CN115913786B - 一种工业互联网设备的漏洞验证方法及系统 - Google Patents

Abstract

本发明涉及一种工业互联网设备的漏洞验证方法及系统，涉及网络安全领域，该方法包括：对目标网络设备进行端口扫描，获得目标网络设备的特征参数；所述特征参数包括设备指纹；所述设备指纹为所述目标网络设备的唯一标识；基于所述设备指纹，判断漏洞库中是否存在所述目标网络设备的漏洞脚本；所述漏洞库用于存储各网络设备的漏洞脚本数据；若存在所述目标网络设备的漏洞脚本，则使所述目标网络设备执行所述漏洞脚本，输出漏洞脚本执行结果；所述漏洞脚本执行结果包括是否存在漏洞，若存在漏洞，所述漏洞脚本执行结果还包括漏洞日志、漏洞原因和漏洞取证信息。本发明提高了漏洞验证效率。

Description

一种工业互联网设备的漏洞验证方法及系统

技术领域

本发明涉及网络安全技术领域，特别是涉及一种工业互联网设备的漏洞验证方法及系统。

背景技术

随着工业领域数字化、网络化和智能化的加速发展，工业控制系统风险暴露面持续扩大，工业控制系统信息安全漏洞成为网络安全攻击的众矢之的，被利用风险不断攀升，产业各界高度关注工控安全漏洞管理工作。

中国正处于计算机技术与工业自动化技术相互融合的重要阶段，工业控制系统的安全问题格外重要。目前，工控系统安全状况依然非常脆弱，且受攻击威胁的情况非常严重，因此漏洞的验证十分重要，目前网络设备的漏洞验证存在效率低和适用范围小等问题。

发明内容

本发明的目的是提供一种工业互联网设备的漏洞验证方法及系统，提高了漏洞验证效率。

为实现上述目的，本发明提供了如下方案：

一种工业互联网设备的漏洞验证方法，包括：

对目标网络设备进行端口扫描，获得目标网络设备的特征参数；所述特征参数包括设备指纹；所述设备指纹为所述目标网络设备的唯一标识；

基于所述设备指纹，判断漏洞库中是否存在所述目标网络设备的漏洞脚本；所述漏洞库用于存储各网络设备的漏洞脚本数据；

若存在所述目标网络设备的漏洞脚本，则使所述目标网络设备执行相应的漏洞脚本，输出漏洞脚本执行结果；所述漏洞脚本执行结果包括是否存在漏洞、漏洞日志、漏洞原因和漏洞取证信息。

可选地，所述基于所述设备指纹，判断漏洞库中是否存在所述目标网络设备的漏洞脚本，具体包括：

判断设备画像库是否存在与所述设备指纹匹配的画像信息；所述设备画像库用于存储各网络设备的画像信息；

若存在与所述设备指纹匹配的画像信息，则判断漏洞库中是否存在与所述画像信息匹配的漏洞脚本。

可选地，所述画像信息包括所述设备指纹、设备类型、设备型号、设备协议、设备厂商和设备端口信息。

可选地，所述设备画像库中存储的画像信息为工业控制设备的画像信息，所述工业控制设备包括分布式控制系统的现场控制单元、可编程逻辑控制器以及远程终端单元。

可选地，所述对目标网络设备进行端口扫描，获得目标网络设备的特征参数，具体包括：

采用对工况网络无扰的方式，对目标网络设备进行端口扫描，获得端口对应的协议类型；

根据所述协议类型，向所述目标网络设备的端口发送符合所述协议类型的第一数据包，并接收返回的第二数据包，所述第二数据包包括目标网络设备的特征参数。

可选地，所述对工况网络无扰的方式包括采用nmap进行资产扫描。

可选地，所述漏洞脚本执行结果还包括漏洞修复方案。

本发明公开了一种工业互联网设备的漏洞验证系统，包括：

端口扫描模块，用于对目标网络设备进行端口扫描，获得目标网络设备的特征参数；所述特征参数包括设备指纹；所述设备指纹为所述目标网络设备的唯一标识；

漏洞脚本匹配模块，用于基于所述设备指纹，判断漏洞库中是否存在所述目标网络设备的漏洞脚本；所述漏洞库用于存储各网络设备的漏洞脚本数据；

漏洞脚本验证模块，若所述漏洞脚本匹配模块输出存在所述目标网络设备的漏洞脚本，则用于使所述目标网络设备执行所述漏洞脚本，输出漏洞脚本执行结果；所述漏洞脚本执行结果包括是否存在漏洞，若存在漏洞，所述漏洞脚本执行结果还包括漏洞日志、漏洞原因和漏洞取证信息。

根据本发明提供的具体实施例，本发明公开了以下技术效果：

本发明公开了一种工业互联网设备的漏洞验证方法及系统，对目标网络设备进行端口扫描，获得目标网络设备的设备指纹，基于设备指纹，判断漏洞库中是否存在目标网络设备的漏洞脚本，若存在漏洞脚本，执行漏洞脚本实现目标网络设备的漏洞验证，提高了漏洞验证效率，从而提高了目标网络设备的安全性和稳定性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一种工业互联网设备的漏洞验证方法流程示意图；

图2为本发明一种工业互联网设备的漏洞验证系统结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的目的是提供一种工业互联网设备的漏洞验证方法及系统，提高了漏洞验证效率。

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

实施例1

图1为本发明一种工业互联网设备的漏洞验证方法流程示意图，如图1所示，一种工业互联网设备的漏洞验证方法，包括：

步骤101：对目标网络设备进行端口扫描，获得目标网络设备的特征参数；所述特征参数包括设备指纹；所述设备指纹为所述目标网络设备的唯一标识。

待进行漏洞验证的目标网络设备是未知特征参数的网络设备。

其中，步骤101具体包括：

采用对工况网络无扰的方式，对目标网络设备进行端口扫描，获得端口对应的协议类型。

根据所述协议类型，向所述目标网络设备的端口发送符合所述协议类型的第一数据包，并接收返回的第二数据包，所述第二数据包包括目标网络设备的特征参数。

第一数据包为根据私有协议，发送的数据包就是一段报文，例如：0300001611e00000000100c00109c1024b54c2020300，返回的第二数据包是设备收到这段报文进行的响应的报文。

所述对工况网络无扰的方式包括采用nmap进行资产扫描，实现用户无感知的安全扫描，不影响网络设备的正常工作。

nmap是一个网络连接端扫描软件，用来扫描网上电脑开放的网络连接端。

基于所述设备指纹，执行步骤102。

步骤102：判断漏洞库中是否存在所述目标网络设备的漏洞脚本；所述漏洞库用于存储各网络设备的漏洞脚本数据。

其中，步骤102具体包括：

判断设备画像库是否存在与所述设备指纹匹配的画像信息；所述设备画像库用于存储各网络设备的画像信息。

若存在与所述设备指纹匹配的画像信息，则判断漏洞库中是否存在与所述画像信息匹配的漏洞脚本。

所述画像信息包括所述设备指纹、设备类型、设备型号、设备协议、设备厂商和设备端口信息。

设备画像库中存储的画像信息为工业控制设备的画像信息，所述工业控制设备包括分布式控制系统的现场控制单元、可编程逻辑控制器以及远程终端单元。

本发明基于网络流量特征的被动式识别方法构建设备指纹。从数据源、分类（classification）算法、准确度、健壮性、通用性等几个维度对基于网络流量特征的被动式识别方法构建设备指纹进行介绍。

基于网络流量特征的被动式识别方法提取了5个基础会话特征对特征值进行系数评级。这5个基础会话特征包括：

I.源IP(S-IP)；

II.源端口(S-Port)；

III.目标IP(D-IP)；

IV.目标端口(D-Port)；

V.单位间隔段长度(1s)(SegSize）。

依据这些基础会话特征来算出描述网络流量特征的五个特性系数，分别是：

A.周期性(Periodicity)系数pR；

B.会话耐用性(Communication Durability)系数dR；

C.设备IP端口差异(Device Complexity Gap)系数cR；

D.网络服务访问频度(Network Service Popularity)系数uR；

E.段大小(Segment Size)系数sR。

表1中每行特征值通过方法得到一个结果f值，通过f值计算排行系数，通过评分系数（排行系数）找到端口进一步确定设备信息。根据周期性网络流量特征，设计了跨层响应时间算法（Cross-layer Response Times），该方法通过一个时间片(如一天)内两个同源同向的包间隔时间为基本元素，构成一个样本数据集，对样本集进行人工神经网络（Artificial Neural Network，ANN）算法处理，标识设备和软件。一个设备机械和物理的特性决定着它执行特定操作命令的时间，通过对采集到的时间数据集（样本）通过算法处理生成设备指纹信息。

漏洞脚本库通过网络流量特征的被动分析，比如功能码及操作指令报文通过变异方式生成测试用例，向设备发送测试用例，对设备状态进行监控，当设备状态发生异常记录测试用例报文数据，经过多次测试实验验证测试用例是否达到漏洞脚本的能力，验证通过后生成漏洞脚本记录到漏洞脚本库。

变异方式如下：（1）报文数据帧内容变异；（2）报文周期变异；（3）报文字节数变异；（4）以上3方面的相互组合。

步骤103：若存在所述目标网络设备的漏洞脚本，则使所述目标网络设备执行所述漏洞脚本，输出漏洞脚本执行结果；所述漏洞脚本执行结果包括是否存在漏洞、漏洞日志、漏洞原因、漏洞取证信息和漏洞修复方案。

若漏洞脚本执行存在漏洞，所述漏洞脚本执行结果包括漏洞日志、漏洞原因、漏洞取证信息和漏洞修复方案。若漏洞脚本执行不存在漏洞，则所述漏洞脚本执行结果仅包括不存在漏洞。

本发明提出了一种工业互联网设备漏洞验证方法。通过用户无感知的安全扫描方式，对探测目标进行端口扫描，在设备画像库中查找目标端口所对应的协议类型，确定每一协议类型及所对应的数据包传输规则，向各网络设备的目标端口发送符合该协议类型对应格式的数据包并接收返回的数据包，将返回的数据包与设备画像库中的设备指纹进行比对，识别出网络设备的产品类别、产品名称、设备类型、网卡厂商、产品型号、端口、协议、服务信息；通过漏洞POC（Proof of Concept，概念验证）录入生成的渗透脚本与画像信息进行比对，匹配出漏洞验证脚本进行验证，提高工业互联网漏洞验证的准确性和稳定性以及安全性。

POC用于漏洞的验证，并无较强的攻击效果，并不会给服务器造成损害与资产泄露。

实施例2

Step1，创建设备画像库。

工业互联网会部署很多工业控制设备，工业控制设备是工业生产过程中用于控制执行器以及采集传感器数据的装置，包括分布式控制系统（DCS）的现场控制单元、可编程逻辑控制器（PLC）以及远程终端单元（RTU）等进行生产过程控制的单元设备。

通过录入各个工业控制设备的画像信息创建设备画像库。

设备画像库包括多个端口，以及与各端口对应的协议类型、设备指纹、设备类型、设备品牌和设备型号。

针对待探测的目标端口，在设备画像库中查找该目标端口所对应的协议类型；针对确定的每一协议类型及其对应的数据包传输规则，向各工业控制设备的该目标端口发送符合该协议类型对应格式的数据包，并接收返回的数据包；将返回的数据包与设备画像库中的设备指纹进行比对，识别出网络设备的设备类型、设备品牌和设备型号，向设备画像库录入完画像信息，画像信息包括设备类型、协议类型、设备名称、设备厂商、设备型号、设备端口和设备指纹，进入Step2。

Step2，创建漏洞库。

漏洞库中漏洞脚本为针对画像信息中设备类型、协议类型、设备名称、设备厂商、设备型号、设备端口生成的漏洞脚本信息，通过输入协议类型、填写IP、端口、报文信息，设置漏洞关键字进行验证，验证通过后，保存脚本信息（此处是服务端向填写的IP、端口发送填入的报文信息，通过响应的报文是否包含设置的漏洞关键字进行验证，验证通过说明可生成漏洞脚本；漏洞脚本信息包括端口、填入的报文及漏洞关键字的报文，在Step7中会根据画像信息进行匹配漏洞脚本）。设置好漏洞库后，进入Step3。

通过设备画像库的漏洞库的创建，扩大了漏洞验证的适用范围。

Step3，创建任务。创建的任务为包括一个或者多个漏洞验证任务，例如，任务1扫描的是192.168.1.2资产，任务2扫描的是192.168.1.0/24的网段，填写任务名称和任务描述信息，进入任务执行也就是Step4。

Step4，通过填写的网段/IP、可选择进行全端口扫描、快速扫描、自定义端口扫描3种对工控网络无扰的方式进行资产扫描（资产实际就是IP地址或者网段）。实时更新资产数量、IP存活数量、端口数量、服务数量、通过设备指纹信息可以准确扫描出厂商、产品型号、资产类型等信息。扫描完成后，进入Step5。

Step5，资产的IP和端口通过设备指纹中指纹特征进行验证，进入Step6。

Step6，通过设备指纹验证检测到资产画像信息，进入到Step7；未通过指纹验证识别为未知资产，跳过Step7，8，9，10直接结束。

Step7，通过画像信息与漏洞库中漏洞脚本进行匹配（画像信息和漏洞脚本都具有设备类型、协议类型、设备名称、设备厂商、设备型号、设备端口和设备指纹，通过资产扫描指纹识别到画像信息，再与漏洞脚本的设备类型、协议类型、设备名称、设备厂商、设备型号、设备端口和设备指纹进行匹配），匹配成功进入Step8；未匹配成功，跳过Step8，9，10直接结束。

全部特征参数均匹配，为匹配成功，若存在一个特征参数不匹配，则未匹配成功。

Step8，从漏洞库中获取目标网络设备的漏洞脚本。

作为具体实施方式，还可以基于Factorization Machine（FM）算法获取目标网络设备的漏洞脚本。

基于FM算法通过漏洞的二阶特征限定参数矩阵，参数矩阵为正定矩阵，通过特征提取和推理获取到漏洞脚本，可以检测出漏洞脚本列表，所有符合画像信息的漏洞脚本都会检测出来以列表形式展示进行漏洞测试。进入Step9。

Step9，执行目标网络设备的漏洞脚本，进行漏洞结果展示，进入到Step10。

Step10，通过VVPS模型对目标网络设备进行漏洞验证。漏洞脚本通过VVPS模型规则根据验证方法生成统一的输入、输出格式。

VVPS模型用于根据协议类型，脚本类型、漏洞脚本通过参数（IP、端口）按照统一输入格式重新生成可调用的脚本，生成统一的输出格式包括漏洞详细描述、漏洞日志记录、漏洞溯源、漏洞取证信息。通过VVPS模型可以提高漏洞脚本执行的效率。

VVPS模型输出的内容包括是否存在漏洞，存在漏洞的情况会输出漏洞详细描述、漏洞修复方案、漏洞日志、漏洞溯源和漏洞取证信息。通过VVPS模型可以快速、准确、高效的进行漏洞验证。

漏洞详细描述包含在漏洞脚本信息中，存在漏洞就会输出漏洞详细描述，比如通过IP和端口、报文发送后通过结果可以给出远程代码执行，通过账号、密码可检测弱口令漏洞信息。

漏洞修复方案：存在于独立的漏洞修复方案库中，当脚本中检测出漏洞时，根据漏洞的厂商、型号、漏洞类型从漏洞修复方案库中检测出对应的解决修复方案。

漏洞日志：在脚本执行过程中，会记录执行脚本时间、漏洞脚本、参数信息（IP、端口、报文）、发送的内容、发送状态、结果信息、漏洞执行结果、结束时间等，通过记录可以看到漏洞脚本执行的过程。

漏洞溯源：通过漏洞日志和漏洞详细描述可以溯源到漏洞根本问题。

漏洞取证信息：用于将漏洞分类、应用安全类、工控类、服务类、中间件，不同类型下的漏洞会列出来。比如SSH弱口令漏洞，会将IP、端口、存在的弱口令用户名和密码是什么列出来。

本发明通过创建设备画像库生成设备指纹，通过设备指纹可以标识出设备的设备特征或者独特的设备标识，精准识别工业互联网中的设备信息，在线验证工业互联网的漏洞脚本信息，无感知安全扫描对设备进行脚本匹配并对匹配出的脚本进行漏洞验证。本发明结合“设备画像库+安全扫描+漏洞库+渗透脚本”，对设备进行漏洞验证，用来保护设备安全。

实施例3

图2为本发明一种工业互联网设备的漏洞验证系统结构示意图，如图2所示，一种工业互联网设备的漏洞验证系统，包括：

端口扫描模块201，用于对目标网络设备进行端口扫描，获得目标网络设备的特征参数；所述特征参数包括设备指纹；所述设备指纹为所述目标网络设备的唯一标识。

漏洞脚本匹配模块202，用于基于所述设备指纹，判断漏洞库中是否存在所述目标网络设备的漏洞脚本；所述漏洞库用于存储各网络设备的漏洞脚本数据。

漏洞脚本验证模块203，若所述漏洞脚本匹配模块输出存在所述目标网络设备的漏洞脚本，则用于使所述目标网络设备执行所述漏洞脚本，输出漏洞脚本执行结果；所述漏洞脚本执行结果包括是否存在漏洞，若存在漏洞，所述漏洞脚本执行结果还包括漏洞日志、漏洞原因和漏洞取证信息。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的系统而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处。综上所述，本说明书内容不应理解为对本发明的限制。

Claims (6)

1.一种工业互联网设备的漏洞验证方法，其特征在于，包括：

对目标网络设备进行端口扫描，获得目标网络设备的特征参数；所述特征参数包括设备指纹；所述设备指纹为所述目标网络设备的唯一标识；

基于所述设备指纹，判断漏洞库中是否存在所述目标网络设备的漏洞脚本；所述漏洞库用于存储各网络设备的漏洞脚本数据；

若存在所述目标网络设备的漏洞脚本，则使所述目标网络设备执行相应的漏洞脚本，输出漏洞脚本执行结果；所述漏洞脚本执行结果包括是否存在漏洞、漏洞日志、漏洞原因和漏洞取证信息；

所述基于所述设备指纹，判断漏洞库中是否存在所述目标网络设备的漏洞脚本，具体包括：

判断设备画像库是否存在与所述设备指纹匹配的画像信息；所述设备画像库用于存储各网络设备的画像信息；所述画像信息和漏洞脚本都具有设备类型、协议类型、设备名称、设备厂商、设备型号、设备端口和设备指纹；

通过资产扫描设备指纹识别到画像信息，再与漏洞脚本的设备类型、协议类型、设备名称、设备厂商、设备型号、设备端口和设备指纹进行匹配；

若存在与所述设备指纹匹配的画像信息，则判断漏洞库中是否存在与所述画像信息匹配的漏洞脚本；

基于FM算法获取目标网络设备的漏洞脚本：基于FM算法通过漏洞的二阶特征限定参数矩阵，参数矩阵为正定矩阵，通过特征提取和推理获取到漏洞脚本，检测出漏洞脚本列表，所有符合画像信息的漏洞脚本被检测出来以列表形式展示进行漏洞测试。

2.根据权利要求1所述的工业互联网设备的漏洞验证方法，其特征在于，所述设备画像库中存储的画像信息为工业控制设备的画像信息，所述工业控制设备包括分布式控制系统的现场控制单元、可编程逻辑控制器以及远程终端单元。

3.根据权利要求1所述的工业互联网设备的漏洞验证方法，其特征在于，所述对目标网络设备进行端口扫描，获得目标网络设备的特征参数，具体包括：

采用对工况网络无扰的方式，对目标网络设备进行端口扫描，获得端口对应的协议类型；

根据所述协议类型，向所述目标网络设备的端口发送符合所述协议类型的第一数据包，并接收返回的第二数据包，所述第二数据包包括目标网络设备的特征参数。

4.根据权利要求3所述的工业互联网设备的漏洞验证方法，其特征在于，所述对工况网络无扰的方式包括采用nmap进行资产扫描。

5.根据权利要求1所述的工业互联网设备的漏洞验证方法，其特征在于，所述漏洞脚本执行结果还包括漏洞修复方案。

6.一种工业互联网设备的漏洞验证系统，其特征在于，包括：

端口扫描模块，用于对目标网络设备进行端口扫描，获得目标网络设备的特征参数；所述特征参数包括设备指纹；所述设备指纹为所述目标网络设备的唯一标识；

漏洞脚本匹配模块，用于基于所述设备指纹，判断漏洞库中是否存在所述目标网络设备的漏洞脚本；所述漏洞库用于存储各网络设备的漏洞脚本数据；

漏洞脚本验证模块，若所述漏洞脚本匹配模块输出存在所述目标网络设备的漏洞脚本，则用于使所述目标网络设备执行所述漏洞脚本，输出漏洞脚本执行结果；所述漏洞脚本执行结果包括是否存在漏洞，若存在漏洞，所述漏洞脚本执行结果还包括漏洞日志、漏洞原因和漏洞取证信息；

所述基于所述设备指纹，判断漏洞库中是否存在所述目标网络设备的漏洞脚本，具体包括：

判断设备画像库是否存在与所述设备指纹匹配的画像信息；所述设备画像库用于存储各网络设备的画像信息；所述画像信息和漏洞脚本都具有设备类型、协议类型、设备名称、设备厂商、设备型号、设备端口和设备指纹；

通过资产扫描设备指纹识别到画像信息，再与漏洞脚本的设备类型、协议类型、设备名称、设备厂商、设备型号、设备端口和设备指纹进行匹配；

若存在与所述设备指纹匹配的画像信息，则判断漏洞库中是否存在与所述画像信息匹配的漏洞脚本；

基于FM算法获取目标网络设备的漏洞脚本：基于FM算法通过漏洞的二阶特征限定参数矩阵，参数矩阵为正定矩阵，通过特征提取和推理获取到漏洞脚本，检测出漏洞脚本列表，所有符合画像信息的漏洞脚本被检测出来以列表形式展示进行漏洞测试。

Images