Protocol Characteristics Based Detection Method for Abnormal Flow Behavior in Electric Power Industrial Control Network

WANG Wenbo; LIU Xuan; ZHANG Bo; WANG Yufei; HUANG Wei

doi:10.7500/AEPS20211228006

您当前的位置：

首页 >

文章列表页 >

Protocol Characteristics Based Detection Method for Abnormal Flow Behavior in Electric Power Industrial Control Network

Application Research | 更新时间：2025-06-16

- Protocol Characteristics Based Detection Method for Abnormal Flow Behavior in Electric Power Industrial Control Network
- Automation of Electric Power Systems Vol. 47, Issue 2, Pages: 137-145(2023)
- 作者机构：
  
  1.湖南大学电气与信息工程学院,湖南省长沙市 410082
  2.江苏省信息安全测评中心,江苏省无锡市 214072
  3.国网江苏省电力有限公司电力科学研究院,江苏省南京市 210013
- 作者简介：
- 基金信息：
  
  National Natural Science Foundation of China(51777062)
- DOI：10.7500/AEPS20211228006
  CLC：
- Received：28 December 2021，
  
  Revised：2022-08-01，
  
  Published Online：14 December 2022，
  
  Published：25 January 2023
- 稿件说明：
移动端阅览
王文博,刘绚,张博等.基于协议特征的电力工控网络流量异常行为检测方法[J].电力系统自动化,2023,47(2):137-145.

WANG Wenbo,LIU Xuan,ZHANG Bo,et al.Protocol Characteristics Based Detection Method for Abnormal Flow Behavior in Electric Power Industrial Control Network[J].Automation of Electric Power Systems,2023,47(2):137-145.
王文博,刘绚,张博等.基于协议特征的电力工控网络流量异常行为检测方法[J].电力系统自动化,2023,47(2):137-145. DOI： 10.7500/AEPS20211228006.

WANG Wenbo,LIU Xuan,ZHANG Bo,et al.Protocol Characteristics Based Detection Method for Abnormal Flow Behavior in Electric Power Industrial Control Network[J].Automation of Electric Power Systems,2023,47(2):137-145. DOI： 10.7500/AEPS20211228006.

摘要

随着信息通信技术在电力工控系统中的广泛应用，电力工控系统遭受网络攻击的风险不断增加。电力工控系统的信息传输和交互以通信协议的流量数据为载体，流量数据的应用层报文在传输过程中存在被窃取及篡改等风险。文中以IEC 60870-5-104协议为例，在对其脆弱性分析的基础上提出了基于协议特征的电力工控流量异常行为检测方法。首先，对电力工控流量进行应用层报文的提取及解析，并结合报文字段特征以及典型电力业务特征建立起电力工控流量正常行为模型。其次，依据正常行为模型对流量数据进行单字段畸形校验、多字段耦合逻辑校验、帧与帧时序逻辑校验、帧与帧上下文异常校验，实现流量异常行为的识别。最后，基于某220 kV变电站的实际流量数据集进行仿真，结果表明所提方法对于典型异常行为检测准确率约为99.98%，能够有效辨识电力工控系统流量异常行为，提升电力系统的安全性。

Abstract

With the wide application of information communication technology in the power industrial control system

the risk of power industrial control system being attacked by network is increasing. The information transmission and interaction of the power industrial control system is carried by the flow data of the communication protocol. The application layer message of the industrial data has the risk of being stolen and tampered in the transmission process. Taking IEC 60870-5-104 protocol as an example

this paper proposes a protocol characteristics based method to detect the abnormal behavior of power industrial control flow on the basis of its vulnerability analysis. Firstly

the application layer message of power industrial control flow is extracted and analyzed

and the normal behavior model of power industrial control flow is established based on the message field characteristics and typical power business characteristics. Secondly

according to the normal behavior model

single field anomaly verification

multiple field coupling logic verification

frame to frame timing logic verification

and frame to frame context exception verification are performed on the flow data to identify abnormal flow behaviors. Finally

based on the actual flow data set of a 220 kV substation

the simulation results show that the accuracy of the proposed method for typical abnormal behavior detection is about 99.98%

which can effectively identify the abnormal flow behavior of power industrial control system and improve the security of power system.

关键词

Keywords

references

王超超，董晓明，孙华，等 . 考虑多层耦合特性的电力信息物理系统建模方法［J］. 电力系统自动化， 2021 ， 45 （ 3 ）： 83 - 91 .

WANG Chaochao ， DONG Xiaoming ， SUN Hua ， et al . Modeling method of power cyber-physical system considering multi-layer coupling characteristics ［J］. Automation of Electric Power Systems ， 2021 ， 45 （ 3 ）： 83 - 91 .

王琦，李梦雅，汤奕，等 . 电力信息物理系统网络攻击与防御研究综述：（一）建模与评估［J］. 电力系统自动化， 2019 ， 43 （ 9 ）： 9 - 21 .

WANG Qi ， LI Mengya ， TANG Yi ， et al . A review on research of cyber-attacks and defense in cyber physical power systems： Part one modelling and evaluation ［J］. Automation of Electric Power Systems ， 2019 ， 43 （ 9 ）： 9 - 21 .

秦博雅，刘东 . 电网信息物理系统分析与控制的研究进展与展望［J］. 中国电机工程学报， 2020 ， 40 （ 18 ）： 5816 - 5827 .

QIN Boya ， LIU Dong . Research progresses and prospects on analysis and control of cyber-physical system for power grid ［J］. Proceedings of the CSEE ， 2020 ， 40 （ 18 ）： 5816 - 5827 .

蔡晔，刘放，曹一家，等 . 电力信息物理系统低代价多阶段高危攻击策略研究［J］. 电力系统自动化， 2021 ， 45 （ 20 ）： 1 - 8 .

CAI Ye ， LIU Fang ， CAO Yijia ， et al . Research on low-cost multi-stage high-risk attack strategy for power cyber-physical system ［J］. Automation of Electric Power Systems ， 2021 ， 45 （ 20 ）： 1 - 8 .

王宇，李俊娥，周亮，等 . 针对嵌入式终端安全威胁的电力工控系统自愈体系［J］. 电网技术， 2020 ， 44 （ 9 ）： 3582 - 3594 .

WANG Yu ， LI Jun’e ， ZHOU Liang ， et al . A self-healing architecture for power industrial control systems against security threats to embedded terminals ［J］. Power System Technology ， 2020 ， 44 （ 9 ）： 3582 - 3594 .

KWON Y ， KIM H K ， LIM Y H ， et al . A behavior-based intrusion detection technique for smart grid infrastructure ［C］// IEEE Eindhoven PowerTech， June 29-July 2 ， 2015 ， Eindhoven， Netherlands ： 1 - 6 .

张嘉誉，章坚民，杨才明，等 . 基于信息物理融合的智能变电站过程层网络异常流量检测［J］. 电力系统自动化， 2019 ， 43 （ 14 ）： 173 - 181 .

ZHANG Jiayu ， ZHANG Jianmin ， YANG Caiming ， et al . Abnormal traffic detection on process layer network of smart substation based on cyber physical fusion ［J］. Automation of Electric Power Systems ， 2019 ， 43 （ 14 ）： 173 - 181 .

杨挺，侯昱丞，赵黎媛，等 . 基于时-频域混合特征的变电站通信网异常流量检测方法［J］. 电力系统自动化， 2020 ， 44 （ 16 ）： 79 - 86 .

YANG Ting ， HOU Yucheng ， ZHAO Liyuan ， et al . Abnormal traffic detection method of substation communication network based on time-frequency domain mixed features ［J］. Automation of Electric Power Systems ， 2020 ， 44 （ 16 ）： 79 - 86 .

刘亚丽，孟令愚，丁云峰 . 电网工控系统流量异常检测的应用与算法改进［J］. 计算机系统应用， 2018 ， 27 （ 3 ）： 173 - 178 .

LIU Yali ， MENG Lingyu ， DING Yunfeng . Application and algorithm improvement of abnormal traffic detection in smart grid industrial control system ［J］. Computer Systems & Applications ， 2018 ， 27 （ 3 ）： 173 - 178 .

WANG W P ， WANG Z R ， ZHOU Z F ， et al . Anomaly detection of industrial control systems based on transfer learning ［J］. Tsinghua Science and Technology ， 2021 ， 26 （ 6 ）： 821 - 832 .

舒斐，陈涛，王斌，等 . 一种基于DBN-RF的电网工控系统异常识别方法［J］. 计算机工程， 2020 ， 46 （ 11 ）： 35 - 41 .

SHU Fei ， CHEN Tao ， WANG Bin ， et al . An anomaly identification method for power grid industrial control system based on DBN-RF ［J］. Computer Engineering ， 2020 ， 46 （ 11 ）： 35 - 41 .

李佳玮，吴克河，张波 . 基于高斯混合聚类的电力工控系统异常检测研究［J］. 信息网络安全， 2021 ， 21 （ 3 ）： 53 - 63 .

LI Jiawei ， WU Kehe ， ZHANG Bo . Research on anomaly detection of power industrial control system based on Gaussian mixture clustering ［J］. Netinfo Security ， 2021 ， 21 （ 3 ）： 53 - 63 .

YANG Y ， XU H Q ， GAO L ， et al . Multidimensional intrusion detection system for IEC 61850-based SCADA networks ［J］. IEEE Transactions on Power Delivery ， 2017 ， 32 （ 2 ）： 1068 - 1078 .

YANG Y ， MCLAUGHLIN K ， LITTLER T ， et al . Rule-based intrusion detection system for SCADA networks ［C］// 2nd IET Renewable Power Generation Conference （RPG 2013）， September 9-11 ， 2013 ， Beijing， China ： 1 - 4 .

YANG Y ， MCLAUGHLIN K ， LITTLER T ， et al . Intrusion Detection System for IEC 60870-5-104 based SCADA networks ［C］// IEEE Power & Energy Society General Meeting ， July 21-25 ， 2013 ， Vancouver， Canada ： 1 - 5 .

王海翔，朱朝阳，王宇，等 . 基于业务逻辑的电力业务报文攻击识别方法［J］. 电力自动化设备， 2020 ， 40 （ 8 ）： 217 - 226 .

WANG Haixiang ， ZHU Chaoyang ， WANG Yu ， et al . Identification method of power service packet attacks based on service logic ［J］. Electric Power Automation Equipment ， 2020 ， 40 （ 8 ）： 217 - 226 .

陶士全，王自成，李广华，等 . 基于IEC 62351的安全通信对站控层通信性能的影响［J］. 电力系统自动化， 2018 ， 42 （ 23 ）： 155 - 158 .

TAO Shiquan ， WANG Zicheng ， LI Guanghua ， et al . Effect of IEC 62351 based security communication on communication performance of station level ［J］. Automation of Electric Power Systems ， 2018 ， 42 （ 23 ）： 155 - 158 .

肖勇，钱斌，蔡梓文，等 . 电力物联网终端非法无线通信链路检测方法［J］. 电工技术学报， 2020 ， 35 （ 11 ）： 2319 - 2327 .

XIAO Yong ， QIAN Bin ， CAI Ziwen ， et al . Malicious wireless communication link detection of power Internet of Thing devices ［J］. Transactions of China Electrotechnical Society ， 2020 ， 35 （ 11 ）： 2319 - 2327 .

南东亮，王维庆，张路，等 . 广域型保护控制设备分布式协同测试技术研究与应用［J］. 电力系统保护与控制， 2021 ， 49 （ 10 ）： 155 - 161 .

NAN Dongliang ， WANG Weiqing ， ZHANG Lu ， et al . Research and application of distributed collaborative test technology for wide-area protection and control equipment ［J］. Power System Protection and Control ， 2021 ， 49 （ 10 ）： 155 - 161 .

姜伟伟，刘光杰，戴跃伟 . 基于Snort的Modbus TCP工控协议异常数据检测规则设计［J］. 计算机科学， 2015 ， 42 （ 11 ）： 212 - 216 .

JIANG Weiwei ， LIU Guangjie ， DAI Yuewei . Design of Modbus TCP industrial control network protocol abnormal data detection rules based on Snort ［J］. Computer Science ， 2015 ， 42 （ 11 ）： 212 - 216 .

李满礼，倪明，颜云松，等 . 面向恶意攻击的安全稳定控制系统信息物理协调防御方法［J］. 电力系统自动化， 2021 ， 45 （ 18 ）： 113 - 121 .

LI Manli ， NI Ming ， YAN Yunsong ， et al . Cyber-physical coordinated defense method against malicious attacks for security and stability control system ［J］. Automation of Electric Power Systems ， 2021 ， 45 （ 18 ）： 113 - 121 .

HONG J ， LIU C C ， GOVINDARASU M . Integrated anomaly detection for cyber security of the substations ［J］. IEEE Transactions on Smart Grid ， 2014 ， 5 （ 4 ）： 1643 - 1653 .

Views

下载量

CSCD

Alert me when the article has been cited

提交

Tools

Publicity Resources

Detection of High-stealth False Remote Control Command Injection Attacks on Power Industrial Control Systems

Related Author

SONG Yufei

ZHENG Haofeng

LIU Xuan

WANG Wenbo

Related Institution

No data

⁰