CN113656273A - 一种工控系统在检测时产生扰动的评估方法及装置 - Google Patents

Abstract

本发明提供了一种工控系统在检测时产生扰动的评估方法及装置，其中，该工控系统在检测时产生扰动的评估方法包括：依据对工控系统进行检测的各检测工具、输入激励、检测方式，确定评估扰动的评价维度以及每一评价维度下包含的评价子维度，所述评价维度包括：网络信号注入、网络信号提取、主机检测方式、检测工具外联以及检测实施过程；针对每一评价子维度，从工控系统的历史检测响应数据中，收集基于该评价子维度进行检测的子维度历史检测响应数据；分析各子维度历史检测响应数据对工控系统的扰动，依据分析结果确定各评价子维度对应的扰动强度。可以评估检测时对工控系统的扰动。

Description

一种工控系统在检测时产生扰动的评估方法及装置

技术领域

本发明涉及检测技术领域，具体而言，涉及一种工控系统在检测时产生扰动的评估方法及装置。

背景技术

工业控制系统(工控系统)广泛应用于能源、交通、电力、化工、医药、军工等领域，与国民经济和社会发展的重大装备直接相关联，工控系统中配置有许多工业软件，工业软件在接入工业控制系统以及运行中，需要保障工控系统的安全性，并尽可能减少运行过程中对工控系统造成的扰动。因而，需要在线对运行工业软件的工控系统进行检测，例如，通过将检测工具接入工控系统，并通过检测工具对工控系统施加激励，然后，通过检测工具获取工控系统的响应，依据响应进行工控系统中工业软件的安全评估。但该方法，在检测过程中，利用检测工具，针对输入工控系统的输入激励以及工控系统对输入激励的响应，进行安全性评估，没有考虑检测工具以及输入激励对工控系统产生的扰动，例如，在进行工控系统检测时，可能需要降低工控系统的安全防护能力，从而给攻击者攻击工控系统提供可能，进而影响工控系统的正常运行，使得在对工控系统进行检测时，影响工控系统的正常运行，或对工控系统的后续运行带来潜在安全隐患。

发明内容

有鉴于此，本发明的目的在于提供工控系统在检测时产生扰动的评估方法及装置，以评估检测时对工控系统的扰动。

第一方面，本发明实施例提供了工控系统在检测时产生扰动的评估方法，包括：

依据对工控系统进行检测的各检测工具、输入激励、检测方式，确定评估扰动的评价维度以及每一评价维度下包含的评价子维度，所述评价维度包括：网络信号注入、网络信号提取、主机检测方式、检测工具外联以及检测实施过程；

针对每一评价子维度，从工控系统的历史检测响应数据中，收集基于该评价子维度进行检测的子维度历史检测响应数据；

分析各子维度历史检测响应数据对工控系统的扰动，依据分析结果确定各评价子维度对应的扰动强度。

结合第一方面，本发明实施例提供了第一方面的第一种可能的实施方式，其中，还包括：

分别构建检测工具、输入激励、检测方式与评价维度以及评价子维度的映射关系；

获取用于对检测对象进行检测输入的检测参数，所述检测参数包括：目标检测工具、输入目标激励以及目标检测方式；

从所述映射关系中，分别获取所述目标检测工具、输入目标激励以及目标检测方式映射的评价子维度；

依据获取的评价子维度对应的扰动强度，生成所述检测参数的扰动评估。

结合第一方面的第一种可能的实施方式，本发明实施例提供了第一方面的第二种可能的实施方式，其中，还包括：

若扰动评估不满足预先设置的扰动抑制策略，发送告警信息并依据所述检测信息，匹配预先设置的扰动控制策略，展示所述检测信息相匹配的扰动控制策略。

结合第一方面的第一种可能的实施方式，本发明实施例提供了第一方面的第三种可能的实施方式，其中，还包括：

若扰动评估不满足预先设置的扰动抑制策略，对扰动强度大对应的检测参数进行调整，依据调整的检测参数生成扰动优化评估。

结合第一方面、第一方面的第一种可能的实施方式至第三种可能的实施方式中的任一种可能的实施方式，本发明实施例提供了第一方面的第四种可能的实施方式，其中，所述依据对工控系统进行检测的各检测工具、输入激励、检测方式，确定评估扰动的评价维度以及每一评价维度下包含的评价子维度，包括：

基于检测工具与外部网络的连接、检测工具被攻击以及检测工具成为摆渡攻击的载体，确定通过检测工具构建的攻击通道；

基于检测实施过程，确定影响安全防护能力的检测行为；

基于检测工具以及输入激励，确定影响运行的运行行为；

对攻击通道、检测行为、运行行为进行统计分析，确定评价维度以及每一评价维度下的评价子维度。

结合第一方面、第一方面的第一种可能的实施方式至第三种可能的实施方式中的任一种可能的实施方式，本发明实施例提供了第一方面的第五种可能的实施方式，其中，所述网络信号注入包括：黑信号注入、白信号注入以及无信号注入，其中，

黑信号注入包括：确定性尝试以及随机尝试，确定性尝试包括：违规流量尝试、恶意流量尝试、小信号尝试；随机尝试包括：模糊信号尝试；

白信号包括：探测扫描信号以及替罪羊信号。

结合第一方面、第一方面的第一种可能的实施方式至第三种可能的实施方式中的任一种可能的实施方式，本发明实施例提供了第一方面的第六种可能的实施方式，其中，所述主机检测方式包括：并智探针、植入探针以及旁观检测，其中，

并置探针包括：一体化并置探针以及分布式并置探针；

植入探针包括：植入状态观测探针以及金丝雀探针。

第二方面，本发明实施例还提供了一种工控系统在检测时产生扰动的评估装置，包括：

评价维度获取模块，用于依据对工控系统进行检测的各检测工具、输入激励、检测方式，确定评估扰动的评价维度以及每一评价维度下包含的评价子维度，所述评价维度包括：网络信号注入、网络信号提取、主机检测方式、检测工具外联以及检测实施过程；

历史数据获取模块，用于针对每一评价子维度，从工控系统的历史检测响应数据中，收集基于该评价子维度进行检测的子维度历史检测响应数据；

分析模块，用于分析各子维度历史检测响应数据对工控系统的扰动，依据分析结果确定各评价子维度对应的扰动强度。

第三方面，本申请实施例提供了一种计算机设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述方法的步骤。

第四方面，本申请实施例提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器运行时执行上述的方法的步骤。

本发明实施例提供的工控系统在检测时产生扰动的评估方法及装置，通过依据对工控系统进行检测的各检测工具、输入激励、检测方式，确定评估扰动的评价维度以及每一评价维度下包含的评价子维度，所述评价维度包括：网络信号注入、网络信号提取、主机检测方式、检测工具外联以及检测实施过程；针对每一评价子维度，从工控系统的历史检测响应数据中，收集基于该评价子维度进行检测的子维度历史检测响应数据；分析各子维度历史检测响应数据对工控系统的扰动，依据分析结果确定各评价子维度对应的扰动强度。可以评估检测时对工控系统的扰动。

为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1示出了本发明实施例所提供的工控系统在检测时产生扰动的评估方法流程示意图；

图2示出了本发明实施例所提供的工控系统在检测时产生扰动的评估装置结构示意图；

图3为本申请实施例提供的一种计算机设备300的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供了一种工控系统在检测时产生扰动的评估方法及装置，下面通过实施例进行描述。

图1示出了本发明实施例所提供的工控系统在检测时产生扰动的评估方法流程示意图。如图1所示，该方法包括：

步骤101，依据对工控系统进行检测的各检测工具、输入激励、检测方式，确定评估扰动的评价维度以及每一评价维度下包含的评价子维度；

本申请实施例中，扰动是利用检测工具，依据检测方式输入激励对工控系统中的工控软件进行检测时，对工控系统造成的负面影响，例如，加剧工控系统的访问控制漏洞，工控系统响应速度变慢，功能紊乱甚至丧失等。因而，作为一可选实施例，依据对工控系统进行检测的各检测工具、输入激励、检测方式，确定评估扰动的评价维度以及每一评价维度下包含的评价子维度，包括：

A11，基于检测工具与外部网络的连接、检测工具被攻击以及检测工具成为摆渡攻击的载体，确定通过检测工具构建的攻击通道；

本申请实施例中，在通过检测工具进行工控系统检测时，攻击者可以通过检测工具构建攻击通道，从而危害工控系统安全。

本申请实施例中，通过分析总结，攻击通道包括但不限于：非法外联、肉鸡工具以及摆渡工具。其中，

非法外联是检测工具在检测期间连接至外部网络，形成“工控系统-检测工具-外部网络”的外联通道；

肉鸡工具是检测工具被攻击者控制，在检测过程中给出误导性信息，从而影响检测结果，或者，攻击者利用检测工具对工控系统发动攻击；

摆渡工具是检测工具在接入工控系统的工控网或外部网络的过程中，成为摆渡攻击的载体。工控系统向外提供数据交互的工控网是工控系统与外界环境(外部网络)隔离的网络，但由于检测工具在检测过程中，有时接入工控网，有时接入外部网络，从而可能成为摆渡攻击的载体。

A12，基于检测实施过程，确定影响安全防护能力的检测行为；

本申请实施例中，在通过检测工具进行工控系统检测前或检测过程中，基于检测需要，可能需要抑制工控系统的安全防护设施能力，降低了工控系统的防护能力，从而使得攻击者有可乘之机，包括下述影响安全防护能力的检测行为：

1)在测试工控系统安全防护设施时，临时性将安全防护设施的工作模式切换到低发现能力模式，使得攻击者在该测试期间，渗透到工控网。

2)在工控系统的在线检测期间，攻击者利用测试激励，对工控系统发动攻击，从而将恶意流量和代码混入工控系统。

3)在线检测期间，由于测试激励与响应的真实业务信息混合在一起，若混合的数据未及时进行处理，可对基于机器学习的异常检测设备起到干扰作用，造成防护设施漏判或误判真实攻击。

4)测试期间，若修改安全配置，例如，在合法用户组中增加测试人员，如果在测试后未做彻底清理，可能留下攻击渠道。

A13，基于检测工具以及输入激励，确定影响运行的运行行为；

本申请实施例中，在使用检测工具以及输入激励进行检测时，如果检测工具以及输入激励设计不当，或未及时清除测试信息的运行行为，也容易影响到工控系统运行。其中，

输入激励引起的工控系统扰动包括：

1)检测前未预料到特定输入激励会触发工控缺陷。例如，信息层面可控的脆弱性尝试，可能会连带引发工控系统的潜在缺陷；模糊激励也可以触发工控系统的潜在缺陷。

2)检测前未预料特定输入激励与特定业务信息进行混合后，会触发工控系统误动或操作员误判。

3)输入激励本身可能也会有残留，例如，检测期间由于修改某些设备的配置(如切换工作模式)，而检测后未能够复原。

检测工具引起的工控系统扰动包括：

1)嵌入型探针直接刺入工控系统内部、或修改工控系统底层功能，触发潜在工控系统缺陷、或产生功能冲突。

2)并置或嵌入型与工控系统共享CPU、内存资源，从而消耗工控系统资源，影响工控系统在线运行性能，或在长期运行过程中，累计消耗内存、硬盘等存储资源。

3)在网络串接检测时，检测工具一旦故障，就会阻断工控系统的处理，从而限制和拉低工控系统的性能。

未及时清除测试信息(测试信息在线残留)引起的工控系统扰动包括：

1)在线检测执行后，工控系统的内存中存在信息残留，使得工控软件处于不确定变化。

2)在线检测执行后，工控系统的日志发生永久变化，甚至文件系统也可能有变化，给长期历史数据分析带来干扰。

A14，对攻击通道、检测行为、运行行为进行统计分析，确定评价维度以及每一评价维度下的评价子维度。

本申请实施例中，扰动量的大小与扰动的具体成因以及不同检测方式相关，因而，可以考虑扰动的具体成因以及不同检测方式，对攻击通道、检测行为、运行行为进行统计分析，从中确定出用于评价扰动的评价维度。

本申请实施例中，作为一可选实施例，评价维度包括但不限于：网络信号注入、网络信号提取、主机检测方式、检测工具外联以及检测实施过程，其中，

对于网络信号注入，包括的评价子维度为：黑信号注入、白信号注入以及无信号注入，其中，

黑信号注入包括：确定性尝试以及随机尝试，确定性尝试包括：违规流量尝试、恶意流量尝试、小信号尝试；随机尝试包括：模糊信号尝试；

白信号包括：探测扫描信号以及替罪羊信号。

网络信号提取包括：主流量采集以及复制镜像流量采集，其中，

主流量采集包括：全流量采集以及按规则或随机抽样采集。

主机检测方式包括：并智探针、植入探针以及旁观检测，其中，

并置探针包括：一体化并置探针以及分布式并置探针，其中，一体化并置探针用于主机防火墙、防病毒软件等，分布式并置探针用于采样与分析异步分离；

植入探针包括：植入状态观测探针以及金丝雀探针，其中，植入状态观测探针用于VC++/TestBed等调试工具。

检测工具外联包括：在线网络外联、离线网络外联以及离线导出数据。

检测实施过程主要针对检测过程中的修改对象配置，包括：降低防护能力以及测试配置残留，其中，

测试配置残留包括：残留工控系统配置以及残留安全防护配置。

步骤102，针对每一评价子维度，从工控系统的历史检测响应数据中，收集基于该评价子维度进行检测的子维度历史检测响应数据；

本申请实施例中，作为一可选实施例，针对每一评价子维度，从工控系统的历史检测响应数据中，收集基于该评价子维度进行检测的子维度历史检测响应数据，包括：

针对每条历史检测响应数据，确定所属的评价子维度；

针对每一评价子维度，构建子维度历史检测响应数据集，将该评价子维度对应的历史检测响应数据置于构建的子维度历史检测响应数据集中。

本申请实施例中，对于一条历史检测响应数据，可能会属于不同的评价子维度，则将该条历史检测响应数据分别置于不同评价子维度的子维度历史检测响应数据集中。

步骤103，分析各子维度历史检测响应数据对工控系统的扰动，依据分析结果确定各评价子维度对应的扰动强度。

本申请实施例中，依据对工控系统造成的负面影响进行分析，作为一可选实施例，子维度历史检测响应数据对工控系统的扰动包括但不限于：加剧工控系统的访问控制漏洞、工控系统响应速度变慢、工控软件运行效率下降。其中，

对于加剧工控系统的访问控制漏洞，可能造成后续访问控制方面出现新缺陷，从如下方面进行分析：

1)修改权限体系后没有复原，从而导致用户权限出现交叉、冲突等非正常情况的影响程度；

2)增加多余通道的影响：检测中设置了临时网络入口接入测试设备或制造临时场景，分配了临时用户权限，在检测后没有及时清除；

3)敏感信息泄露的影响：当将企业的工控系统交由外来人员进行检测时，必然存在关键资产信息(如防火墙、核心交换机、工程师站的配置)和用户的敏感信息(如用户清单、系统管理员口令)泄漏风险。

对于工控系统响应速度变慢引起的扰动程度，由于检测或测试存在“极限施压，信息残留”的特点，从而导致工控系统性能下降，从如下方面进行分析：

1)服务器性能下降：

检测期间在工控系统中生成大量检测记录，导致后续记录插入、检索操作变得缓慢。

2)控制器性能下降：

检测期间，可能对工控系统中的控制器执行多连接，从而分散控制器的业务处理能力。

3)交换机性能下降：

进行网络旁路检测时，需要利用工控系统中的交换机来复制流量，以供检测工具使用，复制流量影响交换机的性能。

4)通信业务性能下降：

检测期间，通过强制主从等手段，将工控网络通信的信息传输路径调整到一些极端的、勉强可用的状态，如将SCADA控制命令通道强制为“HMI->备服务器->主服务器->备RTU->主RTU->现场控制器”，使控制响应时间大幅延迟。

5)工控软件性能下降：

在线检测时，检测工具会与工控软件争抢系统资源，还可能会挂钩API执行额外处理，使工控软件运行效率下降。

由于工控系统正常运行需要基于一系列内部处理机制，包括但不限于：1)条件联动机制、2)时间和时序机制、3)信息累计机制、4)实时诊断机制、5)持久化机制、6)信息物理机制、7)容量限制机制等，因而，可从上述方面进行分析：

1)条件联动机制，在检测前或检测中修改工控系统参数，而在检测后未进行恢复，包括：

失去控制：在线检测时修改了控制的先决条件，如远方/就地标志、设备操作权限等，导致检测后控制功能丧失。

失去报警：在线检测时修改了报警条件，例如，修改模拟量报警限值，导致检测后工控系统不再发出相关报警。

失去保护：在线检测时关闭了闭锁逻辑，导致检测后工控系统操作没有闭锁保护，操作控制无安全保证。

意外动作：在线检测时修改了自动执行动作的条件，或针对关联自动处理功能的报警，修改了报警条件，导致检测后工控系统运行期间产生意外误动。

意外破坏：在线检测时生成的测试数据，测试后将这些数据清除，可能破坏业务数据完整性，进而引起业务功能异常，甚至无法重启。

2)时间和时序机制，包括：

事件乱序：在线检测时修改系统时标，或在分布式系统中人为控制多通道通信的传输路径，或在主机应用中插入端点干扰实时执行，导致工控系统对事件处理的顺序发生错误，日志的接收顺序与时标顺序不一致。

时钟错误：在线检测时修改工控系统时钟，导致检测期间与定时调度有关的动作出现遗漏、重复、延迟或提早。

3)信息累计机制，包括：

计数器错误：工控系统中大量使用计数器，如开关动作次数、动作失败次数等计数器。在线检测引发计数器累加，检测后出现功能紊乱和系统错误。

触发器错误：控制系统中使用RS触发器等具有状态累计效应的状态机，检测中若触发这些触发器，由于触发的状态变化不可逆，导致检测后功能紊乱。

4)实时诊断机制，包括：

看门狗误动：若在线检测时，工控系统的性能下降超出看门狗动作的时间限，触发看门狗动作，引起主机重启。

主备误切换：由于性能下降，造成热备冗余主机发生主备切换。

5)持久化机制，包括：

污染日志：在线检测时执行的操作记入系统操作日志，会影响分析判断。

污染定值：在线检测时，修改工控系统的参数和定值，检测后这些信息一直驻留内存，影响生产过程。

6)信息物理机制，包括：

超现实数值：检测中绕过数值处理逻辑、直接在数据库中修改数值，从而触发处理缺陷，使工控系统陷入瘫痪。

7)容量限制机制，包括：

连接数限制：在线检测中，针对工控系统的服务器、控制器等服务端所建立的临时连接，需占用有线连接资源，从而导致真正的业务终端无法连接和获取在线服务。

本申请实施例中，作为一可选实施例，扰动强度以分值进行表征，对照检测扰动的成因和后果及分析，并结合对用户可接受程度的经验性认知，设置分值为10，表征扰动强度最强，分值为0，表征不导致扰动。

表1为本申请实施例确定的各子维度对应的扰动强度示意表。

表1

本申请实施例中，作为一可选实施例，该方法还包括：

分别构建检测工具、输入激励、检测方式与评价维度以及评价子维度的映射关系；

获取用于对检测对象进行检测输入的检测参数，所述检测参数包括：目标检测工具、输入目标激励以及目标检测方式；

从所述映射关系中，分别获取所述目标检测工具、输入目标激励以及目标检测方式映射的评价子维度；

依据获取的评价子维度对应的扰动强度，生成所述检测参数的扰动评估。

本申请实施例中，可以通过客户端输入用于对检测对象进行检测的检测参数。

本申请实施例中，每一评价子维度映射检测工具、输入激励或检测方式。作为一可选实施例，对各评价子维度对应的扰动强度进行加权平均或求和，得到扰动评估。

本申请实施例中，作为另一可选实施例，该方法还包括：

若扰动评估不满足预先设置的扰动抑制策略，发送告警信息并依据所述检测信息，匹配预先设置的扰动控制策略，展示所述检测信息相匹配的扰动控制策略。

本申请实施例中，作为再一可选实施例，该方法还包括：

若扰动评估不满足预先设置的扰动抑制策略，对扰动强度大对应的检测参数进行调整，依据调整的检测参数生成扰动优化评估。

本申请实施例中，根据在实施工控系统在线安全检测的经验积累，提出8大扰动控制策略，以在扰动评估不满足预先设置的扰动抑制策略时，能够降低检测扰动。其中，8大扰动控制策略如下：

(1)选择适测时机

(2)预先隔离加固

(3)使用安全工具

(4)接入次要部位

(5)注入安全激励

(6)远距观察信息

(7)实施现场应急

(8)恢复还原系统。

其中，对于(1)选择适测时机，应用于检测前，包括：活动低频小型、择机迅速完成；

(2)预先隔离加固，应用于工控系统；

(3)使用安全工具，应用于检测工具，包括：保障检测工具安全、主机浅层检测工具、网络浅层检测工具、工具在线部最小化；

(4)接入次要部位，应用于检测工具接入的接入点，包括：检测环境优先、维护环境优先、既有设施优先、备用设施优先、外部接口优先、基于网络优先、避免强行串核；

(5)注入安全激励，应用于输入激励，包括：自然激励优先、轻量激励可行、禁用攻击性激励、禁止变更对象；

(6)远距观察信息，应用于获取检测响应数据，包括：文件复件优先、内存快照优先、镜像流量优先、禁止进程干预、减少信息采样；

(7)实施现场应急，应用于检测过程中，包括：工况异常处理、恶意代码处理、后门功能处理；

(8)恢复还原系统，应用于检测结束后，包括：还原系统配置、回复篡改信息、原始文件归位、清除派生记录、禁止额外程序、清理临时用户、防止信息泄露、即刻验证功能。

本申请实施例中，通过分析检测工具、输入激励、检测方式，获取在线检测扰动的成因及后果，并根据对用户可接受程度的经验性认知，对各种检测方法的扰动强度做出定量评价，从而为设计检测扰动控制措施、加深安全检测程度、提升工控系统健壮性提供评价方法。并通过自动生成扰动控制方案，指导用户以最小扰动完成安全检测。

图2示出了本发明实施例所提供的工控系统在检测时产生扰动的评估装置结构示意图。如图2所示，该装置包括：

评价维度获取模块201，用于依据对工控系统进行检测的各检测工具、输入激励、检测方式，确定评估扰动的评价维度以及每一评价维度下包含的评价子维度，所述评价维度包括：网络信号注入、网络信号提取、主机检测方式、检测工具外联以及检测实施过程；

本申请实施例中，作为一可选实施例，评价维度获取模块201包括：

攻击通道确定单元(图中未示出)，用于基于检测工具与外部网络的连接、检测工具被攻击以及检测工具成为摆渡攻击的载体，确定通过检测工具构建的攻击通道；

检测行为确定单元，用于基于检测实施过程，确定影响安全防护能力的检测行为；

运行行为确定单元，用于基于检测工具以及输入激励，确定影响运行的运行行为；

分析单元，用于对攻击通道、检测行为、运行行为进行统计分析，确定评价维度以及每一评价维度下的评价子维度。

本申请实施例中，网络信号注入包括：黑信号注入、白信号注入以及无信号注入，其中，

黑信号注入包括：确定性尝试以及随机尝试，确定性尝试包括：违规流量尝试、恶意流量尝试、小信号尝试；随机尝试包括：模糊信号尝试；

白信号包括：探测扫描信号以及替罪羊信号。

本申请实施例中，主机检测方式包括：并智探针、植入探针以及旁观检测，其中，

并置探针包括：一体化并置探针以及分布式并置探针；

植入探针包括：植入状态观测探针以及金丝雀探针。

网络信号提取包括：主流量采集以及复制镜像流量采集，其中，

主流量采集包括：全流量采集以及按规则或随机抽样采集。

检测工具外联包括：在线网络外联、离线网络外联以及离线导出数据。

检测实施过程主要针对检测过程中的修改对象配置，包括：降低防护能力以及测试配置残留，其中，

测试配置残留包括：残留工控系统配置以及残留安全防护配置。

历史数据获取模块202，用于针对每一评价子维度，从工控系统的历史检测响应数据中，收集基于该评价子维度进行检测的子维度历史检测响应数据；

本申请实施例中，作为一可选实施例，历史数据获取模块202包括：

评价子维度确定单元，用于针对每条历史检测响应数据，确定所属的评价子维度；

数据集构建单元，用于针对每一评价子维度，构建子维度历史检测响应数据集，将该评价子维度对应的历史检测响应数据置于构建的子维度历史检测响应数据集中。

分析模块203，用于分析各子维度历史检测响应数据对工控系统的扰动，依据分析结果确定各评价子维度对应的扰动强度。

本申请实施例中，作为一可选实施例，子维度历史检测响应数据对工控系统的扰动包括但不限于：加剧工控系统的访问控制漏洞、工控系统响应速度变慢、工控软件运行效率下降。

本申请实施例中，作为一可选实施例，该装置还包括：

映射关系构建模块(图中未示出)，用于分别构建检测工具、输入激励、检测方式与评价维度以及评价子维度的映射关系；

检测参数输入模块，用于获取用于对检测对象进行检测输入的检测参数，所述检测参数包括：目标检测工具、输入目标激励以及目标检测方式；

映射查询模块，用于从所述映射关系中，分别获取所述目标检测工具、输入目标激励以及目标检测方式映射的评价子维度；

评估模块，用于依据获取的评价子维度对应的扰动强度，生成所述检测参数的扰动评估。

本申请实施例中，作为另一可选实施例，该装置还包括：

扰动控制模块，若扰动评估不满足预先设置的扰动抑制策略，发送告警信息并依据所述检测信息，匹配预先设置的扰动控制策略，展示所述检测信息相匹配的扰动控制策略。

本申请实施例中，作为再一可选实施例，该装置还包括：

检测参数优化模块，若扰动评估不满足预先设置的扰动抑制策略，对扰动强度大对应的检测参数进行调整，依据调整的检测参数生成扰动优化评估。

如图3所示，本申请一实施例提供了一种计算机设备300，用于执行图1中的工控系统在检测时产生扰动的评估方法，该设备包括存储器301、处理器302及存储在该存储器301上并可在该处理器302上运行的计算机程序，其中，上述处理器302执行上述计算机程序时实现上述工控系统在检测时产生扰动的评估方法的步骤。

具体地，上述存储器301和处理器302能够为通用的存储器和处理器，这里不做具体限定，当处理器302运行存储器301存储的计算机程序时，能够执行上述工控系统在检测时产生扰动的评估方法。

对应于图1中的工控系统在检测时产生扰动的评估方法，本申请实施例还提供了一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行上述工控系统在检测时产生扰动的评估方法的步骤。

具体地，该存储介质能够为通用的存储介质，如移动磁盘、硬盘等，该存储介质上的计算机程序被运行时，能够执行上述工控系统在检测时产生扰动的评估方法。

在本申请所提供的实施例中，应该理解到，所揭露系统和方法，可以通过其它的方式实现。以上所描述的系统实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，系统或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请提供的实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释，此外，术语“第一”、“第二”、“第三”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

最后应说明的是：以上所述实施例，仅为本申请的具体实施方式，用以说明本申请的技术方案，而非对其限制，本申请的保护范围并不局限于此，尽管参照前述实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本申请实施例技术方案的精神和范围。都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应所述以权利要求的保护范围为准。

Claims (10)

1.一种工控系统在检测时产生扰动的评估方法，其特征在于，包括：

依据对工控系统进行检测的各检测工具、输入激励、检测方式，确定评估扰动的评价维度以及每一评价维度下包含的评价子维度，所述评价维度包括：网络信号注入、网络信号提取、主机检测方式、检测工具外联以及检测实施过程；

针对每一评价子维度，从工控系统的历史检测响应数据中，收集基于该评价子维度进行检测的子维度历史检测响应数据；

分析各子维度历史检测响应数据对工控系统的扰动，依据分析结果确定各评价子维度对应的扰动强度。

2.根据权利要求1所述的方法，其特征在于，还包括：

分别构建检测工具、输入激励、检测方式与评价维度以及评价子维度的映射关系；

获取用于对检测对象进行检测输入的检测参数，所述检测参数包括：目标检测工具、输入目标激励以及目标检测方式；

从所述映射关系中，分别获取所述目标检测工具、输入目标激励以及目标检测方式映射的评价子维度；

依据获取的评价子维度对应的扰动强度，生成所述检测参数的扰动评估。

3.根据权利要求2所述的方法，其特征在于，还包括：

若扰动评估不满足预先设置的扰动抑制策略，发送告警信息并依据所述检测信息，匹配预先设置的扰动控制策略，展示所述检测信息相匹配的扰动控制策略。

4.根据权利要求2所述的方法，其特征在于，还包括：

若扰动评估不满足预先设置的扰动抑制策略，对扰动强度大对应的检测参数进行调整，依据调整的检测参数生成扰动优化评估。

5.根据权利要求1至4任一项所述的方法，其特征在于，所述依据对工控系统进行检测的各检测工具、输入激励、检测方式，确定评估扰动的评价维度以及每一评价维度下包含的评价子维度，包括：

基于检测工具与外部网络的连接、检测工具被攻击以及检测工具成为摆渡攻击的载体，确定通过检测工具构建的攻击通道；

基于检测实施过程，确定影响安全防护能力的检测行为；

基于检测工具以及输入激励，确定影响运行的运行行为；

对攻击通道、检测行为、运行行为进行统计分析，确定评价维度以及每一评价维度下的评价子维度。

6.根据权利要求1至4任一项所述的方法，其特征在于，所述网络信号注入包括：黑信号注入、白信号注入以及无信号注入，其中，

黑信号注入包括：确定性尝试以及随机尝试，确定性尝试包括：违规流量尝试、恶意流量尝试、小信号尝试；随机尝试包括：模糊信号尝试；

白信号包括：探测扫描信号以及替罪羊信号。

7.根据权利要求1至4任一项所述的方法，其特征在于，所述主机检测方式包括：并智探针、植入探针以及旁观检测，其中，

并置探针包括：一体化并置探针以及分布式并置探针；

植入探针包括：植入状态观测探针以及金丝雀探针。

8.一种工控系统在检测时产生扰动的评估装置，其特征在于，包括：

评价维度获取模块，用于依据对工控系统进行检测的各检测工具、输入激励、检测方式，确定评估扰动的评价维度以及每一评价维度下包含的评价子维度，所述评价维度包括：网络信号注入、网络信号提取、主机检测方式、检测工具外联以及检测实施过程；

历史数据获取模块，用于针对每一评价子维度，从工控系统的历史检测响应数据中，收集基于该评价子维度进行检测的子维度历史检测响应数据；

分析模块，用于分析各子维度历史检测响应数据对工控系统的扰动，依据分析结果确定各评价子维度对应的扰动强度。

9.一种计算机设备，其特征在于，包括：处理器、存储器和总线，所述存储器存储有所述处理器可执行的机器可读指令，当计算机设备运行时，所述处理器与所述存储器之间通过总线通信，所述机器可读指令被所述处理器执行时执行如权利要求1至7任一所述的工控系统在检测时产生扰动的评估方法的步骤。

10.一种计算机可读存储介质，其特征在于，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行如权利要求1至7任一所述的工控系统在检测时产生扰动的评估方法的步骤。

Images