[发明专利]一种用于电网企业的网络攻击行为仿真系统的仿真方法

权利要求书

1.一种用于电网企业的网络攻击行为仿真系统的仿真方法，所述用于电网企业的网络攻击行为仿真系统包括，数据包分配模块（1），用于对进入仿真系统的数据包分配路径IP地址；若干个数据模拟模块（2），用于对接收的数据包进行模拟运行，每个数据模拟模块（2）内设置有程序调用接口（21）、数据通讯接口（22）和安全探针接口（23）；预设程序数据库（3），用于存储预设程序，通过程序调用接口（21）与数据模拟模块（2）通讯连接；安全探针监测模块（4），通过安全探针接口（23）与数据模拟模块（2）连接，用于对攻击行为进行监测；攻击行为特征监控模块（5），通过数据通讯接口（22）与数据模拟模块（2）连接，用于对攻击行为特征进行提取和比对；

其特征在于包括以下步骤：

A、数据模拟模块（2）根据仿真需求通过程序调用接口（21）向预设程序数据库（3）调取相应的程序数据，同时通过数据通讯接口（22）将执行预设程序的数据模拟模块（2）按照仿真需求进行通讯连接，并将数据包分配模块（1）与对应的数据模拟模块（2）通过数据通讯接口（22）通讯连接；

B、数据包分配模块（1）分配路径IP地址给数据包，数据包根据分配到的路径IP地址进入对应的数据模拟模块（2）进行仿真运行；

数据模拟模块（2）进行仿真运行包括以下步骤，

B1、数据模拟模块（2）对原始数据包进行存档；

B2、数据模拟模块（2）根据调取的程序数据对数据包进行运行，对运行过程中产生的中间数据进行存档，中间数据包括目标IP、数据类别和数据置信度；

B3、对存档的中间数据按照目标IP和数据类别进行二维聚类；

C、攻击行为特征监控模块（5）通过数据通讯接口（22）对攻击行为进行特征的提取和比对，得到攻击行为特征集合；

攻击行为特征监控模块（5）对攻击行为进行特征的提取和比对包括以下步骤，

C1、攻击行为特征监控模块（5）采集数据模拟模块（2）的输入流量数据和输出流量数据；

C2、对输入流量数据和输出流量数据按照步骤B3得到的聚类组别进行比对，得到可疑数据；

对每一组输入流量数据和输出流量数据进行比对包括以下步骤，

C21、建立输入流量数据和输出流量数据的关联函数集；

C22、对输入流量数据进行部分替换，使用替换前后关联函数线性度阈值作为约束条件，得到输入流量数据最大替换阈值；

C23、在输入流量数据最大替换阈值内对输入流量数据进行替换，根据关联函数集计算输入流量数据替换后对应的输出流量数据，使用原输出流量数据与输入流量数据替换后对应的输出流量数据进行比对，根据比对规则确定可疑数据；

C3、对可疑数据进行样本筛选和分析得到攻击行为特征集合；

对可疑数据进行样本筛选和分析包括以下步骤，

C31、分若干次向可疑数据中加入噪声数据分量，每次加入后进行数据重组，噪声数据分量的比例呈线性增加；

C32、对重组前的可疑数据分别进行聚类处理，得到若干个聚类中心，使用对应聚类组数据的平均数据置信度作为聚类中心的置信度，删除低于置信度阈值的聚类中心和对应的聚类组数据，然后使用得到的聚类中心对重组后的可疑数据进行聚类处理；

C33、在重组后的可疑数据中选定随着噪声数据分量增加，变化率不超过设定阈值的聚类分组，将选定的聚类分组对应的聚类中心集合作为攻击行为特征集合；

D、安全探针监测模块（4）通过安全探针接口（23）向数据模拟模块（2）部署安全探针，对攻击行为进行监测。

2.根据权利要求1所述的用于电网企业的网络攻击行为仿真系统的仿真方法，其特征在于：步骤C23中，

首先将输入流量数据分为若干个序列，每个序列进行若干连续字节替换，得到输出流量数据的变化序列；然后对每个输入流量数据序列进行字节间隔替换和/或字节间隔交换，得到输出流量数据的变化序列；最后对前后两次变化序列进行比对，若线性度高于50%，则判定为可疑数据。