一种电力系统网络安全靶场混合仿真方法、系统及设备与流程

1.本发明涉及电力系统信息安全技术领域，尤其涉及一种电力系统网络安全靶场混合仿真方法、系统及设备。


背景技术：

2.随着智能电网、电力物联网等新技术的大量引入，以及大量智能终端设备的接入，网络安全态势呈现结构复杂化、便捷模糊化以及威胁形态多样化等特点，给电力系统的安全防护带来了严峻挑战。为精确评估各类网络攻击对电力系统的影响，需要一个近似实战的仿真试验环境。
3.网络安全靶场是近年来开展网络安全事件分析、演练和仿真的重要平台，通过网络安全靶场可以在不影响主体业务的情况下，对网络攻击进行高仿真模拟，具有重要的实践价值。现有技术中基于网络安全靶场对电力系统网络进行仿真模拟。目前，主流的网络安全靶场的模拟仿真主要是虚实结合的混合仿真，一方面将现实的安全设备、网络设备等映射到虚拟环境中，实现在虚拟环境中的连接与模拟；一方面对于无法映射的物理设备则通过物理接线的方式与虚拟环境接口进行对接，实现虚拟环境数据流与真实环境数据流的互联互通。该方法虽然能够满足网络安全靶场的模拟仿真需求，但是其在仿真效率、仿真精度以及靶场云计算环境中的虚拟资源调度方面还存在不足，具体表现在：1)仿真过程中，靶场内的场景在关键物理属性方面与目标场景不能保持一致性；2)复杂业务场景下大规模靶场构建效率低下；3)大规模网络靶场存在存储性能差、节点实例化难度大及节点存储拥塞的特点；4)大规模靶场仿真过程中存在资源调度慢的缺陷。


技术实现要素：

4.本发明提供了一种电力系统网络安全靶场混合仿真方法、系统及设备，解决了现有网络安全靶场的模拟仿真方法在仿真效率、仿真精度以及虚拟资源调度方面还存在不足的技术问题。
5.本发明第一方面提供一种电力系统网络安全靶场混合仿真方法，包括：
6.步骤s1，对电力系统中可映射的目标设备进行关键物理属性仿真；对于无法映射的目标设备，利用靶场的软件定义和动态调整虚拟网络的能力，将目标设备的管理端口和业务端口动态接入对应试验场景及网络；
7.步骤s2，对电力系统目标网络中不同层次的数据流进行采集，根据所述数据流编制流量仿真重放策略，以在相应的仿真场景中根据所述流量仿真重放策略对所述数据流进行重放；利用自动化脚本对目标行为对象的攻防行为进行描述，并设置相应的攻防行为模拟智能化程序，以根据所述攻防行为模拟智能化程序模拟和重现攻防行为；
8.步骤s3，将目标设备的网络连接情况划分为最小单位进行描述，形成相应的元场景描述文件，基于各所述元场景描述文件的拼接操作进行复杂业务扩展模拟，以实现对各所述目标设备组网的模拟仿真，得到相应的规模化虚拟网络场景；
9.步骤s4，构建电力系统电网物理层、信息网络层及业务应用层的电力信息物理通信混合仿真接口，将所述规模化虚拟网络场景通过对应的电力信息物理通信混合仿真接口与电力系统相应的真实设备连接，以实现电网一次与二次设备网络的全真模拟；
10.所述步骤s1-s4中，基于镜像差分压缩的方式进行数据传输，采用分级存储的方式进行数据存储，并基于云架构的高速资源调度方式进行电力系统网络安全靶场的计算资源、存储资源和网络资源的统一调度。
11.根据本发明第一方面的一种能够实现的方式，所述对电力系统中可映射的目标设备进行关键物理属性仿真，包括：
12.确定电力系统中可映射的目标设备，获取所述可映射的目标设备的关键物理属性的信息，所述关键物理属性包括目标设备的操作系统、协议、端口及版本；
13.根据所述关键物理属性的信息对相应的目标设备的关键物理属性进行虚拟映射。
14.根据本发明第一方面的一种能够实现的方式，所述基于各所述元场景描述文件的拼接操作进行复杂业务扩展模拟，包括：
15.获取真实状态下目标设备的网络连接信息，根据所述网络连接信息确定相应的元场景描述文件；
16.确定目标设备的主场景描述文件，在目标设备的场景结构描述区域内，基于多重嵌套的方式，将确定的相应的元场景描述文件引入所述主场景描述文件中，实现目标设备的虚拟网络场景的构建。
17.根据本发明第一方面的一种能够实现的方式，所述基于云架构的高速资源调度方式进行电力系统网络安全靶场的计算资源、存储资源和网络资源的统一调度，包括：
18.实时检测电力系统网络安全靶场各物理机不同资源的负载信息；
19.基于虚拟机迁移策略将负载大于预置负载上限的物理机上的虚拟机迁移到负载不大于预置负载下限的物理机上。
20.本发明第二方面提供一种电力系统网络安全靶场混合仿真系统，包括：
21.第一仿真模块，用于对电力系统中可映射的目标设备进行关键物理属性仿真；对于无法映射的目标设备，利用靶场的软件定义和动态调整虚拟网络的能力，将目标设备的管理端口和业务端口动态接入对应试验场景及网络；
22.第二仿真模块，用于对电力系统目标网络中不同层次的数据流进行采集，根据所述数据流编制流量仿真重放策略，以在相应的仿真场景中根据所述流量仿真重放策略对所述数据流进行重放；利用自动化脚本对目标行为对象的攻防行为进行描述，并设置相应的攻防行为模拟智能化程序，以根据所述攻防行为模拟智能化程序模拟和重现攻防行为；
23.第三仿真模块，用于将目标设备的网络连接情况划分为最小单位进行描述，形成相应的元场景描述文件，基于各所述元场景描述文件的拼接操作进行复杂业务扩展模拟，以实现对各所述目标设备组网的模拟仿真，得到相应的规模化虚拟网络场景；
24.第四仿真模块，用于构建电力系统电网物理层、信息网络层及业务应用层的电力信息物理通信混合仿真接口，将所述规模化虚拟网络场景通过对应的电力信息物理通信混合仿真接口与电力系统相应的真实设备连接，以实现电网一次与二次设备网络的全真模拟；
25.靶场管理模块，用于在第一仿真模块、第二仿真模块、第三仿真模块及第四仿真模
块的仿真过程中，基于镜像差分压缩的方式进行数据传输，采用分级存储的方式进行数据存储，并基于云架构的高速资源调度方式进行电力系统网络安全靶场的计算资源、存储资源和网络资源的统一调度。
26.根据本发明第二方面的一种能够实现的方式，所述第一仿真模块包括：
27.获取单元，用于确定电力系统中可映射的目标设备，获取所述可映射的目标设备的关键物理属性的信息，所述关键物理属性包括目标设备的操作系统、协议、端口及版本；
28.仿真单元，用于根据所述关键物理属性的信息对相应的目标设备的关键物理属性进行虚拟映射。
29.根据本发明第二方面的一种能够实现的方式，所述第三仿真模块包括：
30.元场景确定单元，用于获取真实状态下目标设备的网络连接信息，根据所述网络连接信息确定相应的元场景描述文件；
31.场景构建单元，用于确定目标设备的主场景描述文件，在目标设备的场景结构描述区域内，基于多重嵌套的方式，将确定的相应的元场景描述文件引入所述主场景描述文件中，实现目标设备的虚拟网络场景的构建。
32.根据本发明第二方面的一种能够实现的方式，所述靶场管理模块包括：
33.检测单元，用于实时检测电力系统网络安全靶场各物理机不同资源的负载信息；
34.调度单元，用于基于虚拟机迁移策略将负载大于预置负载上限的物理机上的虚拟机迁移到负载不大于预置负载下限的物理机上。
35.本发明第三方面提供了一种电力系统网络安全靶场混合仿真设备，包括：
36.存储器，用于存储指令；其中，所述指令用于实现如上任意一项能够实现的方式所述的电力系统网络安全靶场混合仿真方法；
37.处理器，用于执行所述存储器中的指令。
38.本发明第四方面一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上任意一项能够实现的方式所述的电力系统网络安全靶场混合仿真方法。
39.从以上技术方案可以看出，本发明具有以下优点：
40.本发明对电力系统中可映射的目标设备进行关键物理属性仿真，将无法映射的目标设备的管理端口和业务端口动态接入对应试验场景及网络；根据电力系统目标网络中不同层次的数据流编制流量仿真重放策略，以用于进行数据重放，并根据攻防行为的描述信息设置模拟智能化程序模拟和重现攻防行为；基于元场景技术将目标设备的网络连接情况划分为最小单位进行描述，以进行复杂业务扩展模拟，得到相应的规模化虚拟网络场景；构建电力系统电网物理层、信息网络层及业务应用层的电力信息物理通信混合仿真接口，将所述规模化虚拟网络场景通过对应的电力信息物理通信混合仿真接口与电力系统相应的真实设备连接，以实现电网一次与二次设备网络的全真模拟；在各仿真过程中，还基于镜像差分压缩的方式进行数据传输，采用分级存储的方式进行数据存储，并基于云架构的高速资源调度方式进行电力系统网络安全靶场的计算资源、存储资源和网络资源的统一调度；本发明通过各方面的仿真过程，能够有效提高电力系统网络安全靶场的仿真效率及仿真精度，基于镜像差分压缩技术、基于分级存储的节点快速重构技术与基于云架构的高速资源调度的技术为设备网络模拟仿真、场景组件及虚实结合提供性能支持，能够实现快速存储、
快速组网和资源的高效分配。
附图说明
41.为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其它的附图。
42.图1为本发明一个可选实施例提供的一种电力系统网络安全靶场混合仿真方法的流程图；
43.图2为本发明一个可选实施例提供的一种电力系统网络安全靶场混合仿真系统的结构连接框图。
44.附图标记：
45.1-第一仿真模块；2-第二仿真模块；3-第三仿真模块；4-第四仿真模块；5-靶场管理模块。
具体实施方式
46.本发明实施例提供了一种电力系统网络安全靶场混合仿真方法、系统及设备，用于解决现有网络安全靶场的模拟仿真方法在仿真效率、仿真精度以及虚拟资源调度方面还存在不足的技术问题。
47.为使得本发明的发明目的、特征、优点能够更加的明显和易懂，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，下面所描述的实施例仅仅是本发明一部分实施例，而非全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。
48.本发明提供了一种电力系统网络安全靶场混合仿真方法。
49.请参阅图1，图1示出了本发明实施例提供的一种电力系统网络安全靶场混合仿真方法的流程图。
50.本发明实施例提供的一种电力系统网络安全靶场混合仿真方法，包括步骤s1-s4。
51.步骤s1，对电力系统中可映射的目标设备进行关键物理属性仿真；对于无法映射的目标设备，利用靶场的软件定义和动态调整虚拟网络的能力，将目标设备的管理端口和业务端口动态接入对应试验场景及网络。
52.在一种能够实现的方式中，所述对电力系统中可映射的目标设备进行关键物理属性仿真，包括：
53.确定电力系统中可映射的目标设备，获取所述可映射的目标设备的关键物理属性的信息，所述关键物理属性包括目标设备的操作系统、协议、端口及版本；
54.根据所述关键物理属性的信息对相应的目标设备的关键物理属性进行虚拟映射。
55.本发明上述实施例，针对无法使用虚拟化或其他仿真方式进行高逼真仿真的实体设备，利用靶场的软件定义和动态调整虚拟网络的能力，将实体设备的管理端口和业务端口动态的接入各类实验场景和网络，能够保证靶场内的场景在特定的物理属性方面与目标
场景保持高度的一致性，实现了虚拟设备和物理设备的混合组网，从而提升了属性平行仿真程度。
56.步骤s2，对电力系统目标网络中不同层次的数据流进行采集，根据所述数据流编制流量仿真重放策略，以在相应的仿真场景中根据所述流量仿真重放策略对所述数据流进行重放；利用自动化脚本对目标行为对象的攻防行为进行描述，并设置相应的攻防行为模拟智能化程序，以根据所述攻防行为模拟智能化程序模拟和重现攻防行为。
57.在一种能够实现的方式中，所述基于各所述元场景描述文件的拼接操作进行复杂业务扩展模拟，包括：
58.获取真实状态下目标设备的网络连接信息，根据所述网络连接信息确定相应的元场景描述文件；
59.确定目标设备的主场景描述文件，在目标设备的场景结构描述区域内，基于多重嵌套的方式，将确定的相应的元场景描述文件引入所述主场景描述文件中，实现目标设备的虚拟网络场景的构建。
60.高逼真地仿真一个目标场景，不仅仅需要在网络架构、操作系统、应用、服务、漏洞等基础场景层面做到一致，还需要在场景中使得运行的数据、业务及行为保持活性和逼真性。在数据和业务仿真方面，本发明实施例，采用分层数据流采集的模式，在目标网络中有针对性地对不同层次的数据流进行采集和留存，编制流量仿真重放策略，将这些有典型代表性的数据流在仿真场景中进行重放，赋予场景鲜活的数据基础活力，进一步提升仿真效果；在行为模拟方面，本发明实施例，利用自动化脚本的方式对网络应用行为、业务行为、攻击行为、安全运维行为、加固行为等进行描述，进一步地提升了仿真效果，并可以根据策略灵活配置，模拟出真实的业务应用中的各种常规行为，通过设置相应的攻防行为模拟智能化程序，按照通常的人类行为方式对这些行为进行模拟和重现，从而提升了整个攻防行为的逼真性。
61.步骤s3，将目标设备的网络连接情况划分为最小单位进行描述，形成相应的元场景描述文件，基于各所述元场景描述文件的拼接操作进行复杂业务扩展模拟，以实现对各所述目标设备组网的模拟仿真，得到相应的规模化虚拟网络场景。
62.具体地，针对多重嵌套网络区域，可以采用多重嵌套技术，在场景描述文件的场景结构描述区中，将其他场景描述文件作为一个子区域引入至主场景描述文件中，从而实现规模化虚拟网络场景的构建，解决了复杂业务场景下大规模靶场构建难、构建步骤繁杂以及本地存储瓶颈的难题。
63.本发明实施例，针对大规模网络靶场业务复杂、节点众多、拓扑多样等特点，提出基于可扩展元场景的复杂业务模拟技术，结合基于元场景的多分区管理、多场景要素整合的复杂场景模型描述方法，解决了复杂场景模型节点众多难以扩展模拟的问题。其中，采用了复杂业务场景结构描述文件记录的方法，以及元场景分区描述技术，针对性地读取场景节点数据、结构数据或连通性数据，大幅提高了读取效率。
64.步骤s4，构建电力系统电网物理层、信息网络层及业务应用层的电力信息物理通信混合仿真接口，将所述规模化虚拟网络场景通过对应的电力信息物理通信混合仿真接口与电力系统相应的真实设备连接，以实现电网一次与二次设备网络的全真模拟。
65.针对一次系统、二次系统、电力通信无法大规模联合实时仿真的技术难题，本发明
实施例中，通过构建电网物理层、信息网络层、业务应用层的电力信息物理通信混合仿真接口，打通电力能量流、信息流及业务流的连接，构建“虚实结合、数模协同、硬件在环”的一次系统、二次系统、电力通信在线联动的电力信息物理通信混合仿真环境，实现网络攻击与电力系统的运行状态耦合关联。
66.在上述步骤s1-s4中，基于镜像差分压缩的方式进行数据传输，采用分级存储的方式进行数据存储，并基于云架构的高速资源调度方式进行电力系统网络安全靶场的计算资源、存储资源和网络资源的统一调度。
67.具体地，对于要传输的数据，可以确定相应的镜像文件，根据确定的镜像文件生成差分镜像文件，进而对差分镜像文件进行压缩处理，将得到的压缩镜像数据包进行传输。分级存储是将数据采取不同的存储方式分别存储在不同性能的存储设备上，减少非重要性数据在一级本地磁盘所占用的空间，还可加快整个系统的存储性能。
68.需要说明的是，由于镜像差分压缩技术和分级存储技术是已有技术，本发明实施例中对采用镜像差分压缩技术和分级存储技术进行数据传输和存储的具体过程不做限定。
69.针对大规模网络靶场存储性能差、节点实例化难度大、节点存储拥塞等特点，本发明实施例，提出基于镜像差分压缩的方式进行数据传输，从而能够实现靶机虚拟机文件无存储压力的复制，降低了存储网络的带宽拥堵可能性，保证存储网络具有足够的带宽和充足的性能。采用分级存储的方式进行数据存储，能够将存储网络流量和其他类型的网络流量物理隔离，保证存储网络的独立性和高效性。本发明实施例，利用镜像差分压缩与分级存储相结合的方式，实现了繁琐任务并发执行，能够有效缩短场景构建时间，可实现基于节点重构的大规模靶场构建。
70.具体地，为实现电力系统网络安全靶场的计算资源、存储资源和网络资源的统一调度，可以构建相应的靶场云平台，利用虚拟资源动态资源感知均衡调度技术，将靶场云平台的资源调度过程分为三个阶段：资源初始分配、资源动态调度以及资源动态整合。通过虚拟机迁移技术将负载过高的物理机上的虚拟机迁移到资源利用率较低或者空闲物理机上，以此来实现负载均衡，并尽量减少服务等级协议冲突的概率。进一步地，可以针对靶场云平台中的虚拟资源分配问题进行相应的建模，得到相应的决策模型。例如，所构建的模型的云平台由一组物理机组成，每个物理机通过虚拟化平台管理多个虚拟机，从而实现虚拟机可以在任意的两个物理机器之间进行迁移，并利用监控技术对当前应用程序的性能进行监控，可以基于动态决策技术构建虚拟机迁移策略，该策略可以根据当前应用程序的负载和资源分配情况进行性能评估，从而决定是否需要分配更多的虚拟机，还是释放空闲的虚拟机。
71.在一种能够实现的方式中，基于虚拟机迁移策略进行电力系统网络安全靶场的计算资源、存储资源和网络资源的统一调度时，可以执行：
72.实时检测电力系统网络安全靶场各物理机不同资源的负载信息；
73.基于虚拟机迁移策略将负载大于预置负载上限的物理机上的虚拟机迁移到负载不大于预置负载下限的物理机上。
74.其中，负载上限和负载下限可以根据实际情况在设定虚拟机迁移策略时进行设置。
75.本发明实施例，能够对靶场云计算环境中的虚拟资源进行高效的分配与管理，解
决了在模拟仿真过程中云资源有效利用的问题。
76.本发明还提供了一种电力系统网络安全靶场混合仿真系统。
77.请参阅图2，图2示出了本发明实施例提供的一种电力系统网络安全靶场混合仿真系统的结构连接框图。
78.本发明实施例提供了一种电力系统网络安全靶场混合仿真系统，包括：
79.第一仿真模块1，用于对电力系统中可映射的目标设备进行关键物理属性仿真；对于无法映射的目标设备，利用靶场的软件定义和动态调整虚拟网络的能力，将目标设备的管理端口和业务端口动态接入对应试验场景及网络；
80.第二仿真模块2，用于对电力系统目标网络中不同层次的数据流进行采集，根据所述数据流编制流量仿真重放策略，以在相应的仿真场景中根据所述流量仿真重放策略对所述数据流进行重放；利用自动化脚本对目标行为对象的攻防行为进行描述，并设置相应的攻防行为模拟智能化程序，以根据所述攻防行为模拟智能化程序模拟和重现攻防行为；
81.第三仿真模块3，用于将目标设备的网络连接情况划分为最小单位进行描述，形成相应的元场景描述文件，基于各所述元场景描述文件的拼接操作进行复杂业务扩展模拟，以实现对各所述目标设备组网的模拟仿真，得到相应的规模化虚拟网络场景；
82.第四仿真模块4，用于构建电力系统电网物理层、信息网络层及业务应用层的电力信息物理通信混合仿真接口，将所述规模化虚拟网络场景通过对应的电力信息物理通信混合仿真接口与电力系统相应的真实设备连接，以实现电网一次与二次设备网络的全真模拟；
83.靶场管理模块5，用于在第一仿真模块1、第二仿真模块2、第三仿真模块3及第四仿真模块4的仿真过程中，基于镜像差分压缩的方式进行数据传输，采用分级存储的方式进行数据存储，并基于云架构的高速资源调度方式进行电力系统网络安全靶场的计算资源、存储资源和网络资源的统一调度。
84.在一种能够实现的方式中，所述第一仿真模块1包括：
85.获取单元，用于确定电力系统中可映射的目标设备，获取所述可映射的目标设备的关键物理属性的信息，所述关键物理属性包括目标设备的操作系统、协议、端口及版本；
86.仿真单元，用于根据所述关键物理属性的信息对相应的目标设备的关键物理属性进行虚拟映射。
87.在一种能够实现的方式中，所述第三仿真模块3包括：
88.元场景确定单元，用于获取真实状态下目标设备的网络连接信息，根据所述网络连接信息确定相应的元场景描述文件；
89.场景构建单元，用于确定目标设备的主场景描述文件，在目标设备的场景结构描述区域内，基于多重嵌套的方式，将确定的相应的元场景描述文件引入所述主场景描述文件中，实现目标设备的虚拟网络场景的构建。
90.在一种能够实现的方式中，所述靶场管理模块5包括：
91.检测单元，用于实时检测电力系统网络安全靶场各物理机不同资源的负载信息；
92.调度单元，用于基于虚拟机迁移策略将负载大于预置负载上限的物理机上的虚拟机迁移到负载不大于预置负载下限的物理机上。
93.本发明还提供了一种电力系统网络安全靶场混合仿真设备，包括：
94.存储器，用于存储指令；其中，所述指令用于实现如上任意一项实施例所述的电力系统网络安全靶场混合仿真方法；
95.处理器，用于执行所述存储器中的指令。
96.本发明还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上任意一项实施例所述的电力系统网络安全靶场混合仿真方法。
97.所属领域的技术人员可以清楚地了解到，为描述地方便和简洁，上述描述的系统、设备和模块的具体工作过程，可以参考前述方法实施例中的对应过程，上述描述的系统、设备和模块的具体有益效果，可以参考前述方法实施例中的对应有益效果，在此不再赘述。
98.在本技术所提供的几个实施例中，应该理解到，所揭露的系统、设备和方法，可以通过其它的方式实现。例如，以上所描述的设备实施例仅仅是示意性的，例如，所述模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个模块或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。
99.所述作为分离部件说明的模块可以是或者也可以不是物理上分开的，作为模块显示的部件可以是或者也可以不是物理模块，即可以位于一个地方，或者也可以分布到多个网络模块上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。
100.另外，在本发明各个实施例中的各功能模块可以集成在一个处理模块中，也可以是各个模块单独物理存在，也可以两个或两个以上模块集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。
101.所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(rom，read-only memory)、随机存取存储器(ram，random access memory)、磁碟或者光盘等各种可以存储程序代码的介质。
102.以上所述，以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。