针对电网工控系统的协同入侵检测技术研究

The industrial control systems (ICS) of grid refer to the national critical infrastructures, which are very significant for the national security. As one of the most important part of the defense-in-depth system of the grid ICS, intrusion detection has been attracting more and more attentions in the research community. In this project, we propose to carry out a comprehensive analysis on the invasive events and viruses, and research the collaborative intrusion detection technology based on formal analysis result of the IED program code, protocol analysis of grid protocol， the sequence of operations, the status of the device, and the external physical information. In addition, we propose to implement and validate the intrusion methods in real grid ICS. The main innovation of this project is constructing the efficient collaborative intrusion detection based on through various element of grid ICS. Our research group has a solid foundation in the area of grid ICS security. We have set up a test-bed and implemented a series of security analysis toolkits for industrial control systems. We expect to publish more than 5 papers, apply for 3-5 patents, train more than 3 students and implement a demo system for collaborative intrusion detection.

电网工控系统是国家关键基础设施，对国家安全具有重要意义。入侵检测是电网工控系统纵深防御体系中重要的安全环节，已经成为国内外研究热点。本课题深入分析已有的工控安全事件，结合电网工控系统特点，从工控设备程序代码形式化分析、电网协议解析、操作流程时序、设备状态、外部物理信息等多角度研究协同的入侵检测技术，研发相应的入侵检测模块，并研发针对电网工控系统的入侵检测验证系统验证所提出的机制。本项目的主要创新点是根据电网工控系统设备与物理环境交互的特殊性，提出构建高效率的基于代码分析的异常检测规则库和基于外部资源流能量流协同的异常检测，协同感知分析检测电网工控系统入侵行为。项目组在电网工控系统安全方面有一定的积累，构建有多套相关实验平台和安全分析软件工具。三年预期成果包括发表高水平论文5篇以上，申请专利3~5项，培养硕士生3名以上，研制电网工控系统入侵检测验证平台。

本课题深入分析已有的工控安全事件，结合电网工控系统特点，从工控设备程序代码形式化分析、电网协议解析 、操作流程时序、设备状态、外部物理信息等多角度研究协同的入侵检测技术，研发相应的入侵检测模块，并研发针对电网工控系统的入侵检测验证系统验证所提出的机制。.根据研究目标和研究内容，课题组主要研究成果如下：针对设备代码形式化分析的入侵检测技术研究，结合对电网电网IEC104协议解析结果，提出了一种基于白名单机制的工控分级入侵检测算法；基于设备状态和操作流程时序协同的入侵检测技术研究。研究分析了电网工控系统操作序列规范、人工干预及随机事件，提出了一种新的基于CNN和过程状态转移的工业控制系统入侵检测算法，和一种基于状态隐马尔可夫模型(HMM)的序列检测方法；针对外部物理信息的协同检测技术，基于外部能量流信息感知监测，提出一种能量流和资源流融合的工业控制异常检测机制；基于系统行为残差偏态分析的隐形入侵攻击检测技术研究，提出了一种基于系统行为残差偏态分析的高效、快速的隐蔽攻击检测技术。.课题组发表论文11篇。申请专利6项，其中1项已授权。培养博士生1名，硕士生3名。.研制了1套电网工控入侵检测原型系统，支持Modbus、S7、IEC104、DNP3、OPC、IEC61850等主流电网工控协议的深度解析。自动学习网络数据，提取业务特征，形成白名单检测规则，内置电网工控网络特有的入侵检测策略，支持对工控业务攻击行为和异常行为的检测。.在已搭建的电力网络安全综合性仿真验证环境中应用验证电网工控入侵检测原型系统。2020年4月在国外浙江省电力有限公司杭州供电公司开展了电网入侵检测原型系统的试点应用工作。