中國(guó)儲(chǔ)能網(wǎng)訊：
摘要
提出了靜態(tài)與動(dòng)態(tài)風(fēng)險(xiǎn)評(píng)估相結(jié)合的多維動(dòng)態(tài)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系?；谔摂M電廠的特點(diǎn)進(jìn)行網(wǎng)絡(luò)安全風(fēng)險(xiǎn)分析，構(gòu)筑多維靜態(tài)風(fēng)險(xiǎn)評(píng)估指標(biāo)?；诠袈窂窖莼瘷C(jī)理，對(duì)信息側(cè)、物理側(cè)和信息-物理側(cè)進(jìn)行數(shù)據(jù)采集，構(gòu)筑動(dòng)態(tài)風(fēng)險(xiǎn)評(píng)估指標(biāo)。提出指標(biāo)量化計(jì)算方法。通過仿真實(shí)驗(yàn)驗(yàn)證本文所提的指標(biāo)體系及量化計(jì)算方法能夠有效評(píng)估安全性，識(shí)別風(fēng)險(xiǎn)隱患，提出有效的加固措施。
01 虛擬電廠風(fēng)險(xiǎn)分析
新型電力系統(tǒng)采用“三區(qū)四層”架構(gòu)。VPP由地理上分散的分布式能源、可控負(fù)荷和儲(chǔ)能裝置組成，并可參與市場(chǎng)交易。
從網(wǎng)絡(luò)安全防護(hù)的角度來看，VPP系統(tǒng)具有如下特點(diǎn)。1）資源多樣，可聚合多類可調(diào)資源；2）運(yùn)營(yíng)中有大量的數(shù)據(jù)交互；3）公網(wǎng)與專網(wǎng)的交互日益頻繁；4）信息安全保障體系尚不夠完善。
在風(fēng)險(xiǎn)指標(biāo)設(shè)計(jì)中，對(duì)于終端加密認(rèn)證、系統(tǒng)漏洞、設(shè)備漏洞、惡意軟件、勒索軟件、時(shí)間同步攻擊、隱私數(shù)據(jù)泄露等須重點(diǎn)考慮，具體如下。
1）終端接入安全。VPP終端種類多、數(shù)量大，防護(hù)能力較薄弱。
2）終端物理設(shè)備安全。VPP終端硬件設(shè)備設(shè)計(jì)往往存在設(shè)備漏洞，易引發(fā)網(wǎng)絡(luò)攻擊。
3）數(shù)據(jù)安全。VPP傳輸數(shù)據(jù)多樣，終端多缺乏數(shù)據(jù)安全和隱私保護(hù)機(jī)制。
4）通信安全。VPP傳輸數(shù)據(jù)量大且要求高可靠、低時(shí)延，但目前存在虛假數(shù)據(jù)注入（false data injection，F(xiàn)DI）、MAC地址欺騙、DDoS等攻擊，造成通信延遲、中斷或者內(nèi)容被篡改。
5）系統(tǒng)安全。電力行業(yè)聯(lián)網(wǎng)監(jiān)控管理系統(tǒng)中，存在高危漏洞的系統(tǒng)數(shù)量較多 。
面向VPP的網(wǎng)絡(luò)攻擊，主要目的包括獲取控制權(quán)、竊取信息、損毀致癱等，均須借助各種攻擊工具，實(shí)現(xiàn)漏洞發(fā)現(xiàn)、入侵提權(quán)、橫向移動(dòng)、持久控制等攻擊步驟，其攻擊路徑呈現(xiàn)動(dòng)態(tài)演進(jìn)特點(diǎn)。從攻擊方的角度，對(duì)VPP網(wǎng)絡(luò)攻擊進(jìn)行路徑分析，可為動(dòng)態(tài)指標(biāo)設(shè)計(jì)奠定基礎(chǔ)具體如圖1所示。
圖1 面向VPP的攻擊路徑分析
Fig.1 VPP attack path analysis
第1類攻擊路徑以TM為攻擊起點(diǎn)，如圖1中紅色箭頭標(biāo)注路徑。VPP終端數(shù)量多，設(shè)備缺乏完善的網(wǎng)絡(luò)安全保護(hù)，被攻擊者選為入侵起點(diǎn)的概率較大。第1階段，攻擊者對(duì)公網(wǎng)內(nèi)TM（如電源出力）發(fā)起FDI攻擊，將調(diào)節(jié)容量信息虛假擴(kuò)大數(shù)倍，按照虛假數(shù)據(jù)向VPP_C申報(bào)調(diào)節(jié)容量，導(dǎo)致VPP_C發(fā)出錯(cuò)誤的調(diào)節(jié)指令，有可能導(dǎo)致電源出力不足，引發(fā)功率缺額，甚至可能引發(fā)切負(fù)荷操作，影響系統(tǒng)穩(wěn)定運(yùn)行。終端攻擊也能夠造成終端用戶隱私數(shù)據(jù)泄露、可控參數(shù)被惡意修改，引發(fā)設(shè)備硬件損害。第2和第3階段，攻擊者可以采用嗅探工具和數(shù)據(jù)包解析工具，從正常的業(yè)務(wù)數(shù)據(jù)傳輸中，發(fā)現(xiàn)VPP_A和VPP_C的IP地址，導(dǎo)致攻擊路徑蔓延，有可能引發(fā)VPP_C發(fā)出錯(cuò)誤電源出力調(diào)節(jié)和切負(fù)荷指令。第4階段，VPP_PD被攻破，可能發(fā)出惡意錯(cuò)誤調(diào)度指令，引發(fā)網(wǎng)絡(luò)攻擊大范圍跨空間傳播。
第2類攻擊路徑以VPP_T或者VPP_C為起點(diǎn)，如圖1中綠色箭頭標(biāo)注路徑。第1階段，VPP_T因?yàn)樾枰蚬娞峁￤eb服務(wù)器訪問服務(wù)，有可能被攻擊者利用存在的漏洞獲取訪問權(quán)限。如攻擊者非法利用VPP_C發(fā)出惡意調(diào)節(jié)指令，導(dǎo)致控制域內(nèi)終端進(jìn)行錯(cuò)誤放電操作，極端情況觸發(fā)放電下限，造成部分正常運(yùn)行負(fù)荷被移除。第2階段，依托公網(wǎng)開展業(yè)務(wù)的VPP_A相關(guān)軟硬件被攻擊控制，造成專網(wǎng)內(nèi)信息泄露，對(duì)互聯(lián)網(wǎng)大區(qū)、管理信息大區(qū)產(chǎn)生危害，甚至對(duì)生產(chǎn)控制大區(qū)產(chǎn)生間接危害。此類攻擊將導(dǎo)致大量終端數(shù)據(jù)被竊取、電網(wǎng)失去對(duì)聚合資源的調(diào)度能力，導(dǎo)致下發(fā)惡意調(diào)度指令。
第3類攻擊路徑以通信網(wǎng)絡(luò)為攻擊起點(diǎn)，如圖1中黑色箭頭標(biāo)注路徑。VPP內(nèi)部的通信鏈路和信息交互為信息攻擊者提供了多種入侵途徑。攻擊者在第1階段攻擊通信網(wǎng)絡(luò)，導(dǎo)致通信延遲或中斷、隱私泄露、調(diào)度及交易過程數(shù)據(jù)被篡改，如泄露或修改競(jìng)標(biāo)電價(jià)信息及電量信息，在第2和第3階段沿攻擊路徑傳播，有可能引發(fā)較大危害。
4）協(xié)同攻擊路徑：VPP業(yè)務(wù)系統(tǒng)遭受單時(shí)段多目標(biāo)或者多時(shí)段單目標(biāo)協(xié)同攻擊。如前述3種攻擊路徑并發(fā)。此類攻擊復(fù)雜性高，危害性最大。
以上基于VPP業(yè)務(wù)對(duì)攻擊路徑進(jìn)行了分析。此外，還應(yīng)考慮節(jié)點(diǎn)重要性和攻擊成本。
02 多維動(dòng)態(tài)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系
2.1 總體框架及設(shè)計(jì)原則
VPP風(fēng)險(xiǎn)評(píng)估指標(biāo)體系總體框架如圖2所示。設(shè)計(jì)原則如下。
圖2 VPP風(fēng)險(xiǎn)評(píng)估指標(biāo)體系總體框架
Fig.2 Framework of VPP risk assessment index system
1）動(dòng)態(tài)設(shè)計(jì)。指標(biāo)分為靜態(tài)指標(biāo)與動(dòng)態(tài)指標(biāo)。靜態(tài)指標(biāo)主要考察VPP系統(tǒng)整體防護(hù)的安全性，采集VPP系統(tǒng)網(wǎng)絡(luò)安全相關(guān)的配置、安全檢測(cè)、防護(hù)機(jī)制設(shè)置等指標(biāo)。動(dòng)態(tài)指標(biāo)關(guān)注VPP系統(tǒng)運(yùn)行過程中安全性?，F(xiàn)行的信息物理系統(tǒng)的風(fēng)險(xiǎn)指標(biāo)評(píng)估體系多為靜態(tài)，而攻擊是動(dòng)態(tài)的，僅考慮靜態(tài)指標(biāo)還不夠，需要提煉VPP系統(tǒng)運(yùn)行時(shí)、動(dòng)態(tài)可采集的數(shù)據(jù)形成動(dòng)態(tài)指標(biāo)，提升實(shí)時(shí)風(fēng)險(xiǎn)感知能力。動(dòng)態(tài)指標(biāo)需要同時(shí)考慮VPP網(wǎng)絡(luò)安全和物理設(shè)備運(yùn)行狀態(tài)，綜合考慮信息和物理兩方面，進(jìn)行基于攻擊路徑模型的信息物理綜合安全動(dòng)態(tài)風(fēng)險(xiǎn)計(jì)算。
2）多維度提煉指標(biāo)。靜態(tài)和動(dòng)態(tài)指標(biāo)是從時(shí)間維度考慮，從空間維度設(shè)計(jì)指標(biāo)可以從VPP硬件設(shè)備、軟件平臺(tái)、網(wǎng)絡(luò)連接和業(yè)務(wù)場(chǎng)景入手，提煉指標(biāo)。同時(shí)考慮信息-物理耦合的專網(wǎng)防公網(wǎng)滲透防護(hù)、信息系統(tǒng)異常檢測(cè)防護(hù)機(jī)制和信息物理協(xié)同攻擊防護(hù)等相關(guān)指標(biāo)。
2.2 指標(biāo)體系設(shè)計(jì)
針對(duì)VPP系統(tǒng)風(fēng)險(xiǎn)特點(diǎn)設(shè)計(jì)多維動(dòng)態(tài)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系，指標(biāo)模型如圖3所示?；谝陨现笜?biāo)體系模型，進(jìn)行指標(biāo)體系構(gòu)建。面向VPP的靜態(tài)指標(biāo)如表1所示。
圖3 面向VPP的指標(biāo)體系模型
Fig.3 Model for new adding indicators of VPP
表1 面向VPP增設(shè)的靜態(tài)指標(biāo)
Table 1 New static indicators for VPP
針對(duì)終端種類多、安全防護(hù)能力薄弱、加密能力差的特點(diǎn)，應(yīng)增設(shè)相應(yīng)指標(biāo)。例如，檢查輕量級(jí)靈活安全的加密認(rèn)證機(jī)制、軟件通信身份認(rèn)證機(jī)制、防終端欺騙機(jī)制；此外終端數(shù)量巨大，應(yīng)考慮檢查評(píng)估對(duì)DDoS攻擊的防護(hù)機(jī)制。在指標(biāo)設(shè)計(jì)上還應(yīng)重點(diǎn)加強(qiáng)對(duì)于面向VPP系統(tǒng)的漏洞（包括信息系統(tǒng)和設(shè)備的漏洞）、惡意軟件的防護(hù)。在VPP終端設(shè)備接入時(shí)，應(yīng)對(duì)VPP系統(tǒng)相關(guān)的服務(wù)器、主機(jī)、傳感器、物聯(lián)網(wǎng)設(shè)備（比如電池板逆變器等）、監(jiān)控控制系統(tǒng)等，設(shè)置漏洞檢測(cè)指標(biāo)，并且設(shè)置漏洞持續(xù)更新檢測(cè)指標(biāo)。對(duì)于面向能源電力行業(yè)的勒索軟件防護(hù)應(yīng)該加強(qiáng)，建立勒索軟件詳細(xì)列表；還需要對(duì)數(shù)據(jù)進(jìn)行分級(jí)訪問、備份、加密的檢查，定向防護(hù)勒索軟件對(duì)數(shù)據(jù)的竊取和加密。此外，對(duì)于VPP用戶數(shù)據(jù)的隱私保護(hù)，需要重點(diǎn)加強(qiáng)檢查；建立多交易主體用戶隱私數(shù)據(jù)非授權(quán)訪問防護(hù)指標(biāo)，以及用戶數(shù)據(jù)脫敏策略檢查指標(biāo)等，以評(píng)估隱私數(shù)據(jù)保護(hù)能力。另外，針對(duì)時(shí)間同步攻擊、非法無(wú)線通信鏈路風(fēng)險(xiǎn)等問題，VPP業(yè)務(wù)在做風(fēng)險(xiǎn)評(píng)估時(shí)應(yīng)增設(shè)相關(guān)指標(biāo)進(jìn)行檢查，進(jìn)行加密認(rèn)證，同時(shí)評(píng)估身份鑒別、訪問控制的安全性。動(dòng)態(tài)指標(biāo)設(shè)計(jì)如表2所示。
表2 面向VPP的動(dòng)態(tài)指標(biāo)
Table 2 Dynamic indicators for VPP
2.3 指標(biāo)計(jì)算方法
本文基于層次分析法（analytic hierarchy process，AHP）設(shè)計(jì)定量分析方法。
1）構(gòu)造判斷矩陣。設(shè)某層指標(biāo)集合為F={p1,p2,?,pn}，為獲取指標(biāo)的權(quán)重向量W=[W1,W2,?,Wn]，先構(gòu)造判斷矩陣。
2）權(quán)重計(jì)算。構(gòu)造好判斷矩陣以后，采用方根法計(jì)算歸一化特征向量W=[W1,W2,?,Wn]。
3）指標(biāo)計(jì)算。根據(jù)被評(píng)估系統(tǒng)的實(shí)際情況對(duì)各指標(biāo)進(jìn)行原始評(píng)分。將指標(biāo)分為正向指標(biāo)（指標(biāo)值越大，安全性越好）和反向指標(biāo)（指標(biāo)值越大，安全性越差）。定義指示變量Ix，Ix=1表示第x個(gè)指標(biāo)是正向指標(biāo)，Ix=0表示第x個(gè)指標(biāo)是反向指標(biāo)。指標(biāo)分值記為V={V1,V2,?,Vn}，即
式中：Vraw,x為第x個(gè)指標(biāo)的原始評(píng)分；Vbench,x為第x個(gè)指標(biāo)的基準(zhǔn)值（滿分值）。
4）綜合分值Vtotal計(jì)算。綜合分值越大（滿分100分），系統(tǒng)安全性越高，即
基于攻擊路徑模型，借助動(dòng)態(tài)指標(biāo)，進(jìn)行基于攻擊路徑模型的動(dòng)態(tài)風(fēng)險(xiǎn)計(jì)算。計(jì)算過程如圖4所示。
圖4 攻擊路徑風(fēng)險(xiǎn)動(dòng)態(tài)計(jì)算
Fig.4 Attack path risk dynamic calculation
將所有攻擊路徑記為集合Pattack-path={l1,l2,?,lq}。在攻擊路徑lt上對(duì)前3類指標(biāo)計(jì)算綜合分值，得出Vtotal,t。將攻擊路徑lt的攻擊發(fā)生概率Plt建模為
式中：λ(Vtotal,t)為攻擊路徑lt下VPP的脆弱性因子，反映VPP信息系統(tǒng)的安全性水平，脆弱性因子越大，則攻擊的成功概率越大， t∈{1,2,?,q}；C為完成攻擊等效的攻擊代價(jià)；c為攻擊資源的大小，反映網(wǎng)絡(luò)攻擊者的攻擊能力，攻擊資源越大，則攻擊的成功概率也越大。
物理后果指標(biāo)主要反映電力設(shè)備的動(dòng)態(tài)異常狀態(tài)，衡量對(duì)VPP業(yè)務(wù)的危害程度，參考文獻(xiàn)[4]的方法，本文從用戶使用的角度出發(fā)，構(gòu)建VPP對(duì)用戶失電造成的物理后果指標(biāo)計(jì)算方法，分為后果危害指標(biāo)和影響面指標(biāo)。其中，后果危害指標(biāo)主要考察異常狀態(tài)的瞬時(shí)危害大小，影響面指標(biāo)考慮異常狀態(tài)的持續(xù)時(shí)長(zhǎng)。
1）后果危害指標(biāo)。攻擊路徑lt引發(fā)的故障失負(fù)荷數(shù)指標(biāo)圖片為
03 仿真實(shí)驗(yàn)及結(jié)果分析
在網(wǎng)絡(luò)攻擊綜合演練平臺(tái)上搭建仿真實(shí)驗(yàn)系統(tǒng)，系統(tǒng)拓?fù)淙鐖D5所示。
圖5 仿真實(shí)驗(yàn)拓?fù)?
Fig.5 Simulation topology
依據(jù)表1的指標(biāo)，構(gòu)造A層指標(biāo)和P層指標(biāo)的判斷矩陣。計(jì)算單排序的各指標(biāo)權(quán)重。對(duì)仿真實(shí)驗(yàn)系統(tǒng)開展風(fēng)險(xiǎn)評(píng)估，計(jì)算各指標(biāo)分值及綜合分值，最終得分64.7分?；谠u(píng)估結(jié)果可知，系統(tǒng)安全性較差，存在較大安全隱患。根據(jù)分值較低的指標(biāo)查找存在的問題，提出安全加固意見，主要安全加固策略如表3所示。
表3 主要安全加固策略
Table 3 Main security reinforcement strategy policy
經(jīng)過加固，重新計(jì)算綜合分值，得分100分。通過針對(duì)性安全加固，增強(qiáng)了系統(tǒng)安全性，綜合分值同步提升，驗(yàn)證了本文風(fēng)險(xiǎn)評(píng)估方法的有效性。
針對(duì)未進(jìn)行安全加固的仿真實(shí)驗(yàn)系統(tǒng)開展模擬攻擊。
1）模擬攻擊路徑為VPP_T→VPP_C→VPP TM（如圖5紅色箭頭標(biāo)注的攻擊路徑）。根據(jù)表3列出的策略進(jìn)行安全加固。經(jīng)過加固后外網(wǎng)滲透難度增大，圖5中攻擊步驟①入侵VPP_T Server失敗，攻擊步驟②③被阻止，系統(tǒng)安全性得以增加。
2）仿真攻擊路徑為VPP TM1→VPP_C Server→VPP TM3（如圖5藍(lán)色箭頭標(biāo)注的攻擊路徑）。
通過仿真實(shí)驗(yàn)，驗(yàn)證了本文提出的多維動(dòng)態(tài)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系適用于VPP風(fēng)險(xiǎn)評(píng)估，也可為其他新型業(yè)務(wù)的風(fēng)險(xiǎn)評(píng)估提供參考。
04 結(jié)語(yǔ)
本文提出了多維動(dòng)態(tài)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系，為VPP的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估提供基礎(chǔ)，為安全加固提供依據(jù)，提升新型電力系統(tǒng)的安全性。在后續(xù)的工作中，需要開展VPP攻擊路徑演化機(jī)理研究，豐富風(fēng)險(xiǎn)評(píng)估指標(biāo)體系，細(xì)化量化計(jì)算方法。
注：本文內(nèi)容呈現(xiàn)略有調(diào)整，如需要請(qǐng)查看原文。
