電力通信網絡終端未知威脅協(xié)同防御方法

周 玲

(貴州電網有限責任公司信息中心，貴州 貴陽 550002)

在信息化時代，各類通信系統(tǒng)中的主體操作系統(tǒng)、網絡路由等都存在一定的共通性，因此攻擊者在了解了相關的結構體系后，直接就可以針對特定目標進行攻擊。如果沒有可靠的防御措施，電力通信系統(tǒng)極易受到攻擊。電力通信網絡由于節(jié)點數(shù)量過大，很難在短時間內做出有效的反應，這就直接導致攻擊者可以直接攻擊超過20%的網絡節(jié)點，進而造成整個電力通信網絡的癱瘓。

若想要保護電力通信網絡的完整，需設計一種特殊的防御網絡攻擊模式，減少電力通信網絡的反應時間。為此，文獻[1]利用非合作信號的博弈理論，建立了一個對未來信號欺騙的探測模型，可以極大地削減網絡欺騙信號的衰減效果，并推演下一步攻防雙方的對抗反應，從另一個角度提高電力通信網絡的反應效率。但是這樣的方法難以確定推演結果的準確性，導致該防御方法存在一定的缺陷。文獻[2]為避免遭到攻擊時由于數(shù)據(jù)丟失導致的系統(tǒng)癱瘓，設計了一種以保護數(shù)據(jù)、建立能耗信任值系統(tǒng)為核心的攻擊檢測方法，基于兩級檢測的傳感網絡，利用節(jié)點與位置進行初步檢測，并計算定時窗口的能耗值，在最終融合時減少通信開銷。文獻[3]通過請求-應答模式開發(fā)了一種命名數(shù)據(jù)網絡的防御方案，在拒絕服務請求時提供了基于粒子群優(yōu)化的反向神經網絡算法，結合不同純度的識別模式開發(fā)了一種興趣包的攻擊緩解模型，該模型可以用于監(jiān)測防御的準確度。

本文綜合以上文獻研究，對電力通信網絡終端針對未知威脅協(xié)同防御的方法進行了優(yōu)化設計。

1 電力通信網絡終端威脅分析

1.1 終端威脅入侵成功概率

假設電力通信網絡攻擊者依次攻擊單條通信路徑上的n個脆弱性點，且相鄰兩次攻擊間無時間間隔，完成對任意一個脆弱點攻擊所需要的時間周期均為τ，則突破單條路徑上的n個脆弱點所需要的總時間周期為nτ，將攻擊者在T內通過具有n個脆弱點的單條通信路徑實施攻擊的次數(shù)記為k，則：

(1)

因為存在k不等于整數(shù)的情況，所以隨機抽樣時先對k取整。根據(jù)首次入侵發(fā)起時間點t1(0≤t1

對于任意T，當0≤T-[k]nτ時，攻擊者實際可完成的威脅入侵次數(shù)為[k]；當T-[k]nτ≤t1

假設t1在[0,nτ)服從均勻分布，那么當攻擊者持續(xù)發(fā)起威脅入侵且相鄰兩次威脅入侵無時間間隔時，實際可完成的入侵次數(shù)為[k]和[k]-1時的概率分別為：

(2)

(3)

(4)

因此當脆弱點數(shù)量為n時，威脅在入侵時間窗口T內的入侵成功概率：

(5)

尤其是當n=1時，因為T=interval1是一個定制，所以此時的入侵成功概率：

asp(interval1)=

(6)

而當n>1時，因為T在區(qū)間[0,min{intervali}]內隨機分布，所以此時入侵成功概率的期望值可表示為：

(7)

其中，f(T)的具體表達形式與脆弱點數(shù)量n、變換周期intervali(1≤i≤n)以及變換的相對時間關系有關，在實際電力通信網絡動態(tài)防御體系中[6]，可結合動態(tài)安全策略部署情況及變換的相對時間關系有關，在實際電力通信網絡動態(tài)防御體系中[7]，可結合動態(tài)安全策略部署情況確定n和intervali(1≤i≤n)，并通過概率分布擬合的方式得出f(T)的表達式[7]。

1.2 網絡威脅指數(shù)

基于電力通信網絡威脅入侵成功概率，采用威脅匹配矩陣對特征模式進行相似度匹配。威脅匹配矩陣主要用于描述兩種威脅模式之間的基本匹配關系[8]，根據(jù)威脅特征模式元素分別進行處理，特征模式元素匹配相似度Sim(a,b)：

(8)

其中，a,b分別表示電力通信網絡威脅的特征元素：max{|a|,|b|}表示特征元素a,b中較長一個字符的長度。

模式向量元素相似匹配度Sim(V1,V2)：

·Sim(t,s)

(9)

其中，V1,V2滿足：Close(θ,V1,V2)表示元素r在威脅模式元素V中的權重。

定義威脅匹配矩陣模型(TMMM)，該模型的存在模式Si,Sj,ein,ejm是兩個模式中的元素，即Si={ei1,ei2,……,ein}，Sj={ej1,ej2,……,ejn}，那么初始分類匹配矩陣模型TMMM(Si,Sj)表示為：

(10)

由此算法對于網絡威脅指數(shù)分析問題[9]，在某一時段內的實際值為ri(t=1,2,3,……,n)，威脅預測值為ri(t=1,2,3,……,n)。假設xit為第i種方法的第t個預測值(i=1,2,3,……,m,t=1,2,3,……,n)，在這m種威脅預測方法的加權系數(shù)為wi(i=1,2,3,……,m)，eit為第i種方法的第t個預測值的威脅預測誤差，則：

eit=rt-xit

(11)

(12)

(13)

綜上所述，確定多個預測方法的加權系數(shù)wi，可以充分利用每個單獨預測方法的優(yōu)點[10]，再進行重疊預測，使預測效果達到最佳，所以這種預測算法的關鍵技術就是確定每個單獨預測方法的加權系數(shù)wi。威脅預測模型中確定每個單獨預測方法的加權系數(shù)wi是至關重要的，會直接影響到模型的重疊預測準確程度。

在服務層級中，威脅程度與服務的訪問量相關，不同時段的訪問量不同，在分析時段Δt內，t時刻的服務Si的威脅指數(shù)為：

RSi(t)=f(θ,Ci(t),Di(t),N(t),DD)=

θ·(Ci(t)·10Di(t)+100N(t)·10DD)

(14)

其中θ為服務正常訪問，Ci(t)為t時刻攻擊發(fā)生次數(shù)，Di(t)為t時刻攻擊嚴重程度，N(t)為t時刻網絡帶寬占用率，DD為DDoS攻擊的威脅等級。RSi(t)=10Di(t)表示評價指標值中較小者的作用，100N(t)是為了把網絡帶寬占用率轉為整數(shù)，方便對未知威脅的評估[11]。由此計算可知，RSi(t)值越大，表示威脅程度越高，在一定時段內，可以計算出一段連續(xù)的安全威脅值，從而判斷服務Si的安全威脅趨勢。

在主機層中，t時刻主機Hk的威脅指數(shù)為：

RHi(t)=V·Rs(t)

(15)

式中，Rs(t)為t時刻主機的服務安全威脅指數(shù)，通過威脅指數(shù)計算得到，V表示服務在主機所開通的所有服務中占有的權重比例，RHi(t)越大，表示主機的威脅程度越高，計算出時段內的連續(xù)值可以判斷主機在一段時間內的安全威脅趨勢。電力通信網絡中，在t時刻的網絡威脅指數(shù)為：

RL(t)=f(RH(t),U)=U·RH(t)

(16)

式中，RH(t)表示t時刻電力通信網絡的安全威脅值，RHl(t)(l=1,2,……,n)由公式計算而來，n為網絡信道數(shù)。U表示網絡中所占重要性的權重比，RL(t)取值越大，表示危險程度越高，通過計算出一段時間內的連續(xù)值，可以判斷這段使其內網絡的安全威脅趨勢。

2 方法設計

2.1 計算電力通信網絡特征路徑長度

在電力通信網絡的數(shù)學模型中，有一個基礎的定義，可以表示為(fs,Ue)，設較為復雜的通信網絡中有N個節(jié)點，可以得到無向網絡模型、有向網絡模型以及加權網絡模型，三類網絡如圖1所示。

(a)無向模型 (b)有向模型 (c)加權模型(a)Undirectional model; (b)Directional model; (c)Weighted model圖1 網絡模型示意圖Fig.1 Schematic diagram of the network model

在如圖1所示的網絡模型中，分別具備連接矩陣和路徑矩陣，以代表鏈路映射到函數(shù)表中的臨界元素。若鄰接矩陣包含一個0，則分割點不存在路徑，若鄰接矩陣包含一個1，則分割點存在路徑[12-14]。此時若將節(jié)點度作為一個重要參量，計算網絡模型的平均度，可以通過公式：

(17)

式中，fd表示在加權網絡模型d中的網絡平均度；Ni表示網絡模型中的網絡節(jié)點數(shù)量；fdi表示第i個加權網絡平均度；En表示連接節(jié)點與網絡的鏈路數(shù)量[15-16]。在有向網絡模型中，節(jié)點的冪律分布可以分為出度與入度分布，此時可以通過公式計算分布函數(shù)中的節(jié)點度分布：

(18)

式中，hp表示節(jié)點的出度分布，up表示節(jié)點的入度分布；h-k表示概率分布的累積度；ti表示時間參數(shù)；p(ki)表示節(jié)點在標度網絡中的分布指數(shù)[17]。以此計算網絡的節(jié)點路徑長度，可以得到公式：

(19)

式中，XL表示電力通信網絡在不同特征中的路徑長度；Lij表示路徑節(jié)點的最短距離平均值?；谝陨瞎剑梢杂嬎悴煌W絡模型中的節(jié)點終端距離。

2.2 設置區(qū)域協(xié)同防御目標變量及約束條件

電力通信網絡在傳感器的狀態(tài)估計設施中，可以通過兩側狀態(tài)變量計算加權平均值的精度指標，計算公式為：

(20)

(21)

式中，θLNR表示量測估計誤差在正態(tài)分布中的閾值；fe表示設備故障導致的通信干擾系數(shù)；f(x)表示由不同的故障原因造成的狀態(tài)污染剔除函數(shù)；kp表示在狀態(tài)變量中的量測精度[22]。因此可以得到電網故障荷載優(yōu)化目標變量為：

(22)

(23)

式中，PSmin1表示在特定場景下電力通信網絡的線路潮流最小電抗；PSmax1表示該潮流模式下的最大電抗；PSe表示當前電抗值；KSminn表示節(jié)點n的最小負荷量；KSmaxn表示節(jié)點n的最大負荷量；Pmini表示線路穩(wěn)定極限的最小出力；Pmaxi表示線路穩(wěn)定極限的最大出力；Pi表示功率平衡約束的當前出力[23]。據(jù)此可以得到某電力通信網絡的區(qū)域內，終端協(xié)同防御過程的荷載值，并劃定可防御與不可防御的區(qū)域，優(yōu)化協(xié)同防御的系統(tǒng)參數(shù)。

2.3 針對未知威脅設計協(xié)同防御模型

由于攻擊者的未知性，需要在防御模型中，添加一個針對線路集合的識別程序，以此可以得到如圖2所示的防御策略算法。

圖2 電力通信網絡防御策略算法Fig.2 Defense strategy algorithm of electric power communication network

如圖2所示，在建立協(xié)同防御算法時，首先需要將防御結構初始化，通過攻擊識別算法識別未知威脅的種類，并在計算最小路徑長度后得到不良數(shù)據(jù)的辨識結果。此時可以計算荷載量測參數(shù)，以驗證該方法是否能夠得到準確的結果[24-25]。在判斷功率輸入是否小于檢測結果時，可以通過任意電網節(jié)點的回報矩陣，計算攻擊與防御策略的均衡模型：

(24)

式中，uij表示算法在電力通信網絡中攻擊與防御的均衡點；Pa表示回報矩陣的信息函數(shù)；Dv表示檢測結果。當該不等式成立時，代表協(xié)同防御的功率為正常值，當該不等式不成立時，則代表該協(xié)同防御算法的結果效率達不到要求。在計算所有路徑節(jié)點后，選取所有路徑加入集合，最后在集合中選取最優(yōu)解作為輸出的結果。此時便可以得到電力通信網絡終端未知威脅協(xié)同防御的優(yōu)化方法。

3 實驗研究

通過對比實驗，使電力通信網絡攻擊防御方獲取對協(xié)同防御策略實施的體驗，驗證協(xié)同防御機制的有效性，反應協(xié)同防御的微觀機理。

3.1 實驗環(huán)境

Ubuntu Server10操作系統(tǒng)的服務器一臺；Windows 10操作系統(tǒng)的攻擊發(fā)動節(jié)點一臺；協(xié)同節(jié)點5臺，其中主機為Windows 10操作系統(tǒng)。CPU為Intel P4 2.66G，內存10G，硬盤1T，SWAP為1.6G。模擬的網絡環(huán)境主要由協(xié)同防御體系、攻擊設備和網絡業(yè)務設備三部分組成，由此產生流轉于網絡環(huán)境的交互協(xié)作流量、攻擊流量和業(yè)務流量。

3.2 建立電力通信網絡物理架構

為測試上文中設計的電力通信網絡終端未知威脅協(xié)同防御方法的實際防御效果，設計如下實驗。

首先設置電力通信網絡如圖3所示。

圖3 電力通信網絡Fig.3 Electric power communication network

電力系統(tǒng)與通信網絡中存在一條連通的輸電線，在圖3中以虛線的形式表現(xiàn)。本實驗中的電力系統(tǒng)為一個IEEE-14的線路。其中，節(jié)點2和節(jié)點11為發(fā)電機線路，節(jié)點1和節(jié)點13為過渡節(jié)點，節(jié)點3、節(jié)點5、節(jié)點7、節(jié)點10、節(jié)點12、節(jié)點14為電力負荷節(jié)點，節(jié)點4、節(jié)點6、節(jié)點8、節(jié)點9為源荷節(jié)點。在與其相對應的通信網絡中，只有一個控制主站，其余節(jié)點均為控制子站。

3.3 攻擊位置對網絡延時的影響

電力通信網絡在經過節(jié)點時，存在三個運算步驟，分別為上傳信號、信號轉譯以及下發(fā)信號。如想要將數(shù)據(jù)經過節(jié)點5傳遞另一個節(jié)點中，需要通過上傳信號將數(shù)據(jù)傳遞到節(jié)點5，然后在節(jié)點5中經數(shù)據(jù)轉譯處理，最后再經過下發(fā)的步驟將數(shù)據(jù)傳遞下去。攻擊者首先發(fā)動攻擊的位置如圖3所示，設置網絡攻擊的時間點為50s～60s，攻擊結束的時間點為100s～110s。則在通信網絡系統(tǒng)中可以有13個節(jié)點受到感染，記錄每條線路的傳輸延時，結果如圖4所示。

圖4 各節(jié)點傳輸延時Fig.4 Transmission delay of each node

根據(jù)圖4中各節(jié)點的延時數(shù)據(jù)可知，在三個步驟中，下發(fā)信號所需時間大于上傳信號，信號轉譯所需時間最少。將除控制主站以外的13個節(jié)點分為四類，結果如表1所示。

表1 節(jié)點分類Tab.1 Node classification

表1中，通過節(jié)點與控制主站的距離，將13個節(jié)點分為4種距離長度，其中節(jié)點8、節(jié)點9、節(jié)點12為“1”距離節(jié)點，其傳輸延時的總時間在1.1s～1.3s之間；節(jié)點5、節(jié)點6、節(jié)點7、節(jié)點11、節(jié)點13、節(jié)點14為“2”距離節(jié)點，其傳輸延時的總時間在2.3s～2.8s之間；節(jié)點1、節(jié)點3、節(jié)點4為“3”距離節(jié)點，其傳輸延時的總時間約為3.5s～3.9s；節(jié)點2為“4”距離節(jié)點，其傳輸延時的總時間約為5s。通過三類傳輸延時的對比可知，在同一距離長度下，上傳信號、信號轉譯、下發(fā)信號的傳輸延時相似，隨著距離長度的增加，三類傳輸延時會呈正比例的上升趨勢，距離越遠，延時越長。

3.4 四類區(qū)域協(xié)同防御效果分析

根據(jù)距離長度，將以上13個控制子站分為4類區(qū)域，分別測試四類區(qū)域在面對不同威脅時的系統(tǒng)響應頻率，以CC攻擊、DDoS攻擊、蠕蟲病毒為例，對本文設計的防御方法進行測試，得到的頻率響應結果如圖5所示。

(a)CC攻擊(a) CC attack

如圖5所示，四片節(jié)點區(qū)域的相應終止時間隨距離長度的增加而減少，且相應終止的頻率也在不斷增加，其響應終止時的時間如表2所示。

表2 頻率響應終止時間Tab.2 Frequency response termination time

如表2所示，在三種不同的攻擊模式下，四個區(qū)域的頻率響應終止時間隨距離長度的增加而增加，且本文設計的電力通信網絡終端未知威脅協(xié)同防御方法在頻率響應終止時間的測試中，所獲得的數(shù)據(jù)均不超過80ms，具備較好的速度。

4 結束語

電力通信網絡是信息化社會的重要組成部分，想要保證電力通信網絡的信息安全，就需要在其中的重要節(jié)點添加針對未知威脅的防御算法。本文在保證防御效果的前提下，極大地縮短了針對未知威脅的防御響應時間，通過計算網絡特征的路徑長度，以及構建目標函數(shù)和約束條件，得到了一種針對未知威脅的協(xié)同防御模型，極大地優(yōu)化了防御的時間效率。

在未來的相關工作中，可以繼續(xù)進行協(xié)同防御的抗攻擊型分析，引入誤報率和漏報率等概念，增強協(xié)同防御算法的準確性。