CN112230584A - 应用于工控领域的安全监视可视化系统及安全监视方法 - Google Patents

Abstract

本发明公开了一种应用于工控领域的安全监视可视化系统及安全监视方法，其中系统中：网络交互接口接收工控系统的多源融合情报并导入情报数据库；情报关联分析模块根据多源融合情报进行关联分析和异常识别；依据关联分析和异常识别的结果，安全态势可视化模块对风险信息、威胁溯源信息以及安全态势信息进行展示，异常数据可视化模块对异常状态和异常信息进行展示，威胁预警模块根据风险信息与预先设置的风险预警阈值判断是否需要报警；管理模块管理获取的多源融合情报的类型以及可视化数据展示方式。本发明安全监视可视化系统汇总工控系统各个组成部分的异常数据，进行综合分析、异常识别、风险预警，实现对工控系统安全状态的可视化监控。

Description

应用于工控领域的安全监视可视化系统及安全监视方法

技术领域

本发明涉及工控安全领域，尤其涉及一种应用于工控领域的安全监视可视化系统及安全监视方法。

背景技术

两化融合是信息化和工业化的高层次的深度结合，是指以信息化带动工业化、以工业化促进信息化，走新型工业化道路；两化融合的核心就是信息化支撑，追求可持续发展模式。随着“两化融合”进程的不断推进，以及工业4.0革命的到来，工控系统不断融入信息系统中通用的互联技术、通信技术、操作系统等，从封闭、孤立的系统逐步走向开放化、互联化、通用化、标准化。与此同时，信息系统的安全脆弱性也引入控制系统，影响工控系统的安全性、可用性。信息安全领域的威胁(病毒、蠕虫、木马等)向工业控制领域逐步扩散，工控系统的安全问题日渐严峻。

当前，工业控制系统安全态势监测与感知成为重要的技术手段，主流的工控态势感知方法是通过神经网络和模糊推理进行态势感知，但针对的多为云平台、大数据等信息安全相关防护。

例如，公开号为CN109766992A的中国专利文献公开了一种基于深度学习的工控异常检测及攻击分类方法，基于马氏距离的工控流量特征映射方法；该方法考虑到工业控制系统的实际情况，利用特征之间的马氏距离进行相关性度量，将原始的一维流数据转换为用作卷积神经网络模型输入的二维矩阵；通过分析现有异常检测方法的不足，使用卷积神经网络模型进行检测及分类。公开号为CN109359469A的中国专利文献公开了一种工业控制系统的信息安全风险评估方法，包括以下步骤：S1、获取风险评估值及其对应多个风险评估要素的多组评估分数，作为初始样本数据集；S2、对初始样本数据采用KPCA处理，根据累计贡献率选取主成分，得到降维后的样本数据集；S3、将降维后的样本数据集作为训练样本，训练遗传算法优化的BP神经网络，得到预测模型；S4、将多个风险评估要素的评估分数输入预测模型中，得到风险评估值的预测值。

工业控制网络集成架构，包括分布式输入输出设备、控制网络、可编程控制器、系统网络等多个层次，形成从现场级到控制级、从执行级再到工厂管理级的自动化解决方案。在此复杂的控制系统架构下，如何快速、准确、全面地评估控制系统本身的安全状态，如何快速识别安全风险并指导用户进行安全干预，也是工控系统安全的面临的一大难题。目前急需一种针对工业控制系统本身的安全监测与防护系统。

发明内容

本发明提供了一种应用于工控领域的安全监视可视化系统，该系统汇总工控系统各个组成部分的异常数据，进行综合分析、异常识别、风险预警，实现对工控系统安全状态的可视化监控。

本发明的技术方案如下：

一种应用于工控领域的安全监视可视化系统，包括网络交互接口、情报数据库、情报关联分析模块、安全态势可视化模块、异常数据可视化模块、威胁预警模块和管理模块；

所述网络交互接口接收工控系统的多源融合情报并导入情报数据库；所述情报关联分析模块根据多源融合情报进行威胁源及攻击行为的关联分析和异常识别，获得工控系统的异常信息、异常信息的风险等级、威胁溯源信息以及安全态势信息；依据关联分析和异常识别的结果，所述安全态势可视化模块对工控系统的风险信息、威胁溯源信息以及安全态势信息进行展示，所述异常数据可视化模块对工控系统的异常状态和异常信息进行展示，所述威胁预警模块根据工控系统的风险信息与预先设置的风险预警阈值判断是否需要报警，若需要报警则发出警报；所述管理模块管理获取的多源融合情报的类型以及可视化数据展示方式。

本发明将数据来源、数据存储、数据展示分离，并提供系统管理和可视化显示管理功能，可以通过简单的扩大数据库容量、修改可视化显示策略、安全监测策略等方法，实现不同工控系统间的适用，实现控制系统容量扩展。

所述的工控系统包括系统网络、控制网络和控制器；所述的多源融合情报包括系统网络情报、控制网络情报和控制器情报。

所述的系统网络情报、控制网络情报包括通信主体情报、通信内容情报、数据包特征情报以及数据包行为情报；所述的控制器情报包括控制器系统软件情报和运行环境情报。

所述的通信主体情报包括通信主机信息、通信应用所在端口信息和登录的用户账户信息；所述的通信内容情报包括通信协议以及通信地址与数据；所述的数据包特征情报包括协议控制字段参数和协议特征字段参数；所述的数据包行为情报包括数据包类型、数据包频率、数据包上下文、数据包敏感度标记以及关联主体运行模式；所述的控制器系统软件情报包括软件版本、标识符和摘要；所述的运行环境情报包括用户与权限、进程与线程列表、进程创建操作、服务列表、服务运行状态信息、设备列表和控制器资源消耗清单。

本发明支持多源融合分析，通过接入系统网络情报、控制网络情报、控制器情报，实现控制系统各层面、多设备的多源融合安全分析，及时监测到安全威胁。

所述的情报关联分析模块根据多源融合情报进行威胁源及攻击行为的关联分析和异常识别包括：

(a)情报独立分析：根据多源融合情报识别工控系统的异常信息，独立分析系统网络情报、控制网络情报、控制器情报，标记出异常信息的风险等级和识别度，并将高识别度的风险信息提交给异常数据可视化模块和威胁预警模块；所述的识别度为0％-100％的数值，表示风险的置信程度；所述的高识别度的风险信息包括未授权通信主体、未授权通信协议、通信频率非预期剧烈变化、与运行模式不匹配的敏感数据包、非法系统软件修改、未授权进程线程、未授权设备、异常控制器资源消耗；

(b)情报关联分析：综合分析系统网络情报、控制网络情报、控制器情报，通过识别同一攻击源在不同攻击路径中的攻击行为以及多攻击源协同攻击行为，识别出工控系统中隐蔽的风险信息；

(c)威胁行为分析溯源：根据情报独立分析和情报关联分析的结果，锁定威胁源，监控威胁行为序列，监控威胁源在系统网络、控制网络和控制器中逐步嗅探深入以及漏洞利用的过程，生成工控系统的安全态势信息。

所述的情报关联分析模块通过关联分析同一时间段不同工控系统模块间的异常情报，通过情报的互相印证、相互证伪的方法，提升或降低关联情报的可识别度，识别出同一波次的相同攻击，重新分析可能的风险类型、入侵路径，提升异常警报的准确率，减少误报。

优选的，所述的情报关联分析模块将分析后的异常警报进行合并、整理，以减少异常展示、报警阶段的报警数量。

所述的安全态势可视化模块以图表、列表或文字的方式按照相应的数据规范展示工控系统运行中的风险信息、威胁溯源信息以及安全态势信息。

所述的异常可视化模块展示工控系统运行中的异常状态和异常信息；使管理员能够快速、直观清晰的了解到工控系统目前存在的安全隐患以及威胁，进行快速及时的响应与管控。

所述的管理模块包括系统管理和可视化显示管理两部分功能，分别管理选择安全情报输入类型和可视化数据展示方式。

所述管理模块的系统管理功能使管理员能够按照真实的场景以及现场需求决定开启或关闭某个工控系统安全监测功能，并决定要获取的安全情报类型作为安全分析的输入；

所述管理模块的可视化显示管理功能使管理员能够按照具体需求决定要可视化显示的安全数据类型和显示方式。

优选的，所述的管理模块对管理员的操作权限进行认证，防止未经授权用户对工控敏感数据的非法访问。

在本发明应用于工控领域的安全监视可视化系统的使用过程中，用户通过管理模块进行身份认证登录后，首先进入可视化显示页面，可视化显示页面会集中显示全局态势、异常数据、威胁预警信息，可以进入详情页面查看具体信息；

拥有管理权限的用户可以管理模块进入管理模式，管理模式分为系统管理与可视化显示管理；系统管理实现各监测功能的开启关闭控制、监测功能运行模式与参数配置；可视化显示管理可以选择开启或关闭全局态势与异常显示信息，选择可视化显示的数据；

管理员更改系统设置后，平台会向各控制模块发送控制命令，修改各监测模块行为，也会更新可视化显示界面，修改界面展示内容与布局。

优选的，所述的网络交互接口、情报数据库、情报关联分析模块、安全态势可视化模块、异常数据可视化模块、威胁预警模块相互独立配置，并提供系统管理和可视化显示管理功能。可以通过简单的扩大数据库容量、修改可视化显示策略、安全监测策略等方法，实现不同工控系统间的适用，实现控制系统容量扩展。

本发明还提供了一种基于上述安全监视可视化系统进行工控领域的安全监视方法，包括以下步骤：

接收多源融合情报并导入情报数据库；

根据多源融合情报进行威胁源及攻击行为的关联分析和异常识别，获得工控系统的异常信息、异常信息的风险等级、威胁溯源信息以及安全态势信息；

依据关联分析和异常识别的结果，对工控系统的风险信息、威胁溯源信息以及安全态势信息进行展示，对工控系统的异常状态和异常信息进行展示，根据工控系统的风险信息与预先设置的风险预警阈值判断是否需要报警，若需要报警则发出警报。

与现有技术相比，本发明的有益效果为：

1)本发明支持多源融合分析，通过接入系统网络情报、控制网络情报、控制器情报，实现控制系统各层面、多设备的多源融合安全分析，及时监测到安全威胁；

2)安全态势可视化可理解性强，本发明借用可视化编程工具，设计了系统安全态势、可信控制网络安全态势、核心控制器安全态势、系统网络安全态势展示，根据数据维度与数据量选取适当的可视化图形来实现多种安全数据源的异常展示及可能的关联分析，使管理员客观并快速的了解到控制系统安全态势及异常行为，及时作出响应；

3)本发明适用性好、扩展性强。本发明将数据来源、数据存储、数据展示分离，并提供系统管理和可视化显示管理功能，可以通过简单的扩大数据库容量、修改可视化显示策略、安全监测策略等方法，实现不同工控系统间的适用，实现控制系统容量扩展。

附图说明

图1为本发明安全监视可视化平台系统的结构示意图；

图2为本发明安全监视可视化平台系统的构建流程示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步详细描述，需要指出的是，以下所述实施例旨在便于对本发明的理解，而对其不起任何限定作用。

本发明提供了一种应用于工控领域的安全监视可视化平台系统，如图1所示的实施例中，包括网络交互接口、情报数据库、情报关联分析模块、安全态势可视化模块、异常数据可视化模块、威胁预警模块和管理模块；网络交互接口接收多源融合情报并导入情报数据库，情报关联分析模块对情报数据库进行威胁源及攻击行为的关联分析和异常识别，安全态势可视化模块对情报数据库中网络与设备的多维安全数据进行展示，异常数据可视化模块对情报数据库中网络与设备的异常状态与异常信息进行展示，威胁预警模块根据预先设置的风险预警阈值决定是否需要报警，管理模块包括系统管理和可视化显示管理两部分功能，管理选择安全情报输入类型与可视化数据展示方式。

本实施案例中，网络交互接口接收的多源融合情报包括系统网络情报、控制网络情报和控制器情报。

系统网络情报、控制网络情报包括通信主体情报(通信主机、通信应用所在端口、登录的用户账户)、通信内容情报(通信协议、通信地址与数据等内容情报)、数据包特征情报(协议控制字段、协议特征字段参数)、数据包行为情报(数据包类型、数据包频率；关联主体运行模式；数据包上下文、数据包敏感度标记)；控制器情报包括控制器系统软件情报(软件版本、标识符、摘要)、运行环境情报(用户与权限、进程与线程列表、进程创建操作、服务列表、服务运行状态信息、设备列表、控制器资源消耗清单)。

本实施案例中，情报关联分析模块，识别同一攻击源在不同攻击路径中的攻击行为，识别多攻击源协同攻击行为；

关联分析包含下述3个阶段：

情报独立分析，识别高可识别度风险。独立分析系统网络、控制网络、控制器，识别如未授权通信主体、未授权通信协议、通信频率非预期剧烈变化、与运行模式不匹配的敏感数据包等网络异常；以及非法系统软件修改、未授权进程线程、未授权设备、异常控制器资源消耗等控制器异常。

情报关联分析，识别隐蔽风险。综合分析系统网络、控制网络、控制器的微小异常，协同分析、互相印证，提升隐蔽攻击的辨识度。

威胁行为分析溯源。根据综合风险分析结果，锁定威胁源，监控威胁行为序列，监控其在系统网络、控制器、控制网络中逐步嗅探深入以及漏洞利用的过程，生成系统安全态势图、各模块安全态势图。

情报关联分析模块通过关联分析同一时间段不同工控系统模块间的异常情报，识别出同一波次的相同攻击，重新分析可能的风险类型、入侵路径，提升异常警报的准确率，减少误报；

情报关联分析模块同时将分析后的异常警报进行合并、整理，减少异常展示、报警阶段的报警数量。

本实施案例中，安全态势可视化模块以图表、列表或文字的方式按照相应的数据规范直观、全面的展示工控系统运行中多源数据的多维安全特征，包括核心控制网络、核心控制器和系统网络多维安全特征。

多维安全特征包括上文提出的风险信息、威胁溯源信息、安全态势信息。

本实施案例中，异常可视化模块重点展示工控系统运行中的异常安全状态，使管理员能够快速、直观清晰的了解到工控系统目前存在的安全隐患以及威胁，进行快速及时的响应与管控。

本实施案例中，管理模块的系统管理，能够令管理员按照真实的场景以及现场需求决定开启或关闭某个工控系统安全监测功能，并决定要获取的安全情报类型作为安全分析的输入；

管理模块的可视化显示管理，使管理员能够按照具体需求决定要可视化显示的安全数据类型和显示方式。

管理模块会认证管理员操作权限，防止未经授权用户对工控敏感数据的非法访问。

本发明提供的应用于工控领域的安全监视可视化平台构建方法，如图2所示的实施例中，包括如下步骤：

网络交互接口接收多源融合情报并导入情报数据库；

情报关联分析模块对情报数据库进行威胁源及攻击行为的关联分析和异常识别；

依据分析结果，安全态势可视化模块对情报数据库中网络与设备的多维安全数据进行展示，异常数据可视化模块对情报数据库中网络与设备的异常状态与异常信息进行展示，威胁预警模块根据预先设置的风险预警阈值决定是否需要报警；

使用系统账号进行身份认证登录，首先进入可视化显示页面，页面会集中显示全局态势、异常数据、威胁预警信息，要查看具体信息，可以进入详情页面；

拥有管理权限的用户可以在可视化显示页面看到管理模式入口，管理模式分两个页面，系统管理与可视化显示管理；系统管理页面实现各监测功能的开启关闭控制、监测功能运行模式与参数配置；可视化显示管理界面可以选择开启或关闭全局态势与异常显示信息，选择可视化显示的数据；

管理员更改系统设置后，平台会向各控制模块发送控制命令，修改各监测模块行为，也会更新可视化显示界面，修改界面展示内容与布局。

作为进一步的优选实施方案，可视化平台包括网络交互接口、情报数据库、情报关联分析模块、安全态势可视化模块、异常数据可视化模块、威胁预警模块和管理模块；

网络交互接口接收的多源融合情报包括系统网络情报、控制网络情报和控制器情报；

情报关联分析模块，识别同一攻击源在不同攻击路径中的攻击行为，识别多攻击源协同攻击行为；所述情报关联分析模块通过关联分析同一时间段不同工控系统模块间的异常情报，识别出同一波次的相同攻击，重新分析可能的风险类型、入侵路径，提升异常警报的准确率，减少误报；同时将分析后的异常警报进行合并、整理，减少异常展示、报警阶段的报警数量；

安全态势可视化模块以图表、列表或文字的方式按照相应的数据规范直观、全面的展示工控系统运行中多源数据的多维安全特征，包括核心控制网络、核心控制器和系统网络多维安全特征；

异常可视化模块重点展示工控系统运行中的异常安全状态，使管理员能够快速、直观清晰的了解到工控系统目前存在的安全隐患以及威胁，进行快速及时的响应与管控。

作为进一步的优选实施方案，网络交互接口、情报数据库、情报关联分析模块、安全态势可视化模块、异常数据可视化模块、威胁预警模块等均可独立配置使用，并提供系统管理和可视化显示管理功能，可以通过简单的扩大数据库容量、修改可视化显示策略、安全监测策略等方法，实现不同工控系统间的适用，实现控制系统容量扩展。

综上所述，本发明提供的一种应用于工控领域的安全监视可视化平台系统中，各模块耦合小，可以通过扩大数据库容量、修改可视化显示策略、安全监测策略等，独立配置适用于不同的工控系统场景；并基于控制网络多源融合分析、异常识别、风险预警综合解决方案，实现工控系统全局态势、异常数据、历史趋势等的可视化。

以上所述的实施例对本发明的技术方案和有益效果进行了详细说明，应理解的是以上所述仅为本发明的具体实施例，并不用于限制本发明，凡在本发明的原则范围内所做的任何修改、补充和等同替换等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种应用于工控领域的安全监视可视化系统，其特征在于，包括网络交互接口、情报数据库、情报关联分析模块、安全态势可视化模块、异常数据可视化模块、威胁预警模块和管理模块；

所述网络交互接口接收工控系统的多源融合情报并导入情报数据库；所述情报关联分析模块根据多源融合情报进行威胁源及攻击行为的关联分析和异常识别，获得工控系统的异常信息、异常信息的风险等级、威胁溯源信息以及安全态势信息；依据关联分析和异常识别的结果，所述安全态势可视化模块对工控系统的风险信息、威胁溯源信息以及安全态势信息进行展示，所述异常数据可视化模块对工控系统的异常状态和异常信息进行展示，所述威胁预警模块根据工控系统的风险信息与预先设置的风险预警阈值判断是否需要报警，若需要报警则发出警报；所述管理模块管理获取的多源融合情报的类型以及可视化数据展示方式。

2.根据权利要求1所述的应用于工控领域的安全监视可视化系统，其特征在于，所述的工控系统包括系统网络、控制网络和控制器；所述的多源融合情报包括系统网络情报、控制网络情报和控制器情报。

3.根据权利要求2所述的应用于工控领域的安全监视可视化系统，其特征在于，所述的系统网络情报、控制网络情报包括通信主体情报、通信内容情报、数据包特征情报以及数据包行为情报；所述的控制器情报包括控制器系统软件情报和运行环境情报。

4.根据权利要求3所述的应用于工控领域的安全监视可视化系统，其特征在于，所述的通信主体情报包括通信主机信息、通信应用所在端口信息和登录的用户账户信息；所述的通信内容情报包括通信协议以及通信地址与数据；所述的数据包特征情报包括协议控制字段参数和协议特征字段参数；所述的数据包行为情报包括数据包类型、数据包频率、数据包上下文、数据包敏感度标记以及关联主体运行模式；所述的控制器系统软件情报包括软件版本、标识符和摘要；所述的运行环境情报包括用户与权限、进程与线程列表、进程创建操作、服务列表、服务运行状态信息、设备列表和控制器资源消耗清单。

5.根据权利要求4所述的应用于工控领域的安全监视可视化系统，其特征在于，所述的情报关联分析模块根据多源融合情报进行威胁源及攻击行为的关联分析和异常识别包括：

(a)情报独立分析：根据多源融合情报识别工控系统的异常信息，独立分析系统网络情报、控制网络情报、控制器情报，标记出异常信息的风险等级和识别度，并将高识别度的风险信息提交给异常数据可视化模块和威胁预警模块；所述的识别度为0％-100％的数值，表示风险的置信程度；所述的高识别度的风险信息包括未授权通信主体、未授权通信协议、通信频率非预期剧烈变化、与运行模式不匹配的敏感数据包、非法系统软件修改、未授权进程线程、未授权设备、异常控制器资源消耗；

(b)情报关联分析：综合分析系统网络情报、控制网络情报、控制器情报，通过识别同一攻击源在不同攻击路径中的攻击行为以及多攻击源协同攻击行为，识别出工控系统中隐蔽的风险信息；

(c)威胁行为分析溯源：根据情报独立分析和情报关联分析的结果，锁定威胁源，监控威胁行为序列，监控威胁源在系统网络、控制网络和控制器中逐步嗅探深入以及漏洞利用的过程，生成工控系统的安全态势信息。

6.根据权利要求1所述的应用于工控领域的安全监视可视化系统，其特征在于，所述的安全态势可视化模块以图表、列表或文字的方式按照相应的数据规范展示工控系统运行中的风险信息、威胁溯源信息以及安全态势信息。

7.根据权利要求1所述的应用于工控领域的安全监视可视化系统，其特征在于，所述的管理模块包括系统管理和可视化显示管理两部分功能；系统管理功能使管理员能够按照真实的场景以及现场需求决定开启或关闭某个工控系统安全监测功能，并决定要获取的多源融合情报的类型；可视化显示管理功能使管理员能够按照具体需求决定要可视化显示的安全数据类型和显示方式。

8.根据权利要求1所述的应用于工控领域的安全监视可视化系统，其特征在于，所述的管理模块对管理员的操作权限进行认证，防止未经授权用户对工控敏感数据的非法访问。

9.一种基于权利要求1-8任一项所述的安全监视可视化系统进行工控领域的安全监视方法，包括以下步骤：

接收多源融合情报并导入情报数据库；

根据多源融合情报进行威胁源及攻击行为的关联分析和异常识别，获得工控系统的异常信息、异常信息的风险等级、威胁溯源信息以及安全态势信息；

依据关联分析和异常识别的结果，对工控系统的风险信息、威胁溯源信息以及安全态势信息进行展示，对工控系统的异常状态和异常信息进行展示，根据工控系统的风险信息与预先设置的风险预警阈值判断是否需要报警，若需要报警则发出警报。

Images