一种用于电力工控网络中隐蔽资产识别的扫描方法及系统技术方案

本发明专利技术提供了一种用于电力工控网络中隐蔽资产识别的扫描方法及系统，旨在解决现有资产测绘手段难以发现静默、非注册或非法接入设备的问题。该方法通过向目标网络注入多种协议诱导型探测报文，采集设备响应数据并提取特征向量，利用无监督聚类与异常检测算法识别异常设备行为；同时结合图神经网络与隐马尔可夫模型，对网络通信链结构和历史行为序列进行建模，推断潜在的隐蔽资产节点。本发明专利技术可在不影响工控业务的前提下，实现对隐蔽资产的主动发现与风险推理，适用于电力行业中变电站、调度中心等工业控制场景，具备高安全性、智能性与可落地性。

【技术实现步骤摘要】

本专利技术涉及工业控制系统安全，特别是一种用于电力工控网络中隐蔽资产识别的扫描方法及系统。

技术介绍

1、在现代电力系统中，工业控制系统（industrial control systems, ics）广泛应用于发电、输电、变电与配电等多个环节，其下属设备如远程终端单元（rtu）、可编程逻辑控制器（plc）以及智能电子设备（ied）等通过多种工业协议进行通信协同，构成了一个复杂的工业通信网络。为了实现对这些设备的有效管理与安全防护，资产识别与状态感知成为基础性工作。目前，电力行业常采用网络扫描与深度包检测技术对网络资产进行盘点和分类识别，然而受限于设备的协议多样性、通信稀疏性及部分设备长期静默等特性，传统扫描方式难以完整覆盖所有在线或潜伏资产，导致资产信息存在“盲区”或“死角”，为后续网络运维与防护带来风险。

2、在上述背景下，电力工控网络面临对隐蔽资产（如配置异常、通信孤立、协议非标或静默运行的设备）进行精准识别的技术需求。一方面，这些设备可能由于安装配置、通信失误、网络隔离等原因未能在集中管控平台中呈现；另一方面，其潜伏行为也可能成为潜在安本文档来自技高网...

【技术保护点】

1.一种用于电力工控网络中隐蔽资产识别的扫描方法，其特征在于，包括以下具体步骤：

2.根据权利要求1所述的一种用于电力工控网络中隐蔽资产识别的扫描方法，其特征在于，S1中，协议功能码的选择限制为只读/查询型；字段扰动逻辑如下：对于地址字段采用滑动窗口或随机跳跃策略，读取长度在合理范围内为注入间隔，通过协议优先级动态调整机制调控发送顺序。

3.根据权利要求1所述的一种用于电力工控网络中隐蔽资产识别的扫描方法，其特征在于，S2中，关键要素包括响应延迟、数据长度、字段数量、CRC校验结果以及错误标志位，将协议功能码采用one-hot编码方式嵌入特征向量；同时若存在设备标...

【技术特征摘要】

1.一种用于电力工控网络中隐蔽资产识别的扫描方法，其特征在于，包括以下具体步骤：

2.根据权利要求1所述的一种用于电力工控网络中隐蔽资产识别的扫描方法，其特征在于，s1中，协议功能码的选择限制为只读/查询型；字段扰动逻辑如下：对于地址字段采用滑动窗口或随机跳跃策略，读取长度在合理范围内为注入间隔，通过协议优先级动态调整机制调控发送顺序。

3.根据权利要求1所述的一种用于电力工控网络中隐蔽资产识别的扫描方法，其特征在于，s2中，关键要素包括响应延迟、数据长度、字段数量、crc校验结果以及错误标志位，将协议功能码采用one-hot编码方式嵌入特征向量；同时若存在设备标识符字符串字段，使用字符级n-gram，n=3，编码方式进行表征，并通过嵌入层将其映射到稠密向量空间，最终将所有字段拼接为统一的设备响应向量；表示系统发送探测报文后接收到设备响应的时间延迟；li为响应报文的字节长度；onehotfcode是对报文中功能码进行的one-hot编码，用于表示设备对不同协议操作的响应类型；n-gramdesc表示对响应中字符串字段进行字符级n-gram分割后的向量嵌入，用于刻画设备厂商或定制特征；而crci表示响应数据的校验字段，用于识别数据包结构是否规范或存在异常拼接。

4.根据权利要求1所述的一种用于电力工控网络中隐蔽资产识别的扫描方法，其特征在于，s3中，采用高斯混合模型gmm进行聚类学习，度量样本之间的行为相似性，使用马氏距离作为距离函数，其中，表...

【专利技术属性】
技术研发人员：方晓洁，张坤三，陈俊杰，陈昕昊，郑原俊，刘宇欣，李少杰，黄正，林晋煌，张舒媛，潘思琪，龚艳君，吕泓钊，刘学翰，
申请(专利权)人：国网福建省电力有限公司漳州供电公司，
类型：发明
国别省市：