CN110430209B - 一种基于动态多样化的工控系统安全防御方法及装置 - Google Patents

Abstract

本发明涉及一种基于动态多样化的工控系统安全防御方法及装置，主要步骤包括：动包括等价多样化模块、嵌入多样化模块、欺骗多样化模块、动态代理模块；动态代理模块根据随机因子非周期性将对工控系统的探测请求调度多样性的系统实例中的一个，攻击者无法通过扫描探测识别工业系统的版本，从而抵御对工控系统的探测漏洞和利用漏洞。本发明能够有效地增加工控系统的系统多样性，大大增加工控系统的攻击面转换空间，对抵御未知攻击和0day漏洞具有重要作用。

Description

一种基于动态多样化的工控系统安全防御方法及装置

技术领域

本发明涉及一种工控系统安全防御方法及装置，具体涉及基于动态多样化的工控系统安全防御方法及装置，属于计算机网络安全领域。

背景技术

工业控制系统（ICS）是工业生产中所使用的多种类型控制软硬件系统，包括但不限于监控与数据采集系统（SCADA）、集散控制系统（DCS）以及可编程逻辑控制器（PLC）等等。工业控制系统是关键基础设施的重要组成部分，广泛应用在关系国计民生的电力、石油、化工、交通、运输、水利等等。针对工业控制系统的攻击将大大威胁到社会的正常运转，保护工业控制系统安全具有极为重要的意义。工业控制系统在设计之初，缺乏安全防护机制，导致长期运行的大量工业控制系统“带病”运行，高危漏洞层出不穷。近年来，随着TCP/IP协议和0PC协议等通用协议越来越广泛地应用在工业控制网络中，工业控制系统从封闭走向了开发，安全问题日益突出，安全风险急剧上升。甚至APT攻击（高级可持续性威胁，AdvancedPersistent Threat，APT）等国家级对抗的新型攻击手段也集中在工业控制系统领域中。这种APT攻击核心技术是利用0-day 漏洞（也称为零日漏洞）或未公开的漏洞，它是多种攻击手段的组合，其攻击过程缓慢，具有针对性、持续性、隐蔽性。一旦进入目标系统后，为了达到有效的攻击，会持续寻找攻击的宿主目标。

为了保障保障业务连续性和稳定性，工业控制系统版本一般都单一、陈旧、不升级补丁、漏洞长期暴漏。这种静态、同质、不变的系统弱点，存在被攻击者长期窃听、扫描和渗透的安全风险。 而传统以边界防护为特点的工业控制系统安全方法，由于缺乏动态防护的安全策略使得工业控制系统的脆弱性长期暴漏在攻击者面前。

由此可见，工业控制系统的多样化和动态化，是构建主动防御的重要技术方向，它能够改变当前工控系统安全攻防不对称的格局，变静态防御为动态防御、变被动防御为主动防御，是提高工控系统安全能力的关键技术。

发明内容

有鉴于此，本发明公开了一种基于动态多样化的工控系统安全防御方法及装置，主要步骤包括：动包括等价多样化模块、嵌入多样化模块、欺骗多样化模块、动态代理模块；动态代理模块根据随机因子非周期性将对工控系统的探测请求调度多样性的系统实例中的一个，攻击者无法通过扫描探测识别工业系统的版本，从而抵御对工控系统的探测漏洞和利用漏洞。本发明能够有效地增加工控系统的系统多样性，大大增加工控系统的攻击面转换空间，对抵御未知攻击和0day漏洞具有重要作用。

本发明的技术方案如下：基于动态多样化的工控系统安全防御方法，其步骤包括：

1）等价多样化模块生成工控应用和功能等价的多种系统实例；

2）嵌入多样化模块对原生工控系统的版本信息进行内置随机化；

3）欺骗多样化模块轻量级虚拟化来伪造生成多种工控系统的实例；

4）动态代理模块非周期性对工控系统探测请求进行调度。

更进一步，所述等价多样化模块对工业控制系统的应用（ICApp）和功能（ICFun）进行多平台复制，进而制作多平台的镜像，根据多样化参数生成多种系统实例，实例可以是虚拟机也可以是物理机。

更进一步，所述嵌入多样化模块采用如下方式对工控系统的版本信息进行随机化：

1) 不同操作系统版本指纹的替换，也即OS(α)和OS(β)的交换；

2) 同一个操作系统高低版本号之间的替换，也即OS(β)_Vab.cd与OS(β)_Vwx.yz的交换;

3）模糊化版本指纹信息，无法通过读取配置文件、接口信息获取任何有意义的版本字符串。

更进一步，所述欺骗多样化模块通过容器等轻量级虚拟化来构造与原始工控系统版本信息指纹相同的系统，但不提供任何功能和服务，只根据网络访问的请求做模拟应答，从而伪造生成多种工控系统的实例，动态代理模块根据随机因子Rad(γ)非周期性将对工控系统的探测请求调度多样性的系统实例中的一个。

更进一步，所述的动态代理模块动态调度的请求，在非攻击状态下被调度到等价多样化模块或嵌入式多样化模块生成的工控系统实例中，在攻击状态和异常请求状态下被调度到嵌入式多样化模块或欺骗多样性模块生成的工控系统实例中。

本发明还提出一种基于动态多样化的工控系统安全防御装置，包括等价多样化模块、嵌入多样化模块、欺骗多样化模块、动态代理模块，

所述等价多样化模块对工业控制系统的应用（ICApp）和功能（ICFun）进行多平台复制，进而制作多平台的镜像，根据多样化参数生成多种系统实例，实例可以是虚拟机也可以是物理机；

所述嵌入多样化模块通过不同操作系统版本指纹的替换、同一个操作系统高低版本号之间的替换、模糊化版本指纹信息三种策略对工控系统的版本信息进行随机化；

所述动态代理模块根据随机因子Rad(γ)非周期性将对工控系统的探测请求调度多样性的系统实例中的一个，在非攻击状态下被调度到等价多样化模块或嵌入式多样化模块生成的工控系统实例中，在攻击状态和异常请求状态下被调度到嵌入式多样化模块或欺骗多样性模块生成的工控系统实例中；

动态代理模块位于工控系统实例的网络边界，多元化系统镜像非周期性更新工控系统实例资源池。

本发明的有益效果为：

本发明涉及一种基于动态多样化的工控系统安全防御方法及装置，主要步骤包括：动包括等价多样化模块、嵌入多样化模块、欺骗多样化模块、动态代理模块；动态代理模块根据随机因子非周期性将对工控系统的探测请求调度多样性的系统实例中的一个，攻击者无法通过扫描探测识别工业系统的版本，从而抵御对工控系统的探测漏洞和利用漏洞。本发明能够有效地增加工控系统的系统多样性，大大增加工控系统的攻击面转换空间，对抵御未知攻击和0day漏洞具有重要作用。

附图说明

附图1是本发明基于动态多样化的工控系统安全防御装置的架构示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步描述。

本发明的一实施例中公开的基于动态多样化的工控系统安全防御装置，其步骤为：

1）多样化模块对工业控制系统的应用（ICApp）和功能（ICFun）进行多平台复制，进而制作多平台的镜像，根据多样化参数生成多种系统实例，实例可以是虚拟机也可以是物理机。

2）嵌入多样化模块采用如下方式对工控系统的版本信息进行随机化：

（a）不同操作系统版本指纹的替换，也即OS(α)和OS(β)的交换；

(b)同一个操作系统高低版本号之间的替换，也即OS(β)_Vab.cd与OS(β)_Vwx.yz的交换;

(c)模糊化版本指纹信息，无法通过读取配置文件、接口信息获取任何有意义的版本字符串。

3）欺骗多样化模块通过容器等轻量级虚拟化来构造与原始工控系统版本信息指纹相同的系统，但不提供任何功能和服务，只根据网络访问的请求做模拟应答，从而伪造生成多种工控系统的实例。

4） 动态代理模块根据随机因子Rad(γ)非周期性将对工控系统的探测请求调度多样性的系统实例中的一个：在非攻击状态下被调度到等价多样化模块或嵌入式多样化模块生成的工控系统实例中，在攻击状态和异常请求状态下被调度到嵌入式多样化模块或欺骗多样性模块生成的工控系统实例中。

以下通过具体的例子对附图中基于动态多样化的工控系统安全防御装置进行进一步的说明。

如附图1所示，基于动态多样化的工控系统安全防御装置，包括：等价多样化模块、嵌入多样化模块、欺骗多样化模块、动态代理模块。其主要步骤包括：

1、动态代理模块位于工控系统实例的网络边界，多元化系统镜像非周期性更新工控系统实例资源池。

2、等价多样化模块对工业控制系统的应用（ICApp）和功能（ICFun）进行多平台复制，进而制作多平台的镜像，根据多样化参数生成多种系统实例，实例可以是虚拟机也可以是物理机。

3、嵌入多样化模块通过不同操作系统版本指纹的替换、同一个操作系统高低版本号之间的替换、模糊化版本指纹信息三种策略对工控系统的版本信息进行随机化。

4、动态代理模块根据随机因子Rad(γ)非周期性将对工控系统的探测请求调度多样性的系统实例中的一个，在非攻击状态下被调度到等价多样化模块或嵌入式多样化模块生成的工控系统实例中，在攻击状态和异常请求状态下被调度到嵌入式多样化模块或欺骗多样性模块生成的工控系统实例中。

以上所述本发明的具体实施方式目的是为了更好地理解本发明的使用，并不构成对本发明保护范围的限定。任何在本发明的精神和原则实质之内所做的修改、变形和等同替换等，都应属于本发明的权利要求的保护范围之内。

Claims (7)

1.一种基于动态多样化的工控系统安全防御方法，其步骤包括：

1）使用等价多样化模块对工业控制系统的应用（ICApp）和功能（ICFun）进行多平台复制，生成工控应用和功能等价的多种系统实例；

2）使用嵌入多样化模块通过不同操作系统版本指纹的替换、同一个操作系统高低版本号之间的替换、模糊化版本指纹信息三种策略对原生工控系统的版本信息进行内置随机化；

3）使用欺骗多样化模块通过容器轻量级虚拟化技术来构造与原始工控系统版本信息指纹相同的系统，伪造生成的多种工控系统实例不提供真实服务；

4）使用动态代理模块非周期性对工控系统探测请求进行调度，在非攻击状态下以及攻击状态和异常请求状态下被调度到不同的工控系统实例中。

2.如权利要求1所述的基于动态多样化的工控系统安全防御方法，其特征在于，所述等价多样化模块对工业控制系统的应用（ICApp）和功能（ICFun）进行多平台复制，进而制作多平台的镜像，根据多样化参数生成多种系统实例，实例可以是虚拟机也可以是物理机。

3.如权利要求1所述的基于动态多样化的工控系统安全防御方法，其特征在于，所述嵌入多样化模块采用如下方式对工控系统的版本信息进行随机化：

1)对不同操作系统版本指纹的替换，也即OS(α)和OS(β)的交换，其中OS(α)为操作系统α的版本指纹信息，OS(β)为操作系统β的版本指纹信息；

2) 同一个操作系统高低版本号之间的版本指纹替换，也即OS(β)_Vab.cd与OS(β)_Vwx.yz的交换，其中Vab.cd、Vwx.yz分别代表操作系统β的两个不同版本号，OS(β)_Vab.cd表示版本Vab.cd对应的版本指纹信息，OS(β)_Vwx.yz表示版本Vwx.yz对应的版本指纹信息;

3）模糊化版本指纹信息，无法通过读取配置文件、接口信息获取任何有意义的版本字符串。

4.如权利要求1所述的基于动态多样化的工控系统安全防御方法，其特征在于，所述欺骗多样化模块通过容器轻量级虚拟化来构造与原始工控系统版本信息指纹相同的系统，但不提供任何功能和服务，只根据网络访问的请求做模拟应答，从而伪造生成多种工控系统的实例。

5.如权利要求1或2或3或4所述的基于动态多样化的工控系统安全防御方法，其特征在于，所述动态代理模块根据随机因子Rad(γ)非周期性将对工控系统的探测请求调度多样性的系统实例中的一个。

6.如权利要求1所述的基于动态多样化的工控系统安全防御方法，其特征在于，所述的动态代理模块动态调度的请求，在非攻击状态下被调度到等价多样化模块或嵌入式多样化模块生成的工控系统实例中，在攻击状态和异常请求状态下被调度到嵌入式多样化模块或欺骗多样性模块生成的工控系统实例中。

7.一种基于动态多样化的工控系统安全防御装置，包括等价多样化模块、嵌入多样化模块、欺骗多样化模块、动态代理模块，

所述等价多样化模块对工业控制系统的应用（ICApp）和功能（ICFun）进行多平台复制，进而制作多平台的镜像，根据多样化参数生成多种系统实例，实例可以是虚拟机也可以是物理机；

所述嵌入多样化模块通过不同操作系统版本指纹的替换、同一个操作系统高低版本号之间的替换、模糊化版本指纹信息三种策略对工控系统的版本信息进行随机化；

所述欺骗多样化模块通过容器轻量级虚拟化来构造与原始工控系统版本信息指纹相同的系统，但不提供任何功能和服务，只根据网络访问的请求做模拟应答，从而伪造生成多种工控系统的实例；

所述动态代理模块根据随机因子Rad(γ)非周期性将对工控系统的探测请求调度多样性的系统实例中的一个，在非攻击状态下被调度到等价多样化模块或嵌入式多样化模块生成的工控系统实例中，在攻击状态和异常请求状态下被调度到嵌入式多样化模块或欺骗多样性模块生成的工控系统实例中；

动态代理模块位于工控系统实例的网络边界，多元化系统镜像非周期性更新工控系统实例资源池。

Images