一种基于ATT&CK映射的电力监控系统攻击规则生成与检测仿真方法、系统、存储介质及设备与流程

本发明涉及电力系统网络安全与调度自动化交叉，具体涉及一种基于att&ck映射的电力监控系统攻击规则生成与检测仿真方法、系统、存储介质及设备，适用于主站、厂站、调度数据网、远动终端、工程师站、运维接入链路和边界防护设备等对象场景下的攻击行为抽取、规则自动生成、多实体关联检测和仿真验证。

背景技术：

1、电力监控系统承担调度指令下发、遥信遥测采集、远方遥控执行、自动发电控制、自动电压控制、站控联动和安全隔离防护等关键职能，具有实时性强、对象异构、协议专用、边界分层明显和业务链路长等特点。随着运维接入、设备互联和跨区数据交换不断增加，攻击者可借助弱口令、异常接入、漏洞利用、远程命令执行、横向传播和跨区异常访问等手段对电力监控系统发起复合攻击。

2、现有攻击检测方法大多面向通用信息网络环境，通常依赖静态签名、单类日志告警或单点流量异常进行判定，未能充分考虑电力监控系统对象角色、业务语义和边界关系，因而存在以下不足：一是主站、厂站、调度数据网、远动终端和边界安全设备输出的数据格式差异明显，事件难以统一建模；二是底层事件与上层att&ck攻击语义之间缺乏细粒度映射，告警结果不利于标准化归并和阶段研判；三是复杂攻击往往由多个离散行为串联形成，现有规则多依赖人工逐条编写，难以适应场景变化和规则扩展；四是现有方法通常在生产系统上直接进行检测，缺少规则部署前后的仿真验证和参数反馈机制，难以对规则有效性、时效性和适配性进行闭环评估。

3、因此，急需提出一种既能够面向电力监控系统多源安全数据构建统一行为表示，又能够实现att&ck语义映射、规则自动生成、多实体关联检测和仿真验证闭环的可实施技术方案。

技术实现思路

1、本发明的目的在于针对现有技术中存在的多源安全数据难以统一表达、攻击语义缺乏标准化映射、规则构造依赖人工经验、复杂攻击行为难以通过多实体约束进行关联检测以及规则有效性缺乏闭环验证等问题，提供一种基于att&ck映射的电力监控系统攻击规则生成与检测仿真方法、系统、存储介质及设备，使所属技术领域技术人员能够基于明确的数据模式、行为模板、映射规则、约束逻辑、规则表达方式、仿真接口和实施例流程实现电力监控系统攻击规则的自动构造、检测执行和持续优化。

2、为实现上述目的，本发明采用如下技术方案：一种基于att&ck映射的电力监控系统攻击规则生成与检测仿真方法，包括如下步骤：

3、首先采集电力监控系统中的多源安全数据，所述多源安全数据至少包括网络流量数据、主机审计数据、身份认证数据、工控协议会话数据、边界安全设备告警数据、资产台账数据、拓扑关系数据和业务操作记录数据，并将不同来源的数据按照统一事件模式封装为结构化事件；所述统一事件模式至少包括时间戳、事件类型、源对象标识、目标对象标识、协议类型、端口信息、账户信息、进程信息、文件特征、对象角色、所属区域、业务场景标签、证据来源和事件置信度字段。

4、在此基础上，对结构化事件执行解析、聚合和标准化表示，抽取网络接入、地址扫描、端口扫描、口令猜测、漏洞利用、进程启动、文件落地、远程命令执行、横向传播和移动介质接入等基础行为实例，并依据对象、动作、参数、时间窗、角色和场景形成基础行为模板。

5、随后，构建面向电力监控系统的att&ck映射规则库；所述att&ck映射规则库以基础行为类型、对象角色、协议语义、业务场景标签和证据完整性为输入，输出att&ck战术层标签、技术层标签和映射置信度；具体地，先按照基础行为类型对att&ck技术标签进行第一轮候选筛选，再按照对象角色和电力场景标签进行第二轮筛选，然后按照协议语义、业务上下文和证据完整性计算候选标签的映射置信度；对于映射置信度差值小于预设阈值的多个候选标签，保留主标签和候选标签并进入后续规则生成阶段执行冲突消解；对于映射置信度低于预设阈值的行为，仅保留为候选行为而不直接触发复合规则生成。

6、在得到带有att&ck语义的候选攻击语义单元后，依据攻击阶段模板自动生成攻击规则表达式；所述自动生成过程包括：筛选与当前场景标签匹配的候选行为集合；根据预设攻击阶段模板生成行为序列骨架；根据主站、厂站、调度数据网、远动终端和边界防护设备之间的对象关系图注入对象一致性约束和可达性约束；根据对象角色和协议类型生成角色属性约束、协议语义约束和业务参数约束；最后对候选规则执行冲突合并、去冗余处理和优先级赋值，生成目标攻击规则表达式；所述攻击规则表达式由行为表达项、逻辑运算项和约束项组成，逻辑运算项至少包括与、或、非、先后关系和重复关系中的一种或多种，约束项至少包括时间窗约束、对象一致性约束、角色属性约束、场景约束和协议语义约束。

7、进一步地，将所述攻击规则表达式加载至规则匹配引擎，对实时或离线安全数据执行多实体关联检测。所述多实体关联检测包括：建立候选行为索引；对具有相同源对象、相同目标对象、相同账户、相同会话链路或相邻可达路径关系的行为进行对象绑定；对绑定结果执行时间窗判定和协议语义校验；将满足攻击规则表达式的行为证据聚合为攻击证据集；依据命中规则数量、映射置信度、证据完整性和关键对象权重确定风险等级；输出攻击类型、att&ck标签、攻击阶段、受影响对象和处置建议。

8、为验证规则的有效性，进一步将所生成规则部署于仿真验证环境中；所述仿真验证环境包括主站侧服务器节点、厂站侧监控节点、调度数据网通信链路、远动终端、工程师站、运维接入通道以及边界防火墙、纵向加密认证装置或隔离装置中的一种或多种，支持iec60870-5-104、iec61850、modbus/tcp、ssal或ssl中的一种或多种通信协议，并支持近源渗透跨边界攻击场景编排、攻击回放、高并发会话注入和行为推演；通过对端口扫描、口令猜测、漏洞利用、远程命令执行、跨区异常访问、横向传播等典型攻击场景的回放、推演或复现，获得规则命中率、误报率、漏报率、触发时延和对象适配度。

9、最后，根据检测结果和仿真验证结果对att&ck映射规则、时间窗参数、对象关系约束、角色属性约束、协议语义约束、规则优先级和风险阈值进行修正更新，形成规则生成、规则检测、仿真验证和反馈优化闭环。

10、与现有技术相比，本发明的有益效果是：本发明并非简单叠加att&ck框架和规则引擎，而是针对电力监控系统对象层级、协议类型和业务链路的专属性进行了统一约束：

11、其一：在数据表示层公开了统一事件模式与行为模板，使主站、厂站和边界防护设备的异构事件能够被统一描述；

12、其二：在语义映射层公开了基础行为与att&ck战术、技术及电力场景标签之间的映射方式，提升了攻击研判的一致性和可解释性；

13、其三：在规则生成层公开了逻辑、时间、对象、角色和协议多维约束的组合方式，使复杂攻击规则能够自动生成而非依赖人工静态维护；

14、其四：在工程应用层引入仿真验证与参数反馈机制，使规则在正式投入使用前即可完成闭环评估和持续优化。