中國儲能網(wǎng)訊：
摘要
提出了靜態(tài)與動態(tài)風險評估相結合的多維動態(tài)網(wǎng)絡安全風險評估指標體系?；谔摂M電廠的特點進行網(wǎng)絡安全風險分析，構筑多維靜態(tài)風險評估指標。基于攻擊路徑演化機理，對信息側、物理側和信息-物理側進行數(shù)據(jù)采集，構筑動態(tài)風險評估指標。提出指標量化計算方法。通過仿真實驗驗證本文所提的指標體系及量化計算方法能夠有效評估安全性，識別風險隱患，提出有效的加固措施。
01 虛擬電廠風險分析
新型電力系統(tǒng)采用“三區(qū)四層”架構。VPP由地理上分散的分布式能源、可控負荷和儲能裝置組成，并可參與市場交易。
從網(wǎng)絡安全防護的角度來看，VPP系統(tǒng)具有如下特點。1）資源多樣，可聚合多類可調(diào)資源；2）運營中有大量的數(shù)據(jù)交互；3）公網(wǎng)與專網(wǎng)的交互日益頻繁；4）信息安全保障體系尚不夠完善。
在風險指標設計中，對于終端加密認證、系統(tǒng)漏洞、設備漏洞、惡意軟件、勒索軟件、時間同步攻擊、隱私數(shù)據(jù)泄露等須重點考慮，具體如下。
1）終端接入安全。VPP終端種類多、數(shù)量大，防護能力較薄弱。
2）終端物理設備安全。VPP終端硬件設備設計往往存在設備漏洞，易引發(fā)網(wǎng)絡攻擊。
3）數(shù)據(jù)安全。VPP傳輸數(shù)據(jù)多樣，終端多缺乏數(shù)據(jù)安全和隱私保護機制。
4）通信安全。VPP傳輸數(shù)據(jù)量大且要求高可靠、低時延，但目前存在虛假數(shù)據(jù)注入（false data injection，F(xiàn)DI）、MAC地址欺騙、DDoS等攻擊，造成通信延遲、中斷或者內(nèi)容被篡改。
5）系統(tǒng)安全。電力行業(yè)聯(lián)網(wǎng)監(jiān)控管理系統(tǒng)中，存在高危漏洞的系統(tǒng)數(shù)量較多 。
面向VPP的網(wǎng)絡攻擊，主要目的包括獲取控制權、竊取信息、損毀致癱等，均須借助各種攻擊工具，實現(xiàn)漏洞發(fā)現(xiàn)、入侵提權、橫向移動、持久控制等攻擊步驟，其攻擊路徑呈現(xiàn)動態(tài)演進特點。從攻擊方的角度，對VPP網(wǎng)絡攻擊進行路徑分析，可為動態(tài)指標設計奠定基礎具體如圖1所示。
圖1 面向VPP的攻擊路徑分析
Fig.1 VPP attack path analysis
第1類攻擊路徑以TM為攻擊起點，如圖1中紅色箭頭標注路徑。VPP終端數(shù)量多，設備缺乏完善的網(wǎng)絡安全保護，被攻擊者選為入侵起點的概率較大。第1階段，攻擊者對公網(wǎng)內(nèi)TM（如電源出力）發(fā)起FDI攻擊，將調(diào)節(jié)容量信息虛假擴大數(shù)倍，按照虛假數(shù)據(jù)向VPP_C申報調(diào)節(jié)容量，導致VPP_C發(fā)出錯誤的調(diào)節(jié)指令，有可能導致電源出力不足，引發(fā)功率缺額，甚至可能引發(fā)切負荷操作，影響系統(tǒng)穩(wěn)定運行。終端攻擊也能夠造成終端用戶隱私數(shù)據(jù)泄露、可控參數(shù)被惡意修改，引發(fā)設備硬件損害。第2和第3階段，攻擊者可以采用嗅探工具和數(shù)據(jù)包解析工具，從正常的業(yè)務數(shù)據(jù)傳輸中，發(fā)現(xiàn)VPP_A和VPP_C的IP地址，導致攻擊路徑蔓延，有可能引發(fā)VPP_C發(fā)出錯誤電源出力調(diào)節(jié)和切負荷指令。第4階段，VPP_PD被攻破，可能發(fā)出惡意錯誤調(diào)度指令，引發(fā)網(wǎng)絡攻擊大范圍跨空間傳播。
第2類攻擊路徑以VPP_T或者VPP_C為起點，如圖1中綠色箭頭標注路徑。第1階段，VPP_T因為需要向公眾提供Web服務器訪問服務，有可能被攻擊者利用存在的漏洞獲取訪問權限。如攻擊者非法利用VPP_C發(fā)出惡意調(diào)節(jié)指令，導致控制域內(nèi)終端進行錯誤放電操作，極端情況觸發(fā)放電下限，造成部分正常運行負荷被移除。第2階段，依托公網(wǎng)開展業(yè)務的VPP_A相關軟硬件被攻擊控制，造成專網(wǎng)內(nèi)信息泄露，對互聯(lián)網(wǎng)大區(qū)、管理信息大區(qū)產(chǎn)生危害，甚至對生產(chǎn)控制大區(qū)產(chǎn)生間接危害。此類攻擊將導致大量終端數(shù)據(jù)被竊取、電網(wǎng)失去對聚合資源的調(diào)度能力，導致下發(fā)惡意調(diào)度指令。
第3類攻擊路徑以通信網(wǎng)絡為攻擊起點，如圖1中黑色箭頭標注路徑。VPP內(nèi)部的通信鏈路和信息交互為信息攻擊者提供了多種入侵途徑。攻擊者在第1階段攻擊通信網(wǎng)絡，導致通信延遲或中斷、隱私泄露、調(diào)度及交易過程數(shù)據(jù)被篡改，如泄露或修改競標電價信息及電量信息，在第2和第3階段沿攻擊路徑傳播，有可能引發(fā)較大危害。
4）協(xié)同攻擊路徑：VPP業(yè)務系統(tǒng)遭受單時段多目標或者多時段單目標協(xié)同攻擊。如前述3種攻擊路徑并發(fā)。此類攻擊復雜性高，危害性最大。
以上基于VPP業(yè)務對攻擊路徑進行了分析。此外，還應考慮節(jié)點重要性和攻擊成本。
02 多維動態(tài)風險評估指標體系
2.1 總體框架及設計原則
VPP風險評估指標體系總體框架如圖2所示。設計原則如下。
圖2 VPP風險評估指標體系總體框架
Fig.2 Framework of VPP risk assessment index system
1）動態(tài)設計。指標分為靜態(tài)指標與動態(tài)指標。靜態(tài)指標主要考察VPP系統(tǒng)整體防護的安全性，采集VPP系統(tǒng)網(wǎng)絡安全相關的配置、安全檢測、防護機制設置等指標。動態(tài)指標關注VPP系統(tǒng)運行過程中安全性?，F(xiàn)行的信息物理系統(tǒng)的風險指標評估體系多為靜態(tài)，而攻擊是動態(tài)的，僅考慮靜態(tài)指標還不夠，需要提煉VPP系統(tǒng)運行時、動態(tài)可采集的數(shù)據(jù)形成動態(tài)指標，提升實時風險感知能力。動態(tài)指標需要同時考慮VPP網(wǎng)絡安全和物理設備運行狀態(tài)，綜合考慮信息和物理兩方面，進行基于攻擊路徑模型的信息物理綜合安全動態(tài)風險計算。
2）多維度提煉指標。靜態(tài)和動態(tài)指標是從時間維度考慮，從空間維度設計指標可以從VPP硬件設備、軟件平臺、網(wǎng)絡連接和業(yè)務場景入手，提煉指標。同時考慮信息-物理耦合的專網(wǎng)防公網(wǎng)滲透防護、信息系統(tǒng)異常檢測防護機制和信息物理協(xié)同攻擊防護等相關指標。
2.2 指標體系設計
針對VPP系統(tǒng)風險特點設計多維動態(tài)風險評估指標體系，指標模型如圖3所示?；谝陨现笜梭w系模型，進行指標體系構建。面向VPP的靜態(tài)指標如表1所示。
圖3 面向VPP的指標體系模型
Fig.3 Model for new adding indicators of VPP
表1 面向VPP增設的靜態(tài)指標
Table 1 New static indicators for VPP
針對終端種類多、安全防護能力薄弱、加密能力差的特點，應增設相應指標。例如，檢查輕量級靈活安全的加密認證機制、軟件通信身份認證機制、防終端欺騙機制；此外終端數(shù)量巨大，應考慮檢查評估對DDoS攻擊的防護機制。在指標設計上還應重點加強對于面向VPP系統(tǒng)的漏洞（包括信息系統(tǒng)和設備的漏洞）、惡意軟件的防護。在VPP終端設備接入時，應對VPP系統(tǒng)相關的服務器、主機、傳感器、物聯(lián)網(wǎng)設備（比如電池板逆變器等）、監(jiān)控控制系統(tǒng)等，設置漏洞檢測指標，并且設置漏洞持續(xù)更新檢測指標。對于面向能源電力行業(yè)的勒索軟件防護應該加強，建立勒索軟件詳細列表；還需要對數(shù)據(jù)進行分級訪問、備份、加密的檢查，定向防護勒索軟件對數(shù)據(jù)的竊取和加密。此外，對于VPP用戶數(shù)據(jù)的隱私保護，需要重點加強檢查；建立多交易主體用戶隱私數(shù)據(jù)非授權訪問防護指標，以及用戶數(shù)據(jù)脫敏策略檢查指標等，以評估隱私數(shù)據(jù)保護能力。另外，針對時間同步攻擊、非法無線通信鏈路風險等問題，VPP業(yè)務在做風險評估時應增設相關指標進行檢查，進行加密認證，同時評估身份鑒別、訪問控制的安全性。動態(tài)指標設計如表2所示。
表2 面向VPP的動態(tài)指標
Table 2 Dynamic indicators for VPP
2.3 指標計算方法
本文基于層次分析法（analytic hierarchy process，AHP）設計定量分析方法。
1）構造判斷矩陣。設某層指標集合為F={p1,p2,?,pn}，為獲取指標的權重向量W=[W1,W2,?,Wn]，先構造判斷矩陣。
2）權重計算。構造好判斷矩陣以后，采用方根法計算歸一化特征向量W=[W1,W2,?,Wn]。
3）指標計算。根據(jù)被評估系統(tǒng)的實際情況對各指標進行原始評分。將指標分為正向指標（指標值越大，安全性越好）和反向指標（指標值越大，安全性越差）。定義指示變量Ix，Ix=1表示第x個指標是正向指標，Ix=0表示第x個指標是反向指標。指標分值記為V={V1,V2,?,Vn}，即
式中：Vraw,x為第x個指標的原始評分；Vbench,x為第x個指標的基準值（滿分值）。
4）綜合分值Vtotal計算。綜合分值越大（滿分100分），系統(tǒng)安全性越高，即
基于攻擊路徑模型，借助動態(tài)指標，進行基于攻擊路徑模型的動態(tài)風險計算。計算過程如圖4所示。
圖4 攻擊路徑風險動態(tài)計算
Fig.4 Attack path risk dynamic calculation
將所有攻擊路徑記為集合Pattack-path={l1,l2,?,lq}。在攻擊路徑lt上對前3類指標計算綜合分值，得出Vtotal,t。將攻擊路徑lt的攻擊發(fā)生概率Plt建模為
式中：λ(Vtotal,t)為攻擊路徑lt下VPP的脆弱性因子，反映VPP信息系統(tǒng)的安全性水平，脆弱性因子越大，則攻擊的成功概率越大， t∈{1,2,?,q}；C為完成攻擊等效的攻擊代價；c為攻擊資源的大小，反映網(wǎng)絡攻擊者的攻擊能力，攻擊資源越大，則攻擊的成功概率也越大。
物理后果指標主要反映電力設備的動態(tài)異常狀態(tài)，衡量對VPP業(yè)務的危害程度，參考文獻[4]的方法，本文從用戶使用的角度出發(fā)，構建VPP對用戶失電造成的物理后果指標計算方法，分為后果危害指標和影響面指標。其中，后果危害指標主要考察異常狀態(tài)的瞬時危害大小，影響面指標考慮異常狀態(tài)的持續(xù)時長。
1）后果危害指標。攻擊路徑lt引發(fā)的故障失負荷數(shù)指標圖片為
03 仿真實驗及結果分析
在網(wǎng)絡攻擊綜合演練平臺上搭建仿真實驗系統(tǒng)，系統(tǒng)拓撲如圖5所示。
圖5 仿真實驗拓撲
Fig.5 Simulation topology
依據(jù)表1的指標，構造A層指標和P層指標的判斷矩陣。計算單排序的各指標權重。對仿真實驗系統(tǒng)開展風險評估，計算各指標分值及綜合分值，最終得分64.7分?；谠u估結果可知，系統(tǒng)安全性較差，存在較大安全隱患。根據(jù)分值較低的指標查找存在的問題，提出安全加固意見，主要安全加固策略如表3所示。
表3 主要安全加固策略
Table 3 Main security reinforcement strategy policy
經(jīng)過加固，重新計算綜合分值，得分100分。通過針對性安全加固，增強了系統(tǒng)安全性，綜合分值同步提升，驗證了本文風險評估方法的有效性。
針對未進行安全加固的仿真實驗系統(tǒng)開展模擬攻擊。
1）模擬攻擊路徑為VPP_T→VPP_C→VPP TM（如圖5紅色箭頭標注的攻擊路徑）。根據(jù)表3列出的策略進行安全加固。經(jīng)過加固后外網(wǎng)滲透難度增大，圖5中攻擊步驟①入侵VPP_T Server失敗，攻擊步驟②③被阻止，系統(tǒng)安全性得以增加。
2）仿真攻擊路徑為VPP TM1→VPP_C Server→VPP TM3（如圖5藍色箭頭標注的攻擊路徑）。
通過仿真實驗，驗證了本文提出的多維動態(tài)網(wǎng)絡安全風險評估指標體系適用于VPP風險評估，也可為其他新型業(yè)務的風險評估提供參考。
04 結語
本文提出了多維動態(tài)網(wǎng)絡安全風險評估指標體系，為VPP的網(wǎng)絡安全風險評估提供基礎，為安全加固提供依據(jù)，提升新型電力系統(tǒng)的安全性。在后續(xù)的工作中，需要開展VPP攻擊路徑演化機理研究，豐富風險評估指標體系，細化量化計算方法。
注：本文內(nèi)容呈現(xiàn)略有調(diào)整，如需要請查看原文。
