[发明专利]一种基于SCD解析的智能变电站安全审计方法

权利要求书

1.一种基于SCD解析的智能变电站安全审计方法，其特征在于，包括的步骤是：

步骤1),将智能变电站的站控层、间隔层、过程层的交换机旁路连接在智能变电站监控系统网络的安全审计系统的服务器上，将网络安全审计系统与业务场景进行融合，解析智能变电站SCD文件作为业务场景的入口；

步骤2)将SCD文件解析后的数据入库，与通过网络流量解析获得的数据文件进行关联，建立专属于智能变电站场景的业务行为基线；

步骤3)基于业务行为基线、诊断资产、路径错误、越限操作以及未知协议这些专属于智能变电站场景的业务并进行告警。

2.如权利要求1所述的一种基于SCD解析的智能变电站安全审计方法，其特征在于，

所述业务场景包括智能变电站场景下的遥控操作、定值切区操作、定值修改操作；

在所述智能变电站监控系统网络的安全审计系统中，添加的安全审计系统管理功能模块有：

1)管理接口模块：负责服务器设备自身的管理，对外部提供接口，对设备相应功能进行策略及安全审计系统配置；

2)日志代理模块：设备通过相关接口向管理中心平台发送日志信息；

3)监控进程模块：系统提供进程监控服务，对关键应用能够检测被监控对象是否存在；这种监测是在监控管理器与应用之间发送HB，或是监控管理器监测对象进程的/proc文件；对于监测到异常的对象进行重启；

4)数通引擎模块：根据设定的规则，将报文分发到对应的安全引擎处理；根据安全引擎对报文处理的结果决定报文的丢弃、转发、拷贝；支持L1-L3层解码；ACL，QoS；

5)行为基线功能模块：根据工业现场中流量进行自学习，学习完成后建立基线模型，包含设备IP、MAC白名单、TCP连接的发起方向、业务行为、业务行为的路径；

6)资产拓扑模块：将基线中审计到的资产按照智能变电站三层两网的网络架构展示出来，资产拓扑中能够显示资产名,ip,mac以及相互之间交互的操作行为；

7)界面告警功能模块：将后续接收到的流量中的信息和行为基线进行比对，不一致的进行告警；

8)流量统计功能模块：只查看工业现场特定协议的流量大小，包括MMS,goose,telnet,ftp；

9)日志查询功能模块：包含告警日志、运行日志、操作日志的查询；

10)报表导出模块：将统计到的流量、告警导出成html报表。

3.一种基于SCD解析的智能变电站安全审计方法，其特征在于，所述安全审计系统的体系架构划分成两个平面：

管理平面；主要负责设备自身的管理、对外部提供接口、其他平面的策略配置；

数据平面；主要负责业务数据收发、L2/L3/ACL/QOS/、以及安全防护；同时也包括流表、会话表的建立；数据平面又包括数通引擎以及安全引擎，数通引擎侧重于数据转发，安全引擎侧重于安全防护；

为了满足设备的性能和稳定性的要求，在总体架构设计中采取了以下的原则：

最大平面分离原则；尽可能将不同的平面运行在不同的CPU核即线程上；

业务功能分离原则；安全引擎和数通引擎运行在不同的CPU核即线程上。

4.一种基于SCD解析的智能变电站安全审计方法，其特征在于，

所述安全审计系统基于Linux 2.6.39内核，整体系统为64位系统，包处理采用Intel的DPDK技术，L1-L3底层数据包处理由唯一进程Server负责，Server将L4-L7高层解码交由Client负责，Server支持多Client并发处理高层解码；日志代理模块统一采用NPAI机制和管理中心平台进行互联。