CN114254330A - 一种工业网络安全识别方法及系统 - Google Patents

Abstract

本申请提供了一种工业网络安全识别方法及系统，该方法在获取工业控制系统的业务数据和多类网络安全信息的基础上，在预先构建的工业业务规则库中查找与每类网络安全信息和业务数据各自匹配的第一规则，并基于与第一规则对应的关联识别规则，结合多个第一规则，对网络安全问题进行识别，实现在多个第一规则包含网络安全逻辑和工业控制业务逻辑的情况下，结合网络安全逻辑和工业控制业务逻辑，对工业控制系统的网络安全问题进行识别，保证工业控制系统的网络安全问题识别的准确性与针对性。

Description

一种工业网络安全识别方法及系统

技术领域

本申请涉及工业控制技术领域，特别涉及一种工业网络安全识别方法及系统。

背景技术

随着暴露在互联网上的工业控制系统及设备不断增多，工业控制系统的网络安全问题不断涌现。

但是，如何确定工业控制系统的网络安全问题成为问题。

发明内容

本申请提供如下技术方案：

一种工业网络安全识别方法，包括：

获取工业控制系统的业务数据和多类网络安全信息；

从预先构建的工业业务规则库中确定出与每类所述网络安全信息和所述业务数据各自匹配的第一规则，所述第一规则表征网络安全逻辑或工业控制业务逻辑；

在所述工业业务规则库中查找与所述第一规则对应的关联识别规则，并基于所述关联识别规则，结合多个所述第一规则，对所述工业控制系统的网络安全问题进行识别，得到识别结果。

可选的，所述方法还包括：

构建包含所述第一规则的第一节点和包含所述识别结果的第二节点，并构建包含所述网络安全信息及所述第一节点和所述第二节点之间的第一关联关系的安全事件追溯网络。

可选的，所述方法还包括：

确定所述识别结果对应的网络安全问题解决方案。

可选的，所述方法还包括：

将所述识别结果对应的网络安全问题解决方案与所述安全事件追溯网络中包含所述识别结果的第二节点建立关联关系，得到网络安全整体态势全景图。

可选的，所述方法还包括：

基于所述工业控制系统的应用扩展信息，对所述工业业务规则库进行更新。

一种工业网络安全识别系统，包括：

获取模块，用于获取工业控制系统的业务数据和多类网络安全信息；

第一确定模块，用于从预先构建的工业业务规则库中确定出与每类所述网络安全信息和所述业务数据各自匹配的第一规则，所述第一规则表征网络安全逻辑或工业控制业务逻辑；

识别模块，用于在所述工业业务规则库中查找与所述第一规则对应的关联识别规则，并基于所述关联识别规则，结合多个所述第一规则，对所述工业控制系统的网络安全问题进行识别，得到识别结果。

可选的，所述系统还包括：

构建模块，用于构建包含所述第一规则的第一节点和包含所述识别结果的第二节点，并构建包含所述网络安全信息及所述第一节点和所述第二节点之间的第一关联关系的安全事件追溯网络。

可选的，所述系统还包括：

第二确定模块，用于确定所述识别结果对应的网络安全问题解决方案。

可选的，所述系统还包括：

第三确定模块，用于将所述识别结果对应的网络安全问题解决方案与所述安全事件追溯网络中包含所述识别结果的第二节点建立关联关系，得到网络安全整体态势全景图。

可选的，所述系统还包括：

更新模块，用于基于所述工业控制系统的应用扩展信息，对所述工业业务规则库进行更新。

与现有技术相比，本申请的有益效果为：

在本申请中，在获取工业控制系统的业务数据和多类网络安全信息的基础上，在预先构建的工业业务规则库中查找与每类网络安全信息各自匹配的第一规则，并基于与第一规则对应的关联识别规则，结合多个第一规则，对网络安全问题进行识别，实现在多个第一规则包含网络安全逻辑和工业控制业务逻辑的情况下，结合网络安全逻辑和工业控制业务逻辑，对工业控制系统的网络安全问题进行识别，保证工业控制系统的网络安全问题识别的准确性与针对性。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例1提供的一种工业网络安全识别方法的流程图；

图2是本申请实施例2提供的一种工业网络安全识别方法的流程图；

图3是本申请提供的一种安全事件追溯网络中部分信息示意图；

图4是本申请实施例3提供的一种工业网络安全识别方法的流程图；

图5是本申请实施例4提供的一种工业网络安全识别方法的流程图；

图6是本申请实施例5提供的一种工业网络安全识别方法的流程图；

图7是本申请提供的一种工业网络安全识别系统的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

为了解决上述问题，本申请提供了一种工业网络安全识别方法，接下来对本申请提供的工业网络安全识别方法进行介绍。

请参见图1，为本申请实施例1提供的一种工业网络安全识别方法的流程图，该方法可以包括但不局限于以下步骤：

步骤S11、获取工业控制系统的业务数据和多类网络安全信息。

本实施例中，获取工业控制系统的业务数据和多类网络安全信息，可以包括：

接收工业控制系统中多类安全探针装置采集的网络安全信息。其中，网络安全信息可以包括但不局限于：日志数据与告警信息。

多类安全探针装置可以包括但不局限于：IDS(入侵检测设备)、SAS(网络流量审计设备)和支持Windows/Linux操作系统的主机代理软件(agent)。

工业控制系统的业务数据，可以理解为：与工业控制系统的业务相关的数据，例如，控制指令和/或工业控制系统的业务控制的过程数据。

步骤S12、从预先构建的工业业务规则库中确定出与每类所述网络安全信息和所述业务数据各自匹配的第一规则，所述第一规则表征网络安全逻辑或工业控制业务逻辑。

本实施例中，预先构建的工业业务规则库可以包括多条规则及多条规则中全部规则或部分规则对应的关联识别规则，每条规则可以表征网络安全逻辑或工业控制业务逻辑。关联识别规则可以用于结合多条规则，对网络安全问题进行识别。例如，若工业业务规则库中包含5条规则，分别为规则a、b、c、d和e，规则a、b和c对应有关联识别规则A，其中，a假设为网络安全问题识别规则，如可判断是否存在口令爆破，b、c为工业业务逻辑规则，如发现了打开阀门的操作指令，并有某测点的压力值超阈值事件，整体可对前述几个动作进行关联判断。

规则a、c和d对应有关联识别规则B，规则b、c和d对应有关联识别规则C。

从预先构建的工业业务规则库中确定出与每类所述网络安全信息和所述业务数据各自匹配的第一规则，可以包括：

针对每类所述网络安全信息，从预先构建的工业业务规则库中查找与所述网络安全信息匹配的规则，若查找到，则将查找到的规则作为与所述网络安全信息匹配的第一规则。

步骤S13、在所述工业业务规则库中查找与所述第一规则对应的关联识别规则，并基于所述关联识别规则，结合多个所述第一规则，对所述工业控制系统的网络安全问题进行识别，得到识别结果。

可以理解的是，工业业务规则库中每类所述网络安全信息各自匹配有对应的第一规则，在有多类所述网络安全信息的情况下，会确定出多个第一规则。相应地，在所述工业业务规则库中查询与所述第一规则对应的关联识别规则，可以理解为：在所述工业业务规则库中查找与多个所述第一规则对应的关联识别规则。

本实施例中，基于所述关联识别规则，结合多个所述第一规则，对所述工业控制系统的网络安全问题进行识别，得到识别结果，可以包括：

若多个所述第一规则均为网络安全逻辑，则基于所述关联识别规则，结合多个网络安全逻辑，对工业控制系统的网络安全问题进行识别，得到识别结果；

或，若多个所述第一规则均为工业控制业务逻辑，则基于所述关联识别规则，结合多个工业控制业务逻辑，对工业控制系统的网络安全问题进行识别，得到识别结果；

或，若多个所述第一规则中部分为网络安全逻辑，另一部分为工业控制业务逻辑，则基于所述关联识别规则，结合网络安全逻辑和工业控制业务逻辑，对工业控制系统的网络安全问题进行识别，得到识别结果。

在本申请中，在获取工业控制系统的业务数据和多类网络安全信息的基础上，在预先构建的工业业务规则库中查找与每类网络安全信息各自匹配的第一规则，并基于与第一规则对应的关联识别规则，结合多个第一规则，对网络安全问题进行识别，实现在多个第一规则包含网络安全逻辑和工业控制业务逻辑的情况下，结合网络安全逻辑和工业控制业务逻辑，对工业控制系统的网络安全问题进行识别，保证工业控制系统的网络安全问题识别的准确性与针对性。

作为本申请另一可选实施例，参照图2，为本申请实施例1提供的一种工业网络安全识别方法的流程图，本实施例主要是对上述实施例1描述的工业网络安全识别方法的扩展方案，如图2所示，该方法可以包括但并不局限于以下步骤：

步骤S21、获取工业控制系统的业务数据和多类网络安全信息。

步骤S22、从预先构建的工业业务规则库中确定出与每类所述网络安全信息和所述业务数据各自匹配的第一规则，所述第一规则表征网络安全逻辑或工业控制业务逻辑。

步骤S23、在所述工业业务规则库中查找与所述第一规则对应的关联识别规则，并基于所述关联识别规则，结合多个所述第一规则，对所述工业控制系统的网络安全问题进行识别，得到识别结果。

步骤S21-S23的详细过程可以参见实施例1中步骤S11-S13的相关介绍，在此不再赘述。

步骤S24、构建包含所述第一规则的第一节点和包含所述识别结果的第二节点，并构建包含所述网络安全信息及所述第一节点和所述第二节点之间的第一关联关系的安全事件追溯网络。

本实施例中，通过构建包含所述第一规则的第一节点和包含所述识别结果的第二节点，并构建包含所述网络安全信息及所述第一节点和所述第二节点的第一关联关系的安全事件追溯网络，可以基于安全事件追溯网络，对安全事件过程进行追溯。例如，如图3所示，构建包含USB接入行为的第一节点、包含主机命令与控制行为的第一节点、包含信息收集的第一节点、包含漏洞利用/口令爆破的第一节点、包含横向移动的第一节点、包含异常行为的第二节点及包含关键操作的第二节点，并构建包含网络安全信息及第一节点与第二节点之间的第一关联关系的安全事件追溯网络。

作为本申请另一可选实施例，参照图4，为本申请实施例1提供的一种工业网络安全识别方法的流程图，本实施例主要是对上述实施例1描述的工业网络安全识别方法的扩展方案，如图4所示，该方法可以包括但并不局限于以下步骤：

步骤S31、获取工业控制系统的业务数据和多类网络安全信息。

步骤S32、从预先构建的工业业务规则库中确定出与每类所述网络安全信息和所述业务数据各自匹配的第一规则，所述第一规则表征网络安全逻辑或工业控制业务逻辑。

步骤S33、在所述工业业务规则库中查找与所述第一规则对应的关联识别规则，并基于所述关联识别规则，结合多个所述第一规则，对所述工业控制系统的网络安全问题进行识别，得到识别结果。

步骤S31-S33的详细过程可以参见实施例1中步骤S11-S13的相关介绍，在此不再赘述。

步骤S34、确定所述识别结果对应的网络安全问题解决方案。

本实施例中，在对所述工业控制系统的网络安全问题进行识别，得到识别结果后，可以确定识别结果对应的网络安全问题解决方案，保证能及时的解决网络安全问题。

作为本申请另一可选实施例，参照图5，为本申请实施例4提供的一种工业网络安全识别方法的流程图，本实施例主要是对上述实施例2描述的工业网络安全识别方法的扩展方案，如图5所示，该方法可以包括但并不局限于以下步骤：

步骤S41、获取工业控制系统的业务数据和多类网络安全信息；

步骤S42、从预先构建的工业业务规则库中确定出与每类所述网络安全信息和所述业务数据各自匹配的第一规则，所述第一规则表征网络安全逻辑或工业控制业务逻辑；

步骤S43、在所述工业业务规则库中查找与所述第一规则对应的关联识别规则，并基于所述关联识别规则，结合多个所述第一规则，对所述工业控制系统的网络安全问题进行识别，得到识别结果。

步骤S44、构建包含所述第一规则的第一节点和包含所述识别结果的第二节点，并构建包含所述网络安全信息及所述第一节点和所述第二节点之间的第一关联关系的安全事件追溯网络。

步骤S41-S44的详细过程可以参见实施例2中步骤S21-S24的相关介绍，在此不再赘述。

步骤S45、将所述识别结果对应的网络安全问题解决方案与所述安全事件追溯网络中包含所述识别结果的第二节点建立关联关系，得到网络安全整体态势全景图。

本实施例中，将所述识别结果对应的网络安全问题解决方案与所述安全事件追溯网络中包含所述识别结果的第二节点建立关联关系，得到网络安全整体态势全景图，可以保证从网络安全整体态势全景图中可以进行安全事件过程追溯，及获取识别结果对应的网络安全问题解决方案，进一步提高网络安全问题解决的效率及准确性。

作为本申请另一可选实施例，参照图6，为本申请实施例1提供的一种工业网络安全识别方法的流程图，本实施例主要是对上述实施例1描述的工业网络安全识别方法的扩展方案，如图6所示，该方法可以包括但并不局限于以下步骤：

步骤S51、获取工业控制系统的业务数据和多类网络安全信息。

步骤S52、从预先构建的工业业务规则库中确定出与每类所述网络安全信息和所述业务数据各自匹配的第一规则，所述第一规则表征网络安全逻辑或工业控制业务逻辑。

步骤S53、在所述工业业务规则库中查找与所述第一规则对应的关联识别规则，并基于所述关联识别规则，结合多个所述第一规则，对所述工业控制系统的网络安全问题进行识别，得到识别结果。

步骤S51-S53的详细过程可以参见实施例1中步骤S11-S13的相关介绍，在此不再赘述。

步骤S54、基于所述工业控制系统的应用扩展信息，对所述工业业务规则库进行更新。

所述工业控制系统的应用扩展信息，可以包括但不局限于：在工业控制系统中新增加的应用的信息，或，工业控制系统新增加的应用场景的信息。

基于所述工业控制系统的应用扩展信息，对所述工业业务规则库进行更新，可以使工业业务规则库实时地响应客户需求的变化，提高网络安全问题识别的可靠性。

接下来对本申请提供的工业网络安全识别系统进行介绍，下文介绍的工业网络安全识别系统与上文介绍的工业网络安全识别方法可相互对应参照。

请参见图7，工业网络安全识别系统，包括：获取模块100、第一确定模块200和识别模块300。

获取模块100，用于获取工业控制系统的业务数据和多类网络安全信息。

第一确定模块200，用于从预先构建的工业业务规则库中确定出与每类所述网络安全信息和所述业务数据各自匹配的第一规则，所述第一规则表征网络安全逻辑或工业控制业务逻辑。

识别模块300，用于在所述工业业务规则库中查找与所述第一规则对应的关联识别规则，并基于所述关联识别规则，结合多个所述第一规则，对所述工业控制系统的网络安全问题进行识别，得到识别结果。

本实施例中，上述系统还可以包括：

构建模块，用于构建包含所述第一规则的第一节点和包含所述识别结果的第二节点，并构建包含所述网络安全信息及所述第一节点和所述第二节点之间的第一关联关系的安全事件追溯网络。

本实施例中，上述系统还可以包括：

第二确定模块，用于确定所述识别结果对应的网络安全问题解决方案。

本实施例中，上述系统还可以包括：

第三确定模块，用于将所述识别结果对应的网络安全问题解决方案与所述安全事件追溯网络中包含所述识别结果的第二节点建立关联关系，得到网络安全整体态势全景图。

本实施例中，上述系统还可以包括：

更新模块，用于基于所述工业控制系统的应用扩展信息，对所述工业业务规则库进行更新。

需要说明的是，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例或者实施例的某些部分所述的方法。

以上对本申请所提供的一种工业网络安全识别方法及系统进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种工业网络安全识别方法，其特征在于，包括：

获取工业控制系统的业务数据和多类网络安全信息；

从预先构建的工业业务规则库中确定出与每类所述网络安全信息和所述业务数据各自匹配的第一规则，所述第一规则表征网络安全逻辑或工业控制业务逻辑；

在所述工业业务规则库中查找与所述第一规则对应的关联识别规则，并基于所述关联识别规则，结合多个所述第一规则，对所述工业控制系统的网络安全问题进行识别，得到识别结果。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

构建包含所述第一规则的第一节点和包含所述识别结果的第二节点，并构建包含所述网络安全信息及所述第一节点和所述第二节点之间的第一关联关系的安全事件追溯网络。

3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

确定所述识别结果对应的网络安全问题解决方案。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

将所述识别结果对应的网络安全问题解决方案与所述安全事件追溯网络中包含所述识别结果的第二节点建立关联关系，得到网络安全整体态势全景图。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

基于所述工业控制系统的应用扩展信息，对所述工业业务规则库进行更新。

6.一种工业网络安全识别系统，其特征在于，包括：

获取模块，用于获取工业控制系统的业务数据和多类网络安全信息；

第一确定模块，用于从预先构建的工业业务规则库中确定出与每类所述网络安全信息和所述业务数据各自匹配的第一规则，所述第一规则表征网络安全逻辑或工业控制业务逻辑；

识别模块，用于在所述工业业务规则库中查找与所述第一规则对应的关联识别规则，并基于所述关联识别规则，结合多个所述第一规则，对所述工业控制系统的网络安全问题进行识别，得到识别结果。

7.根据权利要求6所述的系统，其特征在于，所述系统还包括：

构建模块，用于构建包含所述第一规则的第一节点和包含所述识别结果的第二节点，并构建包含所述网络安全信息及所述第一节点和所述第二节点之间的第一关联关系的安全事件追溯网络。

8.根据权利要求6或7所述的系统，其特征在于，所述系统还包括：

第二确定模块，用于确定所述识别结果对应的网络安全问题解决方案。

9.根据权利要求8所述的系统，其特征在于，所述系统还包括：

第三确定模块，用于将所述识别结果对应的网络安全问题解决方案与所述安全事件追溯网络中包含所述识别结果的第二节点建立关联关系，得到网络安全整体态势全景图。

10.根据权利要求6所述的系统，其特征在于，所述系统还包括：

更新模块，用于基于所述工业控制系统的应用扩展信息，对所述工业业务规则库进行更新。

Images