CN108055282A - 基于自学习白名单的工控异常行为分析方法及系统 - Google Patents

Abstract

本发明公开了一种基于自学习白名单的工控异常行为分析方法及系统。本发明采用驱动层对数据处理后，安全引擎中的协议解码引擎对协议进行深度解码处理，解码后的数据信息经过应用层界面与业务的过程进行关联处理，对于设定周期内操作行为的感知，采用自学习模块形成业务系统中的基线关系表和资产表；后续来自应用层解码的数据与自学习模块的基线进行比对分析，发现其中是否存在不符合通信关系基线的通信行为及未注册的新增资产，对异常通信或者异常资产进行告警。本发明为工业控制系统的安全事故调查提供坚实的基础。

Description

基于自学习白名单的工控异常行为分析方法及系统

技术领域

本发明涉及工业控制系统领域，具体地说是一种基于自学习白名单的工控异常行为分析方法及系统。

背景技术

工业控制系统被广泛应用到电力、石化、交通、市政以及关键制造业等涉及国计民生的重要行业中，如遭受攻击，受到影响的将不仅是相关企业的经济损失，甚至会引起相应的社会问题，其重要性不言而喻。因此，工控安全问题已成为当前世界各国最为重视的安全问题。

目前，保护工业控制系统安全的策略有很多：实现应用白名单；确保合适的配置和补丁管理；减少攻击面；建立一个可防御的环境；管理认证；实现安全的远程访问；监测和响应。通过对现实情况的调研，最有效的方法还是建立基于白名单的管控。

发明内容

本发明所要解决的技术问题是克服上述现有技术存在的缺陷，提供一种基于自学习白名单的工控异常行为分析方法，以实时检测针对工业协议的网络攻击、用户误操作、用户违规操作、非法设备接入以及蠕虫、病毒等恶意软件的传播并实时报警，同时详实记录一切网络通信行为，包括指令级的工业控制协议通信记录，为工业控制系统的安全事故调查提供坚实的基础。

为此，本发明采用如下的技术方案：一种基于自学习白名单的工控异常行为分析方法，包括网卡获取数据包，经过DPDK的快速处理后交由数通引擎对数据包进行分类处理，分类好的数据进入到队列中按照相关优先级的顺序进行安全引擎处理，安全引擎处理后，形成相关的基线对应关系；

驱动层对数据处理后，安全引擎中的协议解码引擎对协议进行深度解码处理，解码后的数据信息经过应用层界面与业务的过程进行关联处理，对于设定周期内操作行为的感知，采用自学习模块形成业务系统中的基线关系表和资产表；

后续来自应用层解码的数据与自学习模块的基线进行比对分析，发现其中是否存在不符合通信关系基线的通信行为及未注册的新增资产，对异常通信或者异常资产进行告警。

本发明的自学习模块方便用户进行异常行为检测规则的配置，提高规则配置的准确性，减少规则配置的工作量。

作为上述技术方案的补充，基于对多种工业控制协议的通信报文进行深度解析，实时检测针对工业控制协议的网络攻击、用户误操作、用户违规操作、非法设备接入以及蠕虫、病毒的传播并实时报警，同时详实记录一切网络通信行为，包括指令级的工业控制协议通信记录。

作为上述技术方案的补充，所述的工业控制协议包括Modbus TCP、COTP、OPC、Siemens S7、DNP3、IEC 60870-5-104、IEC 61850-MMS、IEC 61850-GOOSE和IEC 61850-SV。

作为上述技术方案的补充，采用被动检测的方式从网络中采集数据包，并进行数据包的解析，智能地与系统内置的协议特征、设备对象进行匹配，生成可供参考的网络交互信息列表，通过对协议分布和流量信息的匹配，形成工控场景行为基线。帮助用户以最直观的方式了解和掌握网络中的业务通信状态，发现工控网络潜在的安全风险。

作为上述技术方案的补充，通过基线自学习梳理工控现场资产拓扑，建立工控网络行为模型，对基线外异行为告警，实现对工控现场安全事件的告警与响应，保障工业控制系统的安全稳定运行。

作为上述技术方案的补充，对工业控制系统的配置文件进行解析，将功能代码与具体业务操作进行关联，实现业务安全审计。

作为上述技术方案的补充，对工业控制协议报文进行检测和告警。

作为上述技术方案的补充，对运维人员下发的工业控制协议报文产生的非法操作进行检测和告警。

作为上述技术方案的补充，对资产新增、路径异常、未知协议、越权操作、关键控制行为进行检测和告警。

本发明还提供一种基于自学习白名单的工控异常行为分析系统，包括基础服务层、数采分析层、核心业务层和用户接口层，

所述的数采分析层包括数据采集模块和协议解码模块，对工控协议进行深度解析和分析，提取关键操作行为；

所述的核心业务层包括业务模块和辅助模块，所述的业务模块包括：形成基于工控场景的自学习业务行为基线模块、基于黑白名单的异常行为告警模块、安全设备存活模块、流量统计模块、日志查询模块及报表导出模块；所述的辅助模块包括日志代理模块、守护管理模块、升级系统模块和证书系统模块。

本发明具有的有益效果如下：本发明能实时检测针对工业协议的网络攻击、用户误操作、用户违规操作、非法设备接入以及蠕虫、病毒等恶意软件的传播并实时报警，同时详实记录一切网络通信行为，包括指令级的工业控制协议通信记录，为工业控制系统的安全事故调查提供坚实的基础。

附图说明

图1为本发明实施例1的系统流程图；

图2为本发明实施例1的业务处理流程图；

图3为本发明实施例1应用时的流程图；

图4为本发明实施例2的系统架构图。

具体实施方式

下面结合说明书附图和具体实施方式，进一步阐述本发明。

实施例1

本实施例提供一种基于自学习白名单的工控异常行为分析方法。

如图1所示，网卡获取数据包，经过DPDK的快速处理后交由数通引擎对数据包进行分类处理，分类好的数据进入到队列中按照相关优先级的顺序进行安全引擎处理，安全引擎处理后，形成相关的基线对应关系。

如图2所示，驱动层对数据处理后，安全引擎中的协议解码引擎对协议进行深度解码处理，解码后的数据信息经过应用层界面与业务的过程进行关联处理，对于设定周期内操作行为的感知，采用自学习模块形成业务系统中的基线关系表和资产表；

后续来自应用层解码的数据与自学习模块的基线进行比对分析，发现其中是否存在不符合通信关系基线的通信行为及未注册的新增资产，对异常通信或者异常资产进行告警。

基于对多种工业控制协议的通信报文进行深度解析，实时检测针对工业控制协议(如Modbus TCP、COTP、OPC、Siemens S7、DNP3、IEC 60870-5-104、IEC 61850-MMS、IEC61850-GOOSE和IEC 61850-SV)的网络攻击、用户误操作、用户违规操作、非法设备接入以及蠕虫、病毒的传播并实时报警，同时详实记录一切网络通信行为，包括指令级的工业控制协议通信记录。

工业网络中设备众多、网络通信复杂，用户很难全面的掌握网络中所必须的业务通信需求，这会给安全设备的规则配置带来很大的困难。为了方便用户进行异常行为检测规则的配置，提高规则配置的准确性，减少规则配置的工作量，开发了自学习的业务行为基线功能。该功能采用被动检测的方式从网络中采集数据包，并进行数据包的解析，智能的与系统内置的协议特征、设备对象等进行匹配，生成可供参考的网络交互信息列表，通过对协议分布和流量信息的匹配，形成“工控场景行为基线”，帮助用户以最直观的方式了解和掌握网络中的业务通信状态，发现工控网络潜在的安全风险。

通过基线自学习功能梳理工控现场资产拓扑，建立工控网络行为模型，对基线外异行为如组态变更、操控指令变更、负载变更、异常访问等告警，实现对工控现场安全事件的告警与响应，保障工业控制系统的安全稳定运行。

各个行业的工业控制系统千差万别，不同的工艺流程往往有着不尽相同的业务处理方式，针对不同行业工控网络的异常监测有着较强的特异性差异。本发明可以深入不同行业的工业控制网络场景，融入针对不同行业的业务安全告警。如针对变电站场景，可对IEC 61850协议簇进行深度解析，对应到特定场景下的关键操作行为（遥控操作，改定值操作）；针对其他行业场景，可设置通用行业场景，解析Modbus TCP、S7 Comm等常见协议规约。

同时，本发明可对工控系统的配置文件进行解析，如变电站SCD文件等厂商相关配置文件的解析，将功能代码与具体业务操作进行关联，实现业务安全审计的功能。如可对工控协议报文进行检测和告警。可对运维人员下发的工控协议报文产生的非法操作进行检测和告警。可对资产新增、路径异常、未知协议、越权操作、关键控制等行为进行检测和告警。

本发明应用时的示意图如图3所示，预置场景内资产、行为、事件白名单；配置收敛条件；收敛不满足时，持续提取资产行为完善基线模型；收敛条件满足后，对后续输入进行基线模型匹配分板；分析参考基线模型的资产、行为、事件维度。

实施例2

本实施例提供一种基于自学习白名单的工控异常行为分析系统，其包括基础服务层、数采分析层、核心业务层和用户接口层，如图4所示。

所述的基础服务层包括硬件和安装在硬件上的操作系统，支持传统IT网络协议，支持工业网络协议。

所述的数采分析层包括数据采集模块和协议解码模块，对工控协议进行深度解析和分析，提取关键操作行为。

所述的核心业务层包括业务模块和辅助模块，所述的业务模块包括：形成基于工控场景的自学习业务行为基线模块、基于黑白名单的异常行为告警模块、安全设备存活模块、流量统计模块、日志查询模块及报表导出模块；所述的辅助模块包括日志代理模块、守护管理模块、升级系统模块和证书系统模块。在该层实现系统的应用功能。

所述的用户接口层，在该层实现和最终用户的人机界面，通过WEB接口进入管理界面，进行系统配置管理。

以上显示和描述了本发明的基本原理和主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。

Claims (10)

1.一种基于自学习白名单的工控异常行为分析方法，包括网卡获取数据包，经过DPDK的快速处理后交由数通引擎对数据包进行分类处理，分类好的数据进入到队列中按照相关优先级的顺序进行安全引擎处理，安全引擎处理后，形成相关的基线对应关系；其特征在于，

驱动层对数据处理后，安全引擎中的协议解码引擎对协议进行深度解码处理，解码后的数据信息经过应用层界面与业务的过程进行关联处理，对于设定周期内操作行为的感知，采用自学习模块形成业务系统中的基线关系表和资产表；

后续来自应用层解码的数据与自学习模块的基线进行比对分析，发现其中是否存在不符合通信关系基线的通信行为及未注册的新增资产，对异常通信或者异常资产进行告警。

2.根据权利要求1所述的工控异常行为分析方法，其特征在于，基于对多种工业控制协议的通信报文进行深度解析，实时检测针对工业控制协议的网络攻击、用户误操作、用户违规操作、非法设备接入以及蠕虫、病毒的传播并实时报警，同时详实记录一切网络通信行为，包括指令级的工业控制协议通信记录。

3.根据权利要求2所述的工控异常行为分析方法，其特征在于，所述的工业控制协议包括Modbus TCP、COTP、OPC、Siemens S7、DNP3、IEC 60870-5-104、IEC 61850-MMS、IEC61850-GOOSE和IEC 61850-SV。

4.根据权利要求1或2所述的工控异常行为分析方法，其特征在于，采用被动检测的方式从网络中采集数据包，并进行数据包的解析，智能地与系统内置的协议特征、设备对象进行匹配，生成可供参考的网络交互信息列表，通过对协议分布和流量信息的匹配，形成工控场景行为基线。

5.根据权利要求1或2所述的工控异常行为分析方法，其特征在于，通过基线自学习梳理工控现场资产拓扑，建立工控网络行为模型，对基线外异行为告警，实现对工控现场安全事件的告警与响应，保障工业控制系统的安全稳定运行。

6.根据权利要求1或2所述的工控异常行为分析方法，其特征在于，对工业控制系统的配置文件进行解析，将功能代码与具体业务操作进行关联，实现业务安全审计。

7.根据权利要求1或2所述的工控异常行为分析方法，其特征在于，对工业控制协议报文进行检测和告警。

8.根据权利要求1或2所述的工控异常行为分析方法，其特征在于，对运维人员下发的工业控制协议报文产生的非法操作进行检测和告警。

9.根据权利要求1或2所述的工控异常行为分析方法，其特征在于，对资产新增、路径异常、未知协议、越权操作、关键控制行为进行检测和告警。

10.一种基于自学习白名单的工控异常行为分析系统，包括基础服务层、数采分析层、核心业务层和用户接口层，其特征在于，

所述的数采分析层包括数据采集模块和协议解码模块，对工控协议进行深度解析和分析，提取关键操作行为；

所述的核心业务层包括业务模块和辅助模块，所述的业务模块包括：形成基于工控场景的自学习业务行为基线模块、基于黑白名单的异常行为告警模块、安全设备存活模块、流量统计模块、日志查询模块及报表导出模块；所述的辅助模块包括日志代理模块、守护管理模块、升级系统模块和证书系统模块。