(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211015580.2 (22)申请日 2022.08.24 (71)申请人 南京华盾电力 信息安全测评有限公 司 地址 210000 江苏省南京市 鼓楼区新模范 马路38号 (72)发明人 张五一　江楠　兰先登　汤敏杰　 刘雪梅　田叶　杨乘胜　蒋啸　 (74)专利代理 机构 北京思创大成知识产权代理 有限公司 1 1614 专利代理师 高爽 (51)Int.Cl. H04L 9/40(2022.01) H04L 9/00(2022.01) H04L 9/32(2006.01) (54)发明名称 一种基于拟态防御的密码服务监控系统及 方法 (57)摘要 本发明提供一种基于拟态防御的密码服务 监控系统及方法， 属于电力物联网信息安全技术 领域， 包括： 密码服务平台至少具有二个冗余备 份系统， 密码服务平台的一级密码服务监控系统 生成密钥服务请求通过预设的网络协议发送至 二级密码服务监控系统； 一级密码服务监控系统 包括密钥管理模块、 证书管理模块、 数字验签模 块、 身份认证模块和动态防御切换模块； 二级密 码服务监控系统包括密码服务模块、 侦测模块、 拟态异构防御模块； 动态防御切换模块分析拟态 异构防御模块的裁决结果并结合防御策略， 用于 当密钥服务请求存在威胁攻击时直接动态转移 攻击面并将系统切换至冗余备份的密码服务平 台。 大大增加了攻击成本、 消耗攻击时间， 实现了 系统的动态防御。 权利要求书3页 说明书8页 附图3页 CN 115102791 A 2022.09.23 CN 115102791 A 1.一种基于拟态防御的密码服 务监控系统， 其特 征在于， 所述系统包括： 密码服务平台， 所述密码服务平台至少具有二个冗余备份系统， 所述密码服务平台包 括一级密码服务监控系统， 所述一级密码服务监控系统通信连接至少一个二级密码服务监 控系统， 所述一级密码服务监控系统生成密钥服务请求通过预设的网络协 议发送至所述二 级密码服 务监控系统； 所述一级密码服务监控系统包括密钥管理模块、 证书管理模块、 数字验签模块、 身份认 证模块和动态防御切换模块； 所述身份认证模块用于对登入所述密码服 务平台的用户标识 授权对应的操作等级； 所述密钥管理模块获取密码机产生的密钥对并对所述密钥对进行存 储、 加密和分发； 所述证书管理模块基于所述密钥对的公钥结合不同操作等级的用户标识生成对应的 签名证书； 数字验签模块基于所述密钥对的私钥对所述密钥服务请求进行数字签名， 以生成加密 的所述密钥服 务请求； 所述一级密码服务监控系统将具有用户标识签名的加密的密钥服务请求下发至所述 二级密码服 务监控系统； 所述二级密码服 务监控系统包括密码服 务模块、 侦测模块、 拟态 异构防御模块； 所述侦测模块用于自动侦测并获取 带有用户标识签名的加密的密钥服 务请求； 所述密码服 务模块获取签名证书中所述密钥对的公钥对所述密钥服 务请求进行解密； 所述拟态异构防御模块包括分发单元、 调度单元、 执行体单元、 裁决单元、 执行体池和 执行体池中多个执 行体； 所述执行体单元从所述执 行体池中获取 具有相同功能的执 行体； 所述分发单元将解密后的所述密钥服务请求动态随机分发至所述执行体单元的多个 所述执行体进行归一 化处理并将处 理结果返回至所述裁决单 元； 所述裁决单 元对归一化处理结果进行比较和裁决， 输出裁决结果； 所述调度单元基于动态调度算法和裁决结果从所述执行体池调度若干执行体至所述 执行体单元， 替换所述执行体单元中具有异常输出的执 行体； 所述动态防御切换模块分析所述拟态异构防御模块的裁决结果并结合防御 策略， 用于 当所述密钥服务请求存在威胁攻击时直接动态转移攻击面并将系统切换至冗余备份的所 述密码服 务平台。 2.根据权利要求1所述的基于拟态防御的密码服务监控系统， 其特征在于， 所述二级密 码服务监控系统根据所述密钥服务请求生成密钥获取请求并发送至所述一级密码服务监 控系统， 所述密钥管理模块包括密钥分发单元， 所述密钥分发单元根据所述密钥获取请求， 确定密钥下发方式， 将存储的所述密钥对下发至所述密码服务模块， 所述密码服务模块对 所述密钥对进行解析， 并下发至使用该密钥对的终端物联设备。 3.根据权利要求1所述的基于拟态防御的密码服务监控系统， 其特征在于， 所述二级密 码服务监控系统还包括异常报警模块， 所述异常报警模块根据具有相同功能的执行体产生 的执行日志对所述密钥服 务请求存在的威胁程度进行信息分类并输出告警信息 。 4.根据权利要求1所述的基于拟态防御的密码服务监控系统， 其特征在于， 所述一级密 码服务监控系统还包括安全分析模块， 所述安全分析模块设置于所述一级密码服务监控系权　利　要　求　书 1/3 页 2 CN 115102791 A 2统的前端， 所述安全分析模块预设特征信息规则库， 对所述密码服务平台通信网络的运行 状态进行监控， 采集网络报文提取特征信息， 基于所述特征信息规则库对通信网络的运行 状态进行安全评估并对异常网络报文 进行响应。 5.根据权利要求1所述的基于拟态防御的密码服务监控系统， 其特征在于， 所述一级密 码服务监控系统还包括监听模块和拦截模块， 所述监听模块和所述拦截模块设置于所述一 级密码服务监控系统的后端， 所述监听模块捕获所述网络报文并解析该网络报文的数据 包， 所述拦截模块预设异常拦截规则库， 所述拦截模块基于所述异常拦截规则库的异常判 断规则， 对解析后的数据包进行检测， 以对异常网络报文 进行捕获拦截。 6.根据权利要求1所述的基于拟态防御的密码服务监控系统， 其特征在于， 所述防御 策 略由区间端点分别为表示最高优先级的需要防御策略类型和表示最低优先级的不需要防 御策略类型组成的防御策略集合区间， 根据防御策略权重因子从所述防御策略集合区间选 取对应可用的防御策略。 7.根据权利要求6所述的基于拟态防御的密码服务监控系统， 其特征在于， 所述二级密 码服务监控系统还包括防御策略更新模块， 所述防御策略更新模块 实时监控并分析多个所 述执行体生成的执行日志， 用于更新所述防御策略权重因子， 基于更新的所述防御策略权 重因子从所述防御策略集 合区间选取最优防御策略。 8.根据权利要求6所述的基于拟态防御的密码服务监控系统， 其特征在于， 根据防御 策 略权重因子从所述防御策略集 合区间选取防御策略的计算模型为： 其中， D表示 防御策略集合， 为采用第i个防御策略的概率， n为攻击策略的总数， 为根据多个所述执行体生成的执行日志计算生成对应的防御策略权重因子， α 为当前 防御策略与前一个防御策略的关联因子， 为基于关联因子α与防御策略权重因子 定义的防御策略， 为防御策略的效用， 为从从防御策略集合中选取对应可用 的防御策略的效用。 9.根据权利要求1所述的基于拟态防御的密码服务监控系统， 其特征在于， 所述密码服 务平台采用分布式微 服务架构。 10.一种基于拟态防御的密码服务监控方法， 应用权利要求1 ‑9任意一项所述的基于拟 态防御的密码服 务监控系统， 其特 征在于， 包括如下步骤： 步骤S1： 密码服务平台初始化配置， 使其至少具有二个冗余备份系统， 其中， 所述密码 服务平台配置有一级密码服 务监控系统和至少一个二级密码服 务监控系统； 步骤S2： 所述 一级密码服 务监控系统与所述 二级密码服 务监控系统建立 通信连接； 步骤S3： 获取密码机产生的密钥对， 将所述密钥对结合登入所述密码服务平台的用户 标识对应授权的操作等级生成对应的签名证书； 步骤S4： 生成密钥服务请求， 基于所述密钥对的私钥对所述密码服务请求进行数字签权　利　要　求　书 2/3 页 3 CN 115102791 A 3