一种基于思维链推理的电力网络攻击智能分析与防御方法与流程

本技术涉及网络空间安全防护，更具体地说，本技术涉及一种基于思维链推理的电力网络攻击智能分析与防御方法。

背景技术：

1、网络空间安全防护技术是保障信息系统、通信网络及关键数据免受非法访问、恶意控制和破坏活动的重要技术，在电力系统数字化、网络化和智能化程度不断提高的背景下，调度控制系统、变电站自动化系统及生产管理系统之间的数据交互更加频繁，网络空间安全防护技术能够对异常访问、恶意程序及攻击行为进行监测和处置，为电力业务持续运行、控制指令正常传输及关键数据安全提供技术支撑，是保障电力网络安全运行的重要基础。

2、在现有技术中，电力网络通常部署防火墙、入侵检测设备、终端安全设备及日志审计系统，不同设备产生的安全告警在数据格式、事件粒度和语义描述方面存在差异，导致攻击线索分散于多个系统，面对具有多阶段渗透、横向移动和隐蔽驻留特征的网络攻击，传统方法通常依赖固定规则匹配或安全人员人工研判，难以从大量离散告警中准确识别攻击入口、攻击动作之间的逻辑依赖及攻击路径的演进关系。部分局部异常行为还可能因缺少资产关联信息和上下文证据而被误判或遗漏，造成攻击链重构不完整，进而难以准确判断攻击者针对电力业务系统的真实意图和潜在危害，影响后续防御措施的针对程度，因此，如何实现电力网络多源异构安全事件的连续关联推演，从而准确还原网络攻击链路成为了业界面临的难题。

技术实现思路

1、本技术提供一种基于思维链推理的电力网络攻击智能分析与防御方法，可实现电力网络多源异构安全事件的连续关联推演，从而准确还原网络攻击链路。

2、第一方面，本技术提供一种基于思维链推理的电力网络攻击智能分析与防御方法，包括如下步骤：

3、采集电力网络环境中的多源异构数据，并构建统一知识图谱；

4、将所述多源异构数据输入电力安全领域的大语言模型，识别出攻击入口点与第一阶段目标，并生成攻击类型和入侵路径的初始假设，并通过所述统一知识图谱对所述初始假设进行验证与修正；

5、通过修正后的初始假设对攻击动作进行基于技术标签的语义描述，生成攻击证据链；

6、通过所述大语言模型分析安全告警事件间的时序关系与逻辑依赖关系，并推演攻击路径，得到攻击链叙事文本；

7、基于所述攻击证据链和所述攻击链叙事文本进行攻击意图分析，并评估攻击危害等级；

8、通过所述攻击链叙事文本和所述攻击危害等级生成协同防御策略，收集策略执行结果与新型攻击样本，对所述大语言模型进行增量学习，并同步更新所述统一知识图谱。

9、在本实施例中，采集电力网络环境中的多源异构数据，并构建统一知识图谱具体包括：

10、采集电力网络环境中的多源异构数据；

11、对所述多源异构数据进行本体建模，形成包含物理设备、逻辑系统和业务应用的资产节点；

12、从电力网络安全领域的安全事件日志中提取源网际协议地址、目的网际协议地址、端口、进程名和操作类型字段，形成行为节点；

13、从电力网络安全领域的威胁情报报告中提取恶意网际协议地址、域名、文件哈希和攻击组织实体，形成威胁指标节点；

14、对所述资产节点、所述行为节点与所述威胁指标节点进行关系抽取，识别出所述资产节点、所述行为节点与所述威胁指标节点之间的攻击关系、利用关系和归属关系，进而构建初始知识图谱；

15、对所述初始知识图谱进行关系推理与链接补全，得到支持多跳关联查询的统一知识图谱。

16、在本实施例中，将所述多源异构数据输入电力安全领域的大语言模型，识别出攻击入口点与第一阶段目标，并生成攻击类型和入侵路径的初始假设具体包括：

17、初始化电力安全领域的大语言模型；

18、通过所述大语言模型对所述多源异构数据中各安全事件的时间戳、协议类型和初始异常行为进行时序关联与语义理解，识别出攻击入口点与第一阶段目标；

19、通过所述大语言模型对所述攻击入口点与所述第一阶段目标进行时序依赖的因果推断，生成攻击类型和入侵路径的初始假设。

20、在本实施例中，通过所述统一知识图谱对所述初始假设进行验证与修正具体包括：

21、从所述初始假设中提取出关键攻击实体和行为特征，并转化为图查询向量；

22、将所述图查询向量在所述统一知识图谱中进行多跳关联检索，得到与所述关键攻击实体相匹配的相似历史攻击案例和关联威胁情报；

23、对所述相似历史攻击案例和所述关联威胁情报进行上下文验证，得到上下文验证结果；

24、根据所述上下文验证结果修正所述初始假设中的攻击类型分类和入侵路径走向。

25、在本实施例中，通过修正后的初始假设对攻击动作进行基于技术标签的语义描述，生成攻击证据链具体包括：

26、从修正后的初始假设中提取出攻击动作的语义描述；

27、将所述语义描述输入电力安全领域的大语言模型，由所述大语言模型通过小样本学习将所述攻击动作映射至预设攻击技术分类体系中的技术标签；

28、从多源异构数据的日志信息中提取出与技术标签关联的攻击行为操作记录；

29、将攻击行为操作记录与对应的技术标签进行证据链关联，得到攻击证据链。

30、在本实施例中，通过所述大语言模型分析安全告警事件间的时序关系与逻辑依赖关系，并推演攻击路径，得到攻击链叙事文本具体包括：

31、以各安全告警事件为节点、以安全告警事件间的时序先后顺序为有向边，构建攻击演进过程的事件时序图；

32、将所述事件时序图输入所述大语言模型；

33、由所述大语言模型根据相邻安全告警事件间的时序相邻关系和操作类型的逻辑前置关系，推演攻击者在网络内的横向移动路径、权限提升操作和数据渗出行为，得到攻击过程描述；

34、根据所述攻击过程描述中的各攻击步骤、关联资产和操作类型生成攻击链叙事文本。

35、在本实施例中，由所述大语言模型根据相邻安全告警事件间的时序相邻关系和操作类型的逻辑前置关系，推演攻击者在网络内的横向移动路径、权限提升操作和数据渗出行为，得到攻击过程描述具体包括：

36、由所述大语言模型根据相邻安全告警事件间的时序相邻关系，结合相邻安全告警事件间操作类型的逻辑前置关系，识别出前一安全告警事件为后一安全告警事件提供的访问权限变化条件和系统控制权转移条件；

37、根据所述访问权限变化条件与系统控制权转移条件，推演攻击者在网络内的横向移动路径、权限提升操作和数据渗出行为，并生成连续的攻击过程描述。

38、在本实施例中，基于所述攻击证据链和所述攻击链叙事文本进行攻击意图分析，并评估攻击危害等级具体包括：

39、从所述攻击链叙事文本中提取出攻击步骤序列和攻击者战术意图；

40、将所述攻击证据链中各攻击步骤对应的操作记录与所述攻击步骤序列进行匹配验证，确认各攻击步骤的执行真实性与完整性，得到经确认的攻击步骤序列；

41、基于预定义的业务影响矩阵与风险评估规则库，并结合经确认的攻击步骤序列和所述攻击者战术意图评估攻击危害等级。

42、在本实施例中，通过所述攻击链叙事文本和所述攻击危害等级生成协同防御策略具体包括：

43、根据所述攻击链叙事文本确定不同的防御介入点；

44、通过所述攻击危害等级为各防御介入点分配响应优先级和执行约束条件；

45、根据各防御介入点的响应优先级和执行约束条件，以最小化残余风险与防御成本为优化目标，对各防御介入点的响应动作进行组合寻优，生成协同防御策略。

46、在本实施例中，收集策略执行结果与新型攻击样本，对所述大语言模型进行增量学习，并同步更新所述统一知识图谱具体包括：

47、收集策略执行前后的攻击链报告和处置反馈，结合新型攻击样本构成反馈数据集；

48、将所述大语言模型的权重矩阵的更新量分解为两个低秩矩阵的乘积，以所述反馈数据集为训练样本，对两个低秩矩阵进行反向传播更新；

49、通过增量学习后的大语言模型从所述反馈数据集中抽取新型攻击模式与关联关系，并写入所述统一知识图谱。

50、本技术公开的实施例提供的技术方案具有以下有益效果：

51、采集电力网络环境中的多源异构数据，并构建统一知识图谱；将所述多源异构数据输入电力安全领域的大语言模型，识别出攻击入口点与第一阶段目标，并生成攻击类型和入侵路径的初始假设，并通过所述统一知识图谱对所述初始假设进行验证与修正；通过修正后的初始假设对攻击动作进行基于技术标签的语义描述，生成攻击证据链；通过所述大语言模型分析安全告警事件间的时序关系与逻辑依赖关系，并推演攻击路径，得到攻击链叙事文本；基于所述攻击证据链和所述攻击链叙事文本进行攻击意图分析，并评估攻击危害等级；通过所述攻击链叙事文本和所述攻击危害等级生成协同防御策略，收集策略执行结果与新型攻击样本，对所述大语言模型进行增量学习，并同步更新所述统一知识图谱。

52、由此可见本技术中，可以通过所述攻击链叙事文本和所述攻击危害等级生成协同防御策略，收集策略执行结果与新型攻击样本，对所述大语言模型进行增量学习，并同步更新所述统一知识图谱；其中，首先，通过采集电力网络环境中的多源异构数据并构建统一知识图谱，能够将分散于不同安全设备和业务系统中的资产信息、告警事件及攻击线索进行统一关联，减少因数据格式差异和语义分散造成的攻击线索割裂；其次，通过电力安全领域的大语言模型识别攻击入口点和第一阶段目标，生成攻击类型及入侵路径的初始假设，并利用统一知识图谱对所述初始假设进行验证与修正，能够降低单一告警或局部异常行为引起的判断偏差，使攻击链路的起始位置和演进方向更加符合实际攻击过程；进一步地，通过修正后的初始假设对攻击动作进行基于技术标签的语义描述并生成攻击证据链，能够将不同来源和不同表达形式的攻击行为转换为具有统一语义及证据指向的攻击线索，并通过大语言模型提取安全告警事件间的时序关系和逻辑依赖关系，将多阶段渗透、横向移动及隐蔽驻留过程串联为连贯的攻击链叙事文本，提高离散安全事件之间的关联程度及攻击过程重构的完整程度；最后，根据攻击证据链和攻击链叙事文本识别攻击意图并评估攻击危害等级，能够根据攻击过程及其对电力业务的潜在影响生成具有针对性的协同防御策略，同时利用策略执行结果和新型攻击样本持续更新大语言模型及统一知识图谱，使攻击研判依据和防御知识随实际处置过程不断完善，降低复杂攻击行为的误判和遗漏，并提升防御策略与实际攻击态势的适配程度。

53、综上所述，本技术采用的技术方案可实现电力网络多源异构安全事件的连续关联推演，从而准确还原网络攻击链路。