電力系統(tǒng)通信網(wǎng)是國家專用通信網(wǎng)之一，是電力系統(tǒng)不可缺少的重要組成部分，是電網(wǎng)調(diào)度自動化、電網(wǎng)運營市場化和電網(wǎng)管理信息化的基礎(chǔ)，是確保電網(wǎng)安全、穩(wěn)定、經(jīng)濟運行的重要手段。電力系統(tǒng)通信網(wǎng)的任務(wù)是為電網(wǎng)生產(chǎn)運行、管理、基本建設(shè)等方面服務(wù)，主要功能應(yīng)滿足調(diào)度電話、行政電話、電網(wǎng)自動化、繼電保護、安全自動裝置、計算機聯(lián)網(wǎng)、傳真、圖像傳輸?shù)雀鞣N業(yè)務(wù)的需要。

本文介紹了信而泰網(wǎng)絡(luò)回溯分析平臺如何通過全流量回溯分析技術(shù)，助力電力行業(yè)實現(xiàn)網(wǎng)絡(luò)故障的快速定位、安全威脅的實時發(fā)現(xiàn)與工控業(yè)務(wù)的精準(zhǔn)監(jiān)測，為保障電網(wǎng)安全穩(wěn)定運行提供了一套高效的解決方案。

網(wǎng)絡(luò)安全可靠是電力通信網(wǎng)的運維保障工作重中之重，圍繞著加強電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全、保證電力安全生產(chǎn)等方面，采取了許多有效措施保障各業(yè)務(wù)順利開展，防止病毒傳播和入侵攻擊，總結(jié)如下：

網(wǎng)絡(luò)故障點實時監(jiān)測和快速定位

隨著智能電網(wǎng)等先進業(yè)務(wù)開展，網(wǎng)絡(luò)業(yè)務(wù)規(guī)模越來越大，網(wǎng)絡(luò)流量組成也愈發(fā)多樣化，網(wǎng)絡(luò)中斷或業(yè)務(wù)性能故障也隨之經(jīng)常出現(xiàn)。這些中斷可能會影響到數(shù)以萬計的普通用戶的用電安全，是關(guān)系國計民生的大事。

當(dāng)前，針對業(yè)務(wù)部門反饋的網(wǎng)絡(luò)中斷問題，多數(shù)網(wǎng)絡(luò)運維人員依然使用ping工具來測量端到端的網(wǎng)絡(luò)連通性和延時，當(dāng)出現(xiàn)網(wǎng)絡(luò)中斷或業(yè)務(wù)故障時，無法快速定位故障點。尤其對偶發(fā)的網(wǎng)絡(luò)故障，由于缺乏有力回溯分析工具，故障定位費時費力，往往歷經(jīng)數(shù)月也無法解決問題。例如，某省級電力單位的龐大網(wǎng)絡(luò)中，網(wǎng)絡(luò)阻塞，網(wǎng)絡(luò)時斷時續(xù)甚至無法上網(wǎng)等情況都是經(jīng)常發(fā)生。在出現(xiàn)網(wǎng)絡(luò)故障時，往往要花費較長時間來解決問題，有時雖然解決了問題，但也不知道具體原因。

防范系統(tǒng)漏洞利用和網(wǎng)絡(luò)攻擊事件

以蠕蟲病毒為代表的系統(tǒng)漏洞利用，也常在電力通信網(wǎng)內(nèi)部肆虐。這些蠕蟲病毒傳播雖然由于專網(wǎng)的物理隔離，避免信息泄密等高風(fēng)險事件，但產(chǎn)生的端口掃描及ARP掃描流量往往對業(yè)務(wù)性能產(chǎn)生影響，進而降低網(wǎng)絡(luò)效能，對電力安全生產(chǎn)造成嚴(yán)重影響。此外，互聯(lián)網(wǎng)網(wǎng)絡(luò)安全狀況日趨嚴(yán)峻，攻擊數(shù)量越來越多，攻擊方式越來越復(fù)雜，越難以發(fā)現(xiàn)，亟需從網(wǎng)絡(luò)流量痕跡進行行為審計，及時發(fā)現(xiàn)異常網(wǎng)絡(luò)流量，對未知攻擊進行識別和取證。

核心功能

信而泰網(wǎng)絡(luò)回溯分析平臺實現(xiàn)了軟件和硬件的完美結(jié)合，在單一的硬件平臺上實現(xiàn)了網(wǎng)絡(luò)全流量采集分析和留存，實時網(wǎng)絡(luò)及應(yīng)用性能監(jiān)測和調(diào)查取證一體化解決方案，滿足對應(yīng)用程序及其支持基礎(chǔ)架構(gòu)的性能進行可視化管理、故障排除和優(yōu)化、安全事故早期發(fā)現(xiàn)、內(nèi)容審計和調(diào)查取證的需求。

信而泰網(wǎng)絡(luò)回溯分析平臺包括五個核心引擎：

1. 線速捕包引擎，線速捕獲網(wǎng)絡(luò)流量；

2. 海量存儲引擎，高速存儲原始數(shù)據(jù)包；

3. 流水線分析引擎，高性能分析網(wǎng)絡(luò)流量；

4. 數(shù)據(jù)包搜索引擎，快速回溯數(shù)據(jù)包；

5. 數(shù)據(jù)包重組引擎，應(yīng)用數(shù)據(jù)重組和內(nèi)容審計。

基于五個核心功能引擎，提供數(shù)據(jù)查詢和報表服務(wù)，提供歷史分析數(shù)據(jù)，網(wǎng)絡(luò)原始數(shù)據(jù)包，告警日志和應(yīng)用內(nèi)容等類型數(shù)據(jù)的調(diào)查取證。

網(wǎng)絡(luò)數(shù)據(jù)包全流量采集、存儲和分析

信而泰網(wǎng)絡(luò)回溯分析平臺具備長時間、大容量、高性能的數(shù)據(jù)包采集及存儲能力。支持線速的S2D (Stream to Disk)、數(shù)據(jù)包和會話事務(wù)分析能力。數(shù)據(jù)包智能存儲引擎充分發(fā)掘存儲硬件系統(tǒng)的能力。S2D 在較快地排除問題故障方面，減少審計與合規(guī)要求所需的時間方面非常有價值。

信而泰網(wǎng)絡(luò)回溯分析平臺采用業(yè)界先進的多級流水線技術(shù)實時分析數(shù)據(jù)包，支持網(wǎng)絡(luò)數(shù)據(jù)包七層協(xié)議的解碼分析，支持常見應(yīng)用協(xié)議的會話事務(wù)分析，支持常見應(yīng)用協(xié)議的內(nèi)容重現(xiàn)。支持對網(wǎng)絡(luò)連接質(zhì)量，數(shù)據(jù)傳輸質(zhì)量，應(yīng)用服務(wù)質(zhì)量，網(wǎng)絡(luò)安全態(tài)勢進行實時監(jiān)測和預(yù)警，以及事后調(diào)查取證。

信而泰網(wǎng)絡(luò)回溯分析平臺提供多重網(wǎng)絡(luò)分析數(shù)據(jù)，通過不斷地增加功能指標(biāo)和優(yōu)化告警模型，確保告警的準(zhǔn)確度和及時性。用戶無需掌握復(fù)雜和深奧的協(xié)議知識，僅僅簡單五步即可完成對性能故障和安全問題的回溯分析和調(diào)查取證，極大提高診斷效率，提升運維管理水平。

高精度時鐘同步技術(shù)的多段網(wǎng)絡(luò)傳輸質(zhì)量監(jiān)測

信而泰網(wǎng)絡(luò)回溯分析平臺支持基于PTP協(xié)議時鐘同步的多段網(wǎng)絡(luò)傳輸質(zhì)量系統(tǒng)采用統(tǒng)一管理中心和多個分布式網(wǎng)絡(luò)回溯分析設(shè)備協(xié)同工作。

多段網(wǎng)絡(luò)傳輸質(zhì)量監(jiān)測功能，具備以下特性：

1.高精度時鐘同步，滿足亞毫秒級單向時延測量精度要求

2.基于業(yè)務(wù)流的網(wǎng)絡(luò)傳輸路徑管理

3.提供時延、抖動、丟包和連通性等全方位網(wǎng)絡(luò)性能指標(biāo)

4.迅速定位網(wǎng)絡(luò)故障點

5、多傳輸協(xié)議支持（TCP，UDP）

可疑流量實時監(jiān)測與事后回溯取證

信而泰網(wǎng)絡(luò)回溯分析平臺基于流量行為的告警模型，用于檢測和發(fā)現(xiàn)網(wǎng)絡(luò)中行為可疑的連接會話和訪問關(guān)系。利用長期部署和運用的經(jīng)驗總結(jié)，內(nèi)置60個以上預(yù)置告警模板，涵蓋運維保障和安全監(jiān)測兩方面需求，可用于發(fā)現(xiàn)和告警網(wǎng)絡(luò)中出現(xiàn)的性能故障，安全事件和異常流量等，包括：

1.蠕蟲病毒

2.端口掃描

3.TCP SYN DDOS攻擊

4.UDP放大攻擊

5.ARP攻擊

6.異常流量告警

7.可疑應(yīng)用服務(wù)告警

8.網(wǎng)絡(luò)性能故障告警

9.應(yīng)用性能故障告警

10.滲透攻擊實時告警

工控應(yīng)用交易分析和回溯取證

在工業(yè)控制網(wǎng)絡(luò)部署信而泰網(wǎng)絡(luò)回溯分析設(shè)備，幫助用戶及時發(fā)現(xiàn)、報告并處理網(wǎng)絡(luò)攻擊或異常行為，同時要求能夠保護現(xiàn)場，以便進行調(diào)查取證。采用基于全流量采集和實時分析的架構(gòu)，可以為工控系統(tǒng)性能管理和信息安全提供強大技術(shù)手段：

1.全流量采集和存儲，提供數(shù)據(jù)回溯和取證能力

2.實時性能分析和監(jiān)測，掌控關(guān)鍵業(yè)務(wù)的服務(wù)質(zhì)量

3.工控協(xié)議操作指令分析，具備事后回溯和審計能力

4.實時安全監(jiān)測，及時發(fā)現(xiàn)攻擊流量和異常流量

5.實時性能和安全告警，提升主動運維能力

數(shù)據(jù)重組和內(nèi)容重現(xiàn)

信而泰網(wǎng)絡(luò)回溯分析平臺內(nèi)置了功能強大的數(shù)據(jù)包分析引擎(Analyzer)，用于協(xié)議解碼、故障診斷和內(nèi)容重現(xiàn)，提供近2000種協(xié)議解碼，可從數(shù)據(jù)流快速定位到對應(yīng)的數(shù)據(jù)包高級的挖掘?qū)Ш焦δ埽�定位問題快速便捷，支持7種數(shù)據(jù)包過濾器。提供以下協(xié)議的內(nèi)容審計：

1.DNS，重現(xiàn)請求的域名及相應(yīng)的IP地址

2.HTTP，重現(xiàn)請求的URL信息及相應(yīng)的返回碼

3.FTP，重現(xiàn)FTP操作指令

4.TELNET，重現(xiàn)TELNET操作指令

5.SMTP，重現(xiàn)發(fā)送的郵件內(nèi)容

6.POP3，重現(xiàn)接收的郵件內(nèi)容

7.SIP/RTP，重現(xiàn)信令呼叫過程及語音/視頻回放

8.QQ（賬戶關(guān)聯(lián)），重現(xiàn)QQ賬號及對應(yīng)的主機IP地址

信而泰網(wǎng)絡(luò)回溯分析平臺是一種被動網(wǎng)絡(luò)監(jiān)測設(shè)備，通過TAP或鏡像端口等旁路方式接入監(jiān)測網(wǎng)絡(luò)，收集網(wǎng)絡(luò)的使用信息和運行狀況，可實現(xiàn)對網(wǎng)絡(luò)流量進行監(jiān)控、分析和故障診斷。網(wǎng)絡(luò)回溯分析平臺不會對監(jiān)測網(wǎng)絡(luò)產(chǎn)生任何影響，不會被黑客攻擊，能 7*24 小時不間斷地安全工作。常見的部署位置：

1.核心交換機

2.防火墻出口

3.負(fù)載均衡器前置

4.服務(wù)器接入交換機

信而泰網(wǎng)絡(luò)回溯分析平臺能夠為電力通信網(wǎng)絡(luò)安全可靠運行保駕護航：

1.全流量留存及歷史數(shù)據(jù)回溯取證功能為定位偶發(fā)的業(yè)務(wù)故障及安全事件提供真實數(shù)據(jù)證據(jù)，減少故障診斷時間；

2.多段網(wǎng)絡(luò)傳輸質(zhì)量監(jiān)測功能能夠迅速發(fā)現(xiàn)和確定網(wǎng)絡(luò)故障點；

3.可疑流量告警功能能夠及時發(fā)現(xiàn)和告警進行中的網(wǎng)絡(luò)攻擊事件；

4.工控應(yīng)用分析功能能夠發(fā)現(xiàn)和告警業(yè)務(wù)故障和事后操作審計；

5.全流量數(shù)據(jù)重組和內(nèi)容重現(xiàn)，為研究和分析網(wǎng)絡(luò)用戶行為特征提供多維度數(shù)據(jù)支撐。

HTTP應(yīng)用性能監(jiān)測功能幫助某電網(wǎng)診斷業(yè)務(wù)故障

某電網(wǎng)客戶在日常使用信而泰網(wǎng)絡(luò)回溯分析平臺時，發(fā)現(xiàn)其某個業(yè)務(wù)系統(tǒng)存在性能故障，在故障時間段內(nèi)，該業(yè)務(wù)的服務(wù)響應(yīng)時間突增，達10秒級，正常狀態(tài)下，該業(yè)務(wù)的響應(yīng)時間為幾十毫秒左右，性能故障嚴(yán)重影響該業(yè)務(wù)的使用體驗，對生產(chǎn)工作產(chǎn)生較大影響。

由于該業(yè)務(wù)由一組服務(wù)器池負(fù)載分擔(dān)，我們進一步排查各個服務(wù)器的性能狀態(tài)，發(fā)現(xiàn)IP地址為“xxx.xxx.xxx.54”的這臺服務(wù)器的服務(wù)響應(yīng)時間長，其他服務(wù)器的服務(wù)響應(yīng)時間正常。

此外，從HTTP應(yīng)用性能分析模塊回溯數(shù)據(jù)，發(fā)現(xiàn)同一個URL有的不同服務(wù)器提供服務(wù)，對比各個服務(wù)器的響應(yīng)時間，發(fā)現(xiàn)只有“xxx.xxx.xxx.54”這個服務(wù)器的響應(yīng)時間異常。

于是建議用戶對服務(wù)器“xxx.xxx.xxx.54”這臺服務(wù)器進行日志排查，經(jīng)調(diào)查發(fā)現(xiàn)，該服務(wù)器在故障時間段內(nèi)，服務(wù)器管理人員進行每月例行的文件查殺和日志審計，造成系統(tǒng)運行出現(xiàn)緩慢。

MODBUS交易分析功能幫助某電網(wǎng)診斷連接故障

某電網(wǎng)客戶反映，其工控網(wǎng)某子系統(tǒng)偶發(fā)出現(xiàn)連接重置問題。網(wǎng)絡(luò)運維部門使用ping等診斷工具進行故障定位，沒有發(fā)現(xiàn)故障原因。該問題困擾業(yè)務(wù)部門達數(shù)月之久，業(yè)務(wù)部門一直認(rèn)為連接重置是由于網(wǎng)絡(luò)閃斷導(dǎo)致，但網(wǎng)絡(luò)部門通過設(shè)備日志檢查，網(wǎng)絡(luò)診斷工具長期ping測試等方式，一直沒有找到網(wǎng)絡(luò)存在閃斷，但也無法提供有效證據(jù)，證明網(wǎng)絡(luò)傳輸沒有問題，運維人員苦不堪言。

我們在工控網(wǎng)交換機進行流量采集，對工控網(wǎng)絡(luò)進行長期監(jiān)測。由于該故障為偶發(fā)故障，無法掌控問題的產(chǎn)生，好在信而泰網(wǎng)絡(luò)回溯分析平臺具備長時間采集和回溯能力，這樣我們可以在業(yè)務(wù)部門報告問題后，進行歷史數(shù)據(jù)的回查。通過工控應(yīng)用分析我們看到了，連接重置前，客戶端發(fā)送的操作指令。

然后，我們選擇一次失敗的操作，提取原始數(shù)據(jù)包，獲取操作指令字節(jié)流，做好數(shù)據(jù)取證工作。

最后，我們協(xié)助和配合用戶及有關(guān)設(shè)備廠家，進行數(shù)據(jù)取證，出具故障分析和定位報告。在各單位齊心配合下，設(shè)備廠家很快定位故障原因，發(fā)現(xiàn)故障是由一臺設(shè)備的版本過低導(dǎo)致，升級該設(shè)備的版本后，故障消除。經(jīng)過信而泰網(wǎng)絡(luò)回溯分析平臺的長期監(jiān)測，該故障現(xiàn)象沒有再發(fā)生，問題得到解決。