一种面向极端环境的电力隔离装置内生安全防御方法、系统、设备及介质与流程

本发明涉及电力隔离装置安全防御，具体涉及一种面向极端环境的电力隔离装置内生安全防御方法、系统、设备及介质。

背景技术：

1、电力隔离装置用于不同安全区域之间的数据隔离与受控交互，其运行过程中需要根据进程运行状态、外部接口告警及网络流量变化判断当前安全状态，并据此调整防御模式。

2、现有电力隔离装置通常采用固定阈值或者单项检测结果进行异常判定。当业务高峰导致网络流量及接口告警同步增加时，固定判定条件难以区分正常业务变化与攻击引起的流量异常，容易产生不必要的防御模式切换；当监测数据出现瞬时脉冲或者短时波动时，单次越过判定阈值也可能直接触发防御动作。

3、此外，当模式切换直接依据单个检测结果确定时，局部检测异常可能直接传递至模式切换过程。如何结合内部进程状态、外部接口状态和网络流量变化，对持续异常状态进行判定，并在模式切换前对候选判定结果进行再次校验，是电力隔离装置安全防御过程中需要解决的问题。

技术实现思路

1、鉴于上述存在的问题，本发明提供一种面向极端环境的电力隔离装置内生安全防御方法、系统、设备及介质。

2、因此，本发明解决的技术问题是：现有电力隔离装置在网络业务状态变化、瞬时监测数据波动以及不同检测结果不一致的情况下，难以准确确定是否应当执行防御模式切换，容易因正常业务流量增加、短时异常变化或者单个检测结果误判而发生防御模式误切换，或者因判定条件设置过于保守而导致对持续异常状态响应滞后的技术问题。

3、为解决上述技术问题，本发明提供如下技术方案：一种面向极端环境的电力隔离装置内生安全防御方法，其包括，

4、根据进程运行数据确定关键进程异常比例，根据外部接口监测数据确定接口告警区域比例；

5、根据网络流量与历史流量基线确定流量偏离度，根据所述流量偏离度确定所述关键进程异常比例与所述接口告警区域比例的权重分配，根据所述权重分配对所述关键进程异常比例与所述接口告警区域比例进行加权，确定复合安全态势值；

6、对所述复合安全态势值进行具有持续时长约束的模式切换阈值判定，形成候选模式切换判定结果；

7、根据所述候选模式切换判定结果执行异构检测，形成异构检测结果，根据所述异构检测结果进行冗余仲裁，形成冗余仲裁结果；

8、当所述冗余仲裁结果确认所述候选模式切换判定结果时，形成模式切换指令，根据所述模式切换指令切换所述电力隔离装置的防御模式。

9、作为本发明所述的一种面向极端环境的电力隔离装置内生安全防御方法的一种优选方案，其中：所述根据进程运行数据确定关键进程异常比例，根据外部接口监测数据确定接口告警区域比例，包括：

10、根据所述进程运行数据确定异常关键进程数量，根据所述异常关键进程数量与关键进程总数量的比值确定所述关键进程异常比例；

11、根据所述外部接口监测数据确定触发告警规则的监控区域；

12、对所述触发告警规则的监控区域进行去重计数，确定触发告警规则的监控区域数量；

13、根据所述触发告警规则的监控区域数量与监控区域总数量的比值确定所述接口告警区域比例。

14、作为本发明所述的一种面向极端环境的电力隔离装置内生安全防御方法的一种优选方案，其中：所述流量偏离度和所述权重分配的确定，包括：

15、根据所述网络流量与所述历史流量基线的比值确定所述流量偏离度；

16、当所述流量偏离度大于流量判定阈值且所述关键进程异常比例小于关键进程异常比例阈值时，根据所述流量偏离度确定所述关键进程异常比例的权重和所述接口告警区域比例的权重，形成所述权重分配；

17、当形成所述权重分配后，所述流量偏离度持续大于所述流量判定阈值的时长达到确认时长时，保持所述权重分配；

18、当所述流量偏离度小于权重恢复阈值时，根据预设恢复步长逐周期确定下一周期的权重分配，直至所述权重分配恢复至初始权重分配。

19、作为本发明所述的一种面向极端环境的电力隔离装置内生安全防御方法的一种优选方案，其中：所述复合安全态势值的确定，包括：

20、根据所述权重分配对所述关键进程异常比例与所述接口告警区域比例进行加权，形成原始复合安全态势值；

21、根据历史复合安全态势值序列中相邻复合安全态势值之差的绝对值确定态势变化幅度；

22、当连续两个所述态势变化幅度均大于变化幅度阈值时，确定有效波动，根据统计周期内所述有效波动的次数确定波动频率；

23、根据所述波动频率与波动频率阈值的比较结果确定阻尼参数；

24、根据所述阻尼参数对上一周期复合安全态势值与所述原始复合安全态势值进行加权，确定所述复合安全态势值。

25、作为本发明所述的一种面向极端环境的电力隔离装置内生安全防御方法的一种优选方案，其中：所述对复合安全态势值进行具有持续时长约束的模式切换阈值判定，包括：

26、所述模式切换阈值包括第一模式切换阈值和第二模式切换阈值，所述第一模式切换阈值大于所述第二模式切换阈值；

27、当所述电力隔离装置处于常规防御模式，且所述复合安全态势值持续大于所述第一模式切换阈值的时长达到第一持续时长时，形成切换至隔离防御模式的候选模式切换判定结果；

28、当所述电力隔离装置处于所述隔离防御模式，且所述复合安全态势值持续小于所述第二模式切换阈值的时长达到第二持续时长时，形成切换至所述常规防御模式的候选模式切换判定结果。

29、作为本发明所述的一种面向极端环境的电力隔离装置内生安全防御方法的一种优选方案，其中：所述异构检测包括签名检测、进程异常检测和流量资源异常检测；

30、根据所述异构检测结果进行多数表决，形成表决结果，根据历史准确率确定置信度权重；

31、当所述异构检测结果一致时，根据所述表决结果形成所述冗余仲裁结果；

32、当所述异构检测结果不一致时，根据与所述表决结果一致的异构检测的置信度权重之和形成多数置信度权重，根据与所述表决结果不一致的异构检测的置信度权重形成少数置信度权重；

33、当所述多数置信度权重大于或等于所述少数置信度权重时，根据所述表决结果形成所述冗余仲裁结果；当所述多数置信度权重小于所述少数置信度权重时，重新执行所述异构检测。

34、作为本发明所述的一种面向极端环境的电力隔离装置内生安全防御方法的一种优选方案，其中：还包括：

35、当所述冗余仲裁结果确认切换至所述隔离防御模式的候选模式切换判定结果时，确定所述复合安全态势值与所述第一模式切换阈值的差值，根据所述差值与自愈分级阈值的比较结果确定自愈等级；

36、根据所述异构检测结果确定攻击类型，根据所述攻击类型和所述自愈等级确定自愈操作，执行所述自愈操作。

37、本发明提供了一种面向极端环境的电力隔离装置内生安全防御系统。

38、为解决上述技术问题，本发明提供如下技术方案：一种面向极端环境的电力隔离装置内生安全防御系统，包括：处理模块，用于根据进程运行数据确定关键进程异常比例，根据外部接口监测数据确定接口告警区域比例，根据网络流量与历史流量基线确定流量偏离度，根据所述流量偏离度确定所述关键进程异常比例与所述接口告警区域比例的权重分配，根据所述权重分配对所述关键进程异常比例与所述接口告警区域比例加权，确定复合安全态势值，对所述复合安全态势值进行具有持续时长约束的模式切换阈值判定，形成候选模式切换判定结果，根据所述候选模式切换判定结果执行异构检测，形成异构检测结果，根据所述异构检测结果进行冗余仲裁，形成冗余仲裁结果；

39、执行模块，用于当所述冗余仲裁结果确认所述候选模式切换判定结果时，形成模式切换指令，根据所述模式切换指令切换所述电力隔离装置的防御模式。

40、本发明提供了一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现所述的一种面向极端环境的电力隔离装置内生安全防御方法的步骤。

41、本发明提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现所述的一种面向极端环境的电力隔离装置内生安全防御方法的步骤。

42、本发明的有益效果：本技术根据网络流量相对于历史流量基线的流量偏离度调整关键进程异常比例与接口告警区域比例的权重分配，当网络流量增加而关键进程未同步出现异常时，相应降低接口告警区域比例在复合安全态势值中的贡献，避免正常业务流量增加直接推动复合安全态势值向模式切换阈值变化。

43、本技术根据历史复合安全态势值的波动情况调整阻尼参数，并将复合安全态势值与模式切换阈值的比较结果和持续时长共同用于形成候选模式切换判定结果，使短时态势波动不会因单次越过模式切换阈值而直接形成模式切换指令，并减少复合安全态势值在阈值附近反复变化造成的防御模式频繁切换。

44、本技术在候选模式切换判定结果形成后，通过签名检测、进程异常检测和流量资源异常检测形成异构检测结果，并依次进行多数表决和置信度比较；当多数检测结果的置信度不足时，不执行当前候选模式切换判定结果并重新检测，使单个检测结果或者低置信度多数结果不能直接触发电力隔离装置的防御模式切换。