基于有限状态机动态可扩展的电力通信协议异常检测方法技术

本发明专利技术公开了一种基于有限状态机动态可扩展的电力通信协议异常检测方法，通过协议描述规则对电力通信协议L2-L7层（链路层到应用层）定义、协议状态机逻辑及异常处理逻辑进行描述，形成协议规则定义文件，然后通过协议规则解析引擎将协议规则定义文件翻译成协议规则库，根据协议规则库对网络数据包进行协议解析、状态检测及异常处理，不仅能够实现对各种应用层协议的动态扩展支持，能够实现对应用层协议上、下文状态检测与异常处理的动态扩展支持，便于电力通信协议异常检测，具有良好的应用前景。

【技术实现步骤摘要】
基于有限状态机动态可扩展的电力通信协议异常检测方法
本专利技术涉及网络通信协议的异常检测方法，具体涉及一种基于有限状态机动态可扩展的电力通信协议异常检测方法。
技术介绍
近年来，针对特定应用层业务的网络攻击事件不断发生，传统的网络安全防护设备（如防火墙、IDS等）由于只针对网络层进行检测，难以发现这类应用层攻击事件，因此，急需加强对网络应用层数据的安全监测。相比于网络层的通信协议，应用层协议数量众多，不仅有大量通用的应用层协议（如HTTP、FTP、SSH等），而且还有很多行业专用的应用层协议（如电力通信行业专用的IEC60870-5-104、IEC61850协议等），同时，各种新的应用层协议层出不穷，完全实现对如此众多的应用层协议的识别与解析几乎不可能。目前，针对电力通信行业中的应用层协议识别与解析所采用的方法大体分为以下几种：一、采用硬编码的方式，直接将所支持的应用层协议的识别与解析编写进程序代码，采用此方法时，在需要对协议解析方法进行修改或者需要扩充支持更多的应用层协议时，需要重新进行硬编码，可扩展性差；二、采用动态库的方式，采用此方法，可以方便的扩展对新应用层协议的支持，但必须要程序编码人员进行定制开发，费时费力；三、采用中间脚本语言，实现对网络协议的解析，如Wireshark支持通过Lua脚本语言添加对新的网络协议的解析支持，但使用者需要掌握Lua的语法，且Lua提供的功能有限，不适合对数据包上下文进行状态检测跟踪等复杂的处理。
技术实现思路
本专利技术所解决的技术问题是相比于网络层的通信协议，应用层协议数量众多，难以发现这类应用层攻击事件，尤其电力通信协议出现异常的情况的问题。本专利技术的基于有限状态机动态可扩展的电力通信协议异常检测方法，通过将应用层协议的解析逻辑、协议状态机逻辑及异常处理逻辑统一定义在可编辑的协议文件中，不仅能够实现对各种应用层协议的动态扩展支持，能够实现对应用层协议上、下文状态检测与异常处理的动态扩展支持，便于电力通信协议异常检测，具有良好的应用前景。为了解决上述问题，本专利技术所采用的技术方案是：一种基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：包括以下步骤，步骤（1），针对电力通信中所用的电力应用层协议，分析其报文格式、交互流程，建立针对该电力应用层协议的有限状态机模型及异常处理模型；步骤（2），基于可配置扩展的PDL语言，分别对该电力应用层协议的报文格式定义、协议状态机逻辑及异常处理逻辑进行描述，形成协议规则定义文件；步骤（3），通过协议规则解析引擎对协议规则定义文件进行翻译，形成协议规则库；步骤（4），从标准PCAP文件或者网络适配器中获取电力通信的网络数据包；步骤（5），根据协议规则库对网络数据包进行协议识别与解析、状态检查与跟踪，在检测到异常时，触发异常处理动作。前述的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（2）协议状态机逻辑是指应用层协议有限个状态之间转移的关系。前述的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（2）形成协议规则定义文件采用XML格式为可编辑的，并支持动态可扩展。前述的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（3）形成协议规则库，包括针对网络协议的识别与解析逻辑，还包括电力通信中所用的电力应用层协议的状态机逻辑及异常处理逻辑。前述的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（3）通过协议规则解析引擎对协议规则定义文件进行翻译，形成协议规则库的方法，包括以下步骤，（1）根据协议规则解析引擎对协议规则定义文件进行解析，建立全局的网络协议层次嵌套结构表；（2）依据电力通信中所用的电力应用层协议的有限状态机逻辑建立相应的状态转移表，形成协议规则库。前述的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（5）对网络数据包进行协议识别与解析的过程为，（1）根据全局的网络协议层次嵌套结构表，对网络数据包进行识别与解析，实现解析网络数据包的链路层到传输层协议；（2）根据解析结果，匹配该网络数据包所属的数据流；（3）针对网络数据包的应用层内容进行解析，将解析结果存入相应的结构体中；（4）若解析过程中出错，则进行异常处理。前述的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（5）状态检查与跟踪的过程为，（1）针对网络数据包内的每一条数据流，维护当前状态信息；（2）当状态信息发生改变时，依据协议规则库中相应的应用层协议的状态转移表，检查状态的改变是否符合预期，若符合，则更新当前状态信息，否则，进行异常处理。前述的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（5）触发异常处理动作包括审计、告警、阻断处理。本专利技术的有益效果是：本专利技术的基于有限状态机动态可扩展的电力通信协议异常检测方法，通过协议描述规则对电力通信协议L2-L7层定义、协议状态机逻辑及异常处理逻辑进行描述，形成协议规则定义文件，然后通过协议规则解析引擎将协议规则定义文件翻译成协议规则库，根据协议规则库对网络数据包进行协议解析、状态检测及异常处理，并具有以下优点，（1）通过可扩展的PDL对应用层协议进行详细描述，能够对传统边界网关所无法深度处理的协议内容进行深度处理，实现对包括报文头以及报文数据字段内容的全面控制；（2）通过基于有限状态机模型的状态检查与跟踪，能够对通信报文上下文行为进行细颗粒度异常检查；（2）将应用层协议解析、协议状态机逻辑及异常处理逻辑全部定义在可编辑的协议规则定义文件中，方便了对新的应用层协议的支持，同时，非编码人员经过一定的培训，也能够通过修改协议规则定义文件来支持对新的应用层协议的处理，具有良好的应用前景。附图说明图1是本专利技术的基于有限状态机动态可扩展的电力通信协议异常检测方法的数据流向图。具体实施方式下面将结合说明书附图，对本专利技术作进一步的说明。本专利技术的基于有限状态机动态可扩展的电力通信协议异常检测方法，通过协议描述规则对电力通信协议L2-L7层（链路层到应用层）定义、协议状态机逻辑及异常处理逻辑进行描述，形成协议规则定义文件，然后通过协议规则解析引擎将协议规则定义文件翻译成协议规则库，根据协议规则库对网络数据包进行协议解析、状态检测及异常处理，如图1所示，具体包括以下步骤，步骤（1），针对电力通信中所用的电力应用层协议，分析其报文格式、交互流程，建立针对该电力应用层协议的有限状态机模型及异常处理模型；步骤（2），基于可配置扩展的PDL语言，分别对该电力应用层协议的报文格式定义、协议状态机逻辑及异常处理逻辑进行描述，形成协议规则定义文件，协议规则定义文件，采用XML格式为可编辑的，并支持动态可扩展，可以方便的添加对新的应用层协议的支持，可扩展性强；步骤（3），通过协议规则解析引擎对协议规则定义文件进行翻译，形成协议规则库，协议规则库包括针对网络协议的识别与解析逻辑，还包括电力通信中所用的电力应用层协议的状态机逻辑及异常处理逻辑，包括以下步骤，（1）根据协议规则解析引擎对协议规则定义文件进行解析，建立全局的网络协议层次嵌套结构表；（2）依据电力通信中所用的电力应用层协议的有限状态机逻辑建立相应的本文档来自技高网...

【技术保护点】
基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：包括以下步骤，步骤（1），针对电力通信中所用的电力应用层协议，分析其报文格式、交互流程，建立针对该电力应用层协议的有限状态机模型及异常处理模型；步骤（2），基于可配置扩展的PDL语言，分别对该电力应用层协议的报文格式定义、协议状态机逻辑及异常处理逻辑进行描述，形成协议规则定义文件；步骤（3），通过协议规则解析引擎对协议规则定义文件进行翻译，形成协议规则库； 步骤（4），从标准PCAP文件或者网络适配器中获取电力通信的网络数据包；步骤（5），根据协议规则库对网络数据包进行协议识别与解析、状态检查与跟踪，在检测到异常时，触发异常处理动作。

【技术特征摘要】
1.基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：包括以下步骤，步骤（1），针对电力通信中所用的电力应用层协议，分析其报文格式、交互流程，建立针对该电力应用层协议的有限状态机模型及异常处理模型；步骤（2），基于可配置扩展的PDL语言，分别对该电力应用层协议的报文格式定义、协议状态机逻辑及异常处理逻辑进行描述，形成协议规则定义文件；步骤（3），通过协议规则解析引擎对协议规则定义文件进行翻译，形成协议规则库；步骤（4），从标准PCAP文件或者网络适配器中获取电力通信的网络数据包；步骤（5），根据协议规则库对网络数据包进行协议识别与解析、状态检查与跟踪，在检测到异常时，触发异常处理动作，其中，步骤（3）形成协议规则库，包括针对网络协议的识别与解析逻辑，还包括电力通信中所用的电力应用层协议的状态机逻辑及异常处理逻辑，通过协议规则解析引擎对协议规则定义文件进行翻译，形成协议规则库的方法，包括以下步骤，（31）根据协议规则解析引擎对协议规则定义文件进行解析，建立全局的网络协议层次嵌套结构表；（32）依据电力通信中所用的电力应用层协议的有限状态机逻辑建立相应的状态转移表，形成协议规则库。2.根据权利要求1的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（2）协议状...

【专利技术属性】
技术研发人员：黄益彬，金倩倩，杨维永，俞皓，朱应飞，朱世顺，宋述停，王强，
申请(专利权)人：国家电网公司，南京南瑞集团公司，南京南瑞信息通信科技有限公司，国网山西省电力公司，
类型：发明
国别省市：北京;11