[发明专利]一种变电站网络安全态势感知方法及系统

权利要求书

1.一种变电站网络安全态势感知方法，其特征是，包括：

对镜像网络报文进行抓取获得数据包，并以网络白名单为基础对数据包进行网络安全状态识别实现网络异常告警，获得网络安全状态识别结果；

根据SNMP规约从交换机获取网络拓扑信息及网络异常告警并进行网络拓扑显示；

在主机上安装安全监测探针程序，获得主机的安全状态并确定主机上对应的操作系统或中间件版本是否满足基线库要求，得到主机的安全状态识别结果；

对主机进行漏洞扫描，并与漏洞库对比获得主机的漏洞信息；

根据规约库中特定规约对网络抓包中获得的应用层报文进行分析确定是否存在畸变或攻击报文，获得应用层报文解析结果；

通过SNMP规约或syslog规约采集网络设备的日志信息；通过syslog规约采集，获得安防设备的日志信息；

响应于获得的网络安全状态识别结果、主机的安全状态识别结果、应用层报文解析结果以及安防设备的日志信息进行威胁分析、脆弱点分析和关联分析；所述威胁分析包括分析可能存在的网络攻击；所述脆弱点分析包括分析网络中的设备可能存在基线版本低或存在漏洞；所述关联分析包括将各类告警或日志进行归并或多源数据融合；

还包括通过人工智能算法进行态势预测并通过层次分析法进行网络风险评估，获得态势预测结果和网络风险评估结果并给出威胁情报和决策支持；

还包括根据预先设定的系统配置进行网络风险控制，所述网络风险控制包括交换机/主机的网口关闭、主机USB口禁用和威胁源主动攻击。

2.根据权利要求1所述的变电站网络安全态势感知方法，其特征是，网络拓扑显示能动态反映网络拓扑变化。

3.根据权利要求1所述的变电站网络安全态势感知方法，其特征是，所述安全状态识别包括非法IP识别和非法连接识别。

4.根据权利要求1所述的变电站网络安全态势感知方法，其特征是，主机的安全状态识别包括非法外联、USB设备接入和非法操作识别。

5.根据权利要求1所述的变电站网络安全态势感知方法，其特征是，

所述特定规约包括EC61850规约和IEC103规约。

6.变电站网络安全态势感知系统，其特征是，包括：

网络扫描模块，用于对镜像网络报文进行抓取获得数据包，并以网络白名单为基础对数据包进行网络安全状态识别实现网络异常告警，获得网络安全状态识别结果；同时用于根据SNMP规约从交换机获取网络拓扑信息及网络异常告警并进行网络拓扑显示；

主机核查模块，用于在主机上安装安全监测探针程序，获得主机的安全状态并确定主机上对应的操作系统或中间件版本是否满足基线库要求，得到主机的安全状态识别结果；

漏洞扫描模块，用于对主机进行漏洞扫描，并与漏洞库对比获得主机的漏洞信息；

报文解析模块，用于根据规约库中特定规约对网络抓包中获得的应用层报文进行分析是否存在畸变或攻击报文，获得应用层报文解析结果；

网络设备检测模块，用于通过SNMP规约或syslog规约采集网络设备的日志信息；通过syslog规约采集，获得安防设备的日志信息；

态势感知模块，用于响应于获得的网络安全状态识别结果、主机的安全状态识别结果、应用层报文解析结果以及安防设备的日志信息进行威胁分析、脆弱点分析和关联分析；所述威胁分析包括分析可能存在的网络攻击；所述脆弱点分析包括分析网络中的设备可能存在基线版本低或存在漏洞；所述关联分析包括将各类告警或日志进行归并或多源数据融合，风险评估模块，用于通过人工智能算法进行态势预测并通过层次分析法进行网络风险评估，获得态势预测结果和网络风险评估结果并给出威胁情报和决策支持；

风险控制模块，用于根据预先设定的系统配置进行网络风险控制，所述网络风险控制包括交换机/主机的网口关闭、主机USB口禁用和威胁源主动攻击。