基于入侵检测与防御技术的智能变电站网络安全关键技术研究

With the development of IEC 61850 smart substations, emerging cybersecurity vulnerabilities in supervisory control and data acquisition (SCADA) systems are becoming an urgent engineering issue for modern substations..A realistic SCADA-specific cyber-physical test-bed is presented to investigate potential cyber intrusions and evaluate the impacts of cyberattacks on smart substation SCADA systems. A smart substation cybersecurity dataset and vulnerability library is presented. According to IEC 61850 protocol specification and communication mechanism, this project proposes a novel intrusion detection and prevention system (IDPS) tailored for cybersecurity of IEC 61850 based substations, including access control detection, protocol whitelisting detection, model-based detection, and multi-parameter based detection. The proposed IDPS integrates physical knowledge, protocol specifications and logical behaviors to provide a comprehensive and effective solution that is able to mitigate various cyberattacks. This SCADA-specific IDPS is implemented using Linux and validated using the cyber-physical test-bed and an actual 500kV smart substation..The research and implementation in this project is a fundamental effort for ensuring the safe and stable operation of smart substations, which is conducive to improve the smart substation cybersecurity. This project has the significant social benefits and economic value, and the research results have broad prospects for promotion and application value.

随着IEC 61850智能变电站的不断发展，电力系统监控和数据采集系统（SCADA）中存在的信息安全脆弱性已成为亟需解决的实际问题。本项目构建智能变电站信息安全仿真测试平台，在评估渗透攻击对智能变电站SCADA系统产生影响的基础上，建立智能站信息安全数据集和漏洞库；根据IEC 61850电力通信协议规范和工作机理，提出适用于IEC 61850变电站的混合入侵检测与防御方法，主要包括访问控制检测、协议检测、异常行为检测和多参量检测等，该方法融合了电力业务知识、协议语义和行为逻辑，提供一种降低多种信息攻击威胁的综合解决方法。项目开发基于Linux平台的电力工控系统入侵检测系统，并在实际智能变电站工程试点应用。本项目的研究和实施是保证智能变电站安全可靠运行的一项重要基础性工作，有利于提高智能变电站信息安全防护水平，项目具有重大的社会效益与经济价值，研究成果具有广阔的推广前景与应用价值。

目前我国IEC61850智能变电站已进入全面推广建设阶段，电力系统监控和数据采集系统（SCADA）中存在的信息安全脆弱性已成为亟待解决的实际问题。本项目通过建立智能变电站工控网络安全仿真测试平台，在实验室环境对工控系统内各种攻击行为进行重现，发现多种渗透攻击对电力工控系统的影响。本项目提出电力工控协议模糊测试方法，研制基于模糊测试的电力工控协议健壮性测试工具，实现对变电站智能电子设备的自动安全检测；对研究发现的各种电力工控系统漏洞，建立电力工控信息安全数据集和漏洞库，实现对漏洞全生命周期的跟踪。. 本项目提出基于IEC61850协议的智能变电站入侵检测方法，该入侵检测系统专门用于基于IEC61850协议的SCADA系统的网络安全，主要包括访问控制检测、协议白名单检测、模型检测和多参数检测等方法，融合了电力业务知识、协议规范和逻辑行为，实现系统命令级细粒度的网络异常行为检测。该SCADA入侵检测系统使用工控网络安全测试平台和实际智能变电站数据进行有效性和正确性验证。本项目提出基于IEC60870-5-104协议的电力工控系统入侵检测技术，包括基于特征和基于模型的入侵检测方法，可以准确检测多个已知可疑的或恶意的攻击，以及未知攻击的识别，提升了基于IEC60870-5-104协议的SCADA网络信息的安全水平。本项目还提出了基于会话流跟踪的电力工控协议畸形包检测技术和基于指纹规则的数据包载荷分析技术，实现从大量网络流量中对恶意攻击行为的快速检测与主动拦截。. 本项目研制了电力工控专用安全检测和防御装置。通过对IEC61850报文的深度解析，有效的解决了IEC61850异常报文与非法控制指令识别的问题，利用漏洞特征库进行匹配分析，有效的识别出工控系统漏洞攻击行为。目前装置在已经在多座智能变电站现场环境中进行试点工程应用，运行情况良好，实践表明在不影响运维人员正常操作的情况下，实现对智能变电站工控网络的安全检测和防御。本项目研究成果有效提升了电力工控系统的信息安全防护水平，具有广阔的推广前景与应用价值。