[发明专利]基于因果知识的电力信息网络攻击场景重构方法及系统

说明书

本发明公开了一种基于因果知识的电力信息网络攻击场景重构方法及系统，该方法包括：接收网络中的安全设备上传的告警信息；将告警信息格式化处理，剔除不完整的告警信息；从告警信息中提取告警事件，将告警事件按时间顺序排列成告警序列，对根据告警序列获得告警周期值进行正确性检验，过滤误告警信息；根据告警事件地址间的相关性对告警序列中告警事件进行聚类，划分攻击场景序列；挖掘攻击场景序列中各安全设备告警事件类型间的统计关联关系，形成因果知识；并利用预设算法判断告警序列的攻击场景。通过实施本发明，提高了对于海量告警事件的关联分析能力，避免了告警信息预处理中的信息损失，为后续在实际环境中构建因果知识提供便利条件。

技术领域

本发明涉及电力信息安全领域，具体涉及一种基于因果知识的电力信息网络攻击场景重构方法及系统。

背景技术

随着公司泛在电力物联网战略推进，以及先进信息通信技术和互联网+在电网中的广泛应用，电力系统逐步打破了以往的封闭性和专有性，开放互动、广泛互联的电力业务系统建设部署愈发广泛，电力业务系统遭受的网络攻击日益增多，攻击手段也愈发复杂多样，APT(高级持续性威胁，advanced persistent threat)的攻击案例已有发现。针对这类安全风险，在网络节点等关键位置部署有多种安全防护设备，实现对外来攻击事件的安全告警。然而，由于攻击活动的不断发展，尤其是高级持续性威胁，以及规则问题引起的误报率和漏报率的存在，告警事件往往是海量的，并且价值密度低。依靠网络安全人员手动从这些繁杂的海量告警中分析出攻击活动的全貌或完整场景，显然是不可能的。

现有的各类告警关联方法中存在如下的问题：过分依赖专家知识、告警划分及误告警自动鉴别困难、未知参数多、因果知识复杂难懂。

发明内容

因此，本发明要解决的技术问题在于克服现有技术中的过分依赖专家知识、告警划分及误告警自动鉴别困难、未知参数多、因果知识复杂难懂的缺陷，从而提供一种基于因果知识的电力信息网络攻击场景重构方法及系统。

为达到上述目的，本发明提供如下技术方案：

第一方面，本发明实施例提供一种基于因果知识的电力信息网络攻击场景重构方法，包括如下步骤：接收网络中的安全设备上传的告警信息；将告警信息格式化处理，并剔除不完整的告警信息；从告警信息中提取告警事件，并将告警事件按时间顺序排列成告警序列，根据告警序列获得告警周期值，并对告警周期值进行正确性检验，过滤误告警信息；根据告警事件地址间的相关性对告警序列中告警事件进行聚类，划分攻击场景序列；挖掘攻击场景序列中各安全设备告警事件类型间的统计关联关系，形成因果知识；根据因果知识，利用预设算法判断告警序列的攻击场景。

在一实施例中，所述将告警信息格式化处理，并剔除不完整的告警信息，包括如下步骤：采用入侵检测消息交换格式对告警信息进行格式化；判断每一条告警信息的五元组是否完整，剔除不完整的告警信息。

在一实施例中，所述从告警信息中提取告警事件，并将告警事件按时间顺序排列成告警序列，根据告警序列获得告警周期值，并对告警周期值进行正确性检验，过滤误告警信息，包括如下步骤：从告警信息中提取告警事件；以预设时间为单位统计每个三元组产生的告警事件数量，形成告警序列；对告警序列进行离散傅里叶变换得到告警周期值；对获得的告警周期值进行正确性检验，并根据相似度剔除误告警信息。

在一实施例中，所述对告警序列进行离散傅里叶变换得到告警周期值，包括如下步骤：对告警序列进行离散傅里叶变换得到告警序列中的频率；选取告警序列中的频率最大值，利用周期计算公式得到告警周期值。

在一实施例中，所述对告警序列进行离散傅里叶变换的公式为：

其中，e^2πk＝1，ats(i)表示第i小时的告警事件数量，N表示时间序列长度。

在一实施例中，所述对获得的告警周期值进行正确性检验的公式为：