基于自适应鲁棒决策的电力监控多层级网络安全防控方法与流程

本技术涉及电力系统自动化，更具体地说，本技术涉及一种基于自适应鲁棒决策的电力监控多层级网络安全防控方法。

背景技术：

1、随着新型电力系统持续向数字化、网络化和智能化方向发展，电力系统自动化技术已成为实现电网调度控制、运行监测、故障处置和生产管理的重要技术基础。通过自动化设备、通信网络和调度控制系统之间的信息交互，电力系统自动化技术能够实现运行数据的集中采集、远程传输和协同控制，提高电网运行状态的感知能力及控制效率，在电力监控场景中，该技术还能够支撑不同安全分区和业务层级之间的协调运行，为电网控制业务连续开展及电力设施安全运行提供技术保障。

2、在现有技术中，电力监控系统通常采用防火墙、入侵检测设备和访问控制装置对网络安全威胁进行识别和处置，并依据预设攻击特征或静态安全规则触发阻断，然而，电力监控系统包含多个相互隔离且业务关联紧密的子网，不同子网产生的网络流量、会话状态、协议字段和设备运行数据分散存储在各防护节点中，导致现有防护方式难以完整识别攻击在不同安全分区之间的传播过程，当攻击者通过调整报文速率、载荷长度或通信频次改变攻击特征时，基于固定阈值和既定规则生成的处置策略容易出现判断偏差，进而造成阻断范围过大、处置强度不足或处置指令频繁变化，既可能影响正常控制业务，也可能无法及时截断攻击传播路径，因此，如何在攻击特征动态变化的情况下提高电力监控网络安全威胁处置决策的准确度成为了业界面临的难题。

技术实现思路

1、本技术提供一种基于自适应鲁棒决策的电力监控多层级网络安全防控方法，可实现在攻击特征动态变化的情况下提高电力监控网络安全威胁处置决策的准确度。

2、第一方面，本技术提供一种基于自适应鲁棒决策的电力监控多层级网络安全防控方法，包括如下步骤：

3、对电力监控多子网的多源安全数据进行时空对齐与语义标注处理，得到跨子网统一威胁图谱；

4、对所述跨子网统一威胁图谱进行分层态势评估，得到威胁评估结果；

5、根据所述威胁评估结果和预设的鲁棒决策目标，在攻击特征参数摄动下进行鲁棒寻优求解，得到目标处置策略；

6、基于所述目标处置策略进行处置层级的自适应选择与阻断指令映射，得到分级阻断指令；

7、将所述分级阻断指令下发至处置执行节点，所述处置执行节点在完成指令时效核验后触发攻击阻断。

8、在本实施例中，对电力监控多子网的多源安全数据进行时空对齐与语义标注处理，得到跨子网统一威胁图谱具体包括：

9、对采集自电力监控多子网的多源安全数据附加来源标识，得到携带子网归属标签的标识数据集；

10、对所述标识数据集中各数据携带的采集时间戳进行时钟偏差补偿与全局时间基准归一化，得到时序对齐数据集；

11、对所述时序对齐数据集进行设备实体识别，并对识别出的各设备实体进行功能角色和所属安全分区的语义属性标注，并将语义属性标注后的设备实体作为威胁图节点，得到威胁图节点集合；

12、对所述时序对齐数据集中设备间的通信关系进行抽取，并对各通信关系进行攻击意图类别的语义属性标注，将语义属性标注后的通信关系作为威胁图边，得到威胁图边集合；

13、将所述威胁图节点集合和所述威胁图边集合进行图结构组装，得到跨子网统一威胁图谱。

14、在本实施例中，对所述跨子网统一威胁图谱进行分层态势评估，得到威胁评估结果具体包括：

15、通过图注意力网络对所述跨子网统一威胁图谱中各节点的局部邻域进行攻击传播模式学习，得到各节点的原始风险值；

16、根据各节点的原始风险值和各节点所属安全分区的资产重要度确定各节点的区域级风险评分；

17、根据所述跨子网统一威胁图谱中各边的攻击意图标签和跨子网连接关系，识别跨子网横向移动路径和纵向渗透路径，得到候选攻击路径集合；

18、对于所述候选攻击路径集合中每条候选攻击路径，根据候选攻击路径上各节点的区域级风险评分和所述跨子网统一威胁图谱中各边的攻击关联强度确定候选攻击路径的多跳攻击路径置信度；

19、对所有候选攻击路径的多跳攻击路径置信度和各节点的区域级风险评分进行关联，得到威胁评估结果。

20、在本实施例中，通过图注意力网络对所述跨子网统一威胁图谱中各节点的局部邻域进行攻击传播模式学习，得到各节点的原始风险值具体包括：

21、对所述跨子网统一威胁图谱中各节点，以其为中心提取各节点的局部邻域，并基于图注意力网络和各邻居边的攻击意图标签计算各邻居边的注意力权重；

22、按各邻居边的注意力权重对各节点的局部邻域内的邻居节点进行多跳消息传递聚合和风险评估，得到各节点的原始风险值。

23、在本实施例中，根据所述威胁评估结果和预设的鲁棒决策目标，在攻击特征参数摄动下进行鲁棒寻优求解，得到目标处置策略具体包括：

24、根据所述威胁评估结果构造当前态势观测向量，以攻击特征参数摄动为不确定性来源生成摄动态势向量集合；

25、以预设的鲁棒决策目标为优化准则，对所述摄动态势向量集合中的各摄动态势向量分别求解对应的候选处置策略，得到候选处置策略集合；

26、从所述候选处置策略集合中选取使所述鲁棒决策目标在所述摄动态势向量集合上的最大值最小化的候选处置策略作为初始处置策略；

27、计算所述初始处置策略在所述摄动态势向量集合上的处置指令扰动量方差；

28、若所述处置指令扰动量方差超出预设方差阈值则增大所述鲁棒决策目标中态势偏离量最小化项的权重系数并重新求解，直至满足所述方差阈值，得到目标处置策略。

29、在本实施例中，根据所述威胁评估结果构造当前态势观测向量，以攻击特征参数摄动为不确定性来源生成摄动态势向量集合具体包括：

30、从所述威胁评估结果中提取出不同的关键分量，并根据所有的关键分量构造当前态势观测向量；

31、以攻击特征参数摄动为不确定性来源，按各关键分量的历史波动标准差设定各关键分量的摄动半径，确定各关键分量的摄动区间；

32、在各关键分量的摄动区间内分别采样，将采样值组合生成多个摄动态势向量，构成摄动态势向量集合。

33、在本实施例中，以预设的鲁棒决策目标为优化准则，对所述摄动态势向量集合中的各摄动态势向量分别求解对应的候选处置策略，得到候选处置策略集合具体包括：

34、对所述摄动态势向量集合中的各摄动态势向量，以预设的鲁棒决策目标为优化准则，分别构造以处置指令扰动量最小化和态势偏离量最小化为联合优化目标的目标函数；

35、对于各摄动态势向量，在离散可行处置空间中遍历各候选处置策略，分别计算各候选策略对应的目标函数值，并选取使目标函数值最小化的候选处置策略作为摄动态势向量对应的候选处置策略；

36、汇集各摄动态势向量对应的候选处置策略，构成候选处置策略集合。

37、在本实施例中，基于所述目标处置策略进行处置层级的自适应选择与阻断指令映射，得到分级阻断指令具体包括：

38、根据所述威胁评估结果中各候选攻击路径的多跳攻击路径置信度识别出当前威胁的攻击类型；

39、根据所述攻击类型从区域阻断层级、主机阻断层级和业务阻断层级中自适应选择目标处置层级；

40、根据所述目标处置层级，将所述目标处置策略中的阻断强度量映射为对应层级的阻断规则，进而生成分级阻断指令。

41、在本实施例中，根据所述攻击类型从区域阻断层级、主机阻断层级和业务阻断层级中自适应选择目标处置层级具体包括：

42、根据所述攻击类型匹配对应的处置层级，其中，横向移动类型对应区域阻断层级，纵向渗透类型对应主机阻断层级，单点越权控制类型对应业务阻断层级；

43、获取所述目标处置策略中的处置层级选择量，并将其作为鲁棒决策推荐层级；

44、若匹配出的处置层级与所述鲁棒决策推荐层级一致，则将匹配出的处置层级作为目标处置层级；

45、若匹配出的处置层级与所述鲁棒决策推荐层级不一致，则选取两者中阻断覆盖范围更大者作为目标处置层级。

46、在本实施例中，将所述分级阻断指令下发至处置执行节点，所述处置执行节点在完成指令时效核验后触发攻击阻断具体包括：

47、将所述分级阻断指令下发至处置执行节点，所述分级阻断指令中携带有生成时间戳和有效期字段；

48、所述处置执行节点接收所述分级阻断指令后，根据所述生成时间戳和当前时刻计算指令已存续时长，并将所述指令已存续时长与所述有效期字段中的预设有效期阈值进行比对；

49、若所述指令已存续时长未超出所述预设有效期阈值，则所述处置执行节点执行所述分级阻断指令以触发攻击阻断；

50、若所述指令已存续时长超出所述预设有效期阈值，则丢弃所述分级阻断指令并回送核验失败告警。

51、本技术公开的实施例提供的技术方案具有以下有益效果：

52、对电力监控多子网的多源安全数据进行时空对齐与语义标注处理，得到跨子网统一威胁图谱；对所述跨子网统一威胁图谱进行分层态势评估，得到威胁评估结果；根据所述威胁评估结果和预设的鲁棒决策目标，在攻击特征参数摄动下进行鲁棒寻优求解，得到目标处置策略；基于所述目标处置策略进行处置层级的自适应选择与阻断指令映射，得到分级阻断指令；将所述分级阻断指令下发至处置执行节点，所述处置执行节点在完成指令时效核验后触发攻击阻断。

53、由此可见本技术中，可以将所述分级阻断指令下发至处置执行节点，所述处置执行节点在完成指令时效核验后触发攻击阻断；其中，首先，通过对电力监控多子网的多源安全数据进行时空对齐与语义标注处理，能够将分散于不同安全分区和防护节点的网络流量、会话状态、协议字段及设备运行数据统一至相同时间基准和安全语义下，得到跨子网统一威胁图谱，从而消除多源安全数据之间的时间差异和语义隔离；其次，通过对所述跨子网统一威胁图谱进行分层态势评估，能够从不同安全分区、设备节点和跨子网攻击路径等层级识别网络安全威胁的影响范围及传播程度，减少依据单一告警或局部攻击特征进行判断造成的威胁误判，使威胁评估结果更加准确地反映攻击态势；进一步地，根据所述威胁评估结果和预设的鲁棒决策目标，在攻击特征参数摄动下进行鲁棒寻优求解，能够将报文速率、载荷长度和通信频次等攻击特征的动态变化纳入处置策略求解过程，降低攻击特征变化对处置决策造成的干扰，避免目标处置策略发生频繁切换或处置方向偏离；同时，基于所述目标处置策略进行处置层级的自适应选择与阻断指令映射，能够使阻断范围和处置强度与当前威胁的传播层级及影响范围相适配，减少固定处置规则造成的阻断范围过大或处置强度不足；最后，通过将所述分级阻断指令下发至处置执行节点，并在完成指令时效核验后触发攻击阻断，能够避免失效或滞后的阻断指令作用于已经变化的攻击态势，使最终执行的阻断动作与当前网络安全威胁保持一致，进而降低正常控制业务被误阻断的风险，提高跨子网攻击传播路径的截断效果及多层级网络安全防控的协同处置能力。

54、综上所述，本技术采用的技术方案可实现在攻击特征动态变化的情况下提高电力监控网络安全威胁处置决策的准确度。