一种电力通信网络的流量检测方法和系统与流程

1.本发明涉及电力通信技术领域，特别是指一种电力通信网络的流量检测方法和系统。


背景技术：

2.电力通信网网络是为了保证电力系统的安全稳定运行而应运而生的。它同电力系统的继电保护及安全稳定控制系统、调度自动化系统被人们合称为电力系统安全稳定运行的三大支柱。目前，它更是电网调度自动化、网络运营市场化和管理现代化的基础，是确保电网安全、稳定、经济运行的重要手段。最近越来越多的网络应用会非法的利用未经授权的端口或者未经允许加密隐藏传输流量数据，当电力通信网络中碰到恶意的网络应用程序时，将会面临巨大的信息安全隐患。
3.由于电力通信网网络的骨干网络的动态变化非常大，而且数据流量的规模也非常大，导致在利用传统的统计数据方法的计算量非常的大，检测起来非常困难，且难以对恶意流量进行标记，因此需要一种电力通信网络的流量检测方案对流量进行监控。


技术实现要素：

4.有鉴于此，本发明的目的在于提出一种电力通信网络的流量检测方法和系统，能够降低检测的计算量，且能够检测出异常流量进行记录，以便于异常网络流量再次进入时，能够立马阻止其访问，阻断恶意流量再次进入。
5.基于上述目的，本发明提供一种电力通信网络的流量检测方法，包括：
6.确定电力通信网络中网络流量数据流经的网络节点，以及每个网络节点的连接行为特征；
7.基于确定的网络节点的连接行为特征，得到网络节点的网络流量连接图；
8.根据得到的网络流量连接图检测出异常流量。
9.可选的，所述网络流量连接图为多种，包括：
10.分布曲线图、rcc曲线图以及等值分布线图。
11.可选的，所述根据得到的网络流量连接图检测出异常流量，具体包括：
12.提取当前得到的网络流量连接图的特征参数；
13.将提取的特征参数与正常情况下网络节点网络流量连接图的特征参数进行比较；
14.根据比较结果检测出异常流量。
15.可选的，在所述根据得到的网络流量连接图检测出异常流量后，还包括：
16.将检测出的异常流量的信息记录到黑名单中，将正常流量的信息记录到白名单中。
17.本发明还提供一种电力通信网络的流量检测系统，包括：检测模块；其中，所述检测模块包括如下单元：
18.网络节点确定单元，用于确定电力通信网络中网络流量数据流经的网络节点；
19.连接行为特征确定单元，用于确定每个网络节点的连接行为特征；
20.网络流量连接图确定单元，用于基于确定的网络节点的连接行为特征，得到网络节点的网络流量连接图；
21.异常流量检测单元，用于根据得到的网络流量连接图检测出异常流量。
22.本发明还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其中，所述处理器执行所述程序时实现如上所述的电力通信网络的流量检测方法。
23.本发明的技术方案中，确定电力通信网络中网络流量数据流经的网络节点，以及每个网络节点的连接行为特征；基于确定的网络节点的连接行为特征，得到网络节点的网络流量连接图；根据得到的网络流量连接图检测出异常流量。通过获取网络流量数据流经的网络节点的连接行为特征，利用连接行为特征成图进行分析，相比于现有技术对于整个网络的流量数据进行统计检测，获取网络中网络节点的连接行为特征能有效降低网络连接的复杂程度，从而简化网络的规模，降低检测的计算量，且能够对黑名单的异常网络流量进行记录，当异常网络流量再次进入时，能够立马阻止其访问。
附图说明
24.为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
25.图1为本发明实施例提供的一种电力通信网络的流量检测方法流程图；
26.图2为本发明实施例提供的一种电力通信网络的流量检测系统的内部结构框图；
27.图3a为本发明实施例提供的流量信息收集端的内部结构框图；
28.图3b为本发明实施例提供的流量采集模块所采集的信息的示意图；
29.图3c为本发明实施例提供的解析流量监控模块解析出的信息的示意图；
30.图4为本发明实施例提供的检测模块的内部结构框图；
31.图5为本发明实施例提供的流量信息管理端的内部结构框图；
32.图6为本发明实施例提供的一种电子设备硬件结构示意图。
具体实施方式
33.为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明进一步详细说明。
34.需要说明的是，除非另外定义，本发明实施例使用的技术术语或者科学术语应当为本公开所属领域内具有一般技能的人士所理解的通常意义。本公开中使用的“第一”、“第二”以及类似的词语并不表示任何顺序、数量或者重要性，而只是用来区分不同的组成部分。“包括”或者“包含”等类似的词语意指出现该词前面的元件或者物件涵盖出现在该词后面列举的元件或者物件及其等同，而不排除其他元件或者物件。“连接”或者“相连”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电性的连接，不管是直接的还是间接的。“上”、“下”、“左”、“右”等仅用于表示相对位置关系，当被描述对象的绝对位置改变
后，则该相对位置关系也可能相应地改变。
35.下面结合附图详细说明本发明实施例的技术方案。
36.本发明实施例提供的一种电力通信网络的流量检测方法，具体流程如图1所示，包括如下步骤：
37.步骤s101：确定电力通信网络中网络流量数据流经的网络节点。
38.具体地，网络节点则是指流量数据经过的一些具有数据收发功能的站点，例如，可以是路由器、服务器以及个人电脑等，因此在网络节点上是有许多的收发端口，用来按照协议要求接收以及发送各种应用产生的流量数据。本步骤中，可以从电力通信网络中获取的网络流量数据确定这些网络流量数据流经的网络节点。
39.步骤s102：确定每个网络节点的连接行为特征。
40.具体地，由于在骨干网络中，每一个网络节点的网络连接设备，例如路由器以及服务器等性能存在差异，因此在骨干网络中的每一个网络节点的连接行为特征是不一样的；所谓的连接行为特征，包括：网络连接设备的连接端口的数量，连接下一个节点的端口、端口的数量以及连接的方式，流量数据在网络节点之间转发的方向、速度以及流量数据包的大小、分组数量以及转发时延等。
41.步骤s103：基于确定的网络节点的连接行为特征，得到网络节点的网络流量连接图。
42.具体地，在网络流量连接图的成图过程中，可以选取网络节点的连接行为特征的一部分进行成图，因此，可以生成多种网络流量连接图，例如分布曲线图、rcc(richclubconnectivity，丰富的实验室连接)曲线图以及等值分布线图等等。生成的这些网络流量连接图都基于网络节点的连接行为特征，当有异常状态的流量流经网络节点时，所生成的网络流量连接图就能够非常直观的反应网络节点的异常流量。
43.利用网络节点的连接行为特征计算出网络流量连接图的过程，是可以通过对网络节点的整体统计以及分析的计算方法得出，利用算法找出网络节点连接结构中的局部细节，然后进行整体统计。对整体统计的细节进行算法分析，分析局部细节中网络节点以及网络边的变化，从而得到网络节点的特征，最终根据这些特征得到网络流量连接图。
44.步骤s104：根据得到的网络流量连接图检测出异常流量。
45.由于网络流量连接图是基于分析网络节点连接的局部细节而得出的，因此网络流量连接图相对于网络节点的变化是较为敏感的，在网络节点中流经的流量数据包的大小、分组数量、方向以及转发时延等变化都会直接影响网络流量连接图，因此通过网络流量连接图可以判断网络节点的流量是否异常。
46.因此，本步骤中，可以提取当前得到网络流量连接图的特征参数，进而将提取的特征参数与正常情况下网络节点网络流量连接图的特征参数进行比较，根据比较结果检测出异常流量：若比较结果中存在网络节点的流量的变化符合了预设的异常流量条件，则判断出该网络节点出现异常流量。
47.具体地，可以利用算法进行网络流量连接图的特征参数的提取，然后与正常情况下网络节点网络流量连接图的特征参数进行比较，从而判断网络节点的流量是否异常。其中算法可以利用一些编程语言来实现，例如java语言，或者一些算法软件如matlab等，获得的局部细节是一些可以从网络流量连接图中能够反映网络节点收发流量数据的方向、数据
包大小、分组数量以及转发时延等的特征参数，例如网络流量连接图的平均度、最大度数比、方向性、最大连通片大小、深度、节点度分布、富连接性以及联合度分布，此外，由于网络流量连接图是基于分析网络节点连接的局部细节而得出的，因此网络流量连接图相对于网络节点的变化是较为敏感的，在网络节点中流经的流量数据包的大小、分组数量、方向以及转发时延等变化都会直接影响网络流量连接图，因此通过网络流量连接图可以判断网络节点的流量是否异常。
48.由于在骨干网络中产生异常流量的异常网络节点可能会比较多，按照权重等级进行网络连接图的显示可以使异常流量的监控工作更加有效率。
49.网络流量连接图的显示可以利用计算机软件结合语言来进行显示。
50.此外，在判断网络流量为异常时，能够及时的将异常的网络流量，即异常流量的信息标记到黑名单中，并将正常的网络流量，即正常流量的信息标记到白名单中。在显示时，可以根据颜色的不同来进行不同权重等级网络节点网络流量连接图的显示，例如权重等级较高的服务器节点的网络流量连接图利用红色显示。
51.基于上述的电力通信网络的流量检测方法，本发明实施例提供的一种电力通信网络的流量检测系统，内部结构如图2所示，包括：流量信息收集端201和流量信息管理端202。
52.其中，流量信息收集端201用于收集和处理电力通信网络中的网络流量数据；
53.流量信息管理端202用于接收并处理流量信息收集端201所传输的流量信息。
54.如图3a所示，流量信息收集端201中可以包括：流量采集模块301、流量解析模块302、检测模块303，以及数据库304；
55.其中，流量采集模块301用于采集所述电力通信网络中的网络流量数据；流量采集模块301还可将采集的网络流量数据存储到数据库304中；具体地，如图3b所示，流量采集模块301可以采集监控网络流量中的源ip地址、访问开始时间和结束时间、访问路径、协议类型、目标ip和目标端口、流量大小以及线性、阀值和特征信息，这些信息都会实时的传送到数据库中进行记录和备份。
56.流量解析模块302用于对采集的网络流量数据进行解析；流量解析模块302还可将解析结果存储到数据库304中；具体地，如图3c所示，流量解析模块302用于解析流量监控模块中得到的网络节点信息、连接行为特征信息、单位时间内按源ip统计的流量数据、单位时间内按目的ip统计的流量数据、单位时间内按协议类型统计的流量数据和单位时间内按目的端口统计的流量数据；需要说明的是，网络节点信息、连接行为特征信息、单位时间内按源ip统计的流量数据、单位时间内按目的ip统计的流量数据、单位时间内按协议类型统计的流量数据和单位时间内按目的端口统计的流量数据都会实时的传输到数据库中进行记录和备份并进行汇总，进而当异常网络流量再次进入时，能够立马阻止其访问。
57.检测模块303用于根据流量解析模块302的解析结果，检测出异常流量。具体地，如图4所示，检测模块303可包括如下单元：
58.网络节点确定单元401用于确定电力通信网络中网络流量数据流经的网络节点；
59.连接行为特征确定单元402用于确定每个网络节点的连接行为特征；
60.网络流量连接图确定单元403用于基于确定的网络节点的连接行为特征，得到网络节点的网络流量连接图；
61.异常流量检测单元404用于根据得到的网络流量连接图检测出异常流量：提取当
前得到的网络流量连接图的特征参数；将提取的特征参数与正常情况下网络节点网络流量连接图的特征参数进行比较；根据比较结果检测出异常流量。
62.进一步，异常流量检测单元404还可将检测出的异常流量的信息记录到数据库304的黑名单中，将正常流量的信息记录到数据库304的白名单中。
63.如图5所示，上述的流量信息管理端202可以包括白名单列表、黑名单列表、报警模块、数据查询模块和管理员管理模块；
64.流量信息管理端202通过api可以获取数据库中的流量信息，进而将数据库中的白名单和黑名单中的数据能够实时的传输到流量信息管理端202的白名单列表和黑名单列表中；进而黑名单中流量进入的访问路径、源ip地址和协议类型等具体信息会被标记，使得下次黑名单中标记的访问路径会被阻断。
65.当数据库中的黑名单信会传输到流量信息管理端中的黑名单列表中，此时报警模块可以对异常流量进行告警，会实时显示报警信息，显示异常流量的源ip地址、访问开始时间和结束时间、访问路径、协议类型、目标ip和目标端口、流量大小以及线性、阀值和特征信息，并对其访问路径、协议类型、目标ip和目标端口进行标记。
66.通过api能够将数据库中的流量信息传输到流量信息管理端中，进而判断模块中的存储在白名单和黑名单中的数据能够实时的传输到白名单列表和黑名单列表中，进而黑名单中流量进入的访问路径、源ip地址和协议类型等具体信息会被标记，使得下次黑名单中标记的访问路径会被阻断。
67.数据查询模块可以用于对数据库中存储的数据进行查询；
68.管理员管理模块可以用于根据报警模块的告警，进行相应的管理操作。
69.图6示出了本实施例所提供的一种更为具体的电子设备硬件结构示意图，该设备可以包括：处理器1010、存储器1020、输入/输出接口1030、通信接口1040和总线1050。其中处理器1010、存储器1020、输入/输出接口1030和通信接口1040通过总线1050实现彼此之间在设备内部的通信连接。
70.处理器1010可以采用通用的cpu(central processing unit，中央处理器)、微处理器、应用专用集成电路(application specific integrated circuit，asic)、或者一个或多个集成电路等方式实现，用于执行相关程序，以实现本发明实施例所提供的一种针对电力通信网络的流量检测方法。
71.存储器1020可以采用rom(read only memory，只读存储器)、ram(random access memory，随机存取存储器)、静态存储设备，动态存储设备等形式实现。存储器1020可以存储操作系统和其他应用程序，在通过软件或者固件来实现本说明书实施例所提供的技术方案时，相关的程序代码保存在存储器1020中，并由处理器1010来调用执行。
72.输入/输出接口1030用于连接输入/输出模块，以实现信息输入及输出。输入输出/模块可以作为组件配置在设备中(图中未示出)，也可以外接于设备以提供相应功能。其中输入设备可以包括键盘、鼠标、触摸屏、麦克风、各类传感器等，输出设备可以包括显示器、扬声器、振动器、指示灯等。
73.通信接口1040用于连接通信模块(图中未示出)，以实现本设备与其他设备的通信交互。其中通信模块可以通过有线方式(例如usb、网线等)实现通信，也可以通过无线方式(例如移动网络、wifi、蓝牙等)实现通信。
74.总线1050包括一通路，在设备的各个组件(例如处理器1010、存储器1020、输入/输出接口1030和通信接口1040)之间传输信息。
75.需要说明的是，尽管上述设备仅示出了处理器1010、存储器1020、输入/输出接口1030、通信接口1040以及总线1050，但是在具体实施过程中，该设备还可以包括实现正常运行所必需的其他组件。此外，本领域的技术人员可以理解的是，上述设备中也可以仅包含实现本发明实施例方案所必需的组件，而不必包含图中所示的全部组件。
76.本发明的技术方案中，确定电力通信网络中网络流量数据流经的网络节点，以及每个网络节点的连接行为特征；基于确定的网络节点的连接行为特征，得到网络节点的网络流量连接图；根据得到的网络流量连接图检测出异常流量。通过获取网络流量数据流经的网络节点的连接行为特征，利用连接行为特征成图进行分析，相比于现有技术对于整个网络的流量数据进行统计检测，获取网络中网络节点的连接行为特征能有效降低网络连接的复杂程度，从而简化网络的规模，降低检测的计算量，且能够对黑名单的异常网络流量进行记录，当异常网络流量再次进入时，能够立马阻止其访问。
77.本实施例的计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(pram)、静态随机存取存储器(sram)、动态随机存取存储器(dram)、其他类型的随机存取存储器(ram)、只读存储器(rom)、电可擦除可编程只读存储器(eeprom)、快闪记忆体或其他内存技术、只读光盘只读存储器(cd-rom)、数字多功能光盘(dvd)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。
78.所属领域的普通技术人员应当理解：以上任何实施例的讨论仅为示例性的，并非旨在暗示本公开的范围(包括权利要求)被限于这些例子；在本发明的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，步骤可以以任意顺序实现，并存在如上所述的本发明的不同方面的许多其它变化，为了简明它们没有在细节中提供。
79.另外，为简化说明和讨论，并且为了不会使本发明难以理解，在所提供的附图中可以示出或可以不示出与集成电路(ic)芯片和其它部件的公知的电源/接地连接。此外，可以以框图的形式示出装置，以便避免使本发明难以理解，并且这也考虑了以下事实，即关于这些框图装置的实施方式的细节是高度取决于将要实施本发明的平台的(即，这些细节应当完全处于本领域技术人员的理解范围内)。在阐述了具体细节(例如，电路)以描述本发明的示例性实施例的情况下，对本领域技术人员来说显而易见的是，可以在没有这些具体细节的情况下或者这些具体细节有变化的情况下实施本发明。因此，这些描述应被认为是说明性的而不是限制性的。
80.尽管已经结合了本发明的具体实施例对本发明进行了描述，但是根据前面的描述，这些实施例的很多替换、修改和变型对本领域普通技术人员来说将是显而易见的。例如，其它存储器架构(例如，动态ram(dram))可以使用所讨论的实施例。
81.本发明的实施例旨在涵盖落入所附权利要求的宽泛范围之内的所有这样的替换、修改和变型。因此，凡在本发明的精神和原则之内，所做的任何省略、修改、等同替换、改进等，均应包含在本发明的保护范围之内。