【《面向网络攻击检测取证与检测关键算法概述》2500字】

面向网络攻击检测取证与检测关键算法概述目录TOC\o"1-3"\h\u6601面向网络攻击检测取证与检测关键算法概述 1178771.1数字签名技术及处理时间仿真估算 1207421.2SMV阀值异常检测算法 5141811.3SMV本地不良数据检测算法 527221.4入侵检测库设计 6254201.5异常指示计数及评估指标设计 61.1数字签名技术及处理时间仿真估算数字签名不仅可保证信息传输的完整性、鉴别认证发送者的身份及防止信息交换中出现抵赖行为，同时又能兼顾实时性及安全性，因而被认为是变电站站内通信的有效安全措施。由于整个SMV报文中最核心也是外界最想截获的信息是每个应用服务数据单元（ASDU）后半部分的DataSet域中的每个电气量前4B的数据，只要保证这部分信息的机密性，则SMV报文实质信息将不会泄露。因此，为了减少加密运算耗时，只针对采用报文的关键内容进行数字签名，可有效提高报文传输的实时性。图3-3SMV报文完整性和数字签名认证过程图3-4SMV报文安全传输延时本文采用SM2体系数字签名具体的实现过程，如图3-3示。以下对SMV报文安全传输的时间开销分析。以MU到母线间隔保护为例，如图3-4，SMV报文整个传输延时，记传输总延时为T，计时从MU数字签名处理时刻，直到继电保护装置从其传输栈中取走数据报文为止。（3-1）1）表示数字签名处理时间，包括SM3散列时间和SM2对散列值加密时间。以本文拟采用的华大安全SSM0901加密芯片硬件加密及数字验证为例，可查得SSM0901模块性能指标，SM3算法生成256bit散列摘要的处理速度为290Mbit/s，而MU向母线间隔保护装置发送的SMV报文总大小为113B，其中包含2个ASDU数据单元，其关键报文内容的大小为8B，因此散列一次的时间为0.00006ms。同时SM2加密一次256bit的报文耗时为0.438ms。最终MU数字签名处理时间=0.43806ms。2）表示通信处理打包发送到SVDE数字签名验证处理之前的延时。对典型的T-1型变电站组成的星形通信网络和环形通信网络进行了仿真；图3-5的t从0s到20s，为OPNET软件仿真在T-1型变电站组成的星、环形通信网络中MU到SVDE的延时情况，由图可知其端到端发送延时分别为0.034ms，0.052ms；详细仿真场景及参数见附录及图3-6、图3-7。图3-5星、环形网络下SMV报文从MU到SVDE、从SVDE到继电保护装置传输延时仿真图3-6基于OPNET的星形网络下MU-SVDE-保护装置的延时仿真场景图3-7基于OPNET的环形网络下MU-SVDE-保护装置的延时仿真场景仿真参数MU到SVDE周期性报文IncomingStreamInterarrivalTime(seconds)：constant(0.025)

OutgoingStreamInterarrivalTime(seconds)：constant(0.025)

IncomingStreamFrameSize(bytes)：constant(200)

OutgoingStreamFrameSize(bytes)：constant(200)

TypeofService：InteractiveVoice(6)2）SVDE到继电保护装置周期性报文

IncomingStreamInterarrivalTime(seconds)：constant(0.03)

OutgoingStreamInterarrivalTime(seconds)：constant(0.03)

IncomingStreamFrameSize(bytes)：constant(200)

OutgoingStreamFrameSize(bytes)：constant(200)

TypeofService：InteractiveVoice(5)3）表示SVDE数字签名验证所消耗的时间，包括SM3算法散列时间和SM2算法的解密时间。由于SM3算法散列时间为0.00006ms。查SSM0901模块性能指标可知，SM2算法验证一次签名的时间为0.713ms。最终SVDE数字签名验证所消耗的时间=0.71306ms；4）表示SVDE将验证后的SMV报文去除签名摘要部分，以原始SMV报文形式下发到继电保护装置传输时间。图3-5的t从20s到40s，为OPNET软件仿真在T-1型变电站组成的星、环形通信网络中SVDE到继电保护装置的延时情况，由图可知其端到端发送延时分别为0.044ms，0.075ms；详细仿真场景及参数见图3-6、图3-7。因此整个星/环形SMV报文的传输总延时T分别为1.229ms和1.278ms，均满足IEC62351-6通信标准中传输延时小于4ms的要求。1.2SMV阀值异常检测算法SMV数据包阀值取决于采样速率。在包过滤模块，SMV数据包的MVC地址可以从01-0C-CD-04-00-00开始的，因此可以检查其MVC地址来扑获SMV数据包，记录每秒数据包的数量和其他详细的信息。在入侵检测模块，如果在1s内扑获的数据包数量大于预定义的数据包阀值，那么此异常将被写入异常日志并产生告警，作为SMV包可能遭受DoS攻击的判定依据。SMV数据包阀值异常检测指示器设置为true。SMV数据包阀值计算公式如下：（3-2）其中m是1s内合并单元的数量，是采样幅值分辨率，是第i个数据包的频率，是阀值计算误差系数。1.3SMV本地不良数据检测算法本文把SCADA/EMS中量测值状态估计算法引入到本地SVDE中，进行本地二次状态估计，符合信息的可验证性特点。以直流潮流为基础的状态估计模型来检测不良数据检测算法如下：（3-3）式中，量测矩阵是一个常数雅克比矩阵，通常情况下传感器量测值数目要大于状态变量数目，即ｍ＞ｎ。x为待估计的状态量，e为测量误差。状态估计问题以冗余测量值为基础，本文采用加权最小二乘法求解目标函数的最小值来获得状态估计结果，其表达式如下：（3-4）式中w为与系统误差相关的对角矩阵，最小二乘法求解的最小值得：（3-5）当>C（C为阀值）成立时，表明量测向量中含有不良数据，将量测向量中估计误差最大的变量滤除，不良数据检测状态指示器设为true，重新进行状态估计，直到通过不良数据检测为止。1.4入侵检测库设计1）引发跳闸数据检测：主要检测包数据中是否含有引起继电保护跳闸的过压、过流等告警值。若检测到此类数据，则记入告警日志，上送变电站综自系统，以及调控主站。2）SMV数据上送主站被篡改或伪造检测：加密方式只是降低了SMV数据从MU到继电保护装置被篡改可能性，但是SMV通过远动装置到达主站有比较长的传输路径，报文被篡改的可能性很大，同时也可能存在SMV数据伪造的可能；通过上发本地状态估计值，同时接受主站发回的状态估计值，并进行对比：①如果不配对，则表明测量原始SMV在广域网传输过程中存在数据伪造，则置上送SMV伪造指示为true；②两值相差很大，则表明测量原始SMV在广域网传输过程中存在数据篡改可能，则置上送SMV篡改指示为true。3）预定义逻辑检测：数据包的发送和接收顺序是符合一定的逻辑规范（比如数据包的序列号大小）的，对于不符合逻辑的数据包一旦检测到，就将之丢弃，并设置逻辑检测指示为true，进行告警。4）数据流量阀值异常：数据经过解析模块进入入侵检测模块的速率是有一个预定义阀值；对于那些一直超过阀值的包，就有理由怀疑此MAC地址遭受到了DoS攻击或者网络风暴攻击。1.5异常指示计数及评估指标设计本文设置了：①数字签名验证未通过；②不良数据；③逻辑检测未通过；④阀值异常；⑤历史一次故障相似；⑥历史网络攻击相似；⑦上送SMV伪造；⑧上送SMV篡改；⑨MAC地址异常等9种异常指示器，并对其进行累计计数，用于过程层网络攻击的检测状