[发明专利]一种针对goose攻击的防护方法

说明书

本发明公开了一种针对goose攻击的防护方法，步骤为：S1、防火墙抓取goose报文；S2、对每条流的goose报文内容进行深度解析和监控；S3、解析出的报文p.StNum和p.SqNum，分析是否有goose攻击；S4、攻击者在检查GOOSE帧后向用户多播一个具有非常高状态号的欺骗GOOSE帧，用户一旦处理了该GOOSE帧，将不会处理状态号等于或小于此值的任何合法GOOSE帧；将该goose攻击类型定义为高状态号码攻击；S5、攻击者在开始使用低于正常StNum的状态字发送goose报文，逐渐递增StNum，当StNum增大到比当前正常StNum大1时，用户就会处理该攻击goose报文，并拒绝处理后续的正常goose报文；将该goose攻击类型定义为高速泛洪攻击防护。

技术领域

本发明涉及智能电网安全技术领域，尤其涉及一种针对goose攻击的防护方法。

背景技术

随着信息技术的发展，工业控制系统逐步走向联网化。很多工业控制协议逐渐运行于工业以太网上，针对工业系统的攻击也更加普遍。

面向通用对象的变电站事件（GOOSE）是国际电工委员会（IEC）61850（国际电工委员会2005年）标准套件的一部分，并规定了变电站事件的通信。IEC61850是实现互操作变电站自动化系统（SAS）不可或缺的组成部分，可互操作的SAS是智能电网的关键组成部分。

GOOSE在数据链路层上进行组播，因此没有逻辑地址和流量控制功能，不支持消息验证，GOOSE帧中状态号的处理提供了实施攻击的机会。这些攻击可用于劫持与订户的通信，以防止处理合法的GOOSE消息，并欺骗额外的攻击流量来操纵订户。

目前，针对GOOSE报文的安全交互解决方法主要是签名和认证，客户端和服务器端需要采用一套秘钥机制，并且收发报文时对报文有解析验证处理，这种方法需必要时还需对已有的工业控制网络设备进行升级改造，增加设备处理开销。因此提供一种兼容现有网络和控制成本的方法很有意义。

发明内容

本发明目的是针对上述问题，提供一种针对goose攻击的防护方法，兼容现有网络和控制成本，无需升级改造现有网络实时监测GOOSE报文攻击，屏蔽攻击并进行告警。

为了实现上述目的，本发明的技术方案是：

一种针对goose攻击的防护方法，其特征在于：包括以下步骤：

S1、在IEDs设备之间部署防火墙，防火墙抓取所有经过防火墙的goose报文，并对goose报文建立信息流进行监控；

S2、对二层goose报文以源MAC、目的MAC和ethtype信息建立流，对三层goose报文以五元组信息建立流，在此基础上对每条流的goose报文内容进行深度解析和监控；

S3、防火墙根据数据流记录同一条goose流的协议解析信息，将解析出的报文p.StNum和p.SqNum和流中记录的f.StNum、f.SqNum和f.alm.StNum、f.alm.SqNum进行对比，分析是否有goose攻击，当有goose攻击时，将goose攻击类型分为高速泛洪攻击和语义攻击；

S4、攻击者在检查GOOSE帧后向用户多播一个具有高状态号的欺骗GOOSE帧，用户一旦处理了该GOOSE帧，将不会处理状态号等于或小于此值的任何合法GOOSE帧；将该goose攻击类型定义为语义攻击；

如果p.StNum大于f.SqNum+1，发送攻击告警，丢弃报文，更新f.alm.StNum和f.alm.SqNum为p.StNum和p.SqNum；

S5、攻击者在开始使用低于正常StNum的状态号发送goose报文，逐渐递增StNum，当StNum增大到比当前正常StNum大1时，用户就会处理该攻击goose报文，并拒绝处理后续的正常goose报文；将该goose攻击类型定义为高速泛洪攻击；