CN113852504A - 一种面向等保环境的轻量级工控流程攻防模拟方法 - Google Patents

Abstract

一种面向等保环境的轻量级工控流程攻防模拟方法即属于工业控制领域，又属于信息安全领域。本发明针对工业控制系统信息安全事件，基于信息流分析和访问控制，设计了一种面向等级保护的轻量级模拟工业控制系统攻防对抗的安全分析方法。该方法以业务流程为保护对象，将业务流程抽象成信息流和计算逻辑的组合，搭建模拟场景，并通过该场景下对攻击机制和防御机制的抽象模拟，构造出类似“兵棋”的安全推演场景，通过攻防推演来判断系统的安全状况。该方法可以从信息流层面模拟系统的攻防对抗状况，推演系统面临的现实的安全威胁和防护效果。

Description

一种面向等保环境的轻量级工控流程攻防模拟方法

技术领域

本发明针对工业控制系统信息安全事件，基于信息流分析和访问控制，设计了一种面向等保环境的轻量级工控流程攻防模拟方法。该方法以业务流程为保护对象，将业务流程抽象成信息流和计算逻辑的组合，搭建模拟场景，并通过该场景下对攻击机制和防御机制的抽象模拟，构造出类似“兵棋”的安全推演场景，通过攻防推演来判断系统的安全状况。该方法可以从信息流层面模拟系统的攻防对抗状况，推演系统面临的现实的安全威胁和防护效果。即属于工业控制领域，又属于信息安全领域。

背景技术

工业控制系统是现代工业基础设施的核心，广泛应用于石油石化、电力、轨道交通等领域。全球工控系统面临的攻击也层出不穷，因此加强网络信息安全建设、解决安全防护问题、提高工业的安全防护能力成为当务之急。因此，本发明的研究成果具有广阔的应用前景。

工控系统属于信息物理融合系统，与物理世界紧密联系，它的首要目标是保障系统的稳定运行，即遵循可用性、完整性、保密性原则；工控系统有流程相对固定、通信实时性强、通信协议多样化、系统轻易不许重启、系统不许随意更新及打补丁、采用专有硬件及软件、设备生命周期长且不易访问等特点。对目标系统进行攻防测试可以更好地研究与分析网络安全事件以对其进行有效的防御，是一种直观、有效的安全测试方法。若直接在已使用的工控系统上进行漏洞分析和攻防对抗测试，攻击结果难以预估，有可能会对系统造成无法弥补和恢复的破坏，造成严重损失，代价过高。而仿真环境成本较高，网络靶场通用性低。因此，寻求低成本的攻防模拟环境是亟需解决的问题，具有重要的现实意义。

对网络系统常见的安全分析方法有态势感知方法、形式化方法和模拟真实环境测试等方法。态势感知技术主要通过采集网络原始数据与系统运行生成的动态安全数据等信息，再通过对数据进行实时分析实现，目前态势感知主要依托入侵检测、漏洞扫描等机制，与等保要求不符。形式化方法是利用数学方法，从源头验证系统正确、无漏洞的有效手段，这种方法能够比较严格的论证安全性，但是因为研究过程过于复杂，一般用于比较简单的场景，不适合处理复杂场景。模拟真实环境是在测试端未受到真实的网络攻击之前，提早对其进行攻击和防御模拟的一种测试方法，通过对被测试端进行攻击和防御效果检测与评估，并提出安全改进方案，以减小系统受到真实攻击的可能性和由此带来的影响，但存在成本高、通用性低的问题。

本发明根据等级保护系统的安全需求和技术特点，提出了一种面向等保环境的轻量级工控流程攻防模拟方法。该方法以业务流程为保护对象，考虑灵活、低成本和通用性的目标，将业务流程抽象成信息流和计算逻辑的组合，搭建工控系统的攻防模拟场景，通过抽象模拟该场景下对攻击机制和防御机制，该方法可以从信息流层面模拟系统的攻防对抗状况，验证系统防御机制和防御策略的有效性，并可检查防御机制对未知漏洞的防御能力。本方法对于推广工控系统的等级保护工作，辅助系统等保方案设计和策略制定有实际意义。

发明内容

本发明获得了一种面向等保环境的轻量级工控流程攻防模拟方法，该方法通过轻量级模拟工控应用流程的信息流来搭建模拟环境，并在攻防两方面进行模拟：对工业控制系统的漏洞根据其影响范围进行建模，并依据建模对攻击者授权来模拟攻击；按照网络安全等级保护制度的要求，针对信息流部署纵深防御机制，设定安全策略来模拟防御，通过应用流程验证攻防对抗的效果，以在模拟环境中完成攻防测试，实现低成本、通用性模拟工控系统攻防对抗的目的。

本发明采用了如下的技术方案及实现步骤：

一种面向等保环境的轻量级工控流程攻防模拟方法

基于已有的网络攻防知识，通过轻量级模拟方法，尝试对系统安全状况及安全防护方案的效果进行推断。通过搭建一个模拟真实工控应用场景的环境，将漏洞和安全防护机制引入模拟环境中，利用对攻击者授权模拟攻击行为，映射真实工控系统中的攻击和防御，通过应用流程验证攻防对抗的效果，以在模拟环境中完成攻防测试。

其特征在于包括以下步骤：

(1)设计用于工控系统攻防对抗模拟的应用场景：

利用Cube框架实现对真实工控应用场景的模拟。将场景中的应用流程作为分析对象，抽象出节点安全属性，通过模拟工控应用流程的信息流来搭建模拟环境。

应用流程选取和分解：在要模拟的工控系统应用场景中选取一个具体的应用流程，将这一应用流程作为分析对象分解为多个子流程，在Cube架构中建立一组实例，每个实例对应一个子流程。

子流程模块化实现：在每个实例中，将子流程进一步分解为子流程片段，分别用不同的模块和模块组合来实现流程片段。

应用流程的消息路由配置：设置消息路由，将实例中模块所模拟的子流程片段连接在一起形成子流程，再将实例所模拟的子流程连接在一起形成应用流程。

设计输入消息并进行测试：设计符合应用流程的输入消息，在应用流程的消息输入模块中输入，以确保其与应用流程预期一致。

(2)设计用于将要模拟的具体漏洞引入应用场景中的方法：

①工控系统中的漏洞包括已知漏洞和未知漏洞，对漏洞的相关信息包括漏洞的原理、分类、总体趋势、主要的利用位置、和引发的威胁以及工控系统的几大类攻击方式、攻击影响范围和漏洞利用情况等进行多维度的分析，对漏洞和攻击进行描述；

已知漏洞库：对于已知漏洞可以依据CVE漏洞库中收录的工控系统的漏洞信息来建立已知漏洞库。

未知漏洞库：通过对一些工控系统进行分析来建立未知漏洞库，比如：某个系统可能在程序或者内核存在某种漏洞，对这种漏洞的形成原因、利用方法、影响范围等进行分析和描述，将这些信息加入未知漏洞库中。

②用于建立工控漏洞库的漏洞分析模型：

采用在Cube实例中开放区域节点权限的方式来模拟漏洞，所以工控系统的漏洞分析策略是通过漏洞的影响范围和在节点上开放权限的二元组来描述漏洞。漏洞分析模型的符号表示为：

P＝{<R,A>} (1)

漏洞P由它的影响范围和开放权限，即二元组<R,A>进行描述，其中R＝{R1,R2,R3…Rn}代表系统划分区域的集合，A＝{A1,A2,A3…An}代表节点开放权限的集合，上述集合中n≥0。

由于攻击手段多种多样，利用同一种漏洞的不同攻击方式，最后的影响范围也各不相同。某种漏洞可能需要开放多种权限才能模拟，且影响范围可能涉及工控系统中的很多区域。比如：漏洞P存在于在区域R1、R2中，需要权限A1、A2，则漏洞P＝{<(R1UR2),(A1UA2)>}。

③将要模拟的具体漏洞引入应用场景中的方法：

根据我们要模拟的具体漏洞P，对比公式(1)建立的工控漏洞库，锁定漏洞的影响范围R和开放权限A，通过开放区域节点权限的方式来模拟漏洞，将漏洞P引入模拟环境中。攻击者利用模拟环境中引入的漏洞P对系统发起攻击，进行攻击模拟。

(3)设计用于工控系统防御模拟的安全防护机制：

防御模拟主要模拟等保制度要求的访问控制、可信计算和密码保护等防御机制，并通过一个安全管理中心对这些防御机制进行统一管理，安全管理中心的管理方式为采集各防御机制的审计信息进行分析，并向各防御机制下发策略。防御机制接入业务流程的方法与攻击机制类似，也是采取复制和拦截等措施以在模拟业务流程的消息路由中加入安全机制。下面分别描述不同安全机制的模拟方法：

①密码机制

模拟数据加密机制时，在加密信道两端添加切面路由拦截消息，在加密端加密拦截的消息，在解密端解密被加密消息，加解密端通过另行定义的密钥管理机制和密钥管理消息路由实现密钥交换。这样，加密信道中的攻击者将无法窃听信息。模拟数据签名验证机制时实现方法类似。

②访问控制机制

模拟访问控制机制时，在系统脆弱性的位置复制和拦截传输的消息。复制消息转发给监控模块，通过监控模块分析信息以模拟对系统的监控行为。拦截消息后，可根据监控结果对消息内容进行标记，标记该消息内容的属性(客体属性)和该消息操作者的属性(主体属性)，访问控制机制则根据安全标记和访问控制策略实现访问控制操作，其中消息的扩展项为消息提供安全标记的添加，安全标记和访问控制策略通过切面路由接入到实例的消息路由中。

③可信度量机制

模拟可信度量机制时，在每个实例处添加切面路由拦截消息，获取消息中主体和客体信息，并与历史记录汇总分析，进行可信度量，可信度量后可依据度量结果进行访问控制或审计操作。

(4)业务流程和攻防模拟准备好后，攻击方和防御方即可入场进行攻防对抗演练。演练时，双方选择合适位置部署攻击点和防御机制，编程实现攻击点和防御机制的攻防逻辑，通过配置攻防的消息路由，实现攻击和防御的执行流程，并在部署了攻防机制的环境中模拟业务流程，观察攻防对抗效果。此后双方可以修改攻防方案，进行下一轮攻防推演。

本发明的创造性主要体现在：

(1)本发明以解决工业控制系统信息安全问题、提高安全防护能力为目标。采用模拟工业控制系统攻防对抗的方法实现了攻击机制和防御机制的抽象模拟，通过攻防推演来判断系统的安全状况。可以从信息流层面模拟系统的攻防对抗状况，推演系统面临的现实的安全威胁和防护效果。

(2)本发明针对等级保护对网络系统安全防御的要求，通过轻量级的方式用少量计算机资源、可以低成本模拟多种应用场景，分析应用的安全性并尝试不同安全保障改进方案的效果，且具备通用、灵活等优势。

(3)基于本发明，可以进行多种预设条件下的安全可信体系化攻防对抗，通过对抗来评测系统的防御能力，寻找更佳的防御方法。

附图说明

图1是本发明工控应用流程模拟过程图

图2是本发明工控系统的漏洞分析流程图

图3是本发明工控系统纵深防御体系结构图

图4是本发明业务流程节点状态图

图5是本发明攻击机制节点状态图

图6是本发明工控系统攻防演练节点状态结果图

具体实施方式

本发明获得了一种面向等保环境的轻量级工控流程攻防模拟方法，该方法通过模拟工控应用流程的信息流来搭建模拟环境，并在攻防两方面进行模拟：对工业控制系统的漏洞根据其影响范围进行建模，并依据建模对攻击者授权来模拟攻击；按照网络安全等级保护制度的要求，针对信息流部署纵深防御机制，设定安全策略来模拟防御，通过应用流程验证攻防对抗的效果，以在模拟环境中完成攻防测试，实现低成本、通用性模拟工控系统攻防对抗的目的。

本发明采用了如下的技术方案及实现步骤：

(1)设计用于工控系统攻防对抗模拟的应用场景：

利用Cube框架实现对真实工控应用场景的模拟。将场景中的应用流程作为分析对象，抽象出节点安全属性，通过模拟工控应用流程的信息流来搭建模拟环境。工控应用流程的模拟过程如图1。

应用流程选取和分解：在要模拟的工控系统应用场景中选取一个具体的应用流程，将这一应用流程作为分析对象分解为多个子流程，在Cube架构中建立一组实例，每个实例对应一个子流程。

子流程模块化实现：在每个实例中，将子流程进一步分解为子流程片段，分别用不同的模块和模块组合来实现流程片段。

应用流程的消息路由配置：设置消息路由，将实例中模块所模拟的子流程片段连接在一起形成子流程，再将实例所模拟的子流程连接在一起形成应用流程。

设计输入消息并进行测试：设计符合应用流程的输入消息，在应用流程的消息输入模块中输入，以确保其与应用流程预期一致。

(2)设计用于将要模拟的具体漏洞引入应用场景中的方法：

①工控系统中的漏洞包括已知漏洞和未知漏洞，对漏洞的相关信息包括漏洞的原理、分类、总体趋势、主要的利用位置、和引发的威胁以及工控系统的几大类攻击方式、攻击影响范围和漏洞利用情况等进行多维度的分析，对漏洞和攻击进行描述；

已知漏洞库：对于已知漏洞可以依据CVE漏洞库中收录的工控系统的漏洞信息来建立已知漏洞库。

未知漏洞库：通过对一些工控系统进行分析来建立未知漏洞库，比如：某个系统可能在程序或者内核存在某种漏洞，对这种漏洞的形成原因、利用方法、影响范围等进行分析和描述，将这些信息加入未知漏洞库中。

②用于建立工控漏洞库的漏洞分析模型：

采用在Cube实例中开放区域节点权限的方式来模拟漏洞，所以工控系统的漏洞分析策略是通过漏洞的影响范围和在节点上开放权限的二元组来描述漏洞。漏洞分析模型的符号表示为：

P＝{<R,A>} (1)

漏洞P由它的影响范围和开放权限，即二元组<R,A>进行描述，其中R＝{R1,R2,R3…Rn}代表系统划分区域的集合，A＝{A1,A2,A3…An}代表节点开放权限的集合，上述集合中n≥0。

由于攻击手段多种多样，利用同一种漏洞的不同攻击方式，最后的影响范围也各不相同。某种漏洞可能需要开放多种权限才能模拟，且影响范围可能涉及工控系统中的很多区域。比如：漏洞P存在于在区域R1、R2中，需要权限A1、A2，则漏洞P＝{<(R1UR2),(A1UA2)>}。

③将要模拟的具体漏洞引入应用场景中的方法：

根据我们要模拟的具体漏洞P，对比公式(1)建立的工控漏洞库，锁定漏洞的影响范围R和开放权限A，通过开放区域节点权限的方式来模拟漏洞，将漏洞P引入模拟环境中。攻击者利用模拟环境中引入的漏洞P对系统发起攻击，进行攻击模拟。图2给出了工控系统的漏洞分析流程。

(3)设计用于工控系统防御模拟的安全防护机制：

防御模拟主要模拟等保制度要求的访问控制、可信计算和密码保护等防御机制，并通过一个安全管理中心对这些防御机制进行统一管理，安全管理中心的管理方式为采集各防御机制的审计信息进行分析，并向各防御机制下发策略。防御机制接入业务流程的方法与攻击机制类似，也是采取复制和拦截等措施以在模拟业务流程的消息路由中加入安全机制。纵深防御体系如图3。

①密码机制

模拟数据加密机制时，在加密信道两端添加切面路由拦截消息，在加密端加密拦截的消息，在解密端解密被加密消息，加解密端通过另行定义的密钥管理机制和密钥管理消息路由实现密钥交换。这样，加密信道中的攻击者将无法窃听信息。模拟数据签名验证机制时实现方法类似。

②访问控制机制

模拟访问控制机制时，在系统脆弱性的位置复制和拦截传输的消息。复制消息转发给监控模块，通过监控模块分析信息以模拟对系统的监控行为。拦截消息后，可根据监控结果对消息内容进行标记，标记该消息内容的属性(客体属性)和该消息操作者的属性(主体属性)，访问控制机制则根据安全标记和访问控制策略实现访问控制操作，其中消息的扩展项为消息提供安全标记的添加，安全标记和访问控制策略通过切面路由接入到实例的消息路由中。

③可信度量机制

模拟可信度量机制时，在每个实例处添加切面路由拦截消息，获取消息中主体和客体信息，并与历史记录汇总分析，进行可信度量，可信度量后可依据度量结果进行访问控制或审计操作。

(4)在搭建的工控应用场景正常的业务流程中，在节点上部署攻击机制，观察节点状态、；之后部署防御机制；在攻防模拟准备好后，攻击方和防御方即可入场进行攻防对抗演练。演练时，双方选择合适位置部署攻击点和防御机制，编程实现攻击点和防御机制的攻防逻辑，通过配置攻防的消息路由，实现攻击和防御的执行流程，并在部署了攻防机制的环境中模拟业务流程，观察攻防对抗效果。此后双方可以修改攻防方案，进行下一轮攻防推演。

图4为工控系统业务流程正常进行时，加入攻击机制，各个节点的状态图，可以发现系统流程上的节点受到影响，有4个节点处于非正常状态，共设置了30个节点(其中，实心圆代表状态正常的节点，X代表被攻击成功的节点，空心圆代表防御机制成功阻止攻击的节点)。图5为未设置防御机制时的持续攻击结果图，非正常状态的节点为21个。图6为加入防御机制后有6个节点处于非正常状态，可以发现节点部署上防御机制后对攻击有了明显的抵御，保护了业务流程。反复推演攻防流程，结果证明了该方法的有效性，而模拟环境的部署使用了较少的计算机节点，可以根据不同的工控应用场景部署不同的模拟环境，且采用轻量级架构，实现了成本低和通用性的目的。

Claims (1)

1.一种面向等保环境的轻量级工控流程攻防模拟方法，其特征在于包括以下步骤：

(1)设计用于工控系统攻防对抗模拟的应用场景：

利用Cube框架对真实工控应用场景的模拟；将场景中的应用流程作为分析对象，抽象出节点安全属性，通过模拟工控应用流程的信息流来搭建模拟环境；

应用流程选取和分解：在要模拟的工控系统应用场景中选取一个具体的应用流程，将这一应用流程作为分析对象分解为多个子流程，在Cube架构中建立一组实例，每个实例对应一个子流程；

子流程模块化实现：在每个实例中，将子流程进一步分解为子流程片段，分别用不同的模块和模块组合来实现流程片段；

应用流程的消息路由配置：设置消息路由，将实例中模块所模拟的子流程片段连接在一起形成子流程，再将实例所模拟的子流程连接在一起形成应用流程；

设计输入消息并进行测试；

(2)设计用于将要模拟的具体漏洞引入应用场景中的方法：

①工控系统中的漏洞包括已知漏洞和未知漏洞，对漏洞的相关信息包括漏洞的原理、分类、总体趋势、主要的利用位置、和引发的威胁以及工控系统的几大类攻击方式、攻击影响范围和漏洞利用情况进行多维度的分析，对漏洞和攻击进行描述；

已知漏洞库：对于已知漏洞可以依据CVE漏洞库中收录的工控系统的漏洞信息来建立已知漏洞库；

未知漏洞库：通过对一些工控系统进行分析来建立未知漏洞库，

②用于建立工控漏洞库的漏洞分析模型：

采用在Cube实例中开放区域节点权限的方式来模拟漏洞，所以工控系统的漏洞分析策略是通过漏洞的影响范围和在节点上开放权限的二元组来描述漏洞；漏洞分析模型的符号表示为：

P＝{<R,A>} (1)

漏洞P由它的影响范围和开放权限，即二元组<R,A>进行描述，其中R＝{R1,R2,R3…Rn}代表系统划分区域的集合，A＝{A1,A2,A3…An}代表节点开放权限的集合，上述集合中n≥0；

③将要模拟的具体漏洞引入应用场景中的方法：

根据要模拟的具体漏洞P，对比公式(1)建立的工控漏洞库，锁定漏洞的影响范围R和开放权限A，通过开放区域节点权限的方式来模拟漏洞，将漏洞P引入模拟环境中；攻击者利用模拟环境中引入的漏洞P对系统发起攻击，进行攻击模拟；

(3)设计用于工控系统防御模拟的安全防护机制：

防御模拟模拟等保制度要求的访问控制、可信计算和密码保护，并通过一个安全管理中心对这些防御机制进行统一管理，安全管理中心的管理方式为采集各防御机制的审计信息进行分析，并向各防御机制下发策略；防御机制接入业务流程的方法也是采取复制和拦截以在模拟业务流程的消息路由中加入安全机制；下面分别描述不同安全机制的模拟方法：

①密码机制

模拟数据加密机制时，在加密信道两端添加切面路由拦截消息，在加密端加密拦截的消息，在解密端解密被加密消息，加解密端通过另行定义的密钥管理机制和密钥管理消息路由实现密钥交换；这样，加密信道中的攻击者将无法窃听信息；模拟数据签名验证机制时实现方法类似；

②访问控制机制

模拟访问控制机制时，在系统脆弱性的位置复制和拦截传输的消息；复制消息转发给监控模块，通过监控模块分析信息以模拟对系统的监控行为；拦截消息后，可根据监控结果对消息内容进行标记，标记该消息内容的属性和该消息操作者的属性，访问控制机制则根据安全标记和访问控制策略实现访问控制操作，其中消息的扩展项为消息提供安全标记的添加，安全标记和访问控制策略通过切面路由接入到实例的消息路由中；

③可信度量机制

模拟可信度量机制时，在每个实例处添加切面路由拦截消息，获取消息中主体和客体信息，并与历史记录汇总分析，进行可信度量，可信度量后可依据度量结果进行访问控制或审计操作；

(4)业务流程和攻防模拟准备好后，攻击方和防御方即可入场进行攻防对抗演练；演练时，双方部署攻击点和防御机制，编程实现攻击点和防御机制的攻防逻辑，通过配置攻防的消息路由，实现攻击和防御的执行流程，并在部署了攻防机制的环境中模拟业务流程，观察攻防对抗效果；此后双方可以修改攻防方案，进行下一轮攻防推演。

Images