CN108809951A - 一种适用于工业控制系统的渗透测试框架 - Google Patents

Abstract

本发明公开了一种适用于工业控制系统的渗透测试框架，包括如下模块：(1)基于测试目标的功能交互模块(2)基于TCP/IP协议栈对目标网络进行资产识别和网络拓扑探测；(3)基于工控仿真客户端的系统探测，通过特征数据包获取目标指纹信息；(4)基于工控漏洞库的漏洞扫描；(5)基于工控专有协议的漏洞挖掘，对工业以太网协议做模糊测试；(6)基于工控系统特征的渗透攻击，对测试目标进行有效的模拟攻击。该框架能够对工控系统进行有效的渗透测试，解决现有渗透测试工具针对工业控制系统探测效率低、工控安全漏洞覆盖率低、工控环境脆弱性检测难和漏洞利用方式单一等问题。

Description

一种适用于工业控制系统的渗透测试框架

技术领域

本发明属于计算机技术领域，尤其是工控安全领域。本发明提供了一种适用于工业控制系统的渗透测试框架，针对工控设备进行专业的渗透测试，以提高其安全可靠性。

背景技术

工业控制系统在设计之初主要考虑的是可用性、实时性，且早期的工业控制系统相对封闭，遭受安全攻击的可能性小，因此工业控制系统在设计之初并没有考虑安全性。随着计算机技术和网络通信技术在工业控制系统的广泛应用，传统工业控制系统逐步打破了以往的封闭性和专有性，标准、通用的通信协议及软硬件系统应用愈发广泛，工业控制系统的攻击难度降低，工业控制系统安全设计不足使得工业控制系统面临巨大的安全问题，近年来频繁发生的工控安全事件不仅暴露了工业控制系统在安全防护能力上的不足，也凸显了工业控制系统在安全监测预警上的不足，工业控制系统的安全脆弱性处于“先天不足，后天失养”的严峻行情。

渗透测试通常是通过模拟恶意黑客的攻击行为，挫败目标系统安全控制措施，取得访问权，并发现具备业务影响后果安全隐患的一种针对计算机系统和网络安全的安全测试和评估方式。这个过程包括对系统的任何弱点、技术缺陷或者漏洞的主动分析，而这种分析是从一个攻击者可能存在的位置来进行的，对系统安全性的评估真实性是最大的。渗透测试一方面可以从攻击者的角度，利用社会工程学的手段，检验业务系统的安全防护措施是否有效，各项安全策略是否得到贯彻落实；另一方可以将潜在的安全风险以真实事件的方式突显出来，提高相关人员对安全问题的认识水平。

现有渗透测试的基本类型包括：

1)黑盒测试。也称为外部测试，渗透测试团队将从一个远程网络位置来评估目标网络基础设施，并没有任何目标网络内部拓扑等相关信息，测试团队将完全模拟真实网络环境中的外部攻击者，采用流行的攻击技术与工具，有组织有步骤地对目标网络进行逐步的渗透和入侵，揭示目标网络中一些已知和未知的安全漏洞，并评估这些漏洞能否被利用获取控制权或造成业务资产的损失。

2)白盒测试。也称为内部测试，团队可以了解到关于测试目标的所有内部和底层知识，可以以最小的代价发现和验证系统中最严重的安全漏洞。白盒测试能方便地在一次常规的开发和部署计划周期中集成，在早期就可以消除一些可能存在的安全问题，从而避免被入侵者发现和利用。白盒测试发现和解决安全漏洞所需花费的时间和代价要比黑盒测试少许多，但没法有效地测试客户组织的应急响应程序，也无法判断其安全防护计划对检测特定攻击的效率。

3)灰盒测试。就是将黑盒测试和白盒测试组合起来，可以同时发挥两种渗透测试方法各自的优势。灰盒测试需要渗透测试团队能够根据对目标系统所掌握的有限知识与信息，来选择评估整体安全性的最佳途径，从而达到更好的渗透测试效果。

漏洞利用：安全漏洞指信息系统在生命周期的设计、实现、运维等阶段产生的某类问题，会对系统的安全(机密性、完整性、可用性)产生影响，从而使得攻击者能够在未授权的情况下访问或破坏系统。基于漏洞产生的环境、平台，其相应的利用方式也大相径庭，如针对本地系统软件的缓冲区溢出攻击，适用于Web漏洞的SQL盲注和基于协议栈实现缺陷的中间人攻击和拒绝服务。

模糊测试：模糊测试是指向被测试目标发送一些异常数据并对被测目标进行监控异常结果来检测被测目标是否存在漏洞的一种手段，是针对漏洞挖掘而提出的一种方法，比一般手段具有更高自动化、良好可用性和较高的准确率。工业控制系统由于实时性、可靠性要求高，许多传统的安全手段并不能再工业控制领域发挥很好的作用。根据其自身的特点，在系统或协议上线之前对其进行漏洞挖掘测试可以很好地抵御一些潜在的风险，提高系统安全性和可靠性，防患于未然。

发明内容

在现有工作的基础上，本发明的目的在于：提出一种适用于工业控制系统的渗透测试框架，解决现有渗透测试工具针对工业控制系统探测效率低、工控安全漏洞覆盖率低、工控环境脆弱性检测难和漏洞利用方式单一等问题。

本发明的技术方案为：一种适用于工业控制系统的渗透测试框架，其特征是基于测试目标的功能交互，基于TCP/IP协议栈的网络探测，基于工控仿真客户端的系统探测，基于工控漏洞库的漏洞扫描，基于工控专有协议的漏洞挖掘和脆弱性检测，基于工控系统特征的渗透攻击，从而确保该框架在工业控制系统的特殊环境下能够对测试目标实现有效的渗透测试。

本发明具体包括以下步骤：

1)基于测试目标的功能交互；

2)基于TCP/IP协议栈的网络探测

3)基于工控仿真客户端的系统探测；

4)基于工控漏洞库的漏洞扫描；

5)基于工控专有协议的漏洞挖掘和脆弱性检测；

6)基于工控系统特征的渗透攻击。

进一步：

步骤1)中，基于工控环境的特殊性和工控设备的多样性，结合不同的渗透测试目标，根据用户需求调用该渗透框架的不同功能模块，框架提供的功能模块包括网络探测、系统探测、漏洞扫描和挖掘、协议测试和渗透攻击等。

步骤2)中，随着IT技术在工业环境中的广泛应用，工控协议开始基于TCP/IP构建，因此针对工控测试目标，传统网络探测踩点和信息搜集依旧是第一步。利用Ping扫描、端口扫描和操作系统扫描对目标的网络拓扑进行探测，识别工控资产。

步骤3)中，对目标网络信息收集充分与否和信息的有效性往往决定渗透测试后续工作的价值和成功率。本框架基于工控通信协议建立相应的模拟客户端，与目标工控设计建立连接，并基于特定功能码构造请求数据包，获取有效的设备信息(设备型号、标识符、版本信息)。

步骤4)中，基于工控系统漏洞和安全缺陷建立的工控系统专业漏洞库，利用步骤2)中的网络探测和步骤3)中特定的系统探测获取到目标的特征，与漏洞库中的数据进行匹配，得到测试目标存在的安全漏洞和脆弱性。

步骤5)中，本框架提供基于工控系统网络特征的脆弱性检测基于先前步骤供的网络探测和数据包捕获工作，首先进行工控数据包的解析工作，尤其是没有公开协议说明书的工控未知协议，利用现有基于网络流量包的协议逆向技术，提取未知协议数据包的规则和模板，结合成熟的协议模糊测试工具，建立数据模型和状态模型，并基于工控设备选取合适的远程监控手段或本地监控手段，对工控目标进行模糊测试。

步骤6)中，PTES标准是安全公司为企业用户制定的渗透测试的执行标准，包括前期交互、情报搜集、威胁建模、漏洞分析、渗透攻击、后渗透攻击和报告等七个阶段。显然，渗透攻击是渗透测试中最为关键的一个环节，本框架利用前期扫描出的安全漏洞，并结合工控系统漏洞利用方式的特殊性，模拟黑客攻击目标系统，实现未授权访问或者破坏系统的目标，检测目标系统的脆弱性，并总结安全评估报告

通过采用以上技术方案，与现有渗透攻击相比，本发明具有以下优点：

1.针对性强：本发明是适用于工业控制网络的渗透测试框架，其基于工控客户端的系统探测可以较好地对工控设备进行深层次的探测，获取有效的设备版本信息，提高漏洞扫描效率。

2.适用性广：本发明的脆弱性检测模块可以针对未知工控协议做基于网络数据包的逆向解析，以提高模糊测试的应用场景；同时协议模糊测试挖掘出的漏洞可以提高漏洞扫描的准确率，提高系统安全性评估。

3.渗透方法丰富：本发明基于工控网络特征支持多种漏洞利用和渗透测试方式，提高针对目标工控系统的渗透测试能力。

附图说明

图1为本发明实施例的适用于工业控制系统的渗透测试框架的架构示意图

图2为本发明实施例的适用于工业控制系统的渗透测试框架的主要功能模块

图3为本发明实施例的适用于工业控制系统的渗透测试框架的工作流程图

图4为本发明实施例的适用于工业控制系统的渗透测试框架的脆弱性检测的步骤图

图5为本发明实施例的适用于工业控制系统的渗透测试框架的漏洞利用分类图

具体实施方式

本发明框架根据渗透测试的主要流程和工控环境独特性，对目标工控系统进行渗透测试和脆弱性评估。首先针对目标工业控制系统的结构做网络探测，得到基本的网络拓扑图，在基于不同测试目标或用户不同的功能需求调用框架中的不同功能模块，例如针对工控网络环境的脆弱性检测、针对目标工控设备的渗透测试或是基于某工控私有协议的漏洞扫描。

下面结合本发明的相关说明图与具体实施，对适用于工控系统的渗透测试框架的特征做进一步说明。

第一步：如图1所示的框架结构图，框架的主功能由功能交互模块来集成和调用，包括针对工控目标的网络探测、漏洞扫描、渗透攻击和协议脆弱性检测；而基于工控协议集的工控客户端模块，主要负责针对特定工控目标进行深层次的系统探测；漏洞挖掘模块则对工控通信协议和相应服务软件做模糊测试，以挖掘出未知漏洞补充工控专有漏洞库，提到漏洞扫描的准确性和保障工控系统安全可靠性。

基于工控环境的特殊性和工控设备的多样性，结合不同的渗透测试目标，根据用户需求调用框架的不同功能模块(如图2所示，本框架的子功能模块可对不同的工控设备进行有针对性的目标识别和脆弱性检测)，依照渗透测试的主要流程对目标进行渗透测试(如图3所示)。

第二步，基于TCP/IP构造的工控协议往往是固定某个端口的应用层协议，如Modbus/TCP的502端口和西门子S7的102端口。利用Ping探测、TCP/UDP端口扫描，以及栈指纹探测，有效获悉目标环境的网络拓扑和一些特定的工控设备，并进行有效会话的数据包捕获。

第三步：与针对传统网络的渗透测试类似，针对工控系统的渗透测试的前提和基础是踩点和信息收集。在传统网络探测手段对工控系统不完全适用的情况下，本框架提出的基于工控客户端的系统探测基于工控设备特征和通信协议，对其进行深层析的信息探测。主要的客户端模块有：

Modbus功能码有三种类型，分别为公共功能码、用户定义功能码和保留功能码。本框架中的Modbus/TCP客户端，在于测试目标建立会话连接后，根据不同功能码的含义构造特殊数据包，发送给测试目标以探测其设备型号和状态信息(如功能码43可用来构造探测数据包读取设备标识)。此外，基于一些用户定义功能码，客户端会基于策略构造自定义数据包进行尝试探测。

第四步，在利用工控客户端对目标网络进行充分的进行搜集后，结合工控专用漏洞库进行数据比对，可较为准确地扫描出测试目标的安全漏洞情况。基于工控系统网络特征的漏洞和安全缺陷如下：

本框架从通用漏洞平台(CVE)、国家信息安全漏洞共享平台(CNVD)和中国国家信息安全漏洞库(CNNVD)等公开漏洞平台专门搜集了工控系统相关的漏洞信息，并组织成按特征匹配的数据库，并保持不断更新。

第五步，在完成对测试目标基于漏洞库的漏洞扫描后，为了进行更高水平的渗透测试，本框架提供基于工控系统网络特征的脆弱性检测。如图4所示的流程图，基于先前步骤供的网络探测和数据包捕获工作，首先进行工控数据包的解析工作，尤其是没有公开协议说明书的工控未知协议，利用现有基于网络流量包的协议逆向技术，提取未知协议数据包的规则和模板，其具体步骤如下：

1)利用Wireshark或者Tcpdump抓取目标设备和服务的交互数据包，并进行相应的预处理工作(现有工业以太网的通信协议大多是基于TCP/IP构建的应用层协议，预处理的主要任务是去除传输层或链路层的包裹，获取有效数据包)；

2)针对数据包进行关键域分类，主要采用标识符划分等方法和通过字节对齐、活跃数据域进行聚类，必要的时候根据协议的先验知识进行介入；

3)为了提高模糊测试的效率，仅提取协议语法是不足够的，后续步骤需要完成对协议状态转移的推断，利用概率性状态机或者隐马尔可夫模型推断未知工控协议的状态模型。

成功获取测试目标的通信协议规则后，结合成熟的协议模糊测试工具(如Peach)，建立数据模型和状态模型，并基于工控设备选取合适的远程监控手段或本地监控手段，对工控目标进行模糊测试。

第六步，渗透测试的最终目的是通过模拟攻击的方式检测目标系统的脆弱性，并总结安全评估报告。针对工控环境的特殊性，基于策略机制选取的漏洞利用方式(如图5所示)和渗透攻击需要考虑工控系统的安全配置和网络环境。例如，对于可访问的工控网络可以进行常规的Web漏洞利用方式，基于SQL注入的信息泄露和主机Shell获取；对于通信协议安全欠缺的工控网络，则充分利用中间人攻击，实施网络流量重放；针对安全配置不达标，开放不必要服务的工控主机，向服务端口发送特定构造的攻击数据包。

综上，本发明可以有效解决解决现有渗透测试工具针对工业控制系统探测效率低、工控安全漏洞覆盖率低、工控环境脆弱性检测难和漏洞利用方式单一等问题。

Claims (8)

1.一种适用于工业控制系统的渗透测试框架，其特征在于：基于测试目标的功能交互模块；基于TCP/IP协议栈的网络探测模块；基于工控仿真客户端的系统探测模块；基于工控漏洞库的漏洞扫描模块；基于工控专有协议的脆弱性检测模块；基于工控系统特征的渗透攻击模块；基于上诉五个模块的基本功能和交互关系，可以确保该框架在工业控制系统的独特环境下能够实现有效的渗透测试。

2.根据权利要求1所述的适用于工控系统的渗透测试框架，其特征在于包括以下步骤：

1)基于测试目标的功能交互；

2)基于TCP/IP协议栈的网络探测；

3)基于工控仿真客户端的系统探测；

4)基于工控漏洞库的漏洞扫描；

5)基于工控专有协议的脆弱性检测；

6)基于工控系统特征的渗透攻击。

3.根据权利要求2所述的适用于工控系统的渗透测试框架，其特征是步骤1)中，根据用户所针对的不同目标系统(如SCADA上位机软件、PLC设备或工业路由器)或者不同的测试目标(如协议脆弱性)，调用具体的功能模块。

4.根据权利要求2所述的适用于工控系统的渗透测试框架，其特征是步骤2)中，基于TCP/IP协议构建的工控协议(如Modbus/TCP)，可利用传统网络探测技术(端口扫描等)进行目标的网络拓扑探测和资产识别。

5.根据权利要求2所述的适用于工控系统的渗透测试框架，其特征是步骤3)中，基于工控主从设备通讯协议所设计的工控仿真客户端，能够允许用户与工控设备建立会话连接，并利用特征码读取设备信息或者下发控制指令，实现较深层次的系统探测。

6.根据权利要求2所述的适用于工控系统的渗透测试框架，其特征是步骤4)中，所诉漏洞扫描是对目标系统进行主动检测，并与事先建立的工控漏洞库进行数据比对，提供目标的漏洞信息(漏洞名称、内容简介、危险等级、相关参考信息等)。

7.根据权利要求2所述的适用于工控系统的渗透测试框架，其特征是步骤5)中，针对工控专有协议设计之初优先考虑实时性和可靠性，而缺乏安全机制的特征，开展针对会话窃取、信息泄露、流量风暴和中间人攻击等脆弱性检测，并针对协议相关特征码进行协议的模糊测试。

8.根据权利要求2所述的适用于工控系统的渗透测试框架，其特征是步骤6)中，针对工控系统的环境特殊性，对常规漏洞利用方式和渗透技术做适配或取舍，被利用的漏洞可以是网络协议层次的，也可以是系统软件层次；所采取的渗透攻击手段可以是直接影响工控系统实时可靠性的拒绝服务攻击，也可以是隐藏能力较高的恶意代码形式。