CN107612733A - 一种基于工控系统的网络审计和监测方法及其系统 - Google Patents

Abstract

本发明涉及工业控制领域，旨在提供一种基于工控系统的网络审计和监测方法及其系统。该种基于工控系统的网络审计和监测方法包括如下步骤：对常见的网络应用层协议数据包做流量采集、解析还原，并进行机器学习，生成适应当前工业控制网络环境的白名单安全策略规则；在非机器学习周期内，针对解析工控系统中网络行为还原后的原始行为，分别进行白名单安全策略规则检测，对于不符合白名单安全策略规则的原始行为，生成告警信息并记录其原始行为，然后进行IP流量统计，制作清晰直观的网络告警分布图，提出策略建议并定期生成风险报告并导出。本发明能对网络数据、事件进行实时监测、告警，实时掌握工控网络运行状况，保证生产安全。

Description

一种基于工控系统的网络审计和监测方法及其系统

技术领域

本发明是关于工业控制领域，特别涉及一种基于工控系统的网络审计和监测方法及其系统。

背景技术

工业控制系统(Industrial Control System，简称ICS)，是由各种自动化控制组件以及对实时数据进行采集、检测的过程控制组件，共同构成的确保工业基础设施自动化运行、过程控制与监控的业务流程管控系统，是基础设施自动化生成的基础组件，安全的重要性可见一般。

由于ICS系统结构复杂，缺乏安全与管理标准等诸多因素影响，运行在系统中的数据和操作指令随时可能会受到破坏，从而出现异常操作指令对设备的正常运行造成破坏。

如何对工业控制系统网络环境中异常行为监测和告警是本领域的技术难题。

发明内容

本发明的主要目的在于克服现有技术中的不足，提供一种能对工业控制系统网络环境中行为进行分析与监测，识别网络中异常IP、异常指令等异常行为并实时告警，清晰直观展示网络中告警分布的网络审计和监测方法及其系统。为解决上述技术问题，本发明的解决方案是：

提供一种基于工控系统的网络审计和监测方法，包括如下步骤：

步骤A：流量采集模块对常见的网络应用层协议数据包做流量采集、解析还原；

解析还原是基于端口来分析(Modbus、S7、IEC-104、DNP3、Ethernet/IP、MMS、FINS、OPC等)常见的工控协议，并根据协议规范进行解析还原，获取所需信息，包括指令码、参数、响应码、原始行为；

步骤B：进行机器学习，即在机器学习周期(即指系统部署成功后，通过配置系统的机器学习周期，计算系统运行起始时间到系统当前时间的时间差，当系统运行在时间差小于或等于学习周期配置内属于机器学习周期，时间差大于学习周期配置属于非机器学习周期)内，针对步骤A解析还原后的原始行为，自动收集原始行为并提取特征，生成适应当前工业控制网络环境的白名单安全策略规则；

所述白名单安全策略规则包括IP连接白名单安全策略规则、指令行为白名单安全策略规则；

步骤C：在非机器学习周期内，针对解析工控系统中网络行为还原后的原始行为(即当前工控系统中网络行为还原后的原始行为，来进行网络审计和监测)，分别进行白名单安全策略规则检测，对于不符合白名单安全策略规则的原始行为，生成告警信息并记录其原始行为，便于事件回溯取证分析；

步骤D：对步骤C产生的告警信息进行核查，判断是否为误报；若确认为误报，则对确认为误报的告警事件做出矫正处理，更改其告警状态并进行标记，并针对标记的告警信息进行进一步的处理(比如更新白名单安全策略规则)；

步骤E：进行IP流量统计，即以IP为节点，并对每一对IP之间的流量进行统计，生成基于IP的流量统计模型，用于清晰直观展示网络系统中的流量占比，方便进一步掌握工控网络系统中各个IP节点之间的信息交互情况；

步骤F：制作清晰直观的网络告警分布图；

所述网络告警分布图，是在以IP为节点、IP间连接关系为模型的网络拓扑图的基础上，将告警信息中源IP、目的IP在网络拓扑图上进行关联的网络告警分布图，用于实时掌握网络告警信息的分布情况；

步骤G：基于步骤C产生的告警信息以及发生的频率，提出策略建议(即策略修改建议，比如某异常指令的频率很高，此异常指令可能是系统正常指令，建议添加到指令行为白名单安全策略规则中；针对该策略建议，由人工确认后，系统自动更新策略，完善工业控制网络安全防护体系)；

基于步骤F的网络告警分布图以及告警信息的威胁程度，定期生成风险报告并导出。

在本发明中，所述步骤A中，流量采集模块使用Libpcap软件包进行网络数据包捕获。

在本发明中，所述步骤C中，针对解析工控系统中网络行为还原后的原始行为进行白名单安全策略规则检测，包括IP检测和指令检测；

所述IP检测是指：非机器学习周期内，还原的原始行为中源IP和目的IP进行IP连接白名单安全策略规则检测，对没有命中IP连接白名单安全策略规则的行为生成异常连接的高危告警信息并且记录到关系型数据库，便于对工控网络环境中异常IP连接行为及时进行处理或事件回溯取证；

所述指令检测：非机器学习周期内，还原的原始行为中源IP和目的IP确认为安全IP后，对其指令行为进行指令行为白名单安全策略规则检测，对没有命中指令行为白名单安全策略规则的行为生成异常指令的高危告警信息并且记录到关系型数据库，便于对工控网络环境中异常指令行为及时进行处理或事件回溯取证。

提供一种存储设备，其中存储有多条指令，所述指令适用于由处理器加载并执行：

步骤A：流量采集模块对常见的网络应用层协议数据包做流量采集、解析还原；

解析还原是基于端口来分析(Modbus、S7、IEC-104、DNP3、Ethernet/IP、MMS、FINS、OPC等)常见的工控协议，并根据协议规范进行解析还原，获取所需信息，包括指令码、参数、响应码、原始行为；

步骤B：进行机器学习，即在机器学习周期(即指系统部署成功后，通过配置系统的机器学习周期，计算系统运行起始时间到系统当前时间的时间差，当系统运行在时间差小于或等于学习周期配置内属于机器学习周期，时间差大于学习周期配置属于非机器学习周期)内，针对步骤A解析还原后的原始行为，自动收集原始行为并提取特征，生成适应当前工业控制网络环境的白名单安全策略规则；

所述白名单安全策略规则包括IP连接白名单安全策略规则、指令行为白名单安全策略规则；

步骤C：在非机器学习周期内，针对解析工控系统中网络行为还原后的原始行为(即当前工控系统中网络行为还原后的原始行为，来进行网络审计和监测)，分别进行白名单安全策略规则检测，对于不符合白名单安全策略规则的原始行为，生成告警信息并记录其原始行为，便于事件回溯取证分析；

步骤D：对步骤C产生的告警信息进行核查，判断是否为误报；若确认为误报，则对确认为误报的告警事件做出矫正处理，更改其告警状态并进行标记，并针对标记的告警信息进行进一步的处理(比如更新白名单安全策略规则)；

步骤E：进行IP流量统计，即以IP为节点，并对每一对IP之间的流量进行统计，生成基于IP的流量统计模型，用于清晰直观展示网络系统中的流量占比，方便进一步掌握工控网络系统中各个IP节点之间的信息交互情况；

步骤F：制作清晰直观的网络告警分布图；

所述网络告警分布图，是在以IP为节点、IP间连接关系为模型的网络拓扑图的基础上，将告警信息中源IP、目的IP在网络拓扑图上进行关联的网络告警分布图，用于实时掌握网络告警信息的分布情况；

步骤G：基于步骤C产生的告警信息以及发生的频率，提出策略建议(即策略修改建议，比如某异常指令的频率很高，此异常指令可能是系统正常指令，建议添加到指令行为白名单安全策略规则中；针对该策略建议，由人工确认后，系统自动更新策略，完善工业控制网络安全防护体系)；

基于步骤F的网络告警分布图以及告警信息的威胁程度，定期生成风险报告并导出。

提供一种基于工控系统网络审计和监测系统，包括处理器，适于实现各指令；以及存储设备，适于存储多条指令，所述指令适用于由处理器加载并执行：

步骤A：流量采集模块对常见的网络应用层协议数据包做流量采集、解析还原；

解析还原是基于端口来分析(Modbus、S7、IEC-104、DNP3、Ethernet/IP、MMS、FINS、OPC等)常见的工控协议，并根据协议规范进行解析还原，获取所需信息，包括指令码、参数、响应码、原始行为；

步骤B：进行机器学习，即在机器学习周期(即指系统部署成功后，通过配置系统的机器学习周期，计算系统运行起始时间到系统当前时间的时间差，当系统运行在时间差小于或等于学习周期配置内属于机器学习周期，时间差大于学习周期配置属于非机器学习周期)内，针对步骤A解析还原后的原始行为，自动收集原始行为并提取特征，生成适应当前工业控制网络环境的白名单安全策略规则；

所述白名单安全策略规则包括IP连接白名单安全策略规则、指令行为白名单安全策略规则；

步骤C：在非机器学习周期内，针对解析工控系统中网络行为还原后的原始行为(即当前工控系统中网络行为还原后的原始行为，来进行网络审计和监测)，分别进行白名单安全策略规则检测，对于不符合白名单安全策略规则的原始行为，生成告警信息并记录其原始行为，便于事件回溯取证分析；

步骤D：对步骤C产生的告警信息进行核查，判断是否为误报；若确认为误报，则对确认为误报的告警事件做出矫正处理，更改其告警状态并进行标记，并针对标记的告警信息进行进一步的处理(比如更新白名单安全策略规则)；

步骤E：进行IP流量统计，即以IP为节点，并对每一对IP之间的流量进行统计，生成基于IP的流量统计模型，用于清晰直观展示网络系统中的流量占比，方便进一步掌握工控网络系统中各个IP节点之间的信息交互情况；

步骤F：制作清晰直观的网络告警分布图；

所述网络告警分布图，是在以IP为节点、IP间连接关系为模型的网络拓扑图的基础上，将告警信息中源IP、目的IP在网络拓扑图上进行关联的网络告警分布图，用于实时掌握网络告警信息的分布情况；

步骤G：基于步骤C产生的告警信息以及发生的频率，提出策略建议(即策略修改建议，比如某异常指令的频率很高，此异常指令可能是系统正常指令，建议添加到指令行为白名单安全策略规则中；针对该策略建议，由人工确认后，系统自动更新策略，完善工业控制网络安全防护体系)；

基于步骤F的网络告警分布图以及告警信息的威胁程度，定期生成风险报告并导出。

与现有技术相比，本发明的有益效果是：

1、本发明能对网络数据、事件进行实时监测、告警，实时掌握工控网络运行状况，保证生产安全。

2、本发明对网络中行为深度还原解析，生成完整行为记录，便于事件回溯处理。

3、本发明能清晰直观地展示网络拓扑图并且集成告警信息，帮助了解和掌握网络告警分布。

4、本发明能基于IP连接、指令行为等维度建模，进行IP流量统计，便于分析和挖掘威胁的发生规律。

5、本发明能了解网络系统中存在的风险威胁，完善工业控制网络防御，保障系统安全运行。

附图说明

图1为本发明的系统流程图。

具体实施方式

首先需要说明的是，本发明涉及工业控制系统安全检测领域，是计算机技术在信息安全技术领域的一个应用分支。在本发明的实现过程中，会涉及到多个维度的监测手段。申请人认为，如在仔细阅读申请文件、准确理解本发明的实现原理和发明目的以后，在结合现有公知技术的情况下，本领域技术人员完全可以运用其掌握的软件编程技能实现本发明。凡本发明申请文件提及的均属此范畴，申请人不再一一列举。

下面结合附图与具体实施方式对本发明作进一步详细描述：

一种基于工控系统的网络审计和监测方法，能够实时监测系统的行为，有利于及时发现工业控制环境中的异常设备、异常指令等异常行为，掌握工业控制系统网络运行状况，保障工业控制环境中设备正常运。其处理流程如图1所示，具体步骤如下所述：

步骤1：流量采集模块进行流量采集。

流量采集模块使用Libpcap软件包进行网络数据包捕获，根据端口解析Modbus、S7、IEC-104、DNP3、Ethernet/IP、MMS、FINS、OPC等常见的工控协议，如Modbus协议默认502端口，S7协议默认102端口，IEC-104默认2404端口。

为适应不同网络场景，各应用协议所适用协议解析端口可以通过界面增删改。

步骤2：流量分析。

流量分析，主要是对网络环境中所有监测到的IP进行监测，对每一个IP的流量进行统计和建模分析。

步骤3：协议解析还原，生成原始行为信息。

对捕获的数据包在应用层协议层面进行重组，并根据应用层协议规范解析还原原始行为信息，记录源IP、目的IP、目的端口、发生时间、应用协议、应用行为内容等信息，其中应用行为内容根据不同的应用协议有所不同，如Modbus协议的应用行为内容，根据Modbus协议规范，包括功能码、参数等信息。

步骤4：机器学习周期判定。

所述机器学习周期，是指在系统在指定的一段时间内，对工控系统内所有还原的原始行为都认为是安全操作。如果判定为机器学习周期内，原始行为中的源IP、目的IP指令行为都默认为正常行为，对于IP连接则进入步骤5，指令行为则进入步骤7；非机器学习周内，则进入步骤9。

步骤5：IP连接行为入库，利用大数据进行IP连接行为分析和建模。

所述IP连接行为分析和建模，是指对网络中监测的流量根据IP连接关系、连接频率等维度进行分析和建模，同时进入步骤6和步骤17。

步骤6：生成IP连接行为白名单策略库。

所述IP连接行为白名单策略，是指根据IP连接行为分析和建模后，生成基于IP的一种私有的、系统内部使用的策略规则规范，系统运行过程中实时更新。

步骤7：指令行为入库，利用大数据进行指令行为分析和建模。

所述指令行为分析和建模，是指对网络中监测到的指令行为根据应用类别、指令、参数等多个维度进行分析和建模。

步骤8：生成指令行为白名单策略库。

所述指令行为白名单策略库，是指根据指令行为分析和建模后，生成基于指令的一种私有的、系统内部使用的策略规则规范，系统运行过程中实时更新。

步骤9：原始行为中源IP、目的IP进行IP连接行为白名单策略匹配。

所述对原始行为的源IP、目的IP进行IP连接行为白名单策略匹配，如果匹配成功则认为是安全连接，进入步骤10；如果匹配失败，则认为是异常IP连接，则进入步骤12。

步骤10：原始行为中指令行为进行指令行为白名单策略匹配。

所述对原始行为中指令行为进行指令行为白名单策略匹配，如果匹配成功则认为是安全指令，进入步骤11；匹配失败则认为是异常指令，则进入步骤15。

步骤11：异常指令确认为正常，更改其告警状态为正常。

所述更改告警状态为正常，是指对前面检测为异常指令的行为告警信息，进行人工核查时，如果校正为安全指令，则需要修改告警信息的告警状态为正常，然后进入步骤7。

步骤12：生成异常连接告警。

对监测到异常IP连接的行为进行标记，并按照告警格式生成告警信息，保存到关系型数据库。

步骤13：对异常IP连接告警进行核查。

对异常IP连接告警进行核查，是指根据工控系统的实际运行网络架构，对某一异常IP进行核查，如果确认为安全IP连接，则需要并行进行步骤5和14。

步骤14：更改异常连接告警状态为异常指令告警。

更改告警状态为异常指令告警，进入步骤10。

步骤15：生成异常指令告警信息。

对监测到异常指令行为进行标记，并按照告警格式生成告警信息，保存到关系型数据库，如果该告警信息已经存在(更改告警状态由异常连接到异常指令)则不需要再次保存到关系型数据库。

步骤16：对异常指令告警进行核查。

对异常指令告警进行核查，是指根据工控系统中实际的操作指令，对某一IP的指令进行核查，如果确认为安全指令，则进行步骤11；如果确认为异常指令，则进入步骤18。

步骤17：网络拓扑关系。

所述网络拓扑关系，是指基于网络环境中IP之间的连接，绘制成的拓扑关系图。

步骤18：网络告警分布。

所述网络告警分布，是指基于网络拓扑图，以及生成的告警信息，进行的一种关联展示。

步骤19：风险报告导出，防御策略建议

所述风险报告，是指基于网络告警分布，以及告警信息的威胁程度，定期生成风险报告。

所述防御策略建议，是指对系统中的告警信息，以及其发生的频率进行分析后，认为其可能为安全连接或安全指令的建议。

至此，对系统的工作流程进行划分，对不同的处理流程进行多维度深层次的监测，使用异常IP连接、异常指令告警为监测依据，各监测阶段的监测结果用来实时更新策略，IP拓扑关系图与告警信息相结合生成直观清晰的网络告警分布，定期生成风险报告和策略建议，实现了一种基于工控系统的网络审计和监测系统。

最后，需要注意的是，以上列举的仅是本发明的具体实施例。显然，本发明不限于以上实施例，还可以有很多变形。本领域的普通技术人员能从本发明公开的内容中直接导出或联想到的所有变形，均应认为是本发明的保护范围。

Claims (5)

1.一种基于工控系统的网络审计和监测方法，其特征在于，包括如下步骤：

步骤A：流量采集模块对常见的网络应用层协议数据包做流量采集、解析还原；

解析还原是基于端口来分析常见的工控协议，并根据协议规范进行解析还原，获取所需信息，包括指令码、参数、响应码、原始行为；

步骤B：进行机器学习，即在机器学习周期内，针对步骤A解析还原后的原始行为，自动收集原始行为并提取特征，生成适应当前工业控制网络环境的白名单安全策略规则；

所述白名单安全策略规则包括IP连接白名单安全策略规则、指令行为白名单安全策略规则；

步骤C：在非机器学习周期内，针对解析工控系统中网络行为还原后的原始行为，分别进行白名单安全策略规则检测，对于不符合白名单安全策略规则的原始行为，生成告警信息并记录其原始行为，便于事件回溯取证分析；

步骤D：对步骤C产生的告警信息进行核查，判断是否为误报；若确认为误报，则对确认为误报的告警事件做出矫正处理，更改其告警状态并进行标记，并针对标记的告警信息进行进一步的处理；

步骤E：进行IP流量统计，即以IP为节点，并对每一对IP之间的流量进行统计，生成基于IP的流量统计模型，用于清晰直观展示网络系统中的流量占比，方便进一步掌握工控网络系统中各个IP节点之间的信息交互情况；

步骤F：制作清晰直观的网络告警分布图；

所述网络告警分布图，是在以IP为节点、IP间连接关系为模型的网络拓扑图的基础上，将告警信息中源IP、目的IP在网络拓扑图上进行关联的网络告警分布图，用于实时掌握网络告警信息的分布情况；

步骤G：基于步骤C产生的告警信息以及发生的频率，提出策略建议；

基于步骤F的网络告警分布图以及告警信息的威胁程度，定期生成风险报告并导出。

2.根据权利要求1所述的一种基于工控系统的网络审计和监测方法，其特征在于，所述步骤A中，流量采集模块使用Libpcap软件包进行网络数据包捕获。

3.根据根据权利要求1所述的一种基于工控系统的网络审计和监测方法，其特征在于，所述步骤C中，针对解析工控系统中网络行为还原后的原始行为进行白名单安全策略规则检测，包括IP检测和指令检测；

所述IP检测是指：非机器学习周期内，还原的原始行为中源IP和目的IP进行IP连接白名单安全策略规则检测，对没有命中IP连接白名单安全策略规则的行为生成异常连接的高危告警信息并且记录到关系型数据库，便于对工控网络环境中异常IP连接行为及时进行处理或事件回溯取证；

所述指令检测：非机器学习周期内，还原的原始行为中源IP和目的IP确认为安全IP后，对其指令行为进行指令行为白名单安全策略规则检测，对没有命中指令行为白名单安全策略规则的行为生成异常指令的高危告警信息并且记录到关系型数据库，便于对工控网络环境中异常指令行为及时进行处理或事件回溯取证。

4.一种存储设备，其中存储有多条指令，所述指令适用于由处理器加载并执行：

步骤A：流量采集模块对常见的网络应用层协议数据包做流量采集、解析还原；

解析还原是基于端口来分析常见的工控协议，并根据协议规范进行解析还原，获取所需信息，包括指令码、参数、响应码、原始行为；

步骤B：进行机器学习，即在机器学习周期内，针对步骤A解析还原后的原始行为，自动收集原始行为并提取特征，生成适应当前工业控制网络环境的白名单安全策略规则；

所述白名单安全策略规则包括IP连接白名单安全策略规则、指令行为白名单安全策略规则；

步骤C：在非机器学习周期内，针对解析工控系统中网络行为还原后的原始行为，分别进行白名单安全策略规则检测，对于不符合白名单安全策略规则的原始行为，生成告警信息并记录其原始行为，便于事件回溯取证分析；

步骤D：对步骤C产生的告警信息进行核查，判断是否为误报；若确认为误报，则对确认为误报的告警事件做出矫正处理，更改其告警状态并进行标记，并针对标记的告警信息进行进一步的处理；

步骤E：进行IP流量统计，即以IP为节点，并对每一对IP之间的流量进行统计，生成基于IP的流量统计模型，用于清晰直观展示网络系统中的流量占比，方便进一步掌握工控网络系统中各个IP节点之间的信息交互情况；

步骤F：制作清晰直观的网络告警分布图；

所述网络告警分布图，是在以IP为节点、IP间连接关系为模型的网络拓扑图的基础上，将告警信息中源IP、目的IP在网络拓扑图上进行关联的网络告警分布图，用于实时掌握网络告警信息的分布情况；

步骤G：基于步骤C产生的告警信息以及发生的频率，提出策略建议；

基于步骤F的网络告警分布图以及告警信息的威胁程度，定期生成风险报告并导出。

5.一种基于工控系统网络审计和监测系统，包括处理器，适于实现各指令；以及存储设备，适于存储多条指令，所述指令适用于由处理器加载并执行：

步骤A：流量采集模块对常见的网络应用层协议数据包做流量采集、解析还原；

解析还原是基于端口来分析常见的工控协议，并根据协议规范进行解析还原，获取所需信息，包括指令码、参数、响应码、原始行为；

步骤B：进行机器学习，即在机器学习周期内，针对步骤A解析还原后的原始行为，自动收集原始行为并提取特征，生成适应当前工业控制网络环境的白名单安全策略规则；

所述白名单安全策略规则包括IP连接白名单安全策略规则、指令行为白名单安全策略规则；

步骤C：在非机器学习周期内，针对解析工控系统中网络行为还原后的原始行为，分别进行白名单安全策略规则检测，对于不符合白名单安全策略规则的原始行为，生成告警信息并记录其原始行为，便于事件回溯取证分析；

步骤D：对步骤C产生的告警信息进行核查，判断是否为误报；若确认为误报，则对确认为误报的告警事件做出矫正处理，更改其告警状态并进行标记，并针对标记的告警信息进行进一步的处理；

步骤E：进行IP流量统计，即以IP为节点，并对每一对IP之间的流量进行统计，生成基于IP的流量统计模型，用于清晰直观展示网络系统中的流量占比，方便进一步掌握工控网络系统中各个IP节点之间的信息交互情况；

步骤F：制作清晰直观的网络告警分布图；

所述网络告警分布图，是在以IP为节点、IP间连接关系为模型的网络拓扑图的基础上，将告警信息中源IP、目的IP在网络拓扑图上进行关联的网络告警分布图，用于实时掌握网络告警信息的分布情况；

步骤G：基于步骤C产生的告警信息以及发生的频率，提出策略建议；

基于步骤F的网络告警分布图以及告警信息的威胁程度，定期生成风险报告并导出。