随着智能电网的发展以及不断完善的电网综合信息系统的建设，来自内部的网络安全问题也日益突出，比如在电网综合信息网的日常办公平台和对外电力交易业务与应用平台，网络内部的非法访问、滥用网络资源、病毒传播、针对应用与系统漏洞的攻击和威胁等。基于IP协议的通信量的巨大增长，这种增长主要体现在虚拟机IP地址数量通信量上，由于前期IP地址规划和分配的不可预见性导致了IP地址管理的问题，怎样及时和有效地管理整个网络系统中的IP地址，地址过多和怎么有效的分配这些IP地址，成为困扰一些企业内部网络管理的问题。如果没有有效的管理，可能导致网络安全、网络风暴，甚至网络的崩溃。
电力信息网络作为电力系统安全运行的重要组成部分，随着业务的建设发展存在以下趋势和要求：
1) 信息网络的容量增大，网络拓扑不断调整变更、扩大。
2) 业务不断丰富，网络能否承载新业务；新业务的上线后对原来业务体验的影响也提出相应的要求。
3) 终端类型多样化，需要评估各种Wifi终端、LTE终端的网络体验状况。
4) 故障高效有效的隔离，提出如何在服务系统、网络与终端之间快速定位问题点。
通过网络流量数据的分析，对网络中的办公主机、网络设备进行行为分析和画像。了解目标对象的特征，行为进行数据化标签。一方面可以根据预设的特征标签对比判断是否有异常访问行为，另一方面可以更细致的了解对的行为特征，为更加精益化管理提供数据依据。
1. 无代理自动化网络发现，提供全面的网络、终端数据
主要有如下三部分：1. 网络全流量镜像 2. 漏洞扫描 3. NMAP扫描
通过网络流量数据分析各个节点、主机的业务行为画像。
1) 行为视图：提供图形化的视图显示此主机到各个系统的访问路径图。
通过数据分析展现常见的网络异常数据，以统计分析图的形式直观的呈现出来，易于方便的发现异常情况。
设计一个可视化的安全画像展示图，可表达整体网络环境的安全情况
3. 节点流量画像
根据日常网络运营流量数据的统计情况系统可以智能的给出与流量相关的标准基线设定，系统可以支持多维度的基线、对偏离基线的异常行为及时发现。
以图形化的方式表示各个节点的流量统计数据，可以显示应用服务节点经过交换机到各主机的流量分布情况。
通过网络流量的数据分析各个设备的使用率情况，可以发现不使用的设备，负载过高的设备等情况，在此分析基础上给出设备的使用优化方案。
系统需要通过分析数据以及视觉化的方式呈现各个设备资源的占用率情况，能给出一些资源优化的提示和建议。
此章节描述和给出一些安全预警点、预警逻辑以及预警的方式和表现形式。
对网络全流量，利用规则和威胁情报，发现潜在的威胁。同时平台可以根据不同网络环境和需求来建立自定义的场景来发现异常。并且结合漏洞扫描的结果，进一步证明检测的可靠性。
结合多个维度的安全数据，对资产的安全状况进行分数评估。根据安全评估，系统列出最值得关注的资产。
每一个告警都有详细的描述和处置建议，可以流量回溯，发现攻击详情。 并且针对机器间的交互进行事件关联，发现可能的时间节点和攻击链。平台提供方便的查询界面，通过各种组合发现感兴趣的告警。
平台可以根据不同的网络环境和用户的需求自定义场景来发现异常现象。
平台能对资产进行主动漏洞扫描，对资产进行安全状况评估。每一个漏洞都有详情的描述和处理建议。并且通过相同的CVE事件与针对该资产的攻击进行关联，从另一个维度来印证攻击发现的可靠性。
利用非监督机器学习的方法（LDA算法），从网络流量里发现最不可能或是最有独特特征的网络连接。
平台收集网络全流量，根据不同的协议进行解析，包括HTTP，SSL，DNS，MySQL，SMB，SSH，DHCP，syslog等。
对流量进行多种统计，发现流量最大的IP和流量趋势。
2）流量追溯：可以查询每个网络通信的详情，包括连接详情和协议层详情。
1）资产发现：通过流量数据发现新的资产（新的内网IP），结合手工输入，得到准确动态资产信息。
2）端口扫描：利用NMap扫描资产的开放端口，发现资产提供的服务。同时根据端口流量的最近产生时间来判断不常用的端口。
3）关联汇总（机器画像）：针对每一个资产，从多维度（安全，流量，运维）来进行画像，显示资产的健康状况。
