[發(fā)明專利]一種基于端側邊緣計算的云網(wǎng)端協(xié)同防御方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202011619791.8
• 申請日: 2020-12-30
• 公開（公告）號: CN112769796B
• 公開（公告）日: 2021-10-19
• 發(fā)明（設計）人: 張曉良;石進;吳克河;楊文;蔡軍飛;張偉
• 申請（專利權）人: 華北電力大學;國家電網(wǎng)有限公司;國網(wǎng)河南省電力公司;國網(wǎng)河南省電力公司電力科學研究院
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62;G06N20/00
• 代理公司: 南京蘇高專利商標事務所(普通合伙) 32204
• 代理人: 李淑靜

1.一種基于端側邊緣計算的云網(wǎng)端協(xié)同防御方法，其特征在于，包含以下步驟：

利用設置于電力工控系統(tǒng)終端側的邊緣計算中心采集工控系統(tǒng)終端設備信息，根據(jù)終端設備信息建立設備指紋，將設備指紋發(fā)送至云計算中心，云計算中心建立設備指紋識別模型，根據(jù)設備指紋識別模型對電力工控系統(tǒng)的終端設備進行智能動態(tài)認證；其中所述邊緣計算中心采集工控系統(tǒng)終端設備信息，根據(jù)終端設備信息建立設備指紋具體包括：邊緣計算中心獲取工控系統(tǒng)終端設備IP地址，根據(jù)IP地址進行Nmap嗅探，獲取該IP地址所在設備的相關信息，包括終端在線狀態(tài)、開放端口、服務協(xié)議、設備應用程序名、版本號、設備名、設備類型，并對這些信息進行組合作為設備的指紋；

利用設置于邊緣計算中心的交換機的鏡像功能獲取終端設備通信流量以及工控系統(tǒng)內(nèi)部控制通信流量，并將流量數(shù)據(jù)發(fā)送給智能監(jiān)測主機，由智能監(jiān)測主機統(tǒng)一發(fā)送至云計算中心，云計算中心建立流量安全基線并下發(fā)至智能監(jiān)測主機，智能監(jiān)測主機根據(jù)流量安全基線進行終端設備流量檢測；

獲取電力工控系統(tǒng)網(wǎng)絡內(nèi)部網(wǎng)絡流量數(shù)據(jù)，發(fā)送至云計算中心，云計算中心按照網(wǎng)絡流量特征屬性進行熵值量化，并利用聚類分析模型產(chǎn)生正常流量聚類中心和異常流量聚類中心，根據(jù)正常流量聚類中心建立正常流量模型庫，基于正常流量模型庫對異常網(wǎng)絡流量進行檢測。

2.根據(jù)權利要求1所述的基于端側邊緣計算的云網(wǎng)端協(xié)同防御方法，其特征在于，所述云計算中心建立設備指紋識別模型包括：將采集的工控系統(tǒng)終端設備信息設計成字段包括在線狀態(tài)、開放端口、服務協(xié)議、設備應用程序名、版本號、設備名、設備類型的數(shù)據(jù)表，通過Python的csv模塊完成指紋數(shù)據(jù)到文件的導入、轉換以及導出，將已生成的csv文件中的數(shù)據(jù)導入集成了決策樹算法的Sklearn模塊，從而創(chuàng)建分類訓練模型。

3.根據(jù)權利要求1所述的基于端側邊緣計算的云網(wǎng)端協(xié)同防御方法，其特征在于，所述智能監(jiān)測主機根據(jù)流量安全基線進行終端設備流量檢測包括：智能監(jiān)測主機切換到工作的運行模式下，實時采集設備通信流量，根據(jù)流量安全基線，針對每個設備進行異常流量的判別，判別維度包括流出流量、流入流量及總體流量和被訪問的端口，當有安全基線之外的操作出現(xiàn)時，產(chǎn)生異常流量告警并記錄日志。

4.根據(jù)權利要求1所述的基于端側邊緣計算的云網(wǎng)端協(xié)同防御方法，其特征在于，所述獲取電力工控系統(tǒng)網(wǎng)絡內(nèi)部流量數(shù)據(jù)按照如下數(shù)據(jù)采集策略進行：根據(jù)設備所在區(qū)域的安全等級，匹配不同的采集頻率系數(shù)；根據(jù)功能和用途的不同，設定不同的采集頻率系數(shù)；根據(jù)鏈路的擁塞情況，合理地改變當前的采集頻率；根據(jù)設備的負荷情況，合理地改變對當前設備的采集頻率，從而保障工控系統(tǒng)本身功能的正常運行。

5.根據(jù)權利要求1所述的基于端側邊緣計算的云網(wǎng)端協(xié)同防御方法，其特征在于，所述云計算中心按照網(wǎng)絡流量特征屬性進行熵值量化包括：獲取捕獲到的N個數(shù)據(jù)包按時間順序劃分的一個單位流量內(nèi)某特征屬性出現(xiàn)的次數(shù)，記為X{X₁,X₂,……X_N}，按單位流量計算攻擊事件的屬性熵值，所述屬性包括IP地址、工控協(xié)議、源端口、目的端口中的一種或多種，熵值計算公式如下：

其中Y＝{n_i,(i＝1,2……M)}表示在測量數(shù)據(jù)中某特征屬性的第i個實例發(fā)生了n次；表示該特征屬性發(fā)生的總次數(shù)，M為單位流量中該特征屬性的不同實例總數(shù)目，將代入公式(1)，即得到單位流量的特征屬性熵值。