刘亚丽, 孟令愚, 丁云峰

1(中国科学院大学,北京 100049)

2(中国科学院 沈阳计算技术研究所,沈阳 110168)

3(国家电网公司东北分部,沈阳 110180)

引言

随着“两化融合”的推进,工控网络已从原有的控制网扩展到了管理网,这使得工控系统与互联网的关系越来越紧密,工业控制网络不断智能化,全球互联互通的大趋势已势不可挡. 然而工业控制网络不断开放的同时也给工控系统带来了越来越多的安全威胁,电网工控系统也是如此. 著名的攻击事例有2010年的“震网”病毒对伊朗核电站工控系统的网络攻击[1].

工控系统涉及很多重要国家基础设施,比如电力,所以国家对工控系统安全很重视. 而工控系统安全与传统网络安全又有较多差异,相当于一个较新的领域.流量异常检测技术虽已经广泛地应用于互联网信息安全防护中,但是在工业控制系统(Industrial Control System,ICS)中的研究较少[2],在电网工控系统中研究较之又少.

就电网工控系统来说,目前企业电力系统内部遭受网络攻击的问题仍无法得到有效的监测、预防与解决[3]. 为了确保电力系统安全运行工作,重视电力系统内防水平低于外防水平这一问题已成为共识[3]. 对于电力系统内部,现有的电力监控系统主站与厂站的安全监视主要依赖于内网监视平台,该平台主要是针对边界处的安全设备和网络设备的日志进行收集,但没有针对电网工控系统内部网络流量进行异常检测[4].

通过分析网络流量可直观了解网络中……