CN113239366A - 一种电力工控设备的漏洞无损检测方法及系统 - Google Patents

Abstract

本发明公开一种电力工控设备的漏洞无损检测方法及系统，方法包括：响应于获取与某一待测电力工控设备类型相关联的特征指纹以及协议簇，基于决策模块选定某一待测电力工控设备类型适用的安全扫描配置，并下发扫描任务；响应于获取的扫描任务，基于设定的扫描约束对待测电力工控设备进行漏洞扫描；基于漏洞扫描开始指令对业务系统的整体运行情况是否正常进行判断；若业务系统整体运行情况不正常，基于系统监控模块对扫描任务进程进行动态调整；若业务系统整体运行情况正常，完成扫描并生成测试报告。通过决策模块的设定、扫描策略的选择、系统动态监控和调整，在保证业务正常运行的情况下不断网在线进行检测，降低风险、减少损失。

Description

一种电力工控设备的漏洞无损检测方法及系统

技术领域

本发明属于电力工控安全技术领域，尤其涉及一种电力工控设备的漏洞无损检测方法及系统。

背景技术

近年来，针对工业控制系统等关键基础设施的攻击行为呈现上升趋势，技术手段也越来越多元化，使得安全形势日益严峻。恶意攻击者能够依靠复杂的编码，直接对工控设备进行攻击。

在工业控制系统中，业务的连续性、健康性是至关重要的，而电力系统中设备断网、业务中断的代价太大，不适合脱机扫描。工控系统与外部网络互连时，攻击者利用工控设备漏洞，针对一些核心工控设备、保护装置、生产系统进行攻击，可以改变工控设备的正常工作状态，或者使目标强制断开，造成严重的安全影响。因此，如何在保证业务连续性的同时，对工控设备存在的安全漏洞进行在运、无损检测，成为电力工控设备漏洞检测的一个关键问题。

发明内容

本发明提供一种电力工控设备的漏洞无损检测方法及系统，用于至少解决上述技术问题之一。

第一方面，本发明提供一种电力工控设备的漏洞无损检测方法，包括：响应于获取与某一待测电力工控设备类型相关联的特征指纹以及协议簇，基于决策模块选定所述某一待测电力工控设备类型适用的安全扫描配置，并下发扫描任务，其中，所述决策模块包括对所述特征指纹进行分析的特征指纹子模块和识别所述协议簇的协议簇子模块；响应于获取的所述扫描任务，基于设定的扫描约束对所述待测电力工控设备进行漏洞扫描；基于漏洞扫描开始指令对业务系统的整体运行情况是否正常进行判断；若业务系统整体运行情况不正常，基于系统监控模块对所述扫描任务进程进行动态调整；若业务系统整体运行情况正常，完成扫描并生成测试报告。

第二方面，本发明提供一种电力工控设备的漏洞无损检测系统，包括：下发单元，配置为响应于获取与某一待测电力工控设备类型相关联的特征指纹以及协议簇，基于决策模块选定所述某一待测电力工控设备类型适用的安全扫描配置，并下发扫描任务，其中，所述决策模块包括对所述特征指纹进行分析的特征指纹子模块和识别所述协议簇的协议簇子模块；扫描单元，配置为响应于获取的所述扫描任务，基于设定的扫描约束对所述待测电力工控设备进行漏洞扫描；判断单元，配置为基于漏洞扫描开始指令对业务系统的整体运行情况是否正常进行判断；调整单元，配置为若业务系统整体运行情况不正常，基于系统监控模块对所述扫描任务进程进行动态调整；生成单元，配置为若业务系统整体运行情况正常，完成扫描并生成测试报告。

第三方面，提供一种电子设备，其包括：至少一个处理器，以及与所述至少一个处理器通信连接的存储器，其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行本发明任一实施例的电力工控设备的漏洞无损检测方法的步骤。

第四方面，本发明还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，使所述计算机执行本发明任一实施例的电力工控设备的漏洞无损检测方法的步骤。

本申请的一种电力工控设备的漏洞无损检测方法及系统，采用把漏洞检测融入到正常的业务中，扫描行为在保证业务正常运行的前提下开展的，通过决策模块的设定、扫描策略的选择、系统动态监控和调整，在保证业务正常运行的情况下不断网在线进行检测，降低风险、减少损失，这对于电力工控系统是十分重要的，能够最大限度避免非正常的操作造成对系统的影响，同时有效检测出电力工控设备存在的安全漏洞。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例提供的一种电力工控设备的漏洞无损检测方法的流程图；

图2为本发明一实施例提供的特征指纹的提取流程图；

图3为本发明一实施例提供的另一种电力工控设备的漏洞无损检测方法的流程图；

图4为本发明一实施例提供的一种电力工控设备的漏洞无损检测系统的结构框图；

图5是本发明一实施例提供的电子设备的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图1，其示出了本申请的一种电力工控设备的漏洞无损检测方法的流程图。

如图1所示，在S101中，响应于获取与某一待测电力工控设备类型相关联的特征指纹以及协议簇，基于决策模块选定所述某一待测电力工控设备类型适用的安全扫描配置，并下发扫描任务，其中，所述决策模块包括对所述特征指纹进行分析的特征指纹子模块和识别所述协议簇的协议簇子模块。

在本实施例中，特征指纹为电力工控系统（场景）的逻辑和数据的组合特征，协议簇指适用于电力工控系统的协议集合，区别于传统的网络协议，通过决策模块获取某一待测电力工控设备类型相关联的特征指纹以及协议簇，能够确定某一待测电力工控设备的类型，从而针对某一待测电力工控设备的类型进行配置安全扫描方式。

其中，请参阅图2，其示出了本申请的特征指纹的提取流程图，具体包括：

步骤一：获取HMI与SCADA之间的交互情况；

步骤二：对协议特征的提取和预处理；

步骤三：获取电力工控系统场景交易模式；

步骤四：获取工控系统场景的特征指纹。

在S102中，响应于获取的所述扫描任务，基于设定的扫描约束对所述待测电力工控设备进行漏洞扫描。

在S103中，基于漏洞扫描开始指令对业务系统的整体运行情况是否正常进行判断。

在本实施例中，业务系统为电力工控场景中的各类实时与非实时的业务交互，包括但不限于电力调度系统、电能量、SCADA、新能源厂站的功率预测等基于工控设备运行的信息系统及数据交互。

在S104中，若业务系统整体运行情况不正常，基于系统监控模块对所述扫描任务进程进行动态调整。

在S105中，若业务系统整体运行情况正常，完成扫描并生成测试报告。

在本申请的方法中，首先根据待测工控设备类型在决策模块完成相关配置并下发任务，之后，根据所选择配置决策结果，设定扫描任务，开始对工控设备的漏洞扫描，之后，同时启动业务系统的监控模块，对业务系统整体运行情况进行监控，保证业务系统的正常运行，最后，业务不发生中断的情况下完成扫描，生成测试报告，使得在电力工控系统工控设备、业务正常运行的前提下，实现关键设备的在线无损检测，既保证业务的正常运行，又能有效的检测出安全漏洞。

请参阅图3，其示出了本申请的一个具体实施例的电力工控设备的漏洞无损检测方法的流程图。

如图3所示，电力工控设备的漏洞无损检测方法具体包括以下步骤：

（1）建立网络连接

通过连接线缆把待测电力工控系统设备与本发明装置进行连接，发明装置与检测系统所在计算机相连接，完成物理连接。配置检测系统安装的计算机、检测装置、待测工控设备，使得三者完成网络连接，网络互通，打开检测软件输入检测装置所配置本地地址（如192.168.1.1）完成网络测试。

（2）决策模块选择

在网络连接与测试完成后，通过检测软件系统决策模块对待测电力工控设备进行特征指纹分析，选定针对待测设备类型（包括防火墙、交换机、隔离装置等）适用的安全扫描方法，并进行任务下发。决策模块包括自定义的协议簇子模块、特征指纹子模块、指令决策子模块、知识库子模块、HMI子模块。决策模块的正确选择是保证业务和设备正常运行的关键所在，因此，根据不同设备类型开发设计的对应协议簇、特征指纹库等内容能够保证检测漏洞开展时业务正常运行的重要保障。

（3）扫描任务及策略设定

漏洞在运检测软件系统扫描模块用于根据决策结果，完成对设备漏洞的扫描，扫描任务设定根据待测设备进行选择设定，包含存活判断，端口扫描，服务识别，OS判断，口令猜测等，并具备PLC设备的识别功能以及DCS、PCS、SCADA系统识别功能。扫描模块包括扫描方式子模块、扫描策略子模块、扫描频率子模块、扫描插件子模块。

扫描约束的设定步骤如下：

步骤一：在扫描任务设定后，选择扫描方式的选择，包括人工干预式扫描和非人工干预扫描方式；

步骤二：扫描策略设定分为被动式策略和主动式策略，根据待测设备类型进行选择。当需要重点检测设备是否存在不合适设置、弱口令及其他与安全规则抵触的对象时选择被动式策略；当需要执行脚本文件模拟对系统进行攻击的行为并记录设备及系统的反应时选择主动式策略。

步骤三：扫描频率的设定，可根据需要选择固定时间下发扫描任务进行扫描，本装置也可选择智能扫描，包括流量阈值上下限的设定、扫描启动频次等，在系统监控模块显示连续流量较低时表示该时段内业务量较少，开展扫描工作。

步骤四：根据扫描设备的类型，可对自定义的扫描插件进行选择，加载扫描插件后可对待测设备进行特定的扫描。

（4）系统动态监控与调整

扫描任务开始后触发系统监控模块，用于对系统整体运行情况进行监测，确保扫描任务不影响系统业务和设备的运行，实现无损检测。监控模块包括进程监控子模块、进度监控子模块、异常监控子模块、流量监控子模块。当监控显示业务系统运行情况发生异常，系统监控模块将对任务进程进行动态调整。首先监控模块对业务系统的进程进行监控，若扫描开始后，异常监控子模块判断业务系统运行发生存在异常则将扫描任务挂起，等待异常消除、业务正常后再重新开始扫描任务；若不存在异常，流量监控子模块判断业务系统中的流量是否超过设定阈值，若超过设定阈值，则扫描任务挂起，动态监控业务系统变化，等待流量达到启动阈值时，再重新开始扫描任务；若不超过设定阈值，进程监控子模块判断所述业务系统的进程状态是否为阻塞或中断，若所述业务系统的进程状态为阻塞或中断，则存在决策选择错误或者约束设定错误，为保障系统业务的正常，则扫描任务直接终结，重新进行决策选择和约束设定；若业务正常，则监测扫描进度是否正常，若长时间进度异常，则存在决策选择错误或者策略设定错误，扫描任务直接终结；若以上监控都正常，则扫描任务正常进行。

（5）生成报告

在系统动态监控无异常或出现调整后，系统完成扫描任务可生成书面报告交付，用户可选择文本、网页和pdf等多种形式的扫描报告，再对扫描结果进行分析，对存在漏洞进行处理。

综上描述，本实施例的一种电力工控设备的漏洞无损检测方法能够实现的技术效果如下：

1、本申请针对电力工控设备，自定义决策模块和扫描模块，去除非工控系统协议，形成特征指纹库和知识库，去除了非电力行业协议及可能对系统、设备可能造成的影响扫描操作，减轻了设备及网络运行的负担，保障了设备的安全运行。

2、本申请在扫描任务开始后，监控模块实时监控、动态调整，当异常发生及时调整策略，优先保证设备及系统业务的稳定运，实现电力工控设备漏洞无损检测。

请参阅图4，其示出了本申请的一种电力工控设备的漏洞无损检测系统的结构框图。

如图4所示，漏洞无损检测系统200，包括下发单元210、扫描单元220、判断单元230、调整单元240以及生成单元250。

其中，下发单元210，配置为响应于获取与某一待测电力工控设备类型相关联的特征指纹以及协议簇，基于决策模块选定所述某一待测电力工控设备类型适用的安全扫描配置，并下发扫描任务，其中，所述决策模块包括对所述特征指纹进行分析的特征指纹子模块和识别所述协议簇的协议簇子模块；扫描单元220，配置为响应于获取的所述扫描任务，基于设定的扫描约束对所述待测电力工控设备进行漏洞扫描；判断单元230，配置为基于漏洞扫描开始指令对业务系统的整体运行情况是否正常进行判断；调整单元240，配置为若业务系统整体运行情况不正常，基于系统监控模块对所述扫描任务进程进行动态调整；生成单元250，配置为若业务系统整体运行情况正常，完成扫描并生成测试报告。

应当理解，图4中记载的诸模块与参考图1中描述的方法中的各个步骤相对应。由此，上文针对方法描述的操作和特征以及相应的技术效果同样适用于图4中的诸模块，在此不再赘述。

在另一些实施例中，本发明实施例还提供了一种计算机可读存储介质，计算机可读存储介质存储有计算机可执行指令，该计算机可执行指令可执行上述任意方法实施例中的漏洞无损检测方法；

作为一种实施方式，本发明的计算机可读存储介质存储有计算机可执行指令，计算机可执行指令设置为：

响应于获取与某一待测电力工控设备类型相关联的特征指纹以及协议簇，基于决策模块选定所述某一待测电力工控设备类型适用的安全扫描配置，并下发扫描任务，其中，所述决策模块包括对所述特征指纹进行分析的特征指纹子模块和识别所述协议簇的协议簇子模块；

响应于获取的所述扫描任务，基于设定的扫描约束对所述待测电力工控设备进行漏洞扫描；

基于漏洞扫描开始指令对业务系统的整体运行情况是否正常进行判断；

若业务系统整体运行情况不正常，基于系统监控模块对所述扫描任务进程进行动态调整；

若业务系统整体运行情况正常，完成扫描并生成测试报告。

计算机可读存储介质可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储根据漏洞无损检测系统的使用所创建的数据等。此外，计算机可读存储介质可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实施例中，计算机可读存储介质可选包括相对于处理器远程设置的存储器，这些远程存储器可以通过网络连接至漏洞无损检测系统。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

图5是本发明实施例提供的电子设备的结构示意图，如图5所示，该设备包括：一个处理器310以及存储器320。电子设备还可以包括：输入装置330和输出装置340。处理器310、存储器320、输入装置330和输出装置340可以通过总线或者其他方式连接，图5中以通过总线连接为例。存储器320为上述的计算机可读存储介质。处理器310通过运行存储在存储器320中的非易失性软件程序、指令以及模块，从而执行服务器的各种功能应用以及数据处理，即实现上述方法实施例漏洞无损检测方法。输入装置330可接收输入的数字或字符信息，以及产生与漏洞无损检测系统的用户设置以及功能控制有关的键信号输入。输出装置340可包括显示屏等显示设备。

上述设备可执行本发明实施例所提供的方法，具备执行方法相应的功能模块和有益效果。未在本实施例中详尽描述的技术细节，可参见本发明实施例所提供的方法。

作为一种实施方式，上述电子设备应用于漏洞无损检测系统中，用于客户端，包括：至少一个处理器；以及，与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够：

响应于获取与某一待测电力工控设备类型相关联的特征指纹以及协议簇，基于决策模块选定所述某一待测电力工控设备类型适用的安全扫描配置，并下发扫描任务，其中，所述决策模块包括对所述特征指纹进行分析的特征指纹子模块和识别所述协议簇的协议簇子模块；

响应于获取的所述扫描任务，基于设定的扫描约束对所述待测电力工控设备进行漏洞扫描；

基于漏洞扫描开始指令对业务系统的整体运行情况是否正常进行判断；

若业务系统整体运行情况不正常，基于系统监控模块对所述扫描任务进程进行动态调整；

若业务系统整体运行情况正常，完成扫描并生成测试报告。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行各个实施例或者实施例的某些部分的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (9)

1.一种电力工控设备的漏洞无损检测方法，其特征在于，包括：

响应于获取与某一待测电力工控设备类型相关联的特征指纹以及协议簇，基于决策模块选定所述某一待测电力工控设备类型适用的安全扫描配置，并下发扫描任务，其中，所述决策模块包括对所述特征指纹进行分析的特征指纹子模块和识别所述协议簇的协议簇子模块；

响应于获取的所述扫描任务，基于设定的扫描约束对所述待测电力工控设备进行漏洞扫描；

基于漏洞扫描开始指令对业务系统的整体运行情况是否正常进行判断；

若业务系统整体运行情况不正常，基于系统监控模块对所述扫描任务进程进行动态调整；

若业务系统整体运行情况正常，完成扫描并生成测试报告。

2.根据权利要求1所述的一种电力工控设备的漏洞无损检测方法，其特征在于，其中，对所述扫描约束的设定具体包括选择扫描方式、选择扫描策略、选择扫描频率以及选择扫描插件。

3.根据权利要求2所述的一种电力工控设备的漏洞无损检测方法，其特征在于，所述扫描方式包括人工干预式扫描和非人工干预扫描方式。

4.根据权利要求2所述的一种电力工控设备的漏洞无损检测方法，其特征在于，所述扫描策略包括被动式策略和主动式策略。

5.根据权利要求1所述的一种电力工控设备的漏洞无损检测方法，其特征在于，其中，所述监控模块包括异常监控子模块、流量监控子模块以及进程监控子模块。

6.根据权利要求5所述的一种电力工控设备的漏洞无损检测方法，其特征在于，其中，对所述扫描任务进程进行动态调整具体包括：

基于异常监控子模块判断所述业务系统运行发生是否存在异常，若存在异常，将所述扫描任务挂起；

若不存在异常，基于流量监控子模块判断所述业务系统中的流量是否超过设定阈值，若超过设定阈值，将所述扫描任务挂起；

若不超过设定阈值，基于进程监控子模块判断所述业务系统的进程状态是否为阻塞或中断，若所述业务系统的进程状态为阻塞或中断，将所述扫描任务终结。

7.一种电力工控设备的漏洞无损检测系统，其特征在于，包括：

下发单元，配置为响应于获取与某一待测电力工控设备类型相关联的特征指纹以及协议簇，基于决策模块选定所述某一待测电力工控设备类型适用的安全扫描配置，并下发扫描任务，其中，所述决策模块包括对所述特征指纹进行分析的特征指纹子模块和识别所述协议簇的协议簇子模块；

扫描单元，配置为响应于获取的所述扫描任务，基于设定的扫描约束对所述待测电力工控设备进行漏洞扫描；

判断单元，配置为基于漏洞扫描开始指令对业务系统的整体运行情况是否正常进行判断；

调整单元，配置为若业务系统整体运行情况不正常，基于系统监控模块对所述扫描任务进程进行动态调整；

生成单元，配置为若业务系统整体运行情况正常，完成扫描并生成测试报告。

8.一种电子设备，其特征在于，包括：至少一个处理器，以及与所述至少一个处理器通信连接的存储器，其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1至6任一项所述的方法。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现权利要求1至6任一项所述的方法。

Images