智能電網網絡安全態勢評估模型構建與應用

王捷 李晶 喻瀟 周亮

（1.國網湖北省電力有限公司電力科學研究院 湖北省武漢市 430000 2.國網湖北省電力有限公司 湖北省武漢市 430000）

近年來，國家電網、南方電網等國家大型電網企業已經在不斷加強網絡安全防御體系的建設，但現有的防御體系主要還是在攻擊發生之后采取應對措施，未能掌握主動權，提前預測和消除威脅。在智能電網中應用和發展網絡安全態勢感知技術，能夠采集、理解與預測各類安全因素，準確掌握電網的安全態勢，達到主動預防電網安全風險的目的。本文通過對智能電網系統存在的各種常見網絡攻擊及危害進行歸納分析，針對性構建網絡安全態勢評估模型，為智能電網主動防御攻擊提供指導依據。

1 智能電網中的網絡安全態勢

1.1 態勢感知

網絡態勢感知關鍵技術包括態勢可視化技術、智能Agent 模型、數據采集和預處理等。智能電網日常網絡安全工作需要采集各類影響網絡安全變化的因素數據，對電網安全態勢進行分析、理解、評估與預測。在智能電網系統的網絡環境中，可以采集的數據信息包括電網系統動態數據、設備安全狀態信息、網絡拓撲結構信息、電網運行環境信息、電網暫態故障信息、電網運行穩態數據等。利用網絡態勢感知技術，準確監測當前網絡系統的安全狀態，以及預判未來安全發展趨勢，可以在事前采取主動、有效的防御與反制措施，應對即將出現的大規模攻擊，將極大轉變過去電力網絡安全管理的事后處理、被動防御的不利局面。

1.2 態勢理解與評估

對智能電網的網絡安全狀態、趨勢的理解，即態勢理解，其關鍵是如何通過分析所采集的數據信息，準確有效地評估當前及將來的網絡安全態勢。態勢評估技術包括模糊邏輯、人工神經網絡、貝葉斯分析等。評估方法的核心是構建網絡安全態勢評估模型[2]。許多態勢評估方法都是以傳統的計算機網絡作為研究對象，很少面向于智能電網網絡安全威脅的態勢評估。本文在智能電網環境下，以信息融合為基礎，提出一種新的網絡安全態勢評估模型。該模型利用廣域態勢感知技術（Wide-Area Situational Awareness，WASA）[3]采集和融合智能電網中外部攻擊信息、節點內部脆弱性、攻擊自身威脅性等方面的數據信息，并通過將多種單一預測模型進行有效結合，達到準確評估和預測真實網絡安全態勢信息的目的。

2 基于智能電網的網絡安全態勢評估模型

2.1 網絡安全態勢評估模型

本文所構建的評估模型主要選取智能電網系統中的外部攻擊信息、節點內部脆弱性、攻擊自身威脅性三方面的特征信息，通過融合與分析計算獲得網絡安全態勢評估結果，如圖1所示。其中，外部攻擊信息主要包括系統中的網絡端口流量信息，以及各類電網設備的日志信息。通過WASA技術收集這些信息并進行融合處理分析，獲得可能發生某類網絡安全攻擊的概率，也即攻擊發生概率。網絡中主機節點的內部脆弱性等內部環境因素是判斷攻擊是否可以成功的關鍵因素。某類攻擊發生后，由內部環境、外部攻擊等因素共同決定攻擊成功的概率，也即攻擊成功概率。攻擊自身威脅性是當該類型攻擊所依賴的網絡環境、漏洞利用等所有條件都與主機節點環境符合時，其所能造成的影響。已知攻擊可能帶來的最大影響，也即攻擊威脅。根據評估的結果，歸納和總結智能電網網絡安全態勢的真實發展變化規律，從而能夠對未來的發展態勢進行預測。同時可以建立可視化的態勢展示平臺，用于直觀表示各類數據信息，以及通過不同的圖形狀態展示數據信息的各種變化特征，從而為網絡安全人員提供準確的參考與指導，幫助制定和實施相應的防御和應急處置措施。

2.2 智能電網網絡安全態勢預測

基于智能電網系統的特殊性，不能直接應用傳統的網絡安全態勢預測技術，因此需要新的組合預測技術。依據D-S（Dempster/Shafer）證據理論[4]，本文提出一種組合預測方法，將自回歸（Autoregressive，AR）[5]預測模型、最小二乘支持向量機（Least Squares Support Vector Machine，LSSVM）[6]預測模型以及徑向基函數（Radial Basis Function，RBF）[7]神經網絡預測模型進行結合，通過調整各模型的權重，有效融合各模型的預測結果，從而獲取更符合真實狀況的預測結果，以期達到網絡安全態勢預測的高精度要求。

2.2.1 權重提取

假設三種預測模型AR、LSSVM、RBF 對同一日的網絡安全態勢預測結果為Ai（i=1,2,3），當日網絡安全態勢的真實值為R。用e 表示模型預測誤差，即ei=Ai-R（i=1,2,3）。用ω 表示各模型的權重系數。則有如下計算公式：

預測方差：

2.2.2 權重融合

融合權重中，權重系數較大的預測值的預測精度更高，權重系數較小的預測值的預測精度更低，并滿足。建立識別框架，用m 表示各預測模型的基本可信度，即m（Ai）=ωi。將預測日前5日的網絡安全態勢預測值表示為mj（Ai）（j=1,2,3,4,5，i=1,2,3），對應信度函數（Belief Function）[8]表示為Belj。首先融合前兩日的信度函數Bel=Bel1⊕Bel2；然后是二重融合，融合第三天預測值對應信度及信度函數Bel=Bel1⊕Bel2⊕Bel3；依次進行三重、四重融合，直至融合第五天的預測值后結束，最終的融合信度函數為Bel=Bel1⊕Bel2⊕Bel3⊕Bel4⊕Bel5，對應的基本信度值表示為mc（Ai）。模型對預測日的融合權重結果即當日基本信度值，通過迭代可計算得到每日網絡安全態勢預測值。

表1：三種模型預測誤差比較

3 智能電網網絡安全態勢評估模型應用實例

3.1 三種模型預測結果對比

本文研究選取國家電網公司某區域單位所提供的實際網絡攻擊監測數據，包括攻擊時間長度、攻擊深度等級、網絡攻擊方式等，利用所構建的評估模型對2019年10月11-15日的網絡安全態勢值進行預測計算。

首先使用AR 模型進行基本預測。以前10日（10月1-10日）的網絡安全態勢真實值為依據，獲取后5日（10月11-15日）的預測值。

然后使用LSSVM 和RBF 模型進行基本預測，同樣依據前10日數據預測后5日數據，預測結果分別如圖2、圖3所示。

計算并對比三種模型的預測誤差，結果如表1所示。結果表明，AR 模型能夠預測網絡安全態勢的基本走勢，但存在較大誤差。與AR 模型相比，LSSVM 模型的網絡安全態勢預測值與真實值相對更接近，但也存在一定差異。RBF 神經網絡模型預測誤差為三種模型中最小。

3.2 基于D-S證據理論的組合預測結果

根據D-S 證據理論，結合前10日的歷史預測數據，融合三種基本預測模型的權重，對后5日的網絡安全態勢值進行組合預測。首先預測第6-10日網絡安全態勢，獲得每日權重。根據合成法則多重融合模型權重，多重融合結果即為預測日的模型權重。通過調整優化預測模型的融合，獲得預測日更精確的預測結果。即：

（1）提取權重。綜合AR 模型、LSSVM 模型、RBF 神經網絡模型的預測結果，計算第6-10日的對應權重。

（2）權重融合。多重融合對應的信度，根據信度函數計算獲得各種預測模型在待預測日的權重。

基于本文組合預測評估模型對10月11-15日的最終預測結果如圖4所示?？梢娖浣Y果與實際網絡安全態勢值最接近，并且平均相對誤差、絕對誤差均最小。該應用實例證明，本文的組合預測模型能夠獲得比傳統單一預測模型更為精確的預測結果。

4 總結

電力系統與人們的生產生活密切相關。現代智能電網系統不斷發展與開放，不可避免面臨網絡安全的問題。隨著信息與網絡技術的不斷進步，網絡攻擊方式更加復雜多樣，對智能電網系統的網絡安全提出了更高的要求。為保證智能電網的安全穩定運行，需要加強和提升對網絡攻擊和未知威脅的主動防御和提前預測能力。本文綜合應用廣域態勢感知技術、自回歸模型、最小二乘支持向量機模型、RBF 神經網絡模型和D-S 證據理論，構建了一種適用于智能電網的網絡安全態勢評估模型。通過應用實例表明，該模型能夠取得較好的預測精度，能夠有效描述智能電網系統的網絡安全態勢，從而能夠為網絡安全措施的制定與實施提供較為科學的指導依據。