CN112367322B - 一种基于冒泡排序法的电站工控系统异常流量识别方法 - Google Patents

Abstract

一种基于冒泡排序法的电站工控系统异常流量识别方法，该方法的步骤如下：1)根据电站工控系统节点数量在实时库中创建监测点，包括节点接收、发送的流量长度及对应的排序序号；2)以端口镜像方式获取系统中的网络流量，以秒为单位对流量长度进行归类统计并存储；3)对各节点实时接收、发送流量长度按两个队列分别用冒泡排序法进行排序并存储序号；4)及时更新各节点流量长度及序号数据，累加可得到小时累计流量，再用冒泡排序法得到小时累计序号，对实时序号变化、小时累计序号变化、实时序号与小时累计序号偏差超阈值的节点进行报警。本发明在不影响系统运行的前提下，对已知类型及未知类型的网络攻击产生的异常流量进行实时识别。

Description

一种基于冒泡排序法的电站工控系统异常流量识别方法

技术领域

本发明涉及工控安全监测技术领域，具体涉及一种基于冒泡排序法的电站工控系统异常流量识别方法。

背景技术

针对黑客的网络攻击，开展网络流量的监测分析，对异常流量的识别发现是进行安全防护的第一步。目前流量监测模型主要分为两类：基于特征库和基于行为偏差的检测系统。基于特征库的检测系统主要用于识别已知类型的网络攻击。基于行为偏差的检测系统可用于识别已知和未知的网络攻击，本发明的内容就是一种基于行为偏差的异常流量的识别方法。

电站工控系统是建监视、控制电力等生产、传输的系统，在我国主力电站是燃煤电站，在运行过程中考虑热应力的作用等安全因素，要求机组尽量在目标负荷下平稳运行，即使在升负荷、降负荷过程中，也要做好充分的缓冲准备，保证过程平稳过度。因此，电站工控系统在日常运行过程中，节点间的交互流量变化比较稳定化、平缓。如果某个网络节点接收、发送的流量出现较大的突然变化或持续变化，则系统内可能出现了网络攻击事件。本发明就是基于冒泡排序法对网络节点的接收、发送流量包字节长度进行统计排序，根据序号的变化来识别异常流量。

发明内容

为了克服上述现有技术存在的问题，本发明的目的在于提供一种基于冒泡排序法的电站工控系统异常流量识别方法，在不影响工控系统运行的前提下，无需构建网络攻击特征库，对系统中存在网络攻击产生的异常流量进行实时监测进而识别报警。

为了达到上述目的，本发明采用如下技术方案：

一种基于冒泡排序法的电站工控系统异常流量识别方法，包括以下步骤：

1)根据电站工控系统节点数量在实时库中创建监测点，每个节点对应接收流量包字节长度(简称接收流量长度)、接收流量包字节长度排序序号(简称接收流量序号)、发送流量包字节长度(简称发送流量长度)、发送流量包字节长度排序序号(简称发送流量序号)，创建监测点数量为工控系统节点数乘以4；

2)布置流量抓包工具，以端口镜像方式获取工控系统中的网络流量，以秒为单位按照源IP、目标IP将对流量包字节长度进行归类统计，对比节点与IP对应关系，将各节点实时接收、发送的流量长度计算出来并存入实时库；

3)从实时库读取所有节点的实时接收流量长度组成队列，按冒泡排序法对该队列进行排序，得到节点接收流量长度对应的序号数据，存入实时库，对发送流量长度队列按照同样方式处理；

4)以秒为单位更新各节点接收、发送流量长度及对应序号数据，与前一时刻对比，找出序号变化超阈值的节点进行实时报警；

5)对所有节点的接收流量长度按最近一小时进行累加得到当前小时累计接收流量长度，将当前小时累计接收流量长度组成的队列按冒泡排序法进行排序，得到当前小时累计接收流量序号，以同样方式处理前一小时累计接收流量长度，得到前一小时序号，再以同样方式处理累计发送流量，得到两组序号；

6)将当前小时累计接收流量序号与前一小时序号进行对比，变化超阈值的节点进行报警，对实时接收流量序号与当前小时累计接收流量序号偏差超阈值的节点也进行报警，以同样方式处理小时累计发送流量。

本发明适用于多个工控系统之间异常流量识别，将各工控系统当节点处理即可；可进一步按工控系统中通讯协议种类进行细分后再进行排序、报警处理；对于实时流量的统计可以改成3-5秒，对于累计的时间也可以改成半个小时或两个小时。

本发明无需像传统网络攻击流量检测方式那样构建特征库，能够同时对已知类型、未知类型网络攻击产生的异常流量进行识别，实现实时监测及报警。

优选地，报警方式，对于实时接收流量序号、实时发送流量序号、小时累计接收流量序号、小时累计发送流量序号的报警以4种不同颜色标注，对于序号变化最大及符合双重报警的节点以闪烁方式标注。

本发明具有以下有益的技术效果：以端口镜像的方式获取网络流量，对工控系统的运行不产生影响，无需构建已知攻击方式的特征库，对已知类型及未知类型的网络攻击流量都可进行识别，对于短时间的集中攻击流量及长时间的分散攻击流量都可进行识别。

附图说明

图1是本发明识别方法的流程图。

具体实施方式

以下结合附图，对本发明做进一步详细描述。

如图1所示，本发明一种基于冒泡排序法的电站工控系统异常流量识别方法，包括以下步骤：

1)、根据电站工控系统节点数量在实时库中创建监测点，每个节点包括接收流量包字节长度、接收流量包字节长度排序序号、发送流量包字节长度、发送流量包字节长度排序序号，对有k个节点的工控系统，节点集合为{N₁,N_i...,N_k}，需创建测点数量为k*4个，每个节点对应的四个监测点分别为N#IN_BL_RT、N#IN_BL_ON_RT、N#OUT_BL_RT、N#OUT_BL_ON_RT，其中#表示节点编号。

2)以端口镜像方式获取工控系统中的网络流量，在交换机、路由器观察端口部署全流量抓包工具，以秒为单位按照源IP、目标IP将对流量字节长度进行归类统计，一个节点可能包含多个IP，对比节点与IP对应关系，将各节点实时接收、发送的流量字节长度计算出来并存入实时库。对于源IP、目标IP均为系统内部的所有流量，接收和发送方流量同时增加；对于目标IP为系统外的节点流量，只计入具体节点的发送流量，对于源IP为系统外的节点流量，只计入具体节点的接收流量。

3)实时库读取k个节点的实时接收流量长度组成队列，为k行2列的二维数组，k行表示k个节点，2列表示接收流量长度列、节点编号列，如下表所示，IL_k表示第k个节点实时的接收流量长度。

IL<sub>1</sub>	1
		IL<sub>2</sub>	2
…	…
		IL<sub>k</sub>	k

用冒泡排序对该队列进行排序，按照长度大的靠前排，即往上冒泡，在算法的k-1趟排序中，对单次的比较，如IL_i+1＞IL_i，则IL_i+1与IL_i位置互换，节点编号i+1和i位置也同时互换，其中1≤i≤k-1，最多需要经过

次比较，冒泡排序执行结束。根据节点标号找到对应的行号就是接收流量长度排序后的序号，得到节点接收流量长度对应的序号数据{A₁,A₂...,A_k}。

节点N_i接收流量长度的排序序号为A_i，将A_i按照接收流量长度对应的时戳存入节点N_i的接收流量长度序号测点，对所有节点实时发送的流量长度队列按照同样方式处理得到发送流量长度对应的序号数据{B₁,B₂...,B_k}；

4)以秒为单位更新k个节点接收、发送流量长度及对应序号数据，对于节点N_i，实时接收流量长度序号为A_i、实时发送流量长度序号为B_i，前一时刻接收流量长度序号为A'_i、发送流量长度序号为B'_i，如满足下面条件之一的：

|A_i-A'_i|＞α，实时接收流量序号变化超阈值；

|B_i-B'_i|＞α，实时发送流量序号变化超阈值；

对节点N_i进行实时报警，其中α为变化阈值，根据实际网络节点数，一般选取节点数的二分之一。

5)对k个节点的接收流量长度按最近一小时进行累加得到当前小时累计接收流量长度，将k个节点当前小时累计接收流量长度组成的队列按冒泡排序法进行排序(参考步骤3)，得到当前小时累计接收流量长度序号{C₁,C₂...,C_k}，以同样方式处理当前小时累计发送流量，得到当前小时累计发送流量长度序号{D₁,D₂...,D_k}。

对于节点N_i，当前小时累计接收流量长度序号为C_i，当前小时累计发送流量长度序号为D_i，前一小时累计接收流量长度序号为C'_i、前一小时累计发送流量长度序号为D'_i，，如满足下面条件之一的：

|C_i-C'_i|＞α，当前小时累计接收流量序号变化超阈值；

|D_i-D'_i|＞α，当前小时累计发送流量序号变化超阈值；

|A_i-C_i|＞α，实时接收流量长度序号与当前小时累计接收流量长度序号偏差超阈值；

|B_i-D_i|＞α，实时发送流量长度序号与当前小时累计发送流量长度序号偏差超阈值；

对节点N_i进行实时报警。

6)对于4)、5)步骤中符合条件的节点N_i进行实时报警时，按照不同颜色进行区分，如果序号变化及偏差为k-1，或者符合多个报警的节点，以闪烁方式进行重点提醒。

本发明阐述的实例只是用于帮助阐述本发明，并未对技术方案的所有细节进行详尽叙述，本领域技术人员对部分技术参数进行的替换、修改，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围。

Claims (4)

1.一种基于冒泡排序法的电站工控系统异常流量识别方法，其特征在于，包括以下步骤：

1)根据电站工控系统节点数量在实时库中创建监测点，每个节点对应接收流量包字节长度简称接收流量长度、接收流量包字节长度排序序号简称接收流量序号、发送流量包字节长度简称发送流量长度、发送流量包字节长度排序序号简称发送流量序号，创建监测点数量为工控系统节点数乘以4；

2)布置流量抓包工具，以端口镜像方式获取工控系统中的网络流量，以秒为单位按照源IP、目标IP将对流量包字节长度进行归类统计，对比节点与IP对应关系，将各节点实时接收、发送的流量长度计算出来并存入实时库；

3)从实时库读取所有节点的实时接收流量长度组成队列，按冒泡排序法对该队列进行排序，得到节点接收流量长度对应的序号数据，存入实时库，对发送流量长度队列按照同样方式处理；

4)以秒为单位更新各节点接收、发送流量长度及对应序号数据，与前一时刻对比，找出序号变化超阈值的节点进行实时报警；

5)对所有节点的接收流量长度按最近一小时进行累加得到当前小时累计接收流量长度，将当前小时累计接收流量长度组成的队列按冒泡排序法进行排序，得到当前小时累计接收流量序号，以同样方式处理前一小时累计接收流量长度，得到前一小时序号，再以同样方式处理累计发送流量，得到两组序号；

6)将当前小时累计接收流量序号与前一小时序号进行对比，变化超阈值的节点进行报警，对实时接收流量序号与当前小时累计接收流量序号偏差超阈值的节点也进行报警，以同样方式处理小时累计发送流量。

2.根据权利要求1所述基于冒泡排序法的电站工控系统异常流量识别方法，其特征在于：适用于多个工控系统之间异常流量识别，将各工控系统当节点处理即可；能够进一步按工控系统中通讯协议种类进行细分后再进行排序、报警处理；对于实时流量的统计能够改成3-5秒，对于累计的时间也能够改成半个小时或两个小时。

3.根据权利要求1所述基于冒泡排序法的电站工控系统异常流量识别方法，其特征在于：无需像传统网络攻击流量检测方式那样构建特征库，能够同时对已知类型、未知类型网络攻击产生的异常流量进行识别，实现实时监测及报警。

4.根据权利要求1所述基于冒泡排序法的电站工控系统异常流量识别方法，其特征在于：报警方式，对于实时接收流量序号、实时发送流量序号、小时累计接收流量序号、小时累计发送流量序号的报警以4种不同颜色标注，对于序号变化最大及符合双重报警的节点以闪烁方式标注。

Images