网络信息安全态势感知与态势分析

龙源期刊网

发电厂网络信息态势感知

作者：车妍

来源：《西部论丛》2020年第08期

摘 要：发电厂网络信息态势感知主要包含网络资产分析、资产脆弱性感知、安全事件探讨、网络威胁分析、网络攻击查找以及网络风险分析系统。在此基础之上针对发电厂的实际运营情况，了解相关需求，提出微观、中观和宏观的网络安全态势感知功能框架，以解决网络信息的威胁，提升系统的安全性等级。基于此，本文主要分析发电厂网络与信息系统安全现状及建立态势感知系统的意义，分析建立策略，促进发电厂网络信息安全的保护，建立有效的网络安全态势感知平台，整合安全管理团队、安全分析团队、安全响应团队，对于发电厂产生的危险事件进行全方面的汇总。

关键词：发电厂;网络信息;态势感知;网络安全

引 言

当前，随着智慧城市和智能电网的建设，发电厂的信息安全系统不断升级，通过局域网建设等方法以及数字控制的路径，对于发电机组和各类设备进行全方面的数字化监控。同时，发电厂还与外网进行连接，提高电力调度的效率。但在这个过程当中发电厂也会面临显著的安全威胁，尤其是信息被盗取以及网络路径被攻击，只有提高网络构建的安全性，才能够对发电厂的运行网络进行安全保护。

一、发电厂网络信息态势感知平台建设的价值

首先，网络信息安全态势感知平台的建设，可以提升发电厂的信息防御能力。针对发电厂个性发电机组、发电产品以及发电服务进行防御性的路径攻击，这个关键目标的实现可以提升发电场日常管理的安全性，迎接各方面的攻击，通过事前的拦截作用，减少安全管理面临的难度。其次，网络信息安全态势感知平台的建设，可以提高发电厂信息管理的检测能力，分析防御网络当中存在的路径威胁，尤其是可能会造成发电机组停摆的关键威胁，分析潜在的损失，测量自己目前所处的被攻击状态。再次，网络安全态势感知平台的建设，可以提升发电厂的回溯能力，尤其是在发电机组故障出现以及故障查找的过程当中，通过内部分析和外部功能性分析，高效开展全方面的调查，从而确定事故的原因和侵袭的来源。避免在安全防范的过程当中，对方产生新的攻击手段而造成新型的事故。最后，安全态势感知平台的建设还可以提高发电厂的预测能力，尤其是从外部监控下的黑客行动当中进行系统性的学习，针对发电厂面临的威胁，找准安全管理系统的漏洞，确定安全管理的优先级，从而做到全方面的预防和检测。

关于网络安全态势感知的预警技术分析

作者：刘旭东

来源：《科技创业月刊》 2016年第13期

关于网络安全态势感知的预警技术分析

刘 旭 东

（黄河水利委员会信息中心 河南 郑州 ４５０００４）

摘 要：基于网络安全态势预知的预警技术可以通过监控和识别网络上的入侵行为，并对发生入侵后造成的后果进行预测和估计，便于对入侵行为采取防护措施，能够有效地提高网络安全防护系统的效能。将从预警系统的体系结构、预警系统态势感知器的感知方法分析入手，提出基于网络安全态势图的态势评估方法。

关键词：安全态势预知；态势评估；预警技术

中图分类号：TP393.08

文献标识码：Ａ

ｄｏｉ：１０．３９６９/ｊ．ｉｓｓｎ．１６６５－２２７２．２０１6．13．０51

１ 研究现状

１．１ 安全预警系统组成

安全预警管理的对象、组成和运行的模式这几方面组成了安全预警体系结构，也是评测网络攻击和入侵的范围、危害程度的重要指标，是研究的一个重要方面。目前国内外对网络安全预警系统研究的机构较少。最初的英国对其进行研究，证明并开发评估威胁和早期报警的分析方法，证实了从攻击的动机、行为和能力可大致描述威胁程度，并做出报警预示的可行性。但是该项目理论和技术还不是很成熟，考虑的攻击目标也很局限，不能对未来的攻击进行很好的预测。在英国的国际安全分析中心，另一个研究项目也针对类似的主题进行了研究，还提出了一个开放性信息源决策支持系统的概念，评估不同的攻击者产生的不同威胁程度，预估攻击者的行为和危害范围。而在国内，也提出针对大规模网络的入侵检测和攻击入侵的预警系统构建技术，以及基于Ｎｅｔｆｌｏｗ的网络态势感知系统。

１．２ 安全态势知识表示模型

目前看来，从前的单一入侵检测技术已不能满足需求，而协作式的安全预警系统才是解决预警需求的关键。协作又主要是安全态势感知、分析、评估和预警间的协作，还有共享各个部分的相关安全信息这两方面。而协作必须要建立安全协议，主要有ＣＩＳＬ和ＩＤＭＥＦ两种标准，其中各有优劣，ＣＩＳＬ是一种公共入侵规范语言，主要是为实现软件复用和ＩＤＲ组件间互操作性，用以描述各检测信息的标准语言，及组件间传送的信息。而ＩＤＭＥＦ是种入侵检测消息交换格式，描述输出信息的数据模型。

网络安全与态势感知采购要求

序号 采购项目 技术参数 数量/单位

1 态势感知 总体需求：分别对物理隔离的内网（有vlan划分）和网外进行安全监测、态势感知、通报预警、追踪溯源、威胁情报等建设，确保遵义市住房公积金管理中心能及时、准确的发现内、外网可存在的安全威胁并通告，能回溯整个攻击发生全过程，追踪攻击源，智能检测分析，协同响应处置，提升整体网络安全能力。

1、数据采集（内、外网）

①、日志采集。硬件，若为软件，须单独提供机架式服务器。通过使用syslog、snmp trap、ftp等方式实现数据采集，能分别采集业务内网和外网中的所有日志数据并归一化处理，包括且不限于交换机、路由器、防火墙、网闸、流控、日志审计、漏洞扫描、IDS、WAF、AIX服务器、linux服务器、windows服务器、sql server、oracle、db2、mysql、weblogic、webshpere、VMware等网络安全设备、交换设备、路由设备、操作系统、集虚拟机环境。

②、流量采集。硬件，若为软件，须单独提供机架式服务器。对内、外网，都能解析tcp、udp、http、dns、smtp、pop3、imap、telnet、ftp、QQ等协议，并还原协议中的文件，文件格式包括word、excel、pdf、ppt、rar等，能针对web服务器进行双向流量检测，能抓包或抓包文件导入检测，能实时发现存在的网络层、系统层、应用层等多种攻击行为，分析攻击特征和有效性，检测告警。

③、资产采集。硬件，若为软件，须单独提供机架式服务器。对内、外网采集资产信息，能主动扫描和手工添加资产，并自动创建网络拓扑图，能管理主机设备、网络设备、安全设备与应用系统（包括且不限于交换机、路由器、防火墙、网闸、流控、日志审计、漏洞扫描、IDS、WAF、AIX服务器、linux服务器、windows服务器、sql

server、oracle、db2、mysql、weblogic、webshpere、VMware等），实时监控运行状态，监控内容包括但不限于CPU与内存使用率、端口流量、丢包率、可心用性、阈值告警等内容，对拓扑图中的节点能查看详细信息（提供截图证明加盖厂商鲜章）；具备资产分组管理功能，能统计资产漏洞（支持第三方设备的漏洞扫描结果导入）情况，能查看漏洞详情。

科技创业刊PIONEERING WTH SCIENCE STECHNOLDGY MOMTHLY关于网络安全态势感知的预警技术分析刘旭东(黄河水利委员会信息中心河南郑州450004)摘要：基于网络安全态势预知的预警技术可以通过监控和识别网络上的入侵行为，并对 发生入侵后造成的后果进行预测和估计，便于对入侵行为采取防护措施，能够有效地提高网络 安全防护系统的效能。将从预警系统的体系结构、预警系统态势感知器的感知方法分析入手，提 出基于网络安全态势图的态势评估方法。关键词院安全态势预知 中图分类号:TP393.081研究现状1.1安全预警系统组成安全预警管理的对象、组成和 运行的模式这几方面组成了安全 预警体系结构，也是评测网络攻击 和入侵的范围、危害程度的重要指 标，是研究的一个重要方面。目前 国内外对网络安全预警系统研究 的机构较少。最初的英国对其进行 研究，证明并开发评估威胁和早期 报警的分析方法，证实了从攻击的 动机、行为和能力可大致描述威胁 程度，并做出报警预示的可行性。 但是该项目理论和技术还不是很 成熟，考虑的攻击目标也很局限， 不能对未来的攻击进行很好的预 测。在英国的国际安全分析中心， 另一个研究项目也针对类似的主 题进行了研究，还提出了一个开放 性信息源决策支持系统的概念，评 估不同的攻击者产生的不同威胁 程度，预估攻击者的行为和危害范 围。而在国内，也提出针对大规模 网络的入侵检测和攻击入侵的预 警系统构建技术，以及基于Netflow 的网络态势感知系统。1.2安全态势知识表示模型目前看来，从前的单一入侵检收稿日期：2016-05-04态势评估;预警技术文献标识码:A doi： 10.3969测技术已不能满足需求，而协作式 的安全预警系统才是解决预警需 求的关键。协作又主要是安全态势 感知、分析、评估和预警间的协作， 还有共享各个部分的相关安全信 息这两方面。而协作必须要建立安 全协议，主要有CISL和IDMEF两 种标准，其中各有优劣，CISL是一 种公共入侵规范语言，主要是为实 现软件复用和IDR组件间互操作 性，用以描述各检测信息的标准语 言，及组件间传送的信息。而ID- MEF是种入侵检测消息交换格式， 描述输出信息的数据模型。1.3态势感知中的网络测量技术 为了保证网络的连通性和增 强网络的安全性需要不断对网络 进行实时测量和检测，通过检测的 数据来监控网络中的异常流量和 攻击者的入侵。比如拒绝服务攻 击，就是攻击者向目标发送大量的 数据包来消耗主机和网络资源，使 其不能正常提供服务，那么就可以 通过对流量的监控进行数据分析， 从而检测出DOS攻击并作出防护 措施。对于蠕虫攻击，也可以通过 网络检测的手段对网络数据包中 的相似字符串的测量判断而出，是 蠕虫的复制和传播。只要获取了相rn.1665-2272.2016.13.051关的测量数据都可以进行分析和 测量，解决在安全势态感知中遇到 的问题。1.4安全态势评估技术评估主要是对被保护的系统 遭受到入侵时可能造成的危害范 围和资产损失进行衡量，就是依据 有关标准，对网络系统的保密性、 完整性和可用性进行科学公正的 评估活动，是预警系统的主要核心 之一。同时评估也可分为静态安全 评估和动态安全评估两种。静态安 全评估针对网络系统中的所有因 素，是对其潜在的威胁进行评估， 不考虑运行时的外界因素，主要是 从管理和技术两个方面来进行的。 而动态安全评估则是考虑网络运 行时的所有因素，实时测量和评估 网络系统的状态，预测正在发生和 将要发生的风险。但目前国内外对 动态安全评估的研究还不多，也没 有形成一个完整的系统，在针对人 侵检测和有效集成预警系统下的 态势评估还需进一步研究。1.5态势感知中的主动学习技术 传统的入侵检测主要是模式 匹配和概率攻击，这两种都只能检 测出已知的攻击而不能直接检测 出未知的入侵。新的利用机器学习132科技创业月刊2016年第