【技术实现步骤摘要】
基于有限状态机的传输规约安全合规性分析系统
[0001]本专利技术涉及信息安全测试
，特别是基于有限状态机的传输规约安全合规性分析系统。
技术介绍
[0002]电力系统由于设备通信实时性要求高，且网络处于物理隔离状态，电力规约设计时机密性保护不足。随着移动互联网和智能电网的广泛应用，处于物理隔离状态的电力系统网络开始慢慢与外部网络连接，虽然连接经过了一定的安全防护。但由于在操作过程或部分物理防护无法保证物理隔离状态的电力系统网络完全与互联网或是攻击者隔绝，未有机密性保护的电力传输规约易于被破坏者利用，从而导致不可预测的风险，甚至可能导致重大停电事故。
技术实现思路
[0003]有鉴于此，本专利技术的目的在于提供一种基于有限状态机的传输规约安全合规性分析系统，在保证传输规约安全有效的同时，提高了传输规约的兼容性，提升了智能单元交互的工作效率。
[0004]为实现上述目的，本专利技术采用如下技术方案：基于有限状态机的传输规约安全合规性分析系统，包括数据采集模块、合规性分析模块和分析结果展示模块；所述数据采集模块针对电力智能终端采用的通信协议的不同，分为GOOSE协议流量采集模块、SMV协议流量采集模块和MMS协议流量采集模块；所述合规性分析模块包括合规性分析规则集生成模块以及合规性判别模块；合规性分析规则集生成模块通过对电力智能单元安全传输规约的交互流程进行分析，利用有限状态机理论对交互流程进行建模，并由此生成合规性分析规则集；合规性判别模块依据数据采集层所提供的数据包，在合规性分析规则集中...
【技术保护点】
【技术特征摘要】
1.基于有限状态机的传输规约安全合规性分析系统，其特征在于，包括数据采集模块、合规性分析模块和分析结果展示模块；所述数据采集模块针对电力智能终端采用的通信协议的不同，分为GOOSE协议流量采集模块、SMV协议流量采集模块和MMS协议流量采集模块；所述合规性分析模块包括合规性分析规则集生成模块以及合规性判别模块；合规性分析规则集生成模块通过对电力智能单元安全传输规约的交互流程进行分析，利用有限状态机理论对交互流程进行建模，并由此生成合规性分析规则集；合规性判别模块依据数据采集层所提供的数据包，在合规性分析规则集中进行匹配，由此对传输规约交互过程的合规性与否进行判别，从而提供对电力智能单元传输规约安全合规性分析的能力。2.根据权利要求1所述的基于有限状态机的传输规约安全合规性分析系统，其特征在于，合规性分析模块用如下所示的有限状态进行描述：M＝(S,s0,V,I,P,A,T)其中，S＝{s0,s1,
…
,s
n
}为非空有限状态集，非空有限状态集描述安全传输规约在进行合规性分析过程中所经历的各个步骤；s0：初始状态，描述合规性分析过程的开始状态；V＝{v1,v2,
…
,v
n
}为变量集合，描述在合规性分析过程中需要提供的数据字段或计数器等变量；V中作为变迁输入参数的变量组成的集合称为输入变量集V
i
，如数据包中的各类数据字段；其余变量的集合统称为上下文变量集V
c
，则V＝V
i
∪V
c
；V的变量值空间表示为当前变量的值组成的变量值向量其中表示当前变量v
i
的值，I为非空的输入集合，具有形式i＝(v1,v2,
…
,v
k
)，其中v
k
∈V
i
,k≥0，(v1,v2,
…
,v
k
)为输入参数列表，该集合描述在合规性分析过程中每一步骤需要提供的参数；P为在变量上操作的断言集，集合描述合规性分析过程在每一步骤中需要进行何种判断；A为在变量上操作的动作集，描述在某一断言成立时需要对其中的哪些变量进行操作；T为非空变迁集合，描述合规性分析过程中有限状态机的状态转移，并描述发生该转移需要的条件以及所产生的影响；T＝S
×
V
×
I
×
P
→
S
×
V
×
A；t
i
＝(s
start
,i,p,a,s
end
)，其中s
start
和s
end
分别表示变迁t
i
的开始状态和结束状态，i∈I表示变迁t
i
的输入原语，p∈P表示执行变迁t
i
时必须满足的谓词条件表达式，a∈A表示执行变迁t
i
时必须完成的动作。3.根据权利要求2所述的基于有限状态机的传输规约安全合规性分析系统，其特征在于，合规性分析模块状态机的构造过程如下：1)依据IEC62351规约中所描述的合规性分析过程，构造状态机运行过程中所经历的状态集合S；2)依据IEC62351规约中所描述的合规性分析过程以及传输规约数据包中所提供的数据字段，构造包含输入变量以及上下文变量的变量集合V；3)依据合规性分析过程中各状态在转移时所需要提供的变量，构造输入集合I；4)依据合规性分析过程中各状态在转移时所需要进行的条件判断，构造变量上操作的断言集P；5)依据合规性分析过程中各状态在转移时对变量所产生的影响，构造变量上操作的动
作集A；6)依据合规性分析过程中的状态转移情况，构造变迁集合T。4.根据权利要求3所述的基于有限状态机的传输规约安全合规性分析系统，其特征在于，系统在获取数据包后，会根据传输规约的类型，将数据包送往其相应的有限状态机进行分析；在对数据包中的数据进行分析时，系统首先会对数据包结构的合规性进行分析，如果数据包的结构不符合规范要求，则直接判定该数据包不合规；若该数据包的结构符合规范要求或由于生成该数据包的终端设备没有进行安全增强，则再对该数据包的应用层部分数据的合规性进行分析，如果应用层数据的内容不符合规范要求，则判定该数据包不合规；若该数据包应用层数据的内容符合规范要求或由于生成该数据包的终端设备没有进行安全增强，则判定该数据包合规。5.根据权利要求4所述的基于有限状态机的传输规约安全合规性分析系统，其特征在于，合规性分析模块的工作流程具体包括：(1)安全增强规约合规性分析，(2)合规性分析规则集。6.根据权利要求5所述的基于有限状态机的传输规约安全合规性分析系统，其特征在于，安全增强规约合规性分析具体包括1)安全增强MMS合规性分析过程；2)安全增强合规性分析过程。7.根据权利要求6所述的基于有限状态机的传输规约安全合规性分析系统，其特征在于，安全增强MMS合规性分析过程具体包括
①
安全增强MMS规约工作过程安全增强MMS规约的工作过程采用客户端/服务器模式，客户端/服务器模式用双方应用连接；传输规约安全合规性分析主要观察对象是传输规约数据单元PDU和服务原语ServicePrimitive的发送/接收顺序；服务原语主要有四种类型：请求Request，指示Indication，响应Response和确认Confirm；
②
安全增强MMS规约合规性分析过程构造状态集合S＝{s1,s2,
…
,s
22
}，其中s1代表已接收到数据报文，等待判断其类型的状态；s2代表接收到的是TLS握手报文，等待验证ClientHello消息合规性的状态；s3代表接收到的是经过TLS安全增强的MMS应用报文，等待验证ApplicationData消息合规性的状态；s4代表接收到MMS应用报文，等待验证AARQ PDU或AARE PDU中的ACSE
‑
requirements值是否存在的状态；s5代表ClientHello消息合规性验证成功，等待验证ServerHello消息合规性的状态；s6代表AARQ PDU或AARE PDU中的ACSE
‑
requirements值不存在，等待验证AARQ PDU或AARE PDU中的mechanism
‑
value字段和called
‑
authentication
‑
value字段是否存在的状态；s7代表ServerHello消息合规性验证成功，等待验证服务器Certificate消息合规性的状态；s8代表AARQ PDU或AARE PDU中的mechanism
‑
value字段和called
‑
authentication
‑
value字段均存在，等待验证mechanism
‑
value字段值是否合规的状态；s9代表服务器Certificate消息合规性验证成功，等待验证ServerKeyExchange消息合规性的状态；s
10
代表mechanism
‑
value字段值合规，等待对申请用户证书进行验证的状态；s
11
代表ServerKeyExchange消息合规性验证成功，等待验证CertificateRequest消息合规性的状态；s
12
代表申请用户证书通过验证，等待验证数据包中时间值是否合规的状态；s
13
代表CertificateRequest消息合规性验证成功，等待验证ServerHelloDone消息合规性的状态；s
14
代表ServerHelloDone消息合规性验证成功，等待验证客户端Certificate消息合规性的状态；s
15
代表客户端Certificate消息合规性验证成功，等待验证ClientKeyExchange消息合规性的状态；s
16
代表ClientKeyExchange消息合规性验证成功，等待验证CertificateVerify消息合规性的状态；s
17
代表CertificateVerify消息合规性验证成功，等待验证客户端ChangeCipherSpec消息合规性的状态；s
18
代表客户端ChangeCipherSpec消息合规性验证成功，等待验证客户端Finished消息合规性的状态；s
19
代表客户端Finished消息合规性验证成功，等待验证服务器ChangeCipherSpec消息合规性的状态；s
20
代表服务器ChangeCipherSpec消息合规性验证成功，等待验证服务器Finished消息合规性的状态；s
21
代表数据包中的时间值符合要求，MMS数据包合规的状态；s
22
代表MMS数据包不合规的状态；s1为初始状态，s
21
和s
22
为终止状态；构造输入变量集合V
i
＝{v
i1
,v
i2
,
…
,v
i15
}，其中v
i1
为MMS报文中端口号的值；v
i2
为TLS报文中ContentType字段的值；v
i3
为TLS报文中HandshakeType字段的值；v
i4
为TLS报文中Version字段的值；v
i5
为TLS报文中SessionIDLength字段的值；v
i6
为TLS报文中CipherSuite字段的值；v
i7
为TLS报文中CertificateLength字段的值；v
i8
为MMS报文中ACSE
‑
requirements字段的值；v
i9
为MMS报文中mechanism
‑
value字段的值；v
i10
为MMS报文中authentication
‑
value字段的值；v
i11
为MMS报文中require
‑
user
‑
cert字段的值；v
i12
为MMS报文中time字段的值；
v
i13
为MMS中signature字段的值；v
i14
为系统时间；v
i15
为CA证书；构造上下文变量集合V
c
＝{v
c1
}，其中v
c1
为最近10分钟内的数字签名列表；构造输入集合I＝{i1,i2,
…
,i
10
}，其中i1＝(v
i1
,v
i2
)，表示输入MMS报文中的端口号以及ContentType字段值；i2＝(v
i3
,v
i4
)，表示输入MMS报文中的HandshakeType字段以及Version字段的值；i3＝(v
i8
)，表示输入MMS报文中的ACSE
‑
requirements字段的值；i4＝(v
i3
,v
i5
,v
i6
)，表示输入MMS报文中的HandshakeType字段，SessionIDLength字段以及CipherSuite字段的值；i5＝(v
i9
,v
i10
)，表示输入MMS报文中的mechanism
‑
value字段以及authentication
‑
value字段的值；i6＝(v
i3
,v
i6
,v
i7
)，表示输入MMS报文中的HandshakeType字段，CipherSuite字段以及CertificateLength字段的值；i7＝(v
i9
)，表示输入MMS报文中的mechanism
‑
value字段的值；i8＝(v
i11
,v
i15
)，表示输入MMS报文中的require
‑
user
‑
cert字段的值以及CA的证书；i9＝(v
i11
,v
i12
,v
i13
,v
i14
,v
c1
)，表示输入MMS报文中的require
‑
user
‑
cert字段，time字段，signature字段的值，系统时间以及最近10分钟内的数字签名列表；i
10
＝(v
i2
,v
i4
)，表示输入MMS报文中的ContentType字段以及Version字段的值；构造变量上操作的断言集P＝{p1,p2,
…
,p
43
}，其中p1表示端口号为3782，ContentType为Handshake；p2表示端口号为3782，ContentType为ApplicationData；p3表示端口号不为3872；p4表示HandshakeType为ClientHello且Version高于TLS1.0；p5表示HandshakeType不为ClientHello或Version低于TLS1.0；p6表示Version高于TLS1.0；p7表示Version低于TLS1.0；p8表示ACSE
‑
requirements字段的值为空；p9表示ACSE
‑
requirements字段的值不为空；p
10
表示HandshakeType为ServerHello且SessionIDLength为0且CipherSuite字段高于TLS_DH_DSS_WITH_AES_256_SHA；p
11
表示HandshakeType为ServerHello且SessionIDLength不为0且CipherSuite字段高于TLS_DH_DSS_WITH_AES_256_SHA；p
12
表示HandshakeType不为ServerHello或CipherSuite字段低于TLS_DH_DSS_WITH_AES_256_SHA；p
13
表示mechanism
‑
value字段以及authentication
‑
value字段的值不为空；p
14
表示mechanism
‑
value字段以及authentication
‑
value字段的值为空；p
15
表示HandshakeType为Certificate且CipherSuite字段为包含DH算法的值且CertificateLength小于等于8192字节；
p
16
表示HandshakeType为Certificate且CipherSuite字段为不包含DH算法的值且CertificateLength小于等于8192字节；p
17
表示HandshakeType不为Certificate或CertificateLength大于8192字节；p
18
表示mechanism
‑
value字段的值为840.0.1.0.1.1；p
19
表示mechanism
‑
value字段的值不为840.0.1.0.1.1；p
20
表示HandshakeType为ServerKeyExchange且Version高于TLS1.0；p
21
表示HandshakeType不为ServerKeyExchange或Version低于TLS1.0；p
22
表示用户证书合法性验证通过；p
23
表示用户证书合法性验证不通过；p
24
表示HandshakeType为CertificateRequest且Version高于TLS1.0；p
25
表示HandshakeType不为CertificateRequest或Version低于TLS1.0；p
26
表示解签得到的数据包时间的哈希值与计算得出的哈希值相同，且该时间与当前系统时间之差小于等于10分钟，且该时间的数字签名不在最近10分钟内的数字签名列表中；p
27
表示解签得到的数据包时间的哈希值与计算得出的哈希值不相同，或该时间与当前系统时间之差大于10分钟，或该时间的数字签名在最近10分钟内的数字签名列表中；p
28
表示HandshakeType为ServerHelloDone且Version高于TLS1.0；p
29
表示HandshakeType不为ServerHelloDone或Version低于TLS1.0；p
30
表示HandshakeType为Certificate且Version高于TLS1.0；p
31
表示HandshakeType不为Certificate或Version低于TLS1.0；p
32
表示HandshakeType为ClientKeyExchange且Version高于TLS1.0；p
33
表示HandshakeType不为ClientKeyExchange或Version低于TLS1.0；p
34
表示HandshakeType为CertificateVerify且Version高于TLS1.0；p
35
表示HandshakeType不为CertificateVerify或Version低于TLS1.0；p
36
表示ContentType为ChangeCipherSpec且Version高于TLS1.0；p
37
表示ContentType不为ChangeCipherSpec或Version低于TLS1.0；p
38
表示HandshakeType为Finished且Version高于TLS1.0；p
39
表示HandshakeType不为Finished或Version低于TLS1.0；p
40
表示ContentType为ChangeCipherSpec且Version高于TLS1.0；p
41
表示ContentType不为ChangeCipherSpec或Version低于TLS1.0；p
42
表示HandshakeType为Finished且Version高于TLS1.0；p
43
表示HandshakeType不为Finished或Version低于TLS1.0；构造变量上操作的动作集A＝{a1}，其中a1表示将当前数字签名放入最近10分钟内的数字签名列表中；构造变迁集合T＝{t1,t2,
…
,t
43
}，其中t1＝(s1,i1,p1,s2)，表示从s1到s2的变迁；t2＝(s1,i1,p2,s3)，表示从s1到s3的变迁；t3＝(s1,i1,p3,s4)，表示从s1到s4的变迁；t4＝(s2,i2,p4,s5)，表示从s2到s5的变迁；t5＝(s2,i2,p5,s
22
)，表示从s2到s
22
的变迁；
t6＝(s3,i2,p6,s4)，表示从s3到s4的变迁；t7＝(s3,i2,p7,s
22
)，表示从s3到s
22
的变迁；t8＝(s4,i3,p8,s6)，表示从s4到s6的变迁；t9＝(s4,i3,p9,s8)，表示从s4到s8的变迁；t
10
＝(s5,i4,p
10
,s7)，表示从s5到s7的变迁；t
11
＝(s5,i4,p
11
,s
17
)，表示从s5到s
17...
【专利技术属性】
技术研发人员：张坤三，张永记，郭敬东，罗富财，沈立翔，吴丽进，何金栋，郭蔡炜，纪文，廖声扬，
申请(专利权)人：国网福建省电力有限公司漳州供电公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。