[发明专利]一种基于SCD解析的智能变电站安全审计方法

说明书

一种基于SCD解析的智能变电站安全审计方法,本发明公开了一种基于SCD解析的智能变电站安全审计方法，包括的步骤是：步骤1),将智能变电站的站控层、间隔层、过程层的交换机旁路连接在智能变电站监控系统网络的安全审计系统的服务器上，将网络安全审计系统与业务场景进行融合，解析智能变电站SCD文件作为业务场景的入口；步骤2)将SCD文件解析后的数据入库，与通过网络流量解析获得的数据文件进行关联，建立专属于智能变电站场景的业务行为基线；步骤3)基于业务行为基线，诊断资产、路径错误这些专属于智能变电站场景的业务并进行告警。本发明方案深度解析IEC 61850协议簇，对智能变电站场景下可能发生的安全风险进行全方位多角度的安全分析。实现对智能变电站的安全审计。

技术领域

本发明涉及一种基于SCD解析的智能变电站安全审计方法。

背景技术

SCD(substation configuration description)即全站系统配置文件是变电站IEC61850标准中的重要组成部分。SCD文件存储了变电站现场设备IP地址与设备实际名称之间的对应关系，同时存储了变电站的不同层级的资产信息，这些信息对智能变电站的业务审计起到了十分关键的作用。

智能变电站具有进行数据分析和取证的网络分析仪，目前在智能变电站场景下主要使用网络分析仪进行分析及告警。

网络分析仪检测的对象如下：

i.SV采样值报文(传输电流、电压的测量值)

ii.面向通用对象的变电站事件(GOOSE)报文(传输控制命令和状态信息)

iii.基于制造报文规范MMS协议报文(后台与保护、测控设备之间的数据读写、目录列表上送、事件列表上送服务)

iv.PTP1588对时报文

网络分析仪主要实现在线通讯监视(各种异常告警)；通讯信息记录及分析(链路，MMS，GOOSE,SV报文进行分析)；波形还原及异常告警(人机界面告警及硬接点输出告警)；数据检索及提取(按照时间段、报文类型、报文特征(如异常标记、APPID)条件检索并提取报文列表)；数据转换(导出CAP格式或者COMTRADE格式)

但是网络分析仪只能对后台机和测控装置之间的网络通信报文进行提取，对涉及采样及跳闸过程给出告警，而缺乏针对IEC 61850协议簇网络报文的实时监控分析以及安全方面告警信息的给出。

目前，针对智能变电站各资产的网络安全审计主要采用基于DPI的业务识别方法，DPI意为Deep Packet Inspection，即深度包检测。所谓“深度”是和普通的报文层次相比较而言，“普通报文检测”仅分析IP包的4层以下的内容，包括源地址、目的地址、源端口、目的端口以及协议类型，而DPI除了对前面的层次分析外，还增加了应用层分析，识别各种应用以及内容。DPI的技术关键是高效的识别网络中的各种应用。通过对应用流中的数据报文内容进行检测，从而确定数据报文的真正应用。

推广到智能变电站的网络审计应用，除了对智能变电站站控层后台机、远动装置以及间隔层测控保护装置的源地址、目的地址、源端口、目的端口、协议类型进行行为审计解析外，还未针对智能变电站全站通讯协议IEC 61850协议簇进行深度的应用解析，实现针对智能变电站网络通讯协议的DPI深度包的检测。

结合智能变电站的业务特点，急需一套能深度解析IEC 61850协议簇，能充分解析智能变电站SCD文件的基础上进行行为基线的安全审计；并对智能变电站场景下可能发生的安全风险进行全方位多角度的安全分析的审计系统。

发明内容

本发明的一个目的在于弥补现有的智能变电站中，缺乏针对IEC 61850协议簇网络报文的实时监控分析以及安全方面告警信息给出的技术短板。为实现上述目的，现提供