[发明专利]基于有限状态机动态可扩展的电力通信协议异常检测方法

说明书

技术领域

本发明涉及网络通信协议的异常检测方法，具体涉及一种基于有限状态机动态可扩展的电力通信协议异常检测方法。

背景技术

近年来，针对特定应用层业务的网络攻击事件不断发生，传统的网络安全防护设备（如防火墙、IDS等）由于只针对网络层进行检测，难以发现这类应用层攻击事件，因此，急需加强对网络应用层数据的安全监测。

相比于网络层的通信协议，应用层协议数量众多，不仅有大量通用的应用层协议（如HTTP、FTP、SSH等），而且还有很多行业专用的应用层协议（如电力通信行业专用的IEC60870-5-104、IEC61850协议等），同时，各种新的应用层协议层出不穷，完全实现对如此众多的应用层协议的识别与解析几乎不可能。

目前，针对电力通信行业中的应用层协议识别与解析所采用的方法大体分为以下几种：一、采用硬编码的方式，直接将所支持的应用层协议的识别与解析编写进程序代码，采用此方法时，在需要对协议解析方法进行修改或者需要扩充支持更多的应用层协议时，需要重新进行硬编码，可扩展性差；二、采用动态库的方式，采用此方法，可以方便的扩展对新应用层协议的支持，但必须要程序编码人员进行定制开发，费时费力；三、采用中间脚本语言，实现对网络协议的解析，如Wireshark支持通过Lua脚本语言添加对新的网络协议的解析支持，但使用者需要掌握Lua的语法，且Lua提供的功能有限，不适合对数据包上下文进行状态检测跟踪等复杂的处理。

发明内容

本发明所解决的技术问题是相比于网络层的通信协议，应用层协议数量众多，难以发现这类应用层攻击事件，尤其电力通信协议出现异常的情况的问题。本发明的基于有限状态机动态可扩展的电力通信协议异常检测方法，通过将应用层协议的解析逻辑、协议状态机逻辑及异常处理逻辑统一定义在可编辑的协议文件中，不仅能够实现对各种应用层协议的动态扩展支持，能够实现对应用层协议上、下文状态检测与异常处理的动态扩展支持，便于电力通信协议异常检测，具有良好的应用前景。

为了解决上述问题，本发明所采用的技术方案是：

一种基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：包括以下步骤，

步骤（1），针对电力通信中所用的电力应用层协议，分析其报文格式、交互流程，建立针对该电力应用层协议的有限状态机模型及异常处理模型；

步骤（2），基于可配置扩展的PDL语言，分别对该电力应用层协议的报文格式定义、协议状态机逻辑及异常处理逻辑进行描述，形成协议规则定义文件；

步骤（3），通过协议规则解析引擎对协议规则定义文件进行翻译，形成协议规则库；

步骤（4），从标准PCAP文件或者网络适配器中获取电力通信的网络数据包；

步骤（5），根据协议规则库对网络数据包进行协议识别与解析、状态检查与跟踪，在检测到异常时，触发异常处理动作。

前述的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（2）协议状态机逻辑是指应用层协议有限个状态之间转移的关系。

前述的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（2）形成协议规则定义文件采用XML格式为可编辑的，并支持动态可扩展。

前述的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（3）形成协议规则库，包括针对网络协议的识别与解析逻辑，还包括电力通信中所用的电力应用层协议的状态机逻辑及异常处理逻辑。

前述的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（3）通过协议规则解析引擎对协议规则定义文件进行翻译，形成协议规则库的方法，包括以下步骤，

（1）根据协议规则解析引擎对协议规则定义文件进行解析，建立全局的网络协议层次嵌套结构表；

（2）依据电力通信中所用的电力应用层协议的有限状态机逻辑建立相应的状态转移表，形成协议规则库。

前述的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（5）对网络数据包进行协议识别与解析的过程为，

（1）根据全局的网络协议层次嵌套结构表，对网络数据包进行识别与解析，实现解析网络数据包的链路层到传输层协议；

（2）根据解析结果，匹配该网络数据包所属的数据流；

（3）针对网络数据包的应用层内容进行解析，将解析结果存入相应的结构体中；

（4）若解析过程中出错，则进行异常处理。