[發(fā)明專利]一種基于虛擬化動態(tài)部署的電力監(jiān)控主動防御方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201911054239.6
• 申請日: 2019-10-31
• 公開（公告）號: CN110784476A
• 公開（公告）日: 2020-02-11
• 發(fā)明（設計）人: 李斌;王丹;韓偉;宋闖;吳坡;薛蓋超;李翔碩;周冰;徐小傳
• 申請（專利權）人: 國網(wǎng)河南省電力公司電力科學研究院;泰安網(wǎng)信科技(北京)有限公司;國家電網(wǎng)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 32299 蘇州知途知識產(chǎn)權代理事務所(普通合伙)
• 代理人: 張錦波

1.一種基于虛擬化動態(tài)部署的電力監(jiān)控主動防御方法，其特征在于，包括如下步驟：

步驟1，針對電力網(wǎng)絡的真實業(yè)務系統(tǒng)部署虛擬蜜網(wǎng)系統(tǒng)，并對所述虛擬蜜網(wǎng)系統(tǒng)進行網(wǎng)絡配置，使虛擬蜜網(wǎng)系統(tǒng)與電力網(wǎng)絡的真實業(yè)務系統(tǒng)的網(wǎng)絡配置一致，模擬具有漏洞的電力網(wǎng)絡；

步驟2，創(chuàng)建知識庫，所述知識庫中存儲有外部網(wǎng)絡對電力網(wǎng)絡的惡意攻擊行為信息；

步驟3，實時監(jiān)測虛擬蜜網(wǎng)系統(tǒng)中虛擬機的運行狀態(tài)，當監(jiān)測到有異常數(shù)據(jù)流時，將所述異常數(shù)據(jù)流與所述知識庫中存儲的已知惡意攻擊行為信息進行比對分析，若判定該異常數(shù)據(jù)流屬于惡意攻擊行為，則直接進行阻斷響應；否則，進入步驟4；

步驟4，通過虛擬蜜網(wǎng)系統(tǒng)對所述異常數(shù)據(jù)流進行誘捕，獲取異常數(shù)據(jù)流在虛擬機中的行為軌跡；

步驟5，通過對所述行為軌跡的分析，識別所述異常數(shù)據(jù)流是否是惡意攻擊行為，若是，則將所述惡意攻擊行為的攻擊信息寫入知識庫，并進行阻斷響應，否則，通過虛擬重定向，將監(jiān)測到的異常數(shù)據(jù)流重新調(diào)度到電力網(wǎng)絡的真實業(yè)務系統(tǒng)中。

2.根據(jù)權利要求1所述的電力監(jiān)控主動防御方法，其特征在于，所述主動防御方法創(chuàng)建了云沙箱，通過構建沙箱環(huán)境，使得惡意軟件或APT在一個封閉環(huán)境中執(zhí)行，并對所述惡意軟件或APT進行深度分析，判定是否屬于惡意攻擊行為。

3.根據(jù)權利要求1所述的電力監(jiān)控主動防御方法，其特征在于，步驟5中，進一步采用交叉驗證的方式，判定異常數(shù)據(jù)流是否屬于惡意攻擊行為。

4.一種基于虛擬化動態(tài)部署的電力監(jiān)控主動防御系統(tǒng)，其特征在于，包括：

云平臺子系統(tǒng)，用于針對電力網(wǎng)絡的真實業(yè)務系統(tǒng)部署虛擬蜜網(wǎng)系統(tǒng)，對所述虛擬蜜網(wǎng)系統(tǒng)進行網(wǎng)絡配置，使虛擬蜜網(wǎng)系統(tǒng)與電力網(wǎng)絡的真實業(yè)務系統(tǒng)的網(wǎng)絡配置一致；同時，實時監(jiān)測虛擬蜜網(wǎng)系統(tǒng)中虛擬機的運行狀態(tài)，并在監(jiān)測到異常數(shù)據(jù)流量后，及時通知所述威脅分析防護子系統(tǒng)；

威脅分析防護子系統(tǒng)，用于創(chuàng)建存儲有已知惡意攻擊行為信息的知識庫，并實時監(jiān)測虛擬蜜網(wǎng)系統(tǒng)中虛擬機的運行狀態(tài)，當監(jiān)測到異常數(shù)據(jù)流時，將所述異常數(shù)據(jù)流與所述知識庫中存儲的已知惡意攻擊行為信息進行比對分析，若判定該異常數(shù)據(jù)流屬于惡意攻擊行為，則直接進行阻斷響應；否則，通過虛擬蜜網(wǎng)系統(tǒng)進行誘捕，獲取異常數(shù)據(jù)流的行為軌跡，識別所述異常數(shù)據(jù)流量是否屬于惡意攻擊行為，若屬于，則將所述惡意攻擊行為的攻擊信息寫入知識庫，并進行阻斷響應；否則，將監(jiān)測到的異常數(shù)據(jù)流調(diào)度到電力網(wǎng)絡的真實業(yè)務系統(tǒng)中。

5.根據(jù)權利要求4所述的基于虛擬化動態(tài)部署的電力監(jiān)控主動防御系統(tǒng)，其特征在于，所述云平臺子系統(tǒng)包括：

蜜罐狀態(tài)監(jiān)控模塊，用于實時監(jiān)測虛擬云蜜網(wǎng)系統(tǒng)中虛擬機的運行狀態(tài)，當監(jiān)測到異常數(shù)據(jù)流時，及時通知威脅分析防護子系統(tǒng)，并記錄惡意行為信息；

蜜網(wǎng)快速部署模塊，用于快速部署虛擬蜜網(wǎng)系統(tǒng)，并對所述虛擬蜜網(wǎng)系統(tǒng)進行網(wǎng)絡配置，使虛擬蜜網(wǎng)系統(tǒng)與電力網(wǎng)絡的真實業(yè)務系統(tǒng)的網(wǎng)絡配置一致。

6.根據(jù)權利要求5所述的基于虛擬化動態(tài)部署的電力監(jiān)控主動防御系統(tǒng)，其特征在于，所述威脅分析防護子系統(tǒng)包括：

知識庫模塊，用于創(chuàng)建知識庫，所述知識庫用于存儲惡意攻擊行為信息；

行為捕獲模塊，用于捕獲所述異常數(shù)據(jù)流在虛擬蜜網(wǎng)系統(tǒng)虛擬機中的行為軌跡，并記錄；

數(shù)據(jù)分析模塊，用于將虛擬機中監(jiān)測到的所述異常數(shù)據(jù)流與所述知識庫中存儲的已知惡意攻擊行為信息進行比對分析，若判定該異常數(shù)據(jù)流屬于惡意攻擊行為，則直接進行阻斷響應；同時，將所述行為捕獲模塊得到的行為軌跡進行綜合分析，并當判定屬于惡意攻擊行為時，進行阻斷響應。

7.根據(jù)權利要求4所述的基于虛擬化動態(tài)部署的電力監(jiān)控主動防御系統(tǒng)，其特征在于，所述電力監(jiān)控主動防御系統(tǒng)還包括業(yè)務管理子系統(tǒng)，所述業(yè)務管理子系統(tǒng)包括：

云蜜網(wǎng)管理模塊，用于對云蜜網(wǎng)系統(tǒng)中的蜜罐類型、蜜罐部署數(shù)量、網(wǎng)絡場景、實時數(shù)據(jù)展示、歷史趨勢分析、分析報告、蜜罐分組、用戶分組等內(nèi)容進行管理；

云沙箱管理模塊，用于對沙箱類型、沙箱部署數(shù)量、沙箱運行日志、分析報告等內(nèi)容進行管理。