一種智能電網(wǎng)嵌入式設(shè)備網(wǎng)絡(luò)攻擊誘捕系統(tǒng)和誘捕方法
【專利摘要】本發(fā)明公開(kāi)了一種智能電網(wǎng)嵌入式設(shè)備網(wǎng)絡(luò)攻擊誘捕系統(tǒng)，包括誘捕裝置和安全分析服務(wù)器；誘捕裝置包括網(wǎng)絡(luò)接口模塊、安全控制模塊和實(shí)際嵌入式設(shè)備模擬機(jī)；網(wǎng)絡(luò)接口模塊用于完成IP數(shù)據(jù)包的收發(fā)，安全控制模塊用于對(duì)IP數(shù)據(jù)包進(jìn)行標(biāo)識(shí)和解析判別，安全控制模塊連接有串口通信模塊、外部存儲(chǔ)器和開(kāi)關(guān)模塊；實(shí)際嵌入式設(shè)備模擬機(jī)將網(wǎng)絡(luò)狀態(tài)及主機(jī)狀態(tài)信息發(fā)送至安全分析服務(wù)器；安全分析服務(wù)器通過(guò)多維度屬性綜合度量得出最終安全檢測(cè)結(jié)果。本發(fā)明能夠在不影響嵌入式終端正常工作的情況下，快速、準(zhǔn)確地對(duì)已知或未知的電力系統(tǒng)網(wǎng)絡(luò)攻擊進(jìn)行實(shí)時(shí)動(dòng)態(tài)的安全檢測(cè)和評(píng)估；同時(shí)有效阻止攻擊者通過(guò)網(wǎng)絡(luò)接口模塊對(duì)誘捕裝置進(jìn)行攻擊。
【專利說(shuō)明】一種智能電網(wǎng)嵌入式設(shè)備網(wǎng)絡(luò)攻擊誘捕系統(tǒng)和誘捕方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及網(wǎng)絡(luò)安全防御領(lǐng)域，尤其涉及一種能夠在智能電網(wǎng)中針對(duì)網(wǎng)絡(luò)攻擊進(jìn)行誘捕的系統(tǒng)和方法。
【背景技術(shù)】
[0002]目前，隨著物聯(lián)網(wǎng)產(chǎn)業(yè)的興起，在智能電網(wǎng)中，各種傳感器、控制設(shè)備均為嵌入式系統(tǒng)，廣泛應(yīng)用于發(fā)電、輸電、變電、配電以及用戶用電的各主要環(huán)節(jié)。除了業(yè)務(wù)上的測(cè)量、傳輸功能外，嵌入式系統(tǒng)還起著核心業(yè)務(wù)運(yùn)行控制的功能。例如，用戶層的復(fù)費(fèi)率電能計(jì)量管理單元，設(shè)備層的變壓器油溫等傳感器、電壓電流變送器、繼電保護(hù)裝置、故障錄波、線路保護(hù)、故障測(cè)距裝置，控制室的數(shù)字錄音、變電站的圖像監(jiān)控、配電網(wǎng)的遠(yuǎn)程抄表、負(fù)荷控制及自動(dòng)化保護(hù)模塊等等，基本上涵蓋了電網(wǎng)指揮運(yùn)行的各個(gè)方面。
[0003]從嵌入式系統(tǒng)自身來(lái)看，相對(duì)于傳統(tǒng)的PC設(shè)備，嵌入式操作系統(tǒng)及其應(yīng)用程序主要考慮的是硬件的適配性、更少的資源占用等問(wèn)題，很多嵌入式系統(tǒng)的安全防護(hù)功能很少或者幾乎沒(méi)有，惡意攻擊者很容易侵入到系統(tǒng)中，對(duì)嵌入式系統(tǒng)實(shí)施干擾、監(jiān)視甚至遠(yuǎn)程控制。近年來(lái)，在國(guó)內(nèi)外由于嵌入式系統(tǒng)造成的電力系統(tǒng)事故屢有發(fā)生，如著名的伊朗Stuxnet震網(wǎng)病毒事件，該病毒專門針對(duì)PLC (Programmable Logic Controller,可編程邏輯控制器)設(shè)備攻擊，通過(guò)修改PLC來(lái)改變工業(yè)生產(chǎn)控制系統(tǒng)的行為，一度導(dǎo)致伊朗核電站推遲發(fā)電。
[0004]從網(wǎng)絡(luò)層面來(lái)看，隨著3G、WIFI等通訊手段的普及，嵌入式系統(tǒng)從有線網(wǎng)絡(luò)向無(wú)線網(wǎng)絡(luò)延伸，使得網(wǎng)絡(luò)的安全問(wèn)題更加突出。嵌入式系統(tǒng)由于計(jì)算資源有限，很多嵌入式網(wǎng)絡(luò)協(xié)議均沒(méi)有考慮安全問(wèn)題，其設(shè)計(jì)目標(biāo)是盡可能簡(jiǎn)單地實(shí)現(xiàn)路由，并方便日后擴(kuò)展網(wǎng)絡(luò)，基本上沒(méi)有任何的安全機(jī)制。一旦嵌入式系統(tǒng)遭到網(wǎng)絡(luò)攻擊，整個(gè)智能電網(wǎng)的正常業(yè)務(wù)工作便會(huì)受到影響甚至于癱瘓。
[0005]與傳統(tǒng)PC設(shè)備相比，嵌入式系統(tǒng)計(jì)算資源少、能耗低、工作環(huán)境復(fù)雜，現(xiàn)有的很多安全解決方案并不適用，而且嵌入式系統(tǒng)一般處于開(kāi)放的工作環(huán)境中，傳統(tǒng)計(jì)算機(jī)很容易解決的物理安全問(wèn)題在嵌入式系統(tǒng)上也成為一個(gè)難題。這些嵌入式系統(tǒng)多為一體化設(shè)備，其操作系統(tǒng)包括嵌入式Linux、Vxfforks> WinCe等。針對(duì)來(lái)自網(wǎng)絡(luò)層面的非法截獲、中斷、篡改或偽造等攻擊，由于無(wú)法直接在這些嵌入式設(shè)備上加裝額外的網(wǎng)絡(luò)安全檢測(cè)軟件或系統(tǒng)，因此無(wú)法做到對(duì)嵌入式系統(tǒng)進(jìn)行實(shí)時(shí)的網(wǎng)絡(luò)安全檢測(cè)與評(píng)估。
[0006]另一方面，隨著網(wǎng)絡(luò)攻擊的日益嚴(yán)重，為提高網(wǎng)絡(luò)安全性，防火墻、入侵檢測(cè)、加密VPN等設(shè)備相繼推出，能夠在一定程度上提高網(wǎng)絡(luò)安全性。但針對(duì)現(xiàn)有的網(wǎng)絡(luò)安全設(shè)備，網(wǎng)絡(luò)攻擊發(fā)起者很容易利用網(wǎng)絡(luò)接口模塊對(duì)網(wǎng)絡(luò)攻擊過(guò)濾裝置進(jìn)行攻擊，攻擊者通過(guò)配置程序獲取對(duì)網(wǎng)絡(luò)安全設(shè)備進(jìn)行配置的權(quán)限，然后修改網(wǎng)絡(luò)安全設(shè)備中的配置信息。修改配置時(shí)，攻擊者會(huì)按照后續(xù)攻擊的目的設(shè)定特定的配置，以達(dá)到最終攻擊受上述網(wǎng)絡(luò)安全設(shè)備保護(hù)的網(wǎng)絡(luò)的目的。因此，現(xiàn)有的網(wǎng)絡(luò)攻擊過(guò)濾裝置在配置程序上存在漏洞，危害非常巨大，極易造成網(wǎng)絡(luò)安全設(shè)備完全失去了防御作用。
【發(fā)明內(nèi)容】

[0007]本發(fā)明的目的是提供一種智能電網(wǎng)嵌入式設(shè)備網(wǎng)絡(luò)攻擊誘捕系統(tǒng)和誘捕方法，能夠在保護(hù)真實(shí)智能電網(wǎng)終端的基礎(chǔ)上，通過(guò)誘捕設(shè)備捕獲各種針對(duì)真實(shí)設(shè)備的攻擊，在不影響嵌入式終端正常工作的情況下，快速、準(zhǔn)確地對(duì)已知或未知的電力系統(tǒng)網(wǎng)絡(luò)攻擊進(jìn)行實(shí)時(shí)動(dòng)態(tài)的安全檢測(cè)和評(píng)估；同時(shí)，本發(fā)明還能夠通過(guò)硬件的改進(jìn)實(shí)現(xiàn)網(wǎng)絡(luò)攻擊過(guò)濾裝置的數(shù)據(jù)包標(biāo)識(shí)和解析判別模式與文件配置模式的隔離，有效阻止攻擊者通過(guò)網(wǎng)絡(luò)接口模塊對(duì)誘捕裝置進(jìn)行攻擊，提高安全性，實(shí)現(xiàn)誘捕裝置的有效保護(hù)。
[0008]本發(fā)明采用下述技術(shù)方案:
[0009]一種智能電網(wǎng)嵌入式設(shè)備網(wǎng)絡(luò)攻擊誘捕系統(tǒng)，包括誘捕裝置和安全分析服務(wù)器；
[0010]所述誘捕裝置的數(shù)據(jù)接收端連接智能電網(wǎng)網(wǎng)絡(luò)，誘捕裝置的數(shù)據(jù)發(fā)送端分別連接實(shí)際嵌入式設(shè)備和安全分析服務(wù)器；誘捕裝置包括網(wǎng)絡(luò)接口模塊、安全控制模塊和實(shí)際嵌入式設(shè)備模擬機(jī)；
[0011]網(wǎng)絡(luò)接口模塊用于完成IP數(shù)據(jù)包的收發(fā)，包括外網(wǎng)網(wǎng)絡(luò)接口模塊和內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊；外網(wǎng)網(wǎng)絡(luò)接口模塊連接安全控制模塊和智能電網(wǎng)網(wǎng)絡(luò)，用于接收外部通訊網(wǎng)絡(luò)所發(fā)送的IP數(shù)據(jù)包并傳送給安全控制模塊，以及接收安全控制模塊所發(fā)送的IP數(shù)據(jù)包并通過(guò)外部通信網(wǎng)絡(luò)進(jìn)行發(fā)送；內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊分別連接安全控制模塊和實(shí)際嵌入式設(shè)備模擬機(jī)以及安全控制模塊和實(shí)際嵌入式設(shè)備，用于接收安全控制模塊所發(fā)送的IP數(shù)據(jù)包并傳送給實(shí)際嵌入式設(shè)備或?qū)嶋H嵌入式設(shè)備模擬機(jī)，以及接收實(shí)際嵌入式設(shè)備所發(fā)送的IP數(shù)據(jù)包并傳送給安全控制模塊；
[0012]安全控制模塊用于對(duì)所接收的實(shí)際嵌入式設(shè)備發(fā)送的IP數(shù)據(jù)包進(jìn)行標(biāo)識(shí)后通過(guò)網(wǎng)絡(luò)接口模塊發(fā)送至智能電網(wǎng)網(wǎng)絡(luò)，以及對(duì)所接收的智能電網(wǎng)網(wǎng)絡(luò)發(fā)送的IP數(shù)據(jù)包進(jìn)行解析判別，并將正常的IP數(shù)據(jù)包發(fā)送至實(shí)際嵌入式設(shè)備，將異常的IP數(shù)據(jù)包發(fā)送至實(shí)際嵌入式設(shè)備模擬機(jī)；安全控制模塊連接有串口通信模塊和用于單獨(dú)存放文件配置程序的外部存儲(chǔ)器，安全控制模塊還連接有開(kāi)關(guān)模塊，開(kāi)關(guān)模塊的信號(hào)輸出端連接安全控制模塊的信號(hào)輸入端；
[0013]實(shí)際嵌入式設(shè)備模擬機(jī)用于對(duì)實(shí)際嵌入式設(shè)備的運(yùn)行環(huán)境和計(jì)算環(huán)境進(jìn)行模擬，包括硬件環(huán)境模擬和軟件環(huán)境模擬，對(duì)實(shí)際嵌入式設(shè)備在受到網(wǎng)絡(luò)攻擊時(shí)其網(wǎng)絡(luò)狀態(tài)和主機(jī)狀態(tài)變化進(jìn)行檢測(cè)，并將網(wǎng)絡(luò)狀態(tài)及主機(jī)狀態(tài)信息發(fā)送至安全分析服務(wù)器；
[0014]所述安全分析服務(wù)器用于對(duì)實(shí)際嵌入式設(shè)備模擬機(jī)發(fā)送的網(wǎng)絡(luò)狀態(tài)及主機(jī)狀態(tài)信息，通過(guò)基于平臺(tái)配置屬性度量、平臺(tái)運(yùn)行屬性度量和用戶認(rèn)證屬性度量進(jìn)行的多維度屬性綜合度量，得出最終安全檢測(cè)結(jié)果。
[0015]所述的安全控制模塊內(nèi)存儲(chǔ)有與相應(yīng)目的地址和來(lái)源地址對(duì)應(yīng)的密鑰、發(fā)送序列號(hào)及接收序列號(hào)；當(dāng)安全控制模塊接收到實(shí)際嵌入式設(shè)備所發(fā)送的IP數(shù)據(jù)包時(shí)，安全控制模塊讀取該IP數(shù)據(jù)包并提取IP數(shù)據(jù)包目的地址，根據(jù)目的地址獲取對(duì)應(yīng)的密鑰和發(fā)送序列號(hào)，將發(fā)送序列號(hào)置于IP數(shù)據(jù)包尾部，利用密鑰對(duì)IP數(shù)據(jù)包和發(fā)送序列號(hào)進(jìn)行摘要運(yùn)算，將摘要運(yùn)算結(jié)果附于發(fā)送序列號(hào)之后，并根據(jù)當(dāng)前長(zhǎng)度調(diào)整IP首部信息中的長(zhǎng)度指示信息，然后將添加標(biāo)識(shí)后的IP數(shù)據(jù)包通過(guò)外網(wǎng)網(wǎng)絡(luò)接口模塊發(fā)送至智能電網(wǎng)網(wǎng)絡(luò)；當(dāng)安全控制模塊接收到智能電網(wǎng)網(wǎng)絡(luò)所發(fā)送的IP數(shù)據(jù)包時(shí)，安全控制模塊讀取該IP數(shù)據(jù)包并提取IP數(shù)據(jù)包來(lái)源地址，根據(jù)IP數(shù)據(jù)包來(lái)源地址獲取對(duì)應(yīng)的密鑰和接收序列號(hào)，安全控制模塊利用密鑰對(duì)IP數(shù)據(jù)包中被保護(hù)的內(nèi)容和發(fā)送序列號(hào)進(jìn)行摘要運(yùn)算，并將運(yùn)算結(jié)果與IP數(shù)據(jù)包中自帶的摘要運(yùn)算結(jié)果進(jìn)行比較，如果結(jié)果比較不一致則認(rèn)為IP數(shù)據(jù)包被篡改和偽造，將此IP數(shù)據(jù)包通過(guò)內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊發(fā)送至實(shí)際嵌入式設(shè)備模擬機(jī)；如果結(jié)果比較一致則判斷IP數(shù)據(jù)包沒(méi)有被篡改和偽造，繼續(xù)比較從IP數(shù)據(jù)包中讀取的發(fā)送序列號(hào)和接收序列號(hào)的大小，若發(fā)送序列號(hào)大于接收序列號(hào)則認(rèn)為IP數(shù)據(jù)包正常，安全控制模塊接收該IP數(shù)據(jù)包并將此IP數(shù)據(jù)包通過(guò)內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊發(fā)送至實(shí)際嵌入式設(shè)備；如果發(fā)送序列號(hào)小于等于接收序列號(hào)則認(rèn)為IP數(shù)據(jù)包非法，將此IP數(shù)據(jù)包通過(guò)內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊發(fā)送至實(shí)際嵌入式設(shè)備模擬機(jī)。
[0016]所述的實(shí)際嵌入式設(shè)備模擬機(jī)包括硬件可信密碼模塊TPM，用于實(shí)現(xiàn)信息采集與組件動(dòng)態(tài)可信度量；其中信息采集是指采集異常網(wǎng)絡(luò)事件和主機(jī)事件并發(fā)送至安全分析服務(wù)器，異常網(wǎng)絡(luò)事件信息包括異常的網(wǎng)絡(luò)數(shù)據(jù)信息和網(wǎng)絡(luò)流量信息，主機(jī)事件包括實(shí)際嵌入式設(shè)備模擬機(jī)配置信息和實(shí)際嵌入式設(shè)備模擬機(jī)運(yùn)行信息；進(jìn)行組件動(dòng)態(tài)可信度量時(shí)首先在實(shí)際嵌入式設(shè)備模擬機(jī)內(nèi)配置XEN虛擬機(jī)，XEN虛擬機(jī)位于實(shí)際嵌入式設(shè)備模擬機(jī)硬件層之上且操作系統(tǒng)之下；然后利用XEN虛擬機(jī)的超級(jí)調(diào)用機(jī)制，在組件請(qǐng)求頁(yè)面調(diào)入內(nèi)存運(yùn)行之前，通過(guò)地址指針獲取調(diào)入內(nèi)存的頁(yè)面；在XEN虛擬機(jī)執(zhí)行權(quán)限檢查后，執(zhí)行該超級(jí)調(diào)用的處理函數(shù)；在處理函數(shù)中加入對(duì)組件進(jìn)行度量的代碼，使度量代碼操作首先執(zhí)行；最后利用度量代碼中基于指定的度量方式實(shí)現(xiàn)組件當(dāng)前內(nèi)存快照的可信度量或風(fēng)險(xiǎn)監(jiān)測(cè)。
[0017]所述的安全分析服務(wù)器用于從平臺(tái)配置屬性、平臺(tái)運(yùn)行屬性和用戶認(rèn)證屬性進(jìn)行多維度屬性綜合量化評(píng)估；
[0018]所述的平臺(tái)配置屬性度量通過(guò)對(duì)存儲(chǔ)在硬件可信密碼模塊TPM相應(yīng)平臺(tái)配置寄存器PCRs中的各個(gè)組件完整性進(jìn)行綜合評(píng)價(jià)反映平臺(tái)配置的可信任程度:首先基于實(shí)際嵌入式設(shè)備模擬機(jī)可信硬件模塊TPM，以安全可信的方式獲得實(shí)際嵌入式設(shè)備模擬機(jī)計(jì)算平臺(tái)各個(gè)組件的完整性報(bào)告信息，包括PCR值和簽名信息；然后安全分析服務(wù)器對(duì)完整性報(bào)告進(jìn)行驗(yàn)證，得到PCRO, PCR1,…，PCRn-1對(duì)應(yīng)組件的完整性信息，其中η為組件的個(gè)數(shù)；若得到的完整性驗(yàn)證失敗的組件個(gè)數(shù)f，則完整性驗(yàn)證成功的組件個(gè)數(shù)為n-f ;最后依據(jù)組件完整性與否的信息，計(jì)算平臺(tái)配置信任度Ti ；
[0019]本發(fā)明使用三元組{bS，dS, uS}表示完整性驗(yàn)證成功的組件可信情況，bS表示該組件未受惡意代碼影響的可能性，dS表示該組件受惡意代碼影響的可能性，uS表示該組件受惡意代碼影響的不確定程度。
[0020]用三元組{bF，dF, uF}表示完整性驗(yàn)證失敗的組件可信情況(完整性驗(yàn)證失敗未必表示組件安全性受到威脅，其中bF表示該組件對(duì)系統(tǒng)安全性造成破壞的可能性，dF表示該組件對(duì)系統(tǒng)安全性不會(huì)造成破壞的可能性，uF表示該組件對(duì)系統(tǒng)安全性是否造成破壞的不確定程度。
[0021]使用三元組表示平臺(tái)配置信任度TI，TI={bI，dI，uI}；
【權(quán)利要求】
1.一種智能電網(wǎng)嵌入式設(shè)備網(wǎng)絡(luò)攻擊誘捕系統(tǒng)，其特征在于:包括誘捕裝置和安全分析服務(wù)器； 所述誘捕裝置的數(shù)據(jù)接收端連接智能電網(wǎng)網(wǎng)絡(luò)，誘捕裝置的數(shù)據(jù)發(fā)送端分別連接實(shí)際嵌入式設(shè)備和安全分析服務(wù)器；誘捕裝置包括網(wǎng)絡(luò)接口模塊、安全控制模塊和實(shí)際嵌入式設(shè)備模擬機(jī)； 網(wǎng)絡(luò)接口模塊用于完成IP數(shù)據(jù)包的收發(fā)，包括外網(wǎng)網(wǎng)絡(luò)接口模塊和內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊；外網(wǎng)網(wǎng)絡(luò)接口模塊連接安全控制模塊和智能電網(wǎng)網(wǎng)絡(luò)，用于接收外部通訊網(wǎng)絡(luò)所發(fā)送的IP數(shù)據(jù)包并傳送給安全控制模塊，以及接收安全控制模塊所發(fā)送的IP數(shù)據(jù)包并通過(guò)外部通信網(wǎng)絡(luò)進(jìn)行發(fā)送；內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊分別連接安全控制模塊和實(shí)際嵌入式設(shè)備模擬機(jī)以及安全控制模塊和實(shí)際嵌入式設(shè)備，用于接收安全控制模塊所發(fā)送的IP數(shù)據(jù)包并傳送給實(shí)際嵌入式設(shè)備或?qū)嶋H嵌入式設(shè)備模擬機(jī)，以及接收實(shí)際嵌入式設(shè)備所發(fā)送的IP數(shù)據(jù)包并傳送給安全控制模塊； 安全控制模塊用于對(duì)所接收的實(shí)際嵌入式設(shè)備發(fā)送的IP數(shù)據(jù)包進(jìn)行標(biāo)識(shí)后通過(guò)網(wǎng)絡(luò)接口模塊發(fā)送至智能電網(wǎng)網(wǎng)絡(luò)，以及對(duì)所接收的智能電網(wǎng)網(wǎng)絡(luò)發(fā)送的IP數(shù)據(jù)包進(jìn)行解析判別，并將正常的IP數(shù)據(jù)包發(fā)送至實(shí)際嵌入式設(shè)備，將異常的IP數(shù)據(jù)包發(fā)送至實(shí)際嵌入式設(shè)備模擬機(jī)；安全控制模塊連接有串口通信模塊和用于單獨(dú)存放文件配置程序的外部存儲(chǔ)器，安全控制模塊還連接有開(kāi)關(guān)模塊，開(kāi)關(guān)模塊的信號(hào)輸出端連接安全控制模塊的信號(hào)輸入端; 實(shí)際嵌入式設(shè)備模擬機(jī)用于對(duì)實(shí)際嵌入式設(shè)備的運(yùn)行環(huán)境和計(jì)算環(huán)境進(jìn)行模擬，包括硬件環(huán)境模擬和軟件環(huán)境模擬，對(duì)實(shí)際嵌入式設(shè)備在受到網(wǎng)絡(luò)攻擊時(shí)其網(wǎng)絡(luò)狀態(tài)和主機(jī)狀態(tài)變化進(jìn)行檢測(cè)，并將網(wǎng)絡(luò)狀態(tài)及主機(jī)狀態(tài)信息發(fā)送至安全分析服務(wù)器； 所述安全分析服務(wù)器用于對(duì)實(shí)際嵌入式設(shè)備模擬機(jī)發(fā)送的網(wǎng)絡(luò)狀態(tài)及主機(jī)狀態(tài)信息，通過(guò)基于平臺(tái)配置屬性度量、平臺(tái)運(yùn)行屬性度量和用戶認(rèn)證屬性度量進(jìn)行的多維度屬性綜合度量，得出最終安全檢測(cè)結(jié)果。
2.根據(jù)權(quán)利要求1所述的智能電網(wǎng)嵌入式設(shè)備網(wǎng)絡(luò)攻擊誘捕系統(tǒng)，其特征在于:所述的安全控制模塊內(nèi)存儲(chǔ)有與相應(yīng)目的地址和來(lái)源地址對(duì)應(yīng)的密鑰、發(fā)送序列號(hào)及接收序列號(hào)；當(dāng)安全控制模塊接收到實(shí)際嵌入式設(shè)備所發(fā)送的IP數(shù)據(jù)包時(shí)，安全控制模塊讀取該IP數(shù)據(jù)包并提取IP數(shù)據(jù)包目的地址，根據(jù)目的地址獲取對(duì)應(yīng)的密鑰和發(fā)送序列號(hào)，將發(fā)送序列號(hào)置于IP數(shù)據(jù)包尾部，利用密鑰對(duì)IP數(shù)據(jù)包和發(fā)送序列號(hào)進(jìn)行摘要運(yùn)算，將摘要運(yùn)算結(jié)果附于發(fā)送序列號(hào)之后，并根據(jù)當(dāng)前長(zhǎng)度調(diào)整IP首部信息中的長(zhǎng)度指示信息，然后將添加標(biāo)識(shí)后的IP數(shù)據(jù)包通過(guò)外網(wǎng)網(wǎng)絡(luò)接口模塊發(fā)送至智能電網(wǎng)網(wǎng)絡(luò)；當(dāng)安全控制模塊接收到智能電網(wǎng)網(wǎng)絡(luò)所發(fā)送的IP數(shù)據(jù)包時(shí)，安全控制模塊讀取該IP數(shù)據(jù)包并提取IP數(shù)據(jù)包來(lái)源地址，根據(jù)IP數(shù)據(jù)包來(lái)源地址獲取對(duì)應(yīng)的密鑰和接收序列號(hào)，安全控制模塊利用密鑰對(duì)IP數(shù)據(jù)包中被保護(hù)的內(nèi)容和發(fā)送序列號(hào)進(jìn)行摘要運(yùn)算，并將運(yùn)算結(jié)果與IP數(shù)據(jù)包中自帶的摘要運(yùn)算結(jié)果進(jìn)行比較，如果結(jié)果比較不一致則認(rèn)為IP數(shù)據(jù)包被篡改和偽造，將此IP數(shù)據(jù)包通過(guò)內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊發(fā)送至實(shí)際嵌入式設(shè)備模擬機(jī)；如果結(jié)果比較一致則判斷IP數(shù)據(jù)包沒(méi)有被篡改和偽造，繼續(xù)比較從IP數(shù)據(jù)包中讀取的發(fā)送序列號(hào)和接收序列號(hào)的大小，若發(fā)送序列號(hào)大于接收序列號(hào)則認(rèn)為IP數(shù)據(jù)包正常，安全控制模塊接收該IP數(shù)據(jù)包并將此IP數(shù)據(jù)包通過(guò)內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊發(fā)送至實(shí)際嵌入式設(shè)備；如果發(fā)送序列號(hào)小于等于接收序列號(hào)則認(rèn)為IP數(shù)據(jù)包非法，將此IP數(shù)據(jù)包通過(guò)內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊發(fā)送至實(shí)際嵌入式設(shè)備模擬機(jī)。
3.根據(jù)權(quán)利要求2所述的智能電網(wǎng)嵌入式設(shè)備網(wǎng)絡(luò)攻擊誘捕系統(tǒng)，其特征在于:所述的實(shí)際嵌入式設(shè)備模擬機(jī)包括硬件可信密碼模塊TPM，用于實(shí)現(xiàn)信息采集與組件動(dòng)態(tài)可信度量；其中信息采集是指采集異常網(wǎng)絡(luò)事件和主機(jī)事件并發(fā)送至安全分析服務(wù)器，異常網(wǎng)絡(luò)事件信息包括異常的網(wǎng)絡(luò)數(shù)據(jù)信息和網(wǎng)絡(luò)流量信息，主機(jī)事件包括實(shí)際嵌入式設(shè)備模擬機(jī)配置信息和實(shí)際嵌入式設(shè)備模擬機(jī)運(yùn)行信息；進(jìn)行組件動(dòng)態(tài)可信度量時(shí)首先在實(shí)際嵌入式設(shè)備模擬機(jī)內(nèi)配置XEN虛擬機(jī)，XEN虛擬機(jī)位于實(shí)際嵌入式設(shè)備模擬機(jī)硬件層之上且操作系統(tǒng)之下；然后利用XEN虛擬機(jī)的超級(jí)調(diào)用機(jī)制，在組件請(qǐng)求頁(yè)面調(diào)入內(nèi)存運(yùn)行之前，通過(guò)地址指針獲取調(diào)入內(nèi)存的頁(yè)面；在XEN虛擬機(jī)執(zhí)行權(quán)限檢查后，執(zhí)行該超級(jí)調(diào)用的處理函數(shù)；在處理函數(shù)中加入對(duì)組件進(jìn)行度量的代碼，使度量代碼操作首先執(zhí)行；最后利用度量代碼中基于指定的度量方式實(shí)現(xiàn)組件當(dāng)前內(nèi)存快照的可信度量或風(fēng)險(xiǎn)監(jiān)測(cè)。
4.根據(jù)權(quán)利要求3所述的智能電網(wǎng)嵌入式設(shè)備網(wǎng)絡(luò)攻擊誘捕系統(tǒng)，其特征在于:所述的安全分析服務(wù)器用于從平臺(tái)配置屬性、平臺(tái)運(yùn)行屬性和用戶認(rèn)證屬性進(jìn)行多維度屬性綜合量化評(píng)估； 所述的平臺(tái)配置屬性度量通過(guò)對(duì)存儲(chǔ)在硬件可信密碼模塊TPM相應(yīng)平臺(tái)配置寄存器PCRs中的各個(gè)組件完整性進(jìn)行綜合評(píng)價(jià)反映平臺(tái)配置的可信任程度:首先基于實(shí)際嵌入式設(shè)備模擬機(jī)可信硬件模塊TPM，以安全可信的方式獲得實(shí)際嵌入式設(shè)備模擬機(jī)計(jì)算平臺(tái)各個(gè)組件的完整性報(bào)告信息，包括PCR值和簽名信息；然后安全分析服務(wù)器對(duì)完整性報(bào)告進(jìn)行驗(yàn)證，得到PCRO, PCR1,...,PCRn-1對(duì)應(yīng)組件的完整性信息，其中η為組件的個(gè)數(shù)；若得到的完整性驗(yàn)證失敗的組件個(gè)數(shù)f，則完整性驗(yàn)證成功的組件個(gè)數(shù)為n-f ;最后依據(jù)組件完整性與否的信息，計(jì)算平臺(tái)配置信任度Ti ； 本發(fā)明使用三元組IbS，dS, uS}表示完整性驗(yàn)證成功的組件可信情況，bS表示該組件未受惡意代碼影響的可能性，dS表示該組件受惡意代碼影響的可能性，uS表示該組件受惡意代碼影響的不確定程度； 用三元組{bF，dF, uF}表示完整性驗(yàn)證失敗的組件可信情況，其中bF表示該組件對(duì)系統(tǒng)安全性造成破壞的可能性，dF表示該組件對(duì)系統(tǒng)安全性不會(huì)造成破壞的可能性，uF表示該組件對(duì)系統(tǒng)安全性是否造成破壞的不確定程度； 使用三元組表示平臺(tái)配置信任度TI，TI={bI, dl, ul}；
5.一種智能電網(wǎng)嵌入式設(shè)備網(wǎng)絡(luò)攻擊誘捕方法，其特征在于，包括以下步驟: A:將誘捕裝置的數(shù)據(jù)接收端直接接入智能電網(wǎng)網(wǎng)絡(luò)，誘捕裝置的數(shù)據(jù)發(fā)送端分別連接實(shí)際嵌入式設(shè)備和安全分析服務(wù)器；所述誘捕裝置包括網(wǎng)絡(luò)接口模塊、安全控制模塊和實(shí)際嵌入式設(shè)備模擬機(jī)；網(wǎng)絡(luò)接口模塊包括外網(wǎng)網(wǎng)絡(luò)接口模塊和內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊；外網(wǎng)網(wǎng)絡(luò)接口模塊連接安全控制模塊和智能電網(wǎng)網(wǎng)絡(luò)，用于接收外部通訊網(wǎng)絡(luò)所發(fā)送的IP數(shù)據(jù)包并傳送給安全控制模塊，以及接收安全控制模塊所發(fā)送的IP數(shù)據(jù)包并通過(guò)外部通信網(wǎng)絡(luò)進(jìn)行發(fā)送；內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊分別連接安全控制模塊和實(shí)際嵌入式設(shè)備模擬機(jī)以及安全控制模塊和實(shí)際嵌入式設(shè)備，用于接收安全控制模塊所發(fā)送的IP數(shù)據(jù)包并傳送給實(shí)際嵌入式設(shè)備或?qū)嶋H嵌入式設(shè)備模擬機(jī)，以及接收實(shí)際嵌入式設(shè)備所發(fā)送的IP數(shù)據(jù)包并傳送給安全控制模塊；B:當(dāng)實(shí)際嵌入式設(shè)備需向智能電網(wǎng)網(wǎng)絡(luò)上其他設(shè)備發(fā)送IP數(shù)據(jù)包時(shí)，利用安全控制模塊對(duì)所接收的實(shí)際嵌入式設(shè)備發(fā)送的IP數(shù)據(jù)包進(jìn)行標(biāo)識(shí)后通過(guò)網(wǎng)絡(luò)接口模塊發(fā)送至智能電網(wǎng)網(wǎng)絡(luò)，安全控制模塊內(nèi)存儲(chǔ)有與相應(yīng)目的地址和來(lái)源地址對(duì)應(yīng)的密鑰、發(fā)送序列號(hào)及接收序列號(hào)；當(dāng)安全控制模塊接收到實(shí)際嵌入式設(shè)備所發(fā)送的IP數(shù)據(jù)包時(shí)，安全控制模塊讀取該IP數(shù)據(jù)包并提取IP數(shù)據(jù)包目的地址，根據(jù)目的地址獲取對(duì)應(yīng)的密鑰和發(fā)送序列號(hào)，將發(fā)送序列號(hào)置于IP數(shù)據(jù)包尾部，利用密鑰對(duì)IP數(shù)據(jù)包和發(fā)送序列號(hào)進(jìn)行摘要運(yùn)算，將摘要運(yùn)算結(jié)果附于發(fā)送序列號(hào)之后，并根據(jù)當(dāng)前長(zhǎng)度調(diào)整IP首部信息中的長(zhǎng)度指示信息，然后將添加標(biāo)識(shí)后的IP數(shù)據(jù)包通過(guò)外網(wǎng)網(wǎng)絡(luò)接口模塊發(fā)送至智能電網(wǎng)網(wǎng)絡(luò)； 當(dāng)安全控制模塊接收到智能電網(wǎng)網(wǎng)絡(luò)所發(fā)送的IP數(shù)據(jù)包時(shí)，安全控制模塊讀取該IP數(shù)據(jù)包并提取IP數(shù)據(jù)包來(lái)源地址，根據(jù)IP數(shù)據(jù)包來(lái)源地址獲取對(duì)應(yīng)的密鑰和接收序列號(hào)，安全控制模塊利用密鑰對(duì)IP數(shù)據(jù)包中被保護(hù)的內(nèi)容和發(fā)送序列號(hào)進(jìn)行摘要運(yùn)算，并將運(yùn)算結(jié)果與IP數(shù)據(jù)包中自帶的摘要運(yùn)算結(jié)果進(jìn)行比較，如果結(jié)果比較不一致則認(rèn)為IP數(shù)據(jù)包被篡改和偽造，將此IP數(shù)據(jù)包通過(guò)內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊發(fā)送至實(shí)際嵌入式設(shè)備模擬機(jī)；如果結(jié)果比較一致則判斷IP數(shù)據(jù)包沒(méi)有被篡改和偽造，繼續(xù)比較從IP數(shù)據(jù)包中讀取的發(fā)送序列號(hào)和接收序列號(hào)的大小，若發(fā)送序列號(hào)大于接收序列號(hào)則認(rèn)為IP數(shù)據(jù)包正常，安全控制模塊接收該IP數(shù)據(jù)包并將此IP數(shù)據(jù)包通過(guò)內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊發(fā)送至實(shí)際嵌入式設(shè)備；如果發(fā)送序列號(hào)小于等于接收序列號(hào)則認(rèn)為IP數(shù)據(jù)包非法，將此IP數(shù)據(jù)包通過(guò)內(nèi)網(wǎng)網(wǎng)絡(luò)接口模塊發(fā)送至實(shí)際嵌入式設(shè)備模擬機(jī)； C:利用實(shí)際嵌入式設(shè)備模擬機(jī)對(duì)實(shí)際嵌入式設(shè)備的運(yùn)行環(huán)境和計(jì)算環(huán)境進(jìn)行模擬，包括硬件環(huán)境模擬和軟件環(huán)境模擬，對(duì)實(shí)際嵌入式設(shè)備在受到網(wǎng)絡(luò)攻擊時(shí)其網(wǎng)絡(luò)狀態(tài)和主機(jī)狀態(tài)變化進(jìn)行檢測(cè)，并將網(wǎng)絡(luò)狀態(tài)及主機(jī)狀態(tài)信息發(fā)送至安全分析服務(wù)器； D:利用安全分析服務(wù)器用于對(duì)實(shí)際嵌入式設(shè)備模擬機(jī)發(fā)送的網(wǎng)絡(luò)狀態(tài)及主機(jī)狀態(tài)信息，通過(guò)基于平臺(tái)配置屬性度量、平臺(tái)運(yùn)行屬性度量和用戶認(rèn)證屬性度量進(jìn)行的多維度屬性綜合度量，得出最終安全檢測(cè)結(jié)果。
6.根據(jù)權(quán)利要求5所述的智能電網(wǎng)嵌入式設(shè)備網(wǎng)絡(luò)攻擊誘捕方法，其特征在于:所述的B步驟中，在安全處理模塊上連接有串口通信模塊和用于單獨(dú)存放網(wǎng)絡(luò)攻擊過(guò)濾裝置的文件配置程序的外部存儲(chǔ)器，同時(shí)在安全處理模塊上連接開(kāi)關(guān)模塊，開(kāi)關(guān)模塊的信號(hào)輸出端連接安全處理模塊的信號(hào)輸入端；利用開(kāi)關(guān)模塊向安全處理模塊輸入高電平或低電平信號(hào)，安全處理模塊根據(jù)接收到開(kāi)關(guān)模塊發(fā)送的不同信號(hào)分別執(zhí)行IP數(shù)據(jù)包標(biāo)識(shí)和解析判別模式與文件配置模式，文件配置模式下安全處理模塊僅通過(guò)串口通信模塊與外界進(jìn)行通信；當(dāng)安全處理模塊執(zhí)行IP數(shù)據(jù)包標(biāo)識(shí)和解析判別模式時(shí)，安全處理模塊從內(nèi)部啟動(dòng)，即安全處理模塊從內(nèi)部存儲(chǔ)單元中讀取網(wǎng)絡(luò)攻擊過(guò)濾程序并執(zhí)行，安全處理模塊不能訪問(wèn)外部存儲(chǔ)器；當(dāng)安全處理模塊執(zhí)行配置程序運(yùn)行模式時(shí)，安全處理模塊從外部存儲(chǔ)器中讀取配置程序并執(zhí)行，配置程序在用戶的計(jì)算機(jī)中運(yùn)行，用戶計(jì)算機(jī)通過(guò)串口通信模塊與安全處理模塊進(jìn)行通信。
7.根據(jù)權(quán)利要求6所述的智能電網(wǎng)嵌入式設(shè)備網(wǎng)絡(luò)攻擊誘捕方法，其特征在于:所述的C步驟中，實(shí)際嵌入式設(shè)備模擬機(jī)包括硬件可信密碼模塊TPM，用于實(shí)現(xiàn)信息采集與組件動(dòng)態(tài)可信度量；其中信息采集是指采集異常網(wǎng)絡(luò)事件和主機(jī)事件并發(fā)送至安全分析服務(wù)器，異常網(wǎng)絡(luò)事件信息包括異常的網(wǎng)絡(luò)數(shù)據(jù)信息和網(wǎng)絡(luò)流量信息，主機(jī)事件包括實(shí)際嵌入式設(shè)備模擬機(jī)配置信息和實(shí)際嵌入式設(shè)備模擬機(jī)運(yùn)行信息；進(jìn)行組件動(dòng)態(tài)可信度量時(shí)首先在實(shí)際嵌入式設(shè)備模擬機(jī)內(nèi)配置XEN虛擬機(jī)，XEN虛擬機(jī)位于實(shí)際嵌入式設(shè)備模擬機(jī)硬件層之上且操作系統(tǒng)之下；然后利用XEN虛擬機(jī)的超級(jí)調(diào)用機(jī)制，在組件請(qǐng)求頁(yè)面調(diào)入內(nèi)存運(yùn)行之前，通過(guò)地址指針獲取調(diào)入內(nèi)存的頁(yè)面；在XEN虛擬機(jī)執(zhí)行權(quán)限檢查后，執(zhí)行該超級(jí)調(diào)用的處理函數(shù)；在處理函數(shù)中加入對(duì)組件進(jìn)行度量的代碼，使度量代碼操作首先執(zhí)行；最后利用度量代碼中基于指定的度量方式實(shí)現(xiàn)組件當(dāng)前內(nèi)存快照的可信度量或風(fēng)險(xiǎn)監(jiān)測(cè)。
8.根據(jù)權(quán)利要求7所述的智能電網(wǎng)嵌入式設(shè)備網(wǎng)絡(luò)攻擊誘捕方法，其特征在于:所述的D步驟中，安全分析服務(wù)器用于從平臺(tái)配置屬性、平臺(tái)運(yùn)行屬性和用戶認(rèn)證屬性進(jìn)行多維度屬性綜合量化評(píng)估； 所述的平臺(tái)配置屬性度量通過(guò)對(duì)存儲(chǔ)在硬件可信密碼模塊TPM相應(yīng)平臺(tái)配置寄存器PCRs中的各個(gè)組件完整性進(jìn)行綜合評(píng)價(jià)反映平臺(tái)配置的可信任程度:首先基于實(shí)際嵌入式設(shè)備模擬機(jī)可信硬件模塊TPM，以安全可信的方式獲得實(shí)際嵌入式設(shè)備模擬機(jī)計(jì)算平臺(tái)各個(gè)組件的完整性報(bào)告信息，包括PCR值和簽名信息；然后安全分析服務(wù)器對(duì)完整性報(bào)告進(jìn)行驗(yàn)證，得到PCRO, PCR1,...,PCRn-1對(duì)應(yīng)組件的完整性信息，其中n為組件的個(gè)數(shù)；若得到的完整性驗(yàn)證失敗的組件個(gè)數(shù)f，則完整性驗(yàn)證成功的組件個(gè)數(shù)為n-f ;最后依據(jù)組件完整性與否的信息，計(jì)算平臺(tái)配置信任度Ti: 本發(fā)明使用三元組IbS，dS, uS}表示完整性驗(yàn)證成功的組件可信情況，bS表示該組件未受惡意代碼影響的可能性，dS表示該組件受惡意代碼影響的可能性，uS表示該組件受惡意代碼影響的不確定程度； 用三元組{bF，dF, uF}表示完整性驗(yàn)證失敗的組件可信情況(完整性驗(yàn)證失敗未必表示組件安全性受到威脅，例如軟件版本升級(jí)等也會(huì)導(dǎo)致PCR值驗(yàn)證失敗，卻是無(wú)害的)，其中bF表示該組件對(duì)系統(tǒng)安全性造成破壞的可能性，dF表示該組件對(duì)系統(tǒng)安全性不會(huì)造成破壞的可能性，uF表示該組件對(duì)系統(tǒng)安全性是否造成破壞的不確定程度； 使用三元組表示平臺(tái)配置信任度TI，TI={bI, dI, uI}；
【文檔編號(hào)】H04L29/06GK103905451SQ201410133307
【公開(kāi)日】2014年7月2日 申請(qǐng)日期:2014年4月3日 優(yōu)先權(quán)日:2014年4月3日
【發(fā)明者】牛霜霞, 張之剛, 呂卓, 王艷敏 申請(qǐng)人:國(guó)家電網(wǎng)公司, 國(guó)網(wǎng)河南省電力公司電力科學(xué)研究院