电力调度系统定向攻击的虚构陷阱抗毁性主动安全防护方法研究

SCADA in controlling center of power utilities are high-value targets for malicious cyber-attack. The targeted malware developed by well-organized adversary with in-depth context information, could intrude into air-isolated SCADA and initiate precise attack using zero-day vulnerability. The likelihood of cyber-attack could not be eliminated with existing cyber security defense approaches. In order to prevent from blackout even though targeted malware intrude into and attack the SCADA, an active cyber defense approach is proposed to facilitate a resilient SCADA. The strategy that could be utilized for cyber-attack is modeled and evaluated. Thereafter, important transmission lines, transformers, and generators are fabricated as traps. Once targeted malware attacks on these traps, SCADA is disabled and switched to alternate one to prevent from catastrophic consequence of cyber-attack. Prototype of SCADA will be established. The cascading outage model will be utilized to evaluate performance of fabricated traps based cyber defense. The way to design the cyber defense approach will be optimized so that the performance of cyber-attack will not exceed loss of a single component. The research of this project will help hardening cyber security of electric power CPS against targeted attack of malware.

作为控制电网运行的“大脑”，调度自动化系统是网络攻击的高价值目标。由敌对组织发起的定向攻击，可反向工程摸清调度系统工作机制，经厂商维护渠道绕开安全屏障侵入调度主机，获得电网信息后再发起旁路控制攻击线路跳闸、触发连锁故障大停电，现有安防体系难以杜绝此类威胁。借鉴网络安全领域的蜜罐思想，提出虚构陷阱诱捕定向攻击的入侵检测和防护机制，构建抗毁性主动安全防护作为最后一道防线。结合复杂系统理论进行跳闸攻击策略建模；据此逆向设计虚构陷阱，诱使恶意软件攻击具有高脆弱性指标的虚构电网元件，并在陷阱遭攻击时切换到备调以终止攻击；以攻击后果不明显超过N-1故障为原则，提出随机攻击的高比例陷阱设计方法和选择性攻击的鲁棒陷阱设计方法，确保在随机攻击和各种选择性攻击策略下均可及早捕获和终止攻击行为。项目研究为实现面向调度系统定向攻击的抗毁性虚构陷阱主动安全防护提供理论基础和技术支撑，有效防止定向攻击引发大停电。

国家支持型攻击能打破电力安防对抗中的一些基本假设，侵入物理隔离的电力监控生产控制区后发起精确的旁路控制攻击，易造成大停电事故，是电力系统当前需要着力防护的安全威胁。围绕国家支持型攻击等高隐蔽性安全威胁的检测与防护开展研究，取得以下五方面成果：1）针对侵入电力调度系统的恶意软件可批量遥控断路器跳闸造成大停电的防护难题，提出设计虚构陷阱主动诱骗防护方法，可在攻击方发起跳闸攻击时准确检出和阻断攻击破坏，将攻击破坏后果控制在接近N-1故障水平下；2）针对攻击方在监控系统研发生产过程中植入高隐蔽性安全威胁的供应链攻击缺乏有效检测手段的问题，利用对手需要从多个变电站无站间通信地同步发起协同攻击才能达成大停电目标的特点，提出两种无通信攻击协同机制，仿真验证了利用这两种攻击协同机制可实现多变电站协同跳闸攻击造成大停电，并针对性设计了供应链安全威胁检测方法；3）分析指出虚构卫星导航电文进行电力系统时间同步攻击可造成电力监控系统时间紊乱、进而使得监控系统功能紊乱和闭锁。提出了三种卫星时间同步攻击地检测方法和时间差异化管理的防护方法，通过数值仿真验证了所提方法的有效性；4）分析揭示了配用电物联网终端接入非法无线通信链路的机制，利用合法基站信号强度具有相同变化规律的特点，提出基于基站信号强度历史曲线密度聚类的非法无线通信链路检测方法，可在设置的时间窗内准确识别非法无线链路；5）用户窃电可看作虚假数据注入攻击。结合工程实际分析指出将低误报率是推进数据驱动窃电检测的关键指标，从降低状态空间维度和补充增量信息角度提出了一系列窃电检测方法，并已得到工程应该用。项目研究为电力系统的网络安全防护提供了理论支撑。依托本项目发表和录用论文31篇，其中SCI收录2篇，EI期刊收录20篇；授权发明专利5项，培养硕士研究生18名。