CN114679334B - 一种基于多模式人工智能的工控安全检测系统 - Google Patents

Abstract

本发明提供了一种基于多模式人工智能的工控安全检测和防御系统。该系统包括模型搭配模块，工控及其数据分析模块，工控模拟系统，蜜罐及其数据分析模块，攻防对抗模块。模型搭配模块提供人工智能模型。工控及其数据分析模块提取数据模式，将数据模式和模拟数据的异常情况反馈给工控模拟系统。工控模拟系统改进以缩小与真实工控系统的差距；在攻防博弈达到纳什均衡后，扩容或改变配置。蜜罐复刻模拟环境并实际部署，其数据分析模块提取启发式策略。攻防对抗模块综合模型搭配模块提供的模型和蜜罐数据分析模块的启发式策略，进行对抗演练以达到纳什均衡。

Description

一种基于多模式人工智能的工控安全检测系统

技术领域

本发明属于工控系统的安全检测和防御领域，尤其涉及多模式人工智能系统在工程实现时所采用的协同进化思想。

背景技术

随着经济数字化和工业信息化程度的不断加深，智能制造和第四次工业革命时代已经悄然来临，世界各国为了抢占智能制造时代的先机，纷纷推出各自的国家战略，意在通过互联网与工控网络的互联互通，进一步提高工业生产效率和服务水平。然而新的技术和方法在带来便捷高效的同时，也引入了新的风险，即将互联网的安全问题带入到工业控制系统中。恶意组织或敌对国家通过对互联网的攻击，渗透到关乎国计民生领域的工业控制系统当中，进而威胁国家安全和社会稳定，所以非常有必要研究面向工业控制系统的安全检测与防御方法。然而，要真正防护好逐渐信息化的工业控制系统，还面临以下几大挑战：

1.随着5G和人工智能时代的来临，接入互联网的工控设备不断增多，人工智能技术与网络攻击的结合使现代化的攻击手段愈加丰富，造成安全边界越来越模糊，后门隐藏于人工智能模型的众多参数和众多网络配置的组合当中。基于目前的安全形势和传统安全方法的局限性，需要更加系统，高效和主动的安全检测和防御方法；

2.工控系统对安全的特殊需要，使互联网经常采用的安全防护手段不能直接迁移到工控安全领域；

3.关于工控系统安全的研究缺乏统一公认的检测平台和评判标准，主要原因如下：一是由于真实的生产数据涉及生产机密，不方便直接获得；二是由于工控系统遵守可用性第一的原则，不能在真实的工控环境中直接进行测试，重新搭建专用的真实测试平台，成本太高；

4.目前主流深度学习模型的训练，要求训练数据正反比例均衡，但由于工控安全领域的特殊性，往往所得训练数据的正反比例非常不均衡。而且通过深度学习所获得的模型，虽然在一定条件下性能优越，却难以解释，不方便生产方结合自身的情况，改进防御策略和继续优化模型。

目前，现有的关于工控系统的安全检测和防御方法，针对上述所讨论的挑战，还没有公认有效的应对方案。

发明内容

本发明的目的是为了解决目前工控安全领域所面临的如下几个问题，如何自动挖掘和防御工控环境中的安全漏洞；如何为生产方提供定制，动态和主动的防御策略，以及适用于实际生产环境的安全建议和参考；如何节约安全策略布置到工控现场的测试成本和提高测试效率；如何在与生产方共同构建安全策略与防御系统时防止机密生产信息的泄露；如何从获取正反比例均衡数据的角度融合深度学习的方法；如何为工控系统安全的研究和演练提供实战场景；能否为得到的安全模型提供一定的解释性；得到的安全策略或模型系统能否扩展用于多个安全模型共同使用的情况。

本发明提供了一种基于多模式人工智能的工控安全检测和防御方法。本方法结合了工控系统安全研究和演练所需的模拟场景的搭建，人工智能中强化学习思想指导下训练出的模型具有可解释性和全面探索性，从攻击者角度进行主动防御的思想和真实工控环境的反馈，构建了模拟环境和攻防双方协同进化的体系和方法，可以全面的应对上述提到的工控安全领域所面临的挑战。

一种基于多模式人工智能的工控安全检测和防御方法，包括模型搭配模块，工控及其数据分析模块，工控模拟系统，蜜罐及其数据分析模块，攻防对抗模块。各子系统和模块之间的关系如附图1所示。

其中所述的工控模拟系统：

构建足够真实的模拟环境的可行性分析。与对互联网行为的模拟不同，工控行为数据的模拟由于数据常常有周期规律，所以相对简单，复杂度低，进而基于环境模拟的强化学习模型训练的复杂度也相对较低。在业务上云的趋势下，在云上完成对环境的模拟和模型的训练是可以实现的。随着硬件性能的不断提升和价格逐渐下降，生产方可以自主建云，这样就把整个安全检测和防御系统的信息流封闭于内部，数据私密性可以得到保证。

通过对以往研究工作的调研，我们发现过去的研究多数集中于对标准生产工艺的模拟和仿真，没有考虑到生产方依据自身的情况，对工艺流程的适当改变和工控系统连接到互联网后的动态攻击态势，导致模拟或仿真出的系统与真实工控场景差距较大，缺少动态性。关于模拟环境构建的问题，我们对真实工控环境和模拟工控环境的数据流特征进行对比分析，表明我们所采取的系统构建策略能够一定程度上弥补以往研究的不足。

构建模拟环境的必要性分析。

工业控制网络由于其正常运作区别于现代互联网，所以即使已经遭受攻击威胁或发现安全隐患且已经有应对措施，然而为了安全生产的考虑，也不会直接部署到工控网络中。那么，可以在模拟环境中进行部署演练，这样即减小了风险，也节约了成本。

参看附图2。如图所示，由于初始模型的构建是参照标准的生产工艺，模拟数据的正常和异常情况分别是真实工控环境数据正常和异常情况的子集。从模拟系统推断真实工控环境运行情况的角度来看，模拟环境的异常数据能够推断真实工控场景的异常数据，即模拟环境的异常可以推断真实工控环境的异常，对于模拟环境的正常数据也是这个道理；然而从真实工控场景的数据情况反推模拟环境的数据情况则并不总是能正确对应的，但这种不一致性我们却可以通过分析背后的成因而尽量减小，从而达到附图2中的两个同心圆的大小逐渐接近。真实工控环境的异常数据在模拟环境中被判定为正常和真实工控环境的正常数据在模拟环境中被判定为异常，主要是由于模拟软件系统自身的编码缺陷和模拟环境缺少生产调整时的动态性。众所周知，软件系统的设计和实现很难一蹴而就，同时生产方的生产计划也是动态变化的，所以本发明中工控模拟系统在设计时，综合考虑了真实工控系统对模拟数据的反馈，对蜜罐记录数据的态势分析和模拟环境中攻防双方的对抗博弈；在运行过程中，不断进行自我迭代和动态调整，在一定程度上将附图2中的两个同心圆的差距缩到最小，即做到工控模拟环境最大限度的贴近真实工控环境。

其中所述的工控及其数据分析模块：

模拟环境的搭建和配置离不开对真实工控环境的参照。真实工控环境不单单要完成生产方的生产计划，同时将生产过程中工控系统内部各部分之间的通信数据进行记录，这些数据通过其搭配的数据分析模块进行分析，来提取实时数据的模式信息，然后发送给工控模拟系统。同时工控系统在生产空余时间，需要定期检测模拟环境生成的数据是否异常，并将异常结果反馈给模拟环境，以改善工控模拟系统的模拟效果。

其中所述的模型搭配模块：

模型搭配模块的主要任务是模型的选取和搭配。随着人工智能的再次兴起，有许多模型可供选择，但模型的选取需要同时考虑模型本身训练方法的限制，如大多数深度学习模型的训练需要正反例数据比例均衡，和模型是否满足通过强化学习方法在模拟环境中进行博弈对抗的要求，如深度学习模型自己是无法在模拟环境中进行探索学习的。除此之外，单纯某一类的学习模型无法满足对抗博弈的需要，模型的组合集成则可以在一定程度解决这个问题。模型搭配模块在整个系统的启动阶段筛选模型，并确定模型之间的潜在组合关系。模型搭配模块将模型送入模拟环境中进行对抗训练，同时采用模拟环境生成的正反比例均衡的数据训练更广泛种类的模型，如深度学习模型。

其中所述的蜜罐及其数据分析模块：

为了分担工控系统实际联网时所遭受的攻击压力，如ddos攻击，记录攻击者的攻击手法，以便实施精准的防御策略，蜜罐的布置就很有必要了。本发明中的蜜罐不必单独设计，可以直接复刻或简化软件模拟系统，这样即节省了搭建成本，又可以按需进行灵活配置。更为重要的是，通过对蜜罐中的数据进行分析而得到的攻防策略，可以使攻防博弈双方在更真实的场景中进行模拟演练，主动为生产方提供面对攻击时的最佳对策，自适应的提升安全防御水平。

其中所述的攻防对抗模块：

人工智能技术在网络攻防中的应用不断增多，5G和大数据时代中信息网络和工控网络的打通，互联网上的设备和信息流量呈爆炸型增长，传统的网络攻防手段难以满足工业领域整体安全水平的要求和为不同生产方定制安全防御策略的需要。而人工智能领域中强化学习的思想表明，模型能够自动的在模拟环境中更全面的学习和提升。本发明的创新点在于，在模拟环境中引入攻防双方进行强化对抗学习。在双方达到纳什均衡前，防御/攻击模型训练时，工控模拟环境规模和配置和攻击/防御模型保持不变。这种在模拟环境中的异步训练策略也相对贴合现实场景中攻防双方的异步行为模式。其次，攻防对抗模块不仅涉及攻防双方的互动，而且在博弈双方达到纳什均衡后，可以根据生产方的扩容或配置需要来改变模拟环境，然后攻防双方可以在更新后的模拟环境中进行新一轮的博弈对抗。

由上面对各个模块和子系统的分别介绍可以看出，本发明所提出的多模式人工智能的工控安全检测和防御方法中的各个组成部分，是相互依赖和共同发挥作用的。各部分之间不是简单的线性流程关系，而是基于反馈和迭代的协同进化关系。并且在各部分相互交互的时候，整个系统可以对系统外的信息进行适当分析处理，即可以结合网络安全人员的安全建议和生产方的生产要求进行灵活调整，以适应复杂多变的外部环境。

一种基于多模式人工智能的工控安全检测和防御方法，包括如下步骤，参考附图3：

步骤1：模型搭配模块在系统启动阶段按照一定要求完成初始工作；

步骤2：工控模拟系统依据标准生产工艺产生标准模拟数据；

步骤3： 攻防对抗模块与模型搭配模块在系统启动阶段，根据攻防博弈情况进行交互协商；

步骤4：工控及其数据分析模块存储和分析工业生产的数据；

步骤5：工控模拟系统依据关于模拟数据的异常反馈，进行修复和数据生成；

步骤6：蜜罐及其数据分析模块复刻或简化工控模拟环境来进行部署，分析流量数据，反馈启发式策略；

步骤7：攻防对抗模块中的博弈双方根据来自工控模拟环境和蜜罐及其数据分析模块的反馈来进行调整，以便开启新一轮的博弈对抗；

步骤8：模型搭配模块通过利用工控模拟系统产生的正反比例均衡的数据，来更加灵活的配置攻防对抗模块中的博弈双方。

附图说明

图1为基于多模式人工智能的工控安全检测和防御系统的架构图；

图2为工控系统模拟数据和真实工控系统数据的差异说明图；

图3为整个系统的搭建及协同进化下的模块交互流程图；

具体实施方式

下面结合附图3对本发明进行进一步描述，所述方法包括如下步骤：

步骤1：模型搭配模块依据强化学习的思想筛选可用的基本模型及构建模型之间的组合关系，为攻防双方搭配博弈对抗的模型。

步骤2：工控模拟系统依据工控生产的标准工艺产生模拟数据和生产设备之间的通信流量数据。

步骤3：首先依据不同人工智能模型的需要，对模拟的工控数据进行相应的预处理。然后攻防对抗模块采用模型搭配模块提供的初始模型进行攻防博弈。当攻防双方能力不均衡时，攻防对抗模块可与模型搭配模块进行协商处理。

步骤4：工控及其数据分析模块在正常生产时存储实时流量数据，并挖掘流量数据的内在模式，将其发送给工控模拟环境中的模式数据生成子模块。同时在不干扰生产方正常生产的情况下，测试工控模拟环境产生的数据的合理性，将异常情况反馈给工控模拟环境中的异常情景修复子模块。

步骤5：工控模拟系统依据真实工控系统对模拟数据的异常反馈，进行异常情景修复，即修复模拟软件系统编码的设计缺陷；依据真实工控系统反馈来的数据内在模式，继续生成模拟数据，以增加模拟工控数据的多样性。工控模拟系统通过接收来自真实工控系统的两种反馈，不断进行迭代改进，以缩小与真实工控系统的差距。

步骤6：蜜罐及其数据分析模块复刻或简化工控模拟环境，然后部署在实际的互联网环境中。经过一段时间的运行后，通过分析经由蜜罐的流量数据，启发式策略被发送给攻防对抗模块以供攻防双方参考。

步骤7：在攻防对抗模块中，博弈对抗双方可以依据工控模拟环境的扩容或配置修改和蜜罐及其数据分析模块得到的启发式策略，进行动态调整，然后开始新一轮的博弈对抗，不断为今后的安全防护提供预见性的参考和指导。

博弈对抗的主要形式：模拟环境的容量和配置不变，在攻击/防御方训练时，防御/攻击方积极防御/攻击但自身策略不变。当对抗双方达到纳什均衡后，根据生产方需要对模拟环境进行扩容或结构调整。

步骤8：在整个系统运行了一段时间后，工控模拟系统可以产生正反比例均衡的数据。模型搭配模块由于有了更多的优质训练数据，可以更加灵活的进行模型的选择，组合和训练。

以上所述，仅为本发明较佳的具体实施方式，这些具体实施方式都是基于本发明整体构思下的不同实现方式，而且本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。

Claims (1)

1.一种基于多模式人工智能的工控安全检测和防御系统，其特征在于通过多个模块或子系统之间的密切配合和协同进化，逐步提高整个系统的安全检测和防御能力，整个系统提供的攻防策略可以根据生产者的规模和需求配置，进行动态的自我调节，且具有一定的可解释性，也为其他具有类似情况的生产方提供借鉴和参考；主要包括，模型搭配模块，工控及其数据分析模块，工控模拟系统，蜜罐及其数据分析模块，攻防对抗模块；

工控模拟系统包含三个功能独立但相互配合的子模块，分别是工艺仿真模块，模式数据生成模块，异常情景修复模块；工艺仿真模块根据工厂生产的标准工艺，仿真工控环境生产过程中各部分的数据流；模式数据生成模块接收对真实工控流量分析挖掘后得到的模式，并结合工艺仿真模块，生成据有可变性的模拟数据，然后定期发送到真实工控环境进行验证，得到的反馈结果交给异常情景修复模块处理，以修复模拟软件系统的bug和提高模拟质量；

工控及其数据分析模块，实时记录正常生产的流量数据的同时，定期分析随着生产方生产规模和产品或工艺的改变而改变的实时数据，挖掘其在不同时期的正常模式和变化模式；定期发送到工控模拟系统中的模式数据生成模块；定期接收模拟环境在其挖掘的模式基础上生成的数据，进行模拟数据异常情况的反馈，以增加模拟环境生成数据的多样性，真实性和稳定性；

蜜罐及其数据分析模块中的蜜罐本身不用单独去设计，其搭建框架可以复刻或简化工控模拟环境中的配置；在工控环境的实际部署时，一方面可以分担对工控系统实际攻击的流量压力，另一方面记录攻击行为；攻击行为经过其数据分析模块得到的启发式策略，发送到在工控模拟环境中进行对抗博弈的双方，以提高攻防双方的水平，同时攻防双方策略的更新，使攻防双方在工控模拟环境中的行为更贴近真实工控系统与互联网连接后的情况，在实际部署前，也可以检验攻防策略的有效性；

模型搭配模块在于初始阶段为工控模拟系统中对抗博弈双方筛选合适的基本模型，构建基本模型之间的组合关系；之后随着工控模拟环境的不断完善，则可以利用其模拟出的源源不断的正反均衡数据去训练更多的人工智能模型，供工控模拟环境中的对抗博弈双方使用，如此循环迭代，进一步提高对抗博弈的水平；

在攻防对抗模块中，攻防博弈双方采纳模型搭配模块筛选和训练的模型，在工控模拟环境中进行对抗博弈模拟；具体博弈过程：防御/攻击模型训练时，工控模拟环境的规模与配置和攻击/防御模型保持不变；在攻防双方达到纳什均衡后，根据生产方的规划，决定是否进行模拟环境扩容和配置改变，以便继续进行下一阶段的博弈对抗；

所述系统执行如下步骤：

(1)模型搭配模块依据强化学习的思想筛选可用的基本模型及构建模型之间的组合关系，为攻防双方搭配博弈对抗的模型；

(2)工控模拟系统依据工控生产的标准工艺产生模拟数据和生产设备之间的通信流量数据；

(3)首先依据不同人工智能模型的需要，对模拟的工控数据进行相应的预处理，然后攻防对抗模块采用模型搭配模块提供的初始模型进行攻防博弈，当攻防双方能力不均衡时，攻防对抗模块可与模型搭配模块进行协商处理；

(4)工控及其数据分析模块在正常生产时存储实时流量数据，并挖掘流量数据的内在模式，将其发送给工控模拟环境中的模式数据生成模块，同时在不干扰生产方正常生产的情况下，测试工控模拟环境产生的数据的合理性，将异常情况反馈给工控模拟环境中的异常情景修复模块；

(5)工控模拟系统依据真实工控系统对模拟数据的异常反馈，进行异常情景修复，即修复模拟软件系统编码的设计缺陷；依据真实工控系统反馈来的数据内在模式，继续生成模拟数据，以增加模拟工控数据的多样性，工控模拟系统通过接收来自真实工控系统的两种反馈，不断进行迭代改进，以缩小与真实工控系统的差距；

(6)蜜罐及其数据分析模块复刻或简化工控模拟环境，然后部署在实际的互联网环境中，经过一段时间的运行后，通过分析经由蜜罐的流量数据，启发式策略被发送给攻防对抗模块以供攻防双方参考；

(7)在攻防对抗模块中，博弈对抗双方可以通过工控模拟环境的配置修改、蜜罐及其数据分析模块输出的启发式策略，进行动态调整，在此基础上开始新一轮的博弈对抗，不断为今后的安全防护提供预见性的参考和指导，博弈对抗的主要形式是，模拟环境的容量和配置不变，在攻击/防御方训练时，防御/攻击方积极防御/攻击但自身策略不变，当对抗双方达到纳什均衡后，根据生产方需要对模拟环境进行扩容或结构调整；

(8)在整个系统运行了一段时间后，工控模拟系统可以产生正反比例均衡的数据，模型搭配模块由于有了更多的优质训练数据，可以更加灵活的进行模型的选择，组合和训练。