

S3防護

將流量檢測到的特征在防護策略知識庫中進行匹配，如果源IP地址對應的QPS信息超過網絡流量特征庫的閾值，則驅動防護設備啟動防御；如未找到網絡流量特征庫的閾值，則將該信息轉化成黑名單進行流量清洗。

2.根據權利要求1所述的一種基于電網信息系統異常流量的防護方法，其特征在于：小于等于1000Mbps攻擊流量的DDoS攻擊，采用iptables或者DDoS防護應用；大于1000Mbps攻擊流量的DDoS攻擊，采用iptables或者DDoS防護應用，或者在機房出口設備直接配置黑洞防護，或者切換域名并將對外服務IP修改為高負載Proxy集群外網IP。

3.根據權利要求1所述的一種基于電網信息系統異常流量的防護方法，其特征在于：設置用于報警的預警閥值和用于處理的響應閥值，根據流量大小和影響程度調整防護方案。

4.根據權利要求1所述的一種基于電網信息系統異常流量的防護方法，其特征在于：根據業務協議制定TCP協議白名單，如果遇到UDP請求，直接丟棄UDP包。

5.根據權利要求1所述的一種基于電網信息系統異常流量的防護方法，其特征在于：在限流或者清洗流量后重啟服務，釋放連接數。

6.根據權利要求1所述的一種基于電網信息系統異常流量的防護方法，其特征在于：若為icmp包，則直接丟棄，先在機房出口以下每一層面做丟棄或者限流。

7.根據權利要求1所述的一種基于電網信息系統異常流量的防護方法，其特征在于：結合攻擊流量特征和電網網絡特點，建立預定的防護策略知識庫，并將防護策略與攻擊特征進行映射。

8.根據權利要求1所述的一種基于電網信息系統異常流量的防護方法，其特征在于：對于用戶群體單一且固定的域名服務，抽象出域名服務特征庫。

9.根據權利要求1所述的一種基于電網信息系統異常流量的防護方法，其特征在于：對于正常流量特征，經過管理員確認后加入網絡流量特征庫并自動升級。

10.根據權利要求1～9中任意一項所述的一種基于電網信息系統異常流量的防護方法，其特征在于：當流量特征被提取出來后，使用快速匹配算法尋找相應的防護策略集合并推薦。