一种基于iec62351的过程层安全测试系统及方法
【技术领域】
[0001]本发明涉及电力工程，调试领域，特别是涉及面向电力业务过程层安全领域，具体来说涉及一种基于IEC62351的过程层安全测试方法及系统。
【背景技术】
[0002]随着智能化变电站的不断普及推广，电力系统信息化及自动化程度不断提高。但是协议安全性的缺失使得攻击者一旦绕过外围的物理防护措施，直接进入调度中心或变电站内部，就可直接通过通信协议实现对现场设备的控制。安全性、安全防护和可靠性始终是电力行业中系统设计和运行的重要问题。基于IEC 62351协议安全改造对防范以上风险取到了非常重要的作用。
[0003]目前，基于IEC61850协议安全改造工作己处于实验验证阶段，但仍然缺乏有效的针对性测试手段。
【发明内容】
[0004]本发明的目的在于提供一种有效验证过程层网络设备是否具备防篡改、防重放的安全功能的基于IEC62351的过程层安全测试系统。
[0005]本发明的目的通过以下技术方案实现:
[0006]一种基于IEC62351的过程层安全测试系统，由以下几个模块组成:人机界面Π，报文编辑模块，存储模块，SCD (即全站系统配置文件)解析模块，通讯模块；
[0007]所述人机界面U1:用于同测试人员交互，完成编辑报文，导入S⑶文件，调用/保存测试用例，控制发包；
[0008]所述报文编辑模块:所述配置基于IEC62351规约的GOOSE/SV报文的过程为:用户提供一组私钥，所述报文编辑模块根据该私钥完成对报文的签名，并生成对应的公钥以便提供给待测设备使用，接着，所述报文编辑模块结合用户输入的私钥信息将GOOSE/SV报文转换成符合IEC62351规约的报文；
[0009]所述存储模块:用于存储通过人机界面Π导入的SCD文件、用户在报文编辑模块中所编辑的报文及报文对应的私钥及公钥信息、测试用例；
[0010]所述S⑶解析模块:接收从所述人机界面Π中导入的S⑶文件后，所述S⑶解析模块完成对SCD文件的分析，所述对SCD文件的分析过程如下:提取SCD文件中所有过程层设备信息，以及每个过程层设备接收、发送的GOOSE/SV报文结构信息，再将结果传递给所述报文编辑模块，以便报文编辑模块在编辑报文时调用；所述SCD解析模块的结果将传递给所述报文编辑模块，以便所述报文编辑模块在编辑报文时调用；
[0011]所述通讯模块:用于发送或接收GOOSE/SV报文。
[0012]所述将GOOSE/SV报文转换成符合IEC62351规约的报文的具体过程是:对基于IEC61850规约报文尾部进行扩展以及对基于IEC61850规约报文中的保留字段进行扩展:
[0013]所述对基于IEC61850规约的GOOSE/SV报文尾部进行扩展，包含三个部分:
[0014]Reserved字段:保留用于未来的扩展；
[0015]Private字段:用于厂商内部的私有信息传递；
[0016]Authenticat1nValue 字段:为数字签名；
[0017]所述对基于IEC61850规约的G00SE/SV报文中的保留字段进行扩展包括:
[0018]使用“保留I”字段保存G00SE/SV报文尾部扩展部分字段长度:在完成上述的“基于IEC61850规约的G00SE/SV报文尾部扩展”后，计算尾部扩展内容的长度，并将长度值填入所述“保留I”字段中；
[0019]使用“保留2”字段存放根据TPID、TC1、EtherType和APPID四项字段共8个字节所产生的CRC校验值:获取用户在人机界面UI中填写的TPID、TC1、EtherType和APPID四项字段内容，并将这四项字段内容作为输入采用CRC16算法计算，将计算结果填充到“保留2”字段中。
[0020]所述Authenticat1nValue字段的数字签名算法如下:
[0021]对IEC61850规约的G00SE/SV报文的指定字段使用SHA-256哈希算法计算，获得一个消息鉴别码，并使用RSA签名算法对所述消息鉴别码进行数字签名。
[0022]所述指定字段是指G00SE/SV报文中的:EtherType、APPID、length、保留1、保留2、APDU、报文尾部扩展字段中的Reserved字段，Private字段。
[0023]本发明的另一发明目的在于提供一种基于IEC62351的过程层安全测试系统的测试方法步骤如下:
[0024]I)通过所述人机界面UI导入S⑶文件后，所述S⑶解析模块完成对S⑶文件分析；提取SCD文件中所有过程层设备信息以及每个过程层设备接收、发送的G00SE/SV报文结构信息；从而得知待测设备接收的所有G00SE/SV报文信息；
[0025]2)通过所述报文编辑模块构建所有S⑶文件中定义的待测设备接收的G00SE/SV攻击报文；构建报文时，用户通过所述人机界面Π输入一组私钥信息，所述报文编辑模块通过此私钥给报文签名，并生成对应的公钥；
[0026]通过所述报文编辑模块构建两种类型G00SE/SV攻击报文:篡改攻击报文和重放攻击报文:
[0027]所述篡改攻击报文的构建包括如下两种方式:
[0028]1.1)通过所述报文编辑模块构建符合IEC62351规约G00SE/SV报文:报文构建完成后，在人机界面Π中通过再次调用报文编辑模块对G00SE/SV报文中的TPID, TCI, EtherType, APPID任意一字段作出修改，使报文存在“校验错误”；
[0029]1.2)通过所述报文编辑模块构建符合IEC62351规约的G00SE/SV报文，报文构建完成后，在人机界面Π中通过报文编辑模块对G00SE/SV报文中的length、保留1、保留2、APDU、报文尾部扩展字段中的Reserved字段，Private字段修改，使报文存在“签名错误”；
[0030]所述重放攻击报文的构建方式如下:
[0031]通过所述报文编辑模块构建符合IEC62351规约G00SE/SV报文，报文构建完成后，在人机界面Π中通过报文编辑模块对报文中的“事件时间”段作出修改，使报文中的“事件时间”跟当前实际时间相差2分钟以上，当待测设备收到此类报文时，应该判重复的报文而将报文丢弃，
[0032]3)通过所述通讯模块分别将以上两种类型G00SE/SV攻击报文发送到待测设备，以验证待测设备是否做出正确处理。
[0033]本发明对比现有技术，有如下优点:
[0034]1、可以模拟GOOSE/SMV报文篡改攻击。
[0035]2、可以模拟GOOSE/SMV重放攻击。
[0036]3、可以同时模拟变电站多间隔过程层报文。同时对多个二次设备模拟攻击。
【附图说明】
[0037]图1为本发明的测试系统模块结构图；
[0038]图2为本发明的测试设备连接图。
【具体实施方式】
[0039]如图1所示，一种基于IEC62351的过程层安全测试系统，由以下几个模块组成:人机界面Π，报文编辑模块，存储模块，SCD(即全站系统配置文件)解析模块，通讯模块；
[0040]所述人机界面U1:用于同测试人员交互，可以完成编辑报文，导入SCD文件，调用/保存测试用例，控制发包等操作。
[0041]所述报文编辑模块:用于用户通过人机界面配置基于IEC61850规约的GOOSE/SV报文。报文编辑界面会提示用户填写一组私钥，私钥内容可以为任意的一组字符。所述报文编辑模块在对基于IEC61850规约的过程层报文的编码的基础上，增加了对GOOSE/SV报文校验及签名算法，使GOOSE/SV报文符合IEC62351规约。并在人机界面Π中输出GOOSE/SV报文的公钥信息。公钥信息也会存储于下文的存储模块中。所述配置基于IEC62351规约的G00SE/SV报文的过程为:用户提供一组私钥，所述报文编辑模块根据该私钥完成对报文的签名，并生成对应的公钥以便提供给待测设备使用，接着，所述报文编辑模块会结合用户输入的私钥信息将G00SE/SV报文转换成符合IEC62351规约的报文，具体转换过程为对基于IEC61850规约报文尾部进行扩展以及对基于IEC61850规约报文中的保留字段进行扩展。
[0042]所述对基于IEC61850规约的GOOSE/SV报文尾部进行扩展，包含三个部分:
[0043]Reserved字段:保留用于未来的扩展；
[0044]Private字段:用于厂商内部的私有信息传递；
[0045]Authenticat1nValue字段:为数字签名，数字签名算法如下:
[0046]对IEC61850规约的G00SE/SV报文的指定字段使用SHA-256哈希算法计算，获得一个消息鉴别码(MAC)，并使用RSA签名算法对MAC进行数字签名。所述指定字段是指G00SE/SV报文中的:EtherType、APPID、length、保留1、保留2、APDU、报文尾部扩展字段中的 Reserved 字段，Private 字段。
[0047]所述对基于IEC61850规约的G00SE/SV报文中的保留字段进行扩展包括:
[0048]使用“保留I”字段保存G00SE/SV报文尾部扩展部分字段长度:在完成上述的“基于IEC61850规约的G00SE/SV报文尾部扩展”后，计算尾部扩展内容的长度，并将长度值填入所述“保留I”字段中。
[0049]使用“保留2”字段存放根据TPID、TC1、EtherType和APPID四项字段共8个字节所产生的CRC校验值:获取用户在人机界面UI中填写的TPID、TC1、EtherType和APPID四项字段内容，并将这四项字段内容作为输入采用CRC16算法计算，将计算结果填充到“保留2”字段中。
[0050]所述报文编辑模块有相应的报文编辑界面。此界面是人机界面UI的一个子菜单。在基于IEC62351规约报文通讯中，GOOSE/SV报文发送方使用自己的私钥对报文签名，报文接收方使用报文发送方提供的公钥对报文解签。
[0051]所述存储模块:用于存储通过人机界面Π导入的SCD文件、用户在报文编辑模块中所编辑的报文及报文对应的私钥及公钥信息、测试用例。
[0052]所述S⑶解析模块:接收从所述人机界面Π中导入的S⑶文件后，所述S⑶解析模块完成对SCD文件的分析，所述对SCD文件的分析过程如下:提取SCD文件中所有过程层设备信息，以及每个过程层设备接收、发送的GOOSE/S