CN111404917B

CN111404917B - 一种基于工控仿真设备的威胁情报分析检测方法及系统

Info

Publication number: CN111404917B
Application number: CN202010168053.XA
Authority: CN
Inventors: 吴志华; 陈夏裕; 郭立龙; 章明飞; 李斌
Original assignee: Jiangsu Hengtong Industrial Control Safety Research Institute Co Ltd
Current assignee: Jiangsu Hengtong Industrial Control Safety Research Institute Co Ltd
Priority date: 2020-03-11
Filing date: 2020-03-11
Publication date: 2022-10-04
Anticipated expiration: 2040-03-11
Also published as: CN111404917A

Abstract

本发明公开了一种基于工控仿真设备的威胁情报分析检测方法及系统，该方法包括通过模拟技术在工控网络中仿真出工控仿真设备；为所述工控仿真设备构建独立的网络交互模型；利用所述工控仿真设备占用工控网络内空闲ip；利用所述工控仿真设备实时采集来访数据并与来访数据进行交互；根据工控仿真设备与来访数据交互产生的回应结果，判断其是否为APT攻击，若是则丢弃该数据。本发明旨在仿真整个工业控制系统，通过模拟攻击者关注的核心：工业控制指令集，通过一问一答的交互方式，还原攻击者的攻击方式，收集其apt攻击手段，提前向用户预警生产环境内存在或将被利用的严重漏洞信息。

Description

一种基于工控仿真设备的威胁情报分析检测方法及系统

技术领域

本发明涉及网络安全防护技术领域，特别涉及一种基于工控仿真设备的威胁情报分析检测方法及系统。

背景技术

恶意软件是尝试破坏计算机、工业控制系统，搜集敏感信息的计算机软件，它对传统计算机网络尤其是工业网络造成了很大威胁。2010年发现的Stuxnet病毒式首个针对工业控制系统的蠕虫病毒，该病毒针对下位机的Siemens S7 200-300PLC执行恶意代码注入，对于上位机Wincc监控系统通过Hook技术执行了自我隐藏；2012年和2013年被检测发现的Flame病毒和Duqu病毒则是为Stuxnet进行前期数据搜集，包括网络环境拓扑、目标PLC详细信息等情况。近些年，又陆续爆发了针对能源网络的Havex、BlackEnergy病毒。通过对这些事件的分析我们可以发现，由于攻击价值很大，针对工业控制网络的恶意攻击行为往往会结合使用公开漏洞和0day漏洞，这就给恶意行为的及时发现造成了很大的困难。然而，由于工业控制网络对于安全要求的等级极高，必须要及时发现各种网络威胁(包括未知威胁)。

现有的安全防御手段都是被动式防御APT入侵攻击，例如:监测审计、工控防火墙，这些设备都是必须挂靠在工业控制系统网络的核心路线上，位于上下位机的通信链路中，对每一个通信指令，这些安全设备都会去做深度检测，以确保每个指令的正确性和操作合规性。

以上设备在保障工控系统网络(以下称工控网络)安全性的同时，也给工控网络埋下了一定的隐患，这主要体现在以下几点：

1.存在误报漏报的可能性，要理解每个通信指令的含义，必须要先得到诸如S7Comm、modbus等工业协议的全部指令功能码，在某种程度上是不可能的，那么当上下位机定义新功能码时，就会被安全设备误报，从而导致工控设备无法收到相应的指令正常工作；

2.当大量上下位机需要进行大量操作时，安全设备的介入，会让工控系统网络出现时延，这就让安全设备成为了工控网络安全的不稳定因素；

3.当上位机被劫持时，处于链路中的安全设备无法保障上位机的安全性，传统的工控安全设备只能保护自身所在的小段核心链路。

发明内容

针对现有技术的不足，本发明目的之一在于提供一种可主动进行攻击防御，安全性高的基于工控仿真设备的威胁情报分析检测方法。其采用如下技术方案：

一种基于工控仿真设备的威胁情报分析检测方法，其包括：

通过模拟技术在工控网络中仿真出工控仿真设备；

为所述工控仿真设备构建独立的网络交互模型；

利用所述工控仿真设备占用工控网络内空闲ip；

利用所述工控仿真设备实时采集来访数据并与来访数据进行交互；

根据工控仿真设备与来访数据交互产生的回应结果，判断其是否为APT攻击，若是则丢弃该数据。

作为本发明的进一步改进，所述在工控网络中仿真出工控仿真设备，具体包括：

在工控网络中仿真出多个包含不同工业协议的工控仿真设备。

作为本发明的进一步改进，多个所述工控仿真设备之间依次串联设置，所述来访数据依次经过每个所述工控仿真设备，并依次与每个工控仿真设备进行交互。

作为本发明的进一步改进，所述工业协议包括s7comm、modbus、ftp、bacnet、kamstrup、opc、enip。

作为本发明的进一步改进，还包括：

将生产网络内的流量数据进行镜像，从中分析并构建生产网络白名单模型。

作为本发明的进一步改进，还包括：

将APT攻击数据进行分级展示。

本发明目的之二在于提供一种可主动进行攻击防御，安全性高的基于工控仿真设备的威胁情报分析检测系统。其采用如下技术方案：

一种基于工控仿真设备的威胁情报分析检测系统，其特征在于，包括：

仿真模块，用于通过模拟技术在工控网络中仿真出工控仿真设备；

网络交互模型构建模块，用于为所述工控仿真设备构建独立的网络交互模型；

空闲ip占用模块，用于利用所述工控仿真设备占用工控网络内空闲ip；

数据处理模块，用于利用所述工控仿真设备实时采集来访数据并与来访数据进行交互；

威胁处理模块，用于根据工控仿真设备与来访数据交互产生的回应结果，判断其是否为APT攻击，若是则丢弃该数据。

作为本发明的进一步改进，还包括：

镜像模块，用于将生产网络内的流量数据进行镜像；

白名单模型构建模块，用于对镜像的流量数据进行分析并构建生产网络白名单模型。

作为本发明的进一步改进，还包括威胁分级展示模块，用于将APT攻击数据进行分级展示。

本发明的有益效果：

本发明基于工控仿真设备的威胁情报分析检测方法及系统能够在与生产环境相同的条件下，旁挂于受保护对象，将受保护对象纳入可信名单和监控范围，为受保护对象提供一个完全针对生产核心的解决方案，通过模拟交互描述一个apt攻击行为的通信过程和通信结果。

本发明能够实现在一个独立的应用中，能够自由部署在网络内，当部署在公网中，独立的工控生产模型和网络模型，能够诱导攻击者进行主动apt攻击，挖掘最新最前沿的apt攻击方式和攻击利用趋势，当部署在内网中，既可以与受保护对象并联，将受保护对象纳入可信名单，也可以独立占用一个受监控的网段，完成生产模拟，在apt攻击到来时，即时预警和拖延apt攻击深入。

除了能达到防御的效果外，还能阻止apt攻击的更新和变异，通过固定的设备模拟，以常用的应用将apt攻击方式固定为常见手段，让攻击者失去挖掘新apt攻击方式的可能性。。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其他目的、特征和优点能够更明显易懂，以下特举较佳实施例，并配合附图，详细说明如下。

附图说明

图1是本发明优选实施例中基于工控仿真设备的威胁情报分析检测方法的示意图；

图2是本发明优选实施例中基于工控仿真设备的威胁情报分析检测系统的实现系统的示意图。

具体实施方式

下面结合附图和具体实施例对本发明作进一步说明，以使本领域的技术人员可以更好地理解本发明并能予以实施，但所举实施例不作为对本发明的限定。

实施例一

如图1所示，为本发明实施例中的基于工控仿真设备的威胁情报分析检测方法，该方法包括以下步骤：

S10、通过模拟技术在工控网络中仿真出工控仿真设备。

具体包括：在工控网络中仿真出多个包含不同工业协议的工控仿真设备。多个所述工控仿真设备之间依次串联设置，所述来访数据依次经过每个所述工控仿真设备，并依次与每个工控仿真设备进行交互。其中，工业协议包括s7comm、modbus、ftp、bacnet、kamstrup、opc、enip等。

其中，每个工控仿真设备都能进行深度交互，以保证攻击者攻击时能够采集详细的攻击数据并作出回应，通过回应判断攻击者的行为。

S20、为所述工控仿真设备构建独立的网络交互模型。

其目的是防止工控仿真设备被攻击者攻破时成为跳板，独立的网络交互模型可以让工控仿真设备相互之间互相独立、互相联系，也可以与外部工控网络隔离。

S30、利用所述工控仿真设备占用工控网络内空闲ip。

具体的，利用所述工控仿真设备大量占用工控网络内空闲ip，营造出生产网络的假象。

S40、利用所述工控仿真设备实时采集来访数据并与来访数据进行交互。

S50、根据工控仿真设备与来访数据交互产生的回应结果，判断其是否为APT攻击，若是则丢弃该数据。

进一步的，根据交互产生的回应结果定义此次行为的威胁等级，如：工控仿真设备出现应用关停则显示为stop(start)行为，威胁等级为A2(attack),出现应用运转异常则显示为write行为，威胁等级为A1，以此类推，一旦判定成功，立即丢弃该数据包，同时发出预警通知。

在本实施例中，该方法还包括以下步骤：将APT攻击数据进行分级展示。

具体的，采用威胁分级展示模块进行数据展示，展示网络交互模型内部工控仿真设备之间的通信流量变化、通信数据变化，以及与来访数据之间的交互数据，并将挖掘到的APT威胁数据进行分级展示。

在其中一实施例中，该方法还包括以下步骤：将生产网络内的流量数据进行镜像，从中分析并构建生产网络白名单模型。其是针对外部工控网络可能出现的违规操作，提供一个可信名单，对来访的可疑指令做出误报、漏报警告。

实施例二

如图2所示，为本实施例中的基于工控仿真设备的威胁情报分析检测系统，其包括：

仿真模块，用于通过模拟技术在工控网络中仿真出工控仿真设备。

网络交互模型构建模块，用于为所述工控仿真设备构建独立的网络交互模型。其目的是防止工控仿真设备被攻击者攻破时成为跳板，独立的网络交互模型可以让工控仿真设备相互之间互相独立、互相联系，也可以与外部工控网络隔离。

空闲ip占用模块，用于利用所述工控仿真设备占用工控网络内空闲ip。具体的，利用所述工控仿真设备大量占用工控网络内空闲ip，营造出生产网络的假象。

数据处理模块，用于利用所述工控仿真设备实时采集来访数据并与来访数据进行交互。

进一步的，威胁处理模块还用于根据交互产生的回应结果定义此次行为的威胁等级，如：工控仿真设备出现应用关停则显示为stop(start)行为，威胁等级为A2(attack),出现应用运转异常则显示为write行为，威胁等级为A1，以此类推，一旦判定成功，立即丢弃该数据包，同时发出预警通知。

在其中一实施例中，该系统还包括：

镜像模块，用于将生产网络内的流量数据进行镜像。

其是针对外部工控网络可能出现的违规操作，提供一个可信名单，对来访的可疑指令做出误报、漏报警告。

在本实施例中，该系统还包括威胁分级展示模块，用于将APT攻击数据进行分级展示。

具体的，展示网络交互模型内部工控仿真设备之间的通信流量变化、通信数据变化，以及与来访数据之间的交互数据，并将挖掘到的APT威胁数据进行分级展示。

本发明旨在仿真整个工业控制系统，通过模拟攻击者关注的核心：工业控制指令集，通过一问一答的交互方式，还原攻击者的攻击方式，收集其apt攻击手段，提前向用户预警生产环境内存在或将被利用的严重漏洞信息。

以上实施例仅是为充分说明本发明而所举的较佳的实施例，本发明的保护范围不限于此。本技术领域的技术人员在本发明基础上所作的等同替代或变换，均在本发明的保护范围之内。本发明的保护范围以权利要求书为准。

Claims

1.一种基于工控仿真设备的威胁情报分析检测方法，其特征在于，包括：

通过模拟技术在工控网络中仿真出工控仿真设备；

为所述工控仿真设备构建独立的网络交互模型；

利用所述工控仿真设备占用工控网络内空闲ip；

根据工控仿真设备与来访数据交互产生的回应结果，判断其是否为APT攻击，若是则丢弃该数据；

其中，在工控网络中仿真出多个包含不同工业协议的工控仿真设备，多个所述工控仿真设备之间依次串联设置，所述来访数据依次经过每个所述工控仿真设备，并依次与每个工控仿真设备进行交互；

2.如权利要求1 所述的基于工控仿真设备的威胁情报分析检测方法，其特征在于，所述工业协议包括s7comm、modbus、ftp、bacnet、kamstrup、opc、enip。

3.如权利要求1所述的基于工控仿真设备的威胁情报分析检测方法，其特征在于，还包括：

4.如权利要求1所述的基于工控仿真设备的威胁情报分析检测方法，其特征在于，还包括：

将APT攻击数据进行分级展示。

5.一种基于工控仿真设备的威胁情报分析检测系统，其特征在于，包括：

威胁处理模块，用于根据工控仿真设备与来访数据交互产生的回应结果，判断其是否为APT攻击，若是则丢弃该数据；

6.如权利要求5所述的基于工控仿真设备的威胁情报分析检测系统，其特征在于，还包括：

镜像模块，用于将生产网络内的流量数据进行镜像；

7.如权利要求5所述的基于工控仿真设备的威胁情报分析检测系统，其特征在于，还包括威胁分级展示模块，用于将APT攻击数据进行分级展示。