CN108712425A - 一种面向工业控制系统网络安全威胁事件的分析监管方法 - Google Patents

Abstract

本发明公开了一种工业控制系统面向网络安全威胁事件的分析监管方法，包括步骤：步骤一，对工业控制系统的网络安全异常行为进行监测，得到存在网络安全异常行为的监测对象；步骤二，对存在网络安全异常行为的监测对象的后续网络安全事件进行监测；步骤三，基于业务行为序列规则库对网络安全异常行为进行分析，当分析发现存在与业务行为序列不符的安全事件时，对网络安全异常行为进行阻断。本发明可以将离散的安全事件进行关联形成安全攻击序列，并能将安全攻击行为进行网络隔绝，防止网络攻击行为扩散。

Description

一种面向工业控制系统网络安全威胁事件的分析监管方法

技术领域

本发明涉及信息安全技术领域，具体涉及一种面向工业控制系统网络安全威胁事件的分析监管方法。

背景技术

目前的网络安全监测技术已能够基于诸如U盘的插拔、连接外部网络、用户多次登录失败等网络安全事件规则对各类离散的安全事件进行监测，但各自独立的安全事件是否确实是网络安全攻击行为，是否会对系统产生影响尚还缺乏一定的技术手段进行定位，尤其是在大型的工业控制系统中可能涉及上万台工业控制设备，如果仅仅是针对各类离散的安全事件进行排查，网络安全运维人员往往难以有精力去一一解决，在此情况下就可能忽视掉真正有威胁的安全事件。如何将各类安全事件进行关联、分析，形成有用的信息，为网络安全运维人员提供决策支撑，及时发现真正的网络安全攻击行为需要进一步研究。

工业控制系统网络相对比较封闭、运行状态相对比较稳定，正常情况下，工业控制系统不会与外部的网络进行数据交互，且一般不会通过内部操作改变工业控制系统的运行状态，而病毒主要通过U盘拷贝或通过运维笔记本等方式引入到工业控制系统网络，因此一旦出现外部网络访问、内部访问、外设接入、外部设备接入等行为，那么有可能会对工业控制系统的可靠、运行产生安全影响，因此考虑将上述四种行为作为网络安全监视的起点，将涉及的相关工控设备的后续离散的安全事件进行关联，并基于网络攻击序列进行分析，及时发现网络安全攻击行为。

发明内容

为解决现有技术中的不足，本发明提供一种面向工业控制系统网络安全威胁事件的分析监管方法，将涉及的相关工控设备的后续离散的安全事件进行关联，并基于网络攻击序列进行分析，及时发现网络安全攻击行为。

为了实现上述目标，本发明采用如下技术方案：一种面向工业控制系统网络安全威胁事件的分析监管方法，其特征在于，包括步骤：

步骤一，对工业控制系统的网络安全异常行为进行监测，得到存在网络安全异常行为的监测对象；

步骤二，对存在网络安全异常行为的监测对象的后续网络安全事件进行监测；

步骤三，基于业务行为序列规则库对网络安全异常行为进行分析，当分析发现存在与业务行为序列不符的安全事件时，对网络安全异常行为进行阻断。

前述的一种面向工业控制系统网络安全威胁事件的分析监管方法，其特征在于：所述监测对象包括安全设备、网络设备、主机设备。

前述的一种向工业控制系统网络安全威胁事件的分析监管方法，其特征在于：所述网络安全异常行为包括外部网络访问行为、内网访问、外设接入、外部网络设备接入行为。

前述的一种面向工业控制系统网络安全威胁事件的分析监管方法，其特征在于：所述网络安全事件包括非法外联、登录操作、拷入文件、启用主机上的进程、执行kill进程、rm文件的非法操作、将文件的权限更改为可读、写及运行等改变文件权限行为、删除数据库表、开启主机的ftp、telnet、默认共享服务端口、改变交换机的网络访问策略、改变防火墙安全设备的网络安全策略。

前述的一种面向工业控制系统网络安全威胁事件的分析监管方法，其特征在于：所述业务行为序列规则库生成过程为：基于工业控制系统在业务长期运行过程中积累的系统行为，按照时间顺序排列。

前述的一种面向工业控制系统网络安全威胁事件的分析监管方法，其特征在于：所述基于业务行为序列库规则对网络安全异常行为进行分析，包括步骤：

1）对信息采集程序采集的信息进行去重、清洗、分类、格式化预处理；

2）通过syslog、snmp协议以及采集程序发送的采集信息中包含了四大类异常行为的标签，基于该标签识别出网络安全异常行为；

3）如果网络安全异常行为涉及的主机后续继续发生安全事件，基于业务行为序列规则库进行威胁分析；如果分析结果没有威胁且该行为序列结束，则终止对该行为的监视与分析；如果尚未识别到威胁，且该行为序列尚未结束，则继续对安全事件进行监视；

4）识别出该行为序列可能的威胁后，根据涉及设备类型，对识别出的网络安全异常行为进行阻断。

前述的一种面向工业控制系统网络安全威胁事件的分析监管方法，其特征在于：所述对网络安全异常行为进行阻断方式包括：

针对网络设备，通过snmp方式下发关闭外部网络设备所接的交换机、路由器端口；

针对安全设备，使用安全设备厂商支持的协议下发访问控制策略阻断网络访问行为；

针对主机设备，通过部署在主机设备上的agent软件作为代理断开登录连接，临时禁用可疑帐号登录、禁用USB接口、禁用网络功能等指令到主机上的安全监测程序进行执行代理。

本发明所达到的有益效果：本发明梳理出针对工业控制系统的典型攻击场景，将各类离散的工业控制系统网络安全事件进行归纳，基于工业控制系统业务行为序列库进而分析出不符合业务行为的安全攻击事件，能够将各自独立的网络安全攻击事件串联起来，并能够有效的将误操作行为剥离出网络安全攻击范畴，为网络安全运维人员定位攻击行为提供有效的技术支撑手段。

附图说明

图1为本发明分析监管方法流程图。

具体实施方式

下面结合附图对本发明作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本发明的保护范围。

如图1所示，一种面向工业控制系统网络安全威胁事件的分析监管方法，包括以下步骤：

步骤一，对工业控制系统的网络安全异常行为进行监测，得到存在网络安全异常行为的监测对象；

步骤二，对存在网络安全异常行为的监测对象的后续网络安全事件进行监测；

步骤三，基于业务行为序列规则对网络安全异常行为进行分析，当分析发现出存在与业务行为序列不符的安全事件时，对网络安全异常行为进行阻断。

所述步骤一，监测对象包括安全设备、网络设备、主机设备。

安全设备包括防火墙、网闸隔离装置、VPN加密装置、入侵检测装置，通过标准syslog协议采集安全设备系统运行日志，和网络链路访问信息等。

网络设备主要包括工业交换机、路由器，通过syslog协议、流量分析方式采集网络链路信息，通过snmp（简单网络管理）方式获取交换机发生的安全事件，安全事件包括用户及口令变更、用户登录和操作、网口状态变更、设备在线状态、网络丢包率、非法MAC接入、非法端口被打开、接入设备IP地址冲突、网络设备IP地址冲突、接入设备MAC地址冲突、网络设备MAC地址冲突、设备硬件故障等。

主机设备包括服务器、网关机、工作站。通过在主机内安装信息采集程序实现主机信息的采集。信息采集程序采集的信息主要包括用户登录主机信息、用户操作命令及回显信息、移动存储设备或手机等通过USB接口插拔事件信息、光驱加载信息等。信息采集程序支持Linux、Unix、Windows等工业控制系统内主机设备常用的操作系统。

所述网络安全异常行为包括外部网络访问行为、内网访问、外设接入、外部网络设备接入行为。所述外部网络访问行为是通过外部网络访问内部专用网络的行为；所述内部访问是通过内网网络远程登录至主机设备、通过远程图形用户界面方式登录主机设备、通过本地图形化方式登录主机设备；所述外设接入是移动存储介质、手机、无线网卡、光盘等接入服务器、台式机、笔记本行为；所述外部网络设备接入是外部的网络设备接入内部交换机、路由器、集线器、网桥、网关、无线接入点的行为。

所述步骤二，网络安全事件包括非法外联、登录操作、拷入文件、启用主机上的进程、执行kill（杀死）进程、rm（删除）文件的非法操作、将文件的权限更改为可读、写及运行等改变文件权限行为、删除数据库表、开启主机的ftp（文件传输协议）、telnet（远程终端协议）、默认共享服务端口、改变交换机的网络访问策略、改变防火墙等安全设备的网络安全策略等。

通过将工控网络安全异常行为归集为外部网络访问、内部访问、外设接入、外部网络设备接入四大类。基于工业控制系统在业务长期运行过程中积累的系统行为，按照时间顺序排列，可生成业务行为序列规则库。通过对网络安全异常行为和该异常行为发生后的后续网络安全事件进行关联，并在业务行为序列规则库中过滤，分析出不符合规则的一系列操作，实现对网络安全攻击行为的定位及溯源。

步骤三中，所述基于业务行为序列规则库对四大类网络安全异常行为与网络安全事件的关联结果进行分析，包括步骤：

1）对信息采集程序采集的信息进行去重、清洗、分类、格式化预处理；

2）通过syslog、snmp协议以及采集程序发送的采集信息中包含了四大类异常行为的标签，基于该标签识别出网络安全异常行为；

3）如果网络安全异常行为涉及的主机后续继续发生安全事件，基于业务行为序列规则库进行威胁分析；如果分析结果没有威胁且该行为序列结束，则终止对该行为的监视与分析；如果尚未识别到威胁，且该行为序列尚未结束，则继续对安全事件进行监视；

4）识别出该行为序列可能的威胁后，根据涉及设备类型，对识别出的网络安全异常行为进行阻断。

根据不同的业务场景可以自定义业务行为序列规则库。对于不同的监测对象，采用不同的方式进行阻断。针对网络设备，通过snmp方式下发关闭外部网络设备所接的交换机、路由器端口；针对安全设备，使用安全设备厂商支持的协议下发访问控制策略阻断网络访问行为；对于主机设备，通过部署在主机设备上的agent软件作为代理断开登录连接，临时禁用可疑帐号登录、禁用USB接口、禁用网络功能等指令到主机上的安全监测程序进行执行代理。

本发明梳理出针对工业控制系统的典型攻击场景，将各类离散的工业控制系统网络安全事件进行归纳，基于工业控制系统业务行为序列规则库进而分析出不符合业务行为的安全攻击事件，能够有效的将误操作行为剥离出网络安全攻击范畴，为网络安全运维人员定位安全攻击提供了有效的技术手段。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变形，这些改进和变形也应视为本发明的保护范围。

Claims (7)

1.一种面向工业控制系统网络安全威胁事件的分析监管方法，其特征在于，包括步骤：

步骤一，对工业控制系统的网络安全异常行为进行监测，得到存在网络安全异常行为的监测对象；

步骤二，对存在网络安全异常行为的监测对象的后续网络安全事件进行监测；

步骤三，基于业务行为序列规则库对网络安全异常行为进行分析，当分析发现存在与业务行为序列不符的安全事件时，对网络安全异常行为进行阻断。

2.如权利要求1所述的一种面向工业控制系统网络安全威胁事件的分析监管方法，其特征在于：所述监测对象包括安全设备、网络设备、主机设备。

3.如权利要求1所述的一种向工业控制系统网络安全威胁事件的分析监管方法，其特征在于：所述网络安全异常行为包括外部网络访问行为、内网访问、外设接入、外部网络设备接入行为。

4.如权利要求1所述的一种面向工业控制系统网络安全威胁事件的分析监管方法，其特征在于：所述网络安全事件包括非法外联、登录操作、拷入文件、启用主机上的进程、执行kill进程、rm文件的非法操作、将文件的权限更改为可读、写及运行等改变文件权限行为、删除数据库表、开启主机的ftp、telnet、默认共享服务端口、改变交换机的网络访问策略、改变防火墙安全设备的网络安全策略。

5.如权利要求1所述的一种面向工业控制系统网络安全威胁事件的分析监管方法，其特征在于：所述业务行为序列规则库生成过程为：基于工业控制系统在业务长期运行过程中积累的系统行为，按照时间顺序排列。

6.如权利要求1所述的一种面向工业控制系统网络安全威胁事件的分析监管方法，其特征在于：所述基于业务行为序列库规则对网络安全异常行为进行分析，包括步骤：

1）对信息采集程序采集的信息进行去重、清洗、分类、格式化预处理；

2）通过syslog、snmp协议以及采集程序发送的采集信息中包含了四大类异常行为的标签，基于该标签识别出网络安全异常行为；

3）如果网络安全异常行为涉及的主机后续继续发生安全事件，基于业务行为序列规则库进行威胁分析；如果分析结果没有威胁且该行为序列结束，则终止对该行为的监视与分析；如果尚未识别到威胁，且该行为序列尚未结束，则继续对安全事件进行监视；

4）识别出该行为序列可能的威胁后，根据涉及设备类型，对识别出的网络安全异常行为进行阻断。

7.如权利要求1所述的一种面向工业控制系统网络安全威胁事件的分析监管方法，其特征在于：所述对网络安全异常行为进行阻断方式包括：

针对网络设备，通过snmp方式下发关闭外部网络设备所接的交换机、路由器端口；

针对安全设备，使用安全设备厂商支持的协议下发访问控制策略阻断网络访问行为；

针对主机设备，通过部署在主机设备上的agent软件作为代理断开登录连接，临时禁用可疑帐号登录、禁用USB接口、禁用网络功能等指令到主机上的安全监测程序进行执行代理。