[发明专利]基于ELK日志采集分析的电力网络安全监测方法及系统

说明书

本申请提供了一种基于ELK日志采集分析的电力网络安全监测方法及系统，所述方法包括：采用集中式的日志管理方法，采集电力监控系统网络安全设备日志；对采集到的电力监控系统网络安全设备日志进行过滤、范式化处理及存储；采用分布式日志检索方法，对存储的日志进行检索及统计；汇总展示日志数据。本申请提供的基于ELK日志采集分析的电力网络安全监测方法及系统，采用集群的方式，数据存储、查询高效、快速，实现实时日志监视及存储，满足日志存储要求；并通过可视化模式进行日志展示，界面友好、简单易用，日志分析规则可自定义设置，便于工作人员实时监测网络安全事件，提高电力监控系统网络安全监测水平。

技术领域

本申请涉及电力系统信息安全技术领域，尤其涉及一种基于ELK日志采集分析的电力网络安全监测方法及系统。

背景技术

电力监控系统采用通用网络与信息技术，不可避免的引入了信息安全问题。尽管通过网络隔离技术将电力监控系统的生产控制大区与管理信息大区隔离开来，使得电力监控系统处于相对封闭安全的环境；但随着针对工业控制系统安全攻击的增加，以及各界对工控系统信息安全问题的关注，使得包括电力监控系统在内的控制系统的产品信息获取渠道更丰富，攻击者学习各种控制系统软件、固件和通信协议的机会增加。如随着勒索病毒爆发，电力监控系统面临了前所未有的安全挑战。

目前，电力监控系统防护基本已按照“安全分区、网络专用、横向隔离、纵向认证”总体策略，建立了较为完备的安全防护技术体系，初步建成责任清晰、管理规范的管理体系。然而，随着《中华人民共和国网络安全法》的颁布施行，国家及行业对网络安全的要求不断提高。目前，仍然缺乏有力的网络安全监视手段，防火墙、IDS、IPS、安全审计日志等安全设备日志留存时间不足、日志格式不统一、查看难度大、实时处理海量的日志等技术要求已成为公司亟待解决的问题。

发明内容

本申请提供了一种基于ELK日志采集分析的电力网络安全监测方法及系统，解决了防火墙、IDS、IPS、安全审计日志等安全设备日志留存时间不足、日志格式不统一查看难度大、日志信息庞杂且难于理解、难以实现对安全事件实时监测等问题。

第一方面，本申请提供了一种基于ELK日志采集分析的电力网络安全监测方法，所述方法包括：

采用集中式的日志管理方法，采集电力监控系统网络安全设备日志；

对采集到的电力监控系统网络安全设备日志进行过滤、范式化处理及存储；

采用分布式日志检索方法，对存储的日志进行检索及统计；

汇总展示日志数据。

可选的，上述基于ELK日志采集分析的电力网络安全监测方法中，所述采用集中式的日志管理方法，采集电力监控系统网络安全设备日志，包括：基于syslog协议，通过UDP514端口进行电力监控系统网络安全设备日志的收集。

可选的，上述基于ELK日志采集分析的电力网络安全监测方法中，所述过滤包括：根据设定的过滤规则对日志进行过滤，所述过滤规则包括源IP、目的IP、源端口、目的端口和事件类型。

可选的，上述基于ELK日志采集分析的电力网络安全监测方法中，所述范式化包括：按照设定格式将不同厂商、不同型号、不同种类的设备日志进行整合。

可选的，上述基于ELK日志采集分析的电力网络安全监测方法中，所述对存储的日志进行检索及统计包括：

采用分布式检索技术，返回包含关键词并符合预设限制条件的日志；

对所述日志进行字段内容计数统计或对日志数量变化趋势进行统计。

第二方面，本申请还提供了一种基于ELK日志采集分析的电力网络安全监测系统，所述系统包括：

日志采集模块，用于采用集中式的日志管理方法，采集电力监控系统网络安全设备日志；