[發(fā)明專利]一種適用于電力網(wǎng)絡(luò)的網(wǎng)絡(luò)攻擊還原系統(tǒng)及方法

有效

• 申請?zhí)枺?/td>: 202010419099.4
• 申請日: 2020-05-18
• 公開（公告）號: CN111669371B
• 公開（公告）日: 2022-09-30
• 發(fā)明（設(shè)計）人: 丘惠軍;陳昊;連耿雄;孫強強
• 申請（專利權(quán)）人: 深圳供電局有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06Q50/06
• 代理公司: 深圳匯智容達專利商標事務(wù)所(普通合伙) 44238
• 代理人: 熊賢卿

1.一種適用于電力網(wǎng)絡(luò)的網(wǎng)絡(luò)攻擊還原系統(tǒng)，其特征在于，包括主服務(wù)器、多個控制終端，以及連接在所述控制終端與主服務(wù)器之間的安全防火墻，安全防火墻連接有檢測終端，其中：控制終端，用于向主服務(wù)器發(fā)送控制指令；

主服務(wù)器，用于根據(jù)所述控制指令，對電力網(wǎng)絡(luò)進行運行控制，所述控制終端與所述主服務(wù)器在同一局域網(wǎng)內(nèi)通過網(wǎng)絡(luò)連接；

安全防火墻，用于利用協(xié)議過濾接口過濾所述控制指令，并將過濾后合格的控制指令發(fā)送至主服務(wù)器；其中，利用協(xié)議過濾接口過濾所述控制指令包括：利用安全防火墻檢測控制終端單次向主服務(wù)器發(fā)送的信息包的數(shù)量，在所述信息包的數(shù)量與預(yù)設(shè)的信息包規(guī)則不一致時，將所述信息包轉(zhuǎn)發(fā)至檢測終端；

檢測終端，用于接收無法通過協(xié)議過濾接口的控制指令，并對接收到的控制指令進行網(wǎng)絡(luò)攻擊還原，以實現(xiàn)對控制指令進行檢測，以確定是否為網(wǎng)絡(luò)攻擊內(nèi)容，并在確定為網(wǎng)絡(luò)攻擊內(nèi)容時，將所述攻擊內(nèi)容的信息發(fā)送至安全防火墻，以使得所述安全防火墻根據(jù)所述攻擊內(nèi)容信息增加新的檢測規(guī)則;

其中，所述檢測終端，包括：

檢測虛擬機，所述檢測虛擬機用于對可能包括網(wǎng)絡(luò)攻擊內(nèi)容進行檢測；

所述檢測虛擬機包括：

進程監(jiān)測模塊，用于監(jiān)測新創(chuàng)建進程，所述進程監(jiān)測模塊預(yù)先向系統(tǒng)提供其所對應(yīng)的進程在進程樹的位置以實現(xiàn)對進程監(jiān)測模塊對應(yīng)的進程的驗證，在通過驗證后，向系統(tǒng)提供所述所對應(yīng)的進程的指針；

進程判斷模塊，用于根據(jù)所述新創(chuàng)建進程判斷是否包括網(wǎng)絡(luò)攻擊內(nèi)容。

2.根據(jù)權(quán)利要求1所述的適用于電力網(wǎng)絡(luò)的網(wǎng)絡(luò)攻擊還原系統(tǒng)，其特征在于，所述進程判斷模塊進一步用于：

計算進程釋放文件的MD5碼，根據(jù)所述MD5碼確定是否為網(wǎng)絡(luò)攻擊內(nèi)容。

3.根據(jù)權(quán)利要求1或2所述的適用于電力網(wǎng)絡(luò)的網(wǎng)絡(luò)攻擊還原系統(tǒng)，其特征在于，所述檢測虛擬機還包括：

文件監(jiān)控模塊，用于利用日志監(jiān)控新生成文件；

判斷模塊，用于在所述新生成文件為可執(zhí)行文件或批處理文件時，判斷為網(wǎng)絡(luò)攻擊內(nèi)容。

4.根據(jù)權(quán)利要求3所述的適用于電力網(wǎng)絡(luò)的網(wǎng)絡(luò)攻擊還原系統(tǒng)，其特征在于，所述判斷模塊進一步用于：

將所述可執(zhí)行文件或批處理文件替換為正常文件，重新執(zhí)行新生成文件的進程，根據(jù)重新生成的文件是否為替換的正常文件判斷是否為網(wǎng)絡(luò)攻擊內(nèi)容。

5.一種適用于電力網(wǎng)絡(luò)的網(wǎng)絡(luò)攻擊還原方法，其利用權(quán)利要求1至4任一項所述的網(wǎng)絡(luò)攻擊還原系統(tǒng)來實現(xiàn)，其特征在于，所述方法包括如下步驟：

利用安全防火墻檢測控制終端單次向主服務(wù)器發(fā)送的信息包的數(shù)量；

在所述信息包的數(shù)量與預(yù)設(shè)的信息包規(guī)則不一致時，將所述信息包轉(zhuǎn)發(fā)至檢測終端；

所述檢測終端對所述信息包的內(nèi)容進行還原檢測，在所述內(nèi)容包括網(wǎng)絡(luò)攻擊內(nèi)容時，將所述網(wǎng)絡(luò)攻擊內(nèi)容作為攻擊標志發(fā)送至安全防火墻；

安全防火墻根據(jù)所述攻擊標志確定數(shù)據(jù)包的數(shù)量，根據(jù)所述數(shù)量增加新的檢測規(guī)則；

其中，所述檢測終端對所述信息包的內(nèi)容進行還原檢測，包括：

在檢測終端生成檢測虛擬機，在檢測虛擬機中啟動進程監(jiān)控；

檢測新創(chuàng)建進程；

根據(jù)所述新創(chuàng)建進程判斷是否存在網(wǎng)絡(luò)攻擊內(nèi)容。

6.根據(jù)權(quán)利要求5所述的方法，其特征在于，所述檢測終端對所述信息包的內(nèi)容進行還原檢測，包括：

在檢測終端生成檢測虛擬機，利用所述檢測虛擬機日志監(jiān)控新生成文件；

在所述新生成文件為可執(zhí)行文件或者批處理文件時，判斷所述文件為網(wǎng)絡(luò)攻擊內(nèi)容。

7.根據(jù)權(quán)利要求6所述的方法，其特征在于，所述方法還包括：

所述檢測虛擬機將所述可執(zhí)行文件或批處理文件替換為正常文件，重新執(zhí)行新生成文件的進程，如果重新生成的文件為替換的正常文件，且正常文件被運行，則確定為網(wǎng)絡(luò)攻擊內(nèi)容。