WO2019200944A1 - 基于串行通信总线信号分析的工控系统物理入侵攻击检测方法 - Google Patents

基于串行通信总线信号分析的工控系统物理入侵攻击检测方法 Download PDF

Info

Publication number
WO2019200944A1
WO2019200944A1 PCT/CN2018/120178 CN2018120178W WO2019200944A1 WO 2019200944 A1 WO2019200944 A1 WO 2019200944A1 CN 2018120178 W CN2018120178 W CN 2018120178W WO 2019200944 A1 WO2019200944 A1 WO 2019200944A1
Authority
WO
WIPO (PCT)
Prior art keywords
signal
communication bus
detection
serial communication
control system
Prior art date
Application number
PCT/CN2018/120178
Other languages
English (en)
French (fr)
Inventor
刘烃
刘鹏飞
王稼舟
周亚东
Original Assignee
西安交通大学
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 西安交通大学 filed Critical 西安交通大学
Priority to US16/755,163 priority Critical patent/US20200302054A1/en
Publication of WO2019200944A1 publication Critical patent/WO2019200944A1/zh

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/82—Protecting input, output or interconnection devices
    • G06F21/85—Protecting input, output or interconnection devices interconnection devices, e.g. bus-connected or in-line devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G06F13/38—Information transfer, e.g. on bus
    • G06F13/42—Bus transfer protocol, e.g. handshake; Synchronisation
    • G06F13/4282—Bus transfer protocol, e.g. handshake; Synchronisation on a serial bus, e.g. I2C bus, SPI bus
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H04L12/40013—Details regarding a bus controller
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40221—Profibus
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40228—Modbus

Definitions

  • the object of the present invention is to provide a physical intrusion attack detection method for an industrial control system based on serial communication bus signal analysis, which is used for preventing a physical intrusion attack threat that an industrial control system may face, and can effectively solve the serial communication bus network in the industrial control system.
  • the traditional network intrusion prevention method cannot effectively detect the security problem of malicious external devices existing in the system.
  • step S1 the detection signal is set according to the protocol specification of the serial communication bus, and the detection signal is different from all normal communication signals in the digital sequence, and the detection signal can only be monitored by the corresponding communication in the serial communication bus network.
  • the device recognizes and parses, and other devices do not respond to the heartbeat.
  • step S2 is specifically:
  • the corresponding signal is parsed by using the corresponding Modbus protocol, CANBus protocol, P-Net protocol, ProfiBus protocol, WorldFIP protocol, ControlNet protocol, FF protocol or HART protocol to obtain a digital signal sequence.
  • step S3 specifically includes:
  • step S301 Perform consistency detection on the digital signal sequence analyzed in step S2 and the digital sequence of the detection signal, and if the received signal is a detection signal, start detecting the physical intrusion attack of the serial communication bus network of the industrial control system, and perform steps S302; if the received signal is not a detection signal, then no response is made, and the monitoring bus continues to receive the next communication signal;
  • the method further includes the following steps: after receiving the detection signal of the physical intrusion attack, the bus controller alerts the primary station.
  • the present invention utilizes a bus controller in a serial communication bus network of an industrial control system to transmit a detection signal, and then uses a monitoring device deployed in the network to perform sampling, reception, differential comparison analysis, and signal detection on the signal, thereby not increasing the original communication.
  • the cost of retrofitting the equipment will not damage the connection structure of the original communication network.
  • Figure 1 is a network structure diagram of an RS485 communication bus of an industrial control system
  • 2 is an equivalent model diagram of an RS485 communication bus network of an industrial control system
  • FIG. 5 is a diagram showing the detection result of the cross-correlation of the intrusion signal in the difference signal by the monitoring device; wherein FIG. 5( a ) is the detection result of the intrusion, and FIG. 5( b ) is the non-intrusion detection result;
  • An attack scenario of an application example of a physical intrusion attack detection method of an industrial control system based on serial communication bus signal analysis is an attacker in an industrial control system RS485 bus network, where an attacker is physically implanted in the system.
  • an attacker Into the external device, use the device to obtain communication information and forge control commands, endangering system security and stability, and analyzing the following cases.
  • FIG. 1 is a network structure diagram of an RS485 communication bus 1 of an industrial control system, which is mainly composed of a bus controller 2 and various communication devices such as a measurement device 3 and a control device 4, all of which are connected in a daisy-chain structure.
  • a bus controller 2 controls various communication devices such as a measurement device 3 and a control device 4, all of which are connected in a daisy-chain structure.
  • All devices are connected to the live line L, the neutral line N and the ground line E of the power transmission line.
  • the controller has the right to send signals to the bus.
  • the signals in the two signal lines are opposite signals, and the other devices use the difference between the two signals as the receiving signal. And filter or respond to signals according to the protocol and address.
  • Figure 2 is an equivalent model diagram of the RS485 communication bus network of the industrial control system.
  • the controller is equivalent to two synchronous opposite signal sources.
  • the other communication devices are regarded as fixed-value input impedances, and the ends of the transmission lines are also bridged. Eliminate the matching resistance of the reflection.
  • an external device that the attacker accesses in the original system is also considered as the input impedance in the model.
  • the steady state model diagram of the industrial control system RS485 communication bus network is shown in Figure 3.
  • Step S1 The bus controller in the RS485 communication bus network monitors the bus usage state, and when detecting that the bus is in an idle state, sends a detection signal U(t) to the two RS485 signal lines and reverses the detection signal according to the RS485 balanced transmission mode.
  • the processed signal -U(t), the detection signal is a square wave signal with a period of 200 ⁇ s and an amplitude of -5 V to 5 V;
  • Step S2 The monitoring device deployed in the RS485 communication bus network collects signals appearing on the bus. According to the steady state model of FIG. 3, it is assumed that the device at the mth position in the system is a monitoring device, and then the detection is performed at the bus controller. In the case of the signal U(t), the differential signals of the two signal lines collected by the monitoring device are:
  • V diff (m,t) 2( ⁇ m - ⁇ m )U(t)+ ⁇ (t)
  • ⁇ (t) is the sum of ambient noise and measurement noise
  • ⁇ m and ⁇ m are the voltage signal distribution coefficients at the mth monitoring device:
  • the monitoring device will parse the signal according to the RS485 common protocol-ModBus protocol to obtain the corresponding digital signal sequence;
  • V' diff (m,t) 2( ⁇ ' m - ⁇ ' m )U(t)+ ⁇ (t)
  • the monitoring device parses the signal according to the RS485 common protocol-ModBus protocol, and obtains a corresponding digital signal sequence;
  • the result of the differential signal should be:
  • ⁇ (t) 2[( ⁇ m - ⁇ ′ m )-( ⁇ m - ⁇ ′ m )]U(t)
  • ⁇ (t) is the intrusion signal caused by the external device
  • the intrusion signal is detected in the difference signal, it is judged that the RS485 communication bus network has been subjected to a physical intrusion attack and continues to execute S6; if the intrusion signal is not detected in the difference signal, it is determined that the RS485 communication bus network is not subjected to a physical intrusion attack.
  • the monitoring device turns to continue to monitor the state, and ends the process of detecting the physical intrusion attack;
  • Step S6 According to the detection result of the intrusion signal, if the RS485 communication bus network is subjected to a physical intrusion attack, the detection result is reported to the RS485 controller, so that the controller can quickly judge and respond to the physical intrusion attack.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Selective Calling Equipment (AREA)

Abstract

一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法，通过总线控制器主动向通信总线中发送检测信号，监测设备对通信总线进行信号的采样分析后，与设备数据库中存储的标准信号进行差分对比，并利用降噪技术、弱信号检测技术在差异信号中进行入侵信号的检测，根据由物理入侵设备所引起的入侵信号的检测结果，能快速、有效地判断出系统中是否存在外部恶意设备，确定系统是否遭受物理入侵攻击的安全状态，解决了现有利用网络防御方法无法有效检测物理入侵攻击的工控系统串行通信总线网络的安全性技术问题。

Description

基于串行通信总线信号分析的工控系统物理入侵攻击检测方法 技术领域
本发明属于工业控制系统攻击检测技术领域，特别涉及一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法。
背景技术
工业控制系统是应用于电力、工业生产、交通、加工制造等领域的自动化控制系统，该系统主要依靠控制中心对各层级网络中设备的运行状态进行监测，并对现场采集到的物理量测数据进行处理分析，从而维持系统的稳定和安全。随着通信技术的发展和信息网络的融合，各领域间工控系统的级联关系使得其整体变得日益庞大和复杂，在工控系统从集中式控制到分布式控制的转变过程中，虽然提升了系统整体的控制效率和响应速度，但却降低了控制中心对处于底层或边缘的总线级网络的安全监管能力。尤其是对于处于无人监守场所中的工业基础设施，更无法保证设备本身的安全性。
2017年，美国塔尔萨大学的Staggs博士及其团队公布了一种针对风电场的攻击“Windshark”，他们通过撬开风力发电设备的服务器机柜，在其中物理接入了通信设备，从而实现对风电场内部系统的控制和恶意操作，对风电场内的涡轮机和自动化控制器都造成了损坏。从这一案例中可以看出，当前大多数的工业控制系统都无法很好地防护物理式入侵攻击，攻击者甚至可以很轻易的在工控系统终端的串行通信总线网络内物理接入通信设备，利用接入设备篡改通信总线上的通信信号，亦或是伪造恶意指令、数据发送到串行通信总线上，造成串行通信总线网络中设备工作的异常，甚至扰乱系统的稳定运行，这对于工控系统来说是极大地威胁。
在传统的工控系统中，对于常见的网络入侵式攻击，已经有很多安全防御方法的研究， 例如通过网络通信加密算法来保证信息安全，通过流量监测来防止恶意数据注入，通过入侵检测系统来识别恶意攻击行为等，然而上述方法在工控系统的物理入侵攻击面前却很难适用。一方面，工控系统的串行总线通信网络缺乏安全保障，在遭受物理入侵之后没有很有效的方法去检测系统中是否存在外部设备，在通信时又缺乏相应的身份认证机制；另一方面，在串行通信总线网络中，由于工业设备通信的实时性要求，以及设备本身的弱计算能力，串行通信总线协议中很难依靠设计完善的加密算法来保证信息可靠，且这些协议在设计之初都是对外界公开的，攻击者很容易利用这些协议截获信息或是伪造指令。以上两点都说明，工控系统串行通信总线网络存在物理入侵的安全隐患，同时又很难对入侵系统的外接设备进行检测，这将会给工控系统的稳定运行造成极大的不良影响。
发明内容
本发明的目的在于提供一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法，用于防止工控系统可能面临的物理入侵攻击威胁，并能有效解决在工控系统串行通信总线网络中利用传统的网络入侵防御方法不能有效检测系统中存在的恶意外接设备的安全问题。
为了实现上述目的，本发明采用如下技术方案：
基于串行通信总线信号分析的工控系统物理入侵攻击检测方法，包括：通过串行通信总线网络中的总线控制器主动向通信总线中发送检测信号，监测设备对通信总线进行信号的采样分析后，与设备数据库中存储的标准信号进行差分对比，并利用降噪技术、弱信号检测技术在差异信号中进行入侵信号的检测，根据由物理入侵设备所引起的入侵信号的检测结果，有效地判断出系统中是否存在外部恶意设备，确定系统是否遭受物理入侵攻击。
进一步的，具体包括以下步骤：
S1：串行通信总线网络中的总线控制器按照设定的时间周期监听工控系统中串行通信总 线的使用情况：
若通信总线处于空闲状态，则由总线控制器发送一次检测信号；
若通信总线处于数据传输状态，则控制器继续监听等待，直到通信总线处于空闲状态时，由总线控制器发送一次检测信号；
S2：工控系统中部署的监测设备对串行通信总线上所有的通信信号进行采样接收和协议解析；
S3：监测设备对解析后的接收信号进行分析，判断是否开始执行工控系统串行通信总线网络的物理入侵攻击检测；
S4：将接收到的信号数据与监测设备信号数据库中的标准信号数据进行差分对比，得到两个信号之间的差异信号；
S5：对差异信号进行入侵信号检测，若在差异信号中检测出入侵信号，则判断此时工控系统串行通信总线网络中已遭受物理入侵攻击，继续执行S6；若在差异信号中没有检测出入侵信号，则判断此时工控系统串行通信总线网络没有受到物理入侵攻击，监测设备继续监听总线接收下一次通信信号；
S6：根据入侵信号的检测结果，若工控系统串行通信总线网络中遭受物理入侵攻击，则将检测结果上报给串行通信总线网络中的总线控制器，总线控制器对物理入侵攻击作出快速判断和应急响应。
进一步的，步骤S1中，检测信号根据串行通信总线的协议规范设定，并且检测信号在数字序列上有别于所有正常的通信信号，检测信号只能被串行通信总线网络中相应的监测设备进行识别和解析，其他设备不会对检测信号作出响应。
进一步的，步骤S2具体为：
根据工控系统中串行通信总线类型，采用对应的Modbus协议、CANBus协议、P-Net 协议、ProfiBus协议、WorldFIP协议、ControlNet协议、FF协议或HART协议对通信信号进行协议解析，得到数字信号序列。
进一步的，步骤S3具体包括：
S301：将步骤S2所解析得到的数字信号序列与检测信号的数字序列进行一致性检测，若接收到的信号是检测信号，则开始进行工控系统串行通信总线网络物理入侵攻击的检测，执行步骤S302；若接收到的信号不是检测信号，则不作任何响应，继续监听总线接收下一次通信信号；
S302：根据接收信号与检测信号一致的检测结果，继续判断监测设备是否第一次接收到检测信号，若监测设备的信号数据库为空，则将接收到的信号数据存储在本地数据库中，并认为此信号是系统正常情况下的标准信号；若监测设备的信号数据库中已存储有信号数据，则继续执行步骤S4。
进一步的，步骤S5中，入侵信号是由于物理入侵攻击所引起的在总线控制器发送的原有检测信号上增加的确知信号，入侵信号具有与检测信号相同的周期。
进一步的，步骤S5具体包括：
S501：对步骤S4获得的差异信号数据进行降噪处理；
S502：利用弱信号检测技术，对差异信号中可能存在的入侵信号进行检测，根据弱信号检测的结果判断入侵信号是否存在。
进一步的，还包括以下步骤：总线控制器收到物理入侵攻击的检测信号后，向主站报警。
相对于现有技术，本发明具有以下有益效果：
本发明提供的一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法，通过监测设备对串行通信总线信号采样分析后，与设备信号数据库中存储的标准信号进行差分对比，并利用降噪技术、弱信号检测技术在差异信号中进行入侵信号的检测，根据由物理入侵 设备所引起的入侵信号的检测结果，能快速、有效地判断出系统中是否存在外部恶意设备，确定系统是否遭受物理入侵攻击的安全状态，解决了现有利用网络防御方法无法有效检测物理入侵攻击的工控系统串行通信总线网络的安全性技术问题。
此外，本发明利用工控系统串行通信总线网络中的总线控制器发送检测信号，再利用部署在网络中的监测设备对信号进行采样接收、差分对比分析以及信号检测，既不会增加原有通信设备的改造成本，也不会破坏原有通信网络的连接结构。
本发明的检测信号是根据工控系统串行通信总线类型以及协议来设定的，而且检测信号在数字序列上与所有正常的通信信号均不相同，且只有在串行通信总线空闲时发送检测信号，既不会影响通信设备间的正常通信，也不会因为其他设备接收检测信号而作出异常响应导致系统紊乱。
本发明中监测设备在接收到信号后，首先进行接收信号序列与检测信号序列一致性检测，在检测结果不一致情况下继续监听，以及在入侵检测结果中未发现入侵信号后监测设备转为继续监听状态，都可进一步减小工控系统串行通信总线物理入侵攻击的检测时间和资源，提升整体检测方法应用的快速性和高效性。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍。
图1为工控系统RS485通信总线网络结构图；
图2为工控系统RS485通信总线网络的等效模型图；
图3为工控系统RS485通信总线网络的稳态模型图；
图4为监测设备对差异信号数字平均法降噪处理图；其中，图4(a)为带有噪声的差异信号，图4(b)为数字平均处理后的差异信号；
图5为监测设备对差异信号中入侵信号互相关检测结果图；其中，图5(a)为有入侵的检测结果，图5(b)为无入侵的检测结果；
图6为本发明的流程图。
具体实施方式
本发明实施例提供了一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法，解决了现有利用网络防御方法无法有效检测物理入侵攻击的工控系统串行通信总线网络的安全性技术问题。
为使得本发明的发明目的、特征、优点能够更加的明显和易懂，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。本发明实施例提供的一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法的一个应用例的攻击情景，为在工控系统RS485总线网络中，攻击者通过物理入侵方式在系统中植入外接设备，利用该设备获取通信信息并伪造控制指令，危及系统安全和稳定，通过以下案例具体分析。
图1为工控系统RS485通信总线1的网络结构图，该系统主要由总线控制器2和各类通信设备如量测设备3、控制设备4组成，所有设备都以菊花链式的结构挂接在RS485总线之上；所有设备连接电力传输线的火线L、零线N和接地线E。在所有设备中，只有控制器有权限向总线上发送信号，根据RS485平衡发送、差分接收的通信模式，两条信号线中的信号为相反信号，其他设备以两个信号的差值作为接收信号，并根据协议以及地址对信号过滤或响应。
图2为工控系统RS485通信总线网络的等效模型图，在该模型中控制器等效为两个同步的相反信号源，其他通信设备均看作定值输入阻抗，传输线末端还跨接用以消除反射的匹配电阻。当系统遭受攻击者的物理入侵攻击后，攻击者在原系统中接入的一个外接设备也被看作模型中的输入阻抗。为了更好地反应出系统通信稳态情况下的信号波形，工控系统RS485 通信总线网络的稳态模型图如图3所示。
在稳态模型中，传输线也进一步等效为具有定值的稳态阻抗，该稳态阻抗有别于传输线路在瞬态情况下的特性阻抗，因为传输线中的电容电感在稳态情况下不再对信号产生影响，稳态阻抗只与传输线本身的电阻和其长度、粗细、材质等固有参数有关。如图3所示，Z i(i＝1,2,...,n)表示第i个设备的输入阻抗，Z M是消除信号反射的终端匹配电阻，Z r是信号源内阻，而
Figure PCTCN2018120178-appb-000001
表示系统稳态情况下第i个设备到第i+1个设备之间传输线路的等效阻抗，其中当i＝0时视为信号源位置。攻击者通过物理入侵在系统中插入的外接设备的输入阻抗记为Z A。
因此，暂不考虑攻击者在系统中插入的外接设备的情况下，在计算图3稳态模型的系统阻抗时，需要经过以下两个迭代过程：
1)赋初值r 0＝Z r，计算Z M后项阻抗：
Figure PCTCN2018120178-appb-000002
2)用上述迭代结果r n计算Z M前项阻抗：
Figure PCTCN2018120178-appb-000003
Figure PCTCN2018120178-appb-000004
而当攻击者通过物理入侵将一个外接设备接入系统中时，假设外接设备的接入位置位于第k个设备和第k+1个设备之间，那么在上述阻抗迭代计算的过程中，将会发生如下两个变化：
1)计算r k→r k+1时：
Figure PCTCN2018120178-appb-000005
Figure PCTCN2018120178-appb-000006
2)计算r 2n-k→r 2n-k+1时：
Figure PCTCN2018120178-appb-000007
Figure PCTCN2018120178-appb-000008
针对此类攻击情况，结合图3和上述系统阻抗的推导，具体说明本发明中的一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法，其包括以下步骤：
当系统初次使用本发明的物理入侵攻击检测方法时，具体执行过程以及步骤如下：
步骤S1：RS485通信总线网络中的总线控制器监听总线使用状态，当检测到总线处于空闲状态时，向RS485两条信号线发送检测信号U(t)以及根据RS485平衡发送模式对检测信号作相反处理后的信号-U(t)，检测信号是周期为200μs、幅值为-5V～5V的方波信号；
步骤S2：部署在RS485通信总线网络中的监测设备对总线上出现的信号进行采集，根据图3的稳态模型，假设系统中第m个位置的设备是监测设备，那么在总线控制器发出检测信号U(t)的情况下，监测设备所采集到的两条信号线的差分信号为：
V diff(m,t)＝2(ρ m-μ m)U(t)+υ(t)
其中υ(t)是环境噪声和量测噪声的总和，ρ m和μ m是第m个监测设备处的电压信号分配系数：
Figure PCTCN2018120178-appb-000009
Figure PCTCN2018120178-appb-000010
然后监测设备会根据RS485常用协议—ModBus协议对信号进行解析，得到相应的数字信号序列；
步骤S3：监测设备对解析后的信号进行分析处理，具体包括以下步骤：
步骤S301：将收到信号对应的数字序列与检测信号的数字序列进行一致性检测，如果二者不一致，这说明此信号并非用以执行物理入侵攻击检测的检测信号，监测设备继续保持监听状态；如果二者一致，这说明收到检测信号，转为执行步骤S302；
步骤S302：监测设备判断检测信号是否为首次收到，经过对设备本地信号数据库的检测发现，数据库中并无数据，则判断此时的检测信号为系统初始状态下的标准信号，将标准信号的数据存储到信号数据库中，并结束本次物理入侵攻击检测过程。
当系统非初次使用本发明的物理入侵攻击检测方法时，具体执行过程以及步骤如下：
步骤S1：当RS485总线处于空闲状态时，总线控制器向RS485两条信号线发送检测信号U(t)以及根据RS485平衡发送模式对检测信号作相反处理后的信号-U(t)；
步骤S2：监测设备对总线上出现的信号进行采集，根据图3的稳态模型，当攻击者通过物理入侵在系统接入了外部设备后，在相同检测信号的情况下，监测设备所采集到的信号变为：
V′ diff(m,t)＝2(ρ′ m-μ′ m)U(t)+ω(t)
其中ω(t)是环境噪声和量测噪声的总和，ρ′ m和μ′ m变为以下两种情况：
1)若第k+1个设备在第m个设备之前，则：
Figure PCTCN2018120178-appb-000011
Figure PCTCN2018120178-appb-000012
2)若第k个设备在第m个设备之后，则：
ρ′ m＝ρ m
Figure PCTCN2018120178-appb-000013
然后监测设备根据RS485常用协议—ModBus协议对信号进行解析，得到相应的数字信号序列；
步骤S3：监测设备对解析后的信号进行分析处理，具体包括以下步骤：
步骤S301：将收到信号对应的数字序列与检测信号的数字序列进行一致性检测，如果二者不一致，这说明此信号并非用以执行物理入侵攻击检测的检测信号，监测设备继续保持监听状态；如果二者一致，这说明收到检测信号，转为执行步骤S302；
步骤S302：监测设备判断检测信号是否为首次收到，经过对设备本地信号数据库的检测发现，数据库中已经存储有标准信号，则继续执行物理入侵攻击检测过程，转为执行步骤S4；
步骤S4：将接收到的检测信号数据与监测设备信号数据库中的标准信号数据进行差分对比，得到两个信号之间的差异信号；
若系统并未受到攻击者的物理入侵攻击，即无外接设备，那么差分信号的结果应为：
ΔV diff(m,t)＝υ(t)-ω(t)
若系统遭受攻击者的物理入侵攻击，系统中存在外接设备，那么差分信号的结果应为：
ΔV diff(m,t)＝δ(t)+υ(t)-ω(t)
δ(t)＝2[(ρ m-ρ′ m)-(μ m-μ′ m)]U(t)
其中δ(t)就是由于外接设备所引起的入侵信号；
步骤S5：对差异信号进行入侵信号检测，其检测方法与步骤具体包括：
步骤S501：对差异信号数据进行降噪处理；在本实施例中采用数字平均法提高差异信号的信噪比，并利用MATLAB软件对监测设备上的差异信号降噪处理进行了仿真，图4为差异信号数字平均法降噪处理图，从图中可以看出，数字平均法可以有效降低环境噪声、量测噪声对差异信号的影响；
步骤S502：对入侵信号的存在进行检测；在本实施例中的检测方法使用了互相关检测技术，并利用MATALB软件对监测设备上的差异信号进行了入侵检测的仿真，图5为入侵信号互相关检测结果图，从图中可以看出，利用互相关检测技术可以明显区分入侵信号的有无，从而为系统的物理入侵攻击作出判断；
若在差异信号中检测出入侵信号，则判断RS485通信总线网络中已遭受物理入侵攻击，继续执行S6；若在差异信号中没有检测出入侵信号，则判断RS485通信总线网络没有受到物理入侵攻击，监测设备转为继续监听状态，并结束本次物理入侵攻击检测的过程；
步骤S6：根据入侵信号的检测结果，若RS485通信总线网络中遭受物理入侵攻击，则将检测结果上报给RS485控制器，以便于控制器对物理入侵攻击作出快速判断和应急响应。
由以上叙述可得，利用本发明提出的物理入侵攻击检测方法，可以在RS485通信总线网络中快速而准确的判别系统中是否存在外接设备，确定系统遭受物理入侵攻击。

Claims (8)

  1. 一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法，其特征在于，包括：通过串行通信总线网络中的总线控制器主动向通信总线中发送检测信号，监测设备对通信总线进行信号的采样分析后，与设备数据库中存储的标准信号进行差分对比，并利用降噪技术、弱信号检测技术在差异信号中进行入侵信号的检测，根据由物理入侵设备所引起的入侵信号的检测结果，有效地判断出系统中是否存在外部恶意设备，确定系统是否遭受物理入侵攻击。
  2. 根据权利要求1所述的一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法，其特征在于，具体包括以下步骤：
    S1：串行通信总线网络中的总线控制器按照设定的时间周期监听工控系统中串行通信总线的使用情况：
    若通信总线处于空闲状态，则由总线控制器发送一次检测信号；
    若通信总线处于数据传输状态，则控制器继续监听等待，直到通信总线处于空闲状态时，由总线控制器发送一次检测信号；
    S2：工控系统中部署的监测设备对串行通信总线上所有的通信信号进行采样接收和协议解析；
    S3：监测设备对解析后的接收信号进行分析，判断是否开始执行工控系统串行通信总线网络的物理入侵攻击检测；
    S4：将接收到的信号数据与监测设备信号数据库中的标准信号数据进行差分对比，得到两个信号之间的差异信号；
    S5：对差异信号进行入侵信号检测，若在差异信号中检测出入侵信号，则判断此时工控系统串行通信总线网络中已遭受物理入侵攻击，继续执行S6；若在差异信号中没有检测出入侵信号，则判断此时工控系统串行通信总线网络没有受到物理入侵攻击，监测设备继续监听 总线接收下一次通信信号；
    S6：根据入侵信号的检测结果，若工控系统串行通信总线网络中遭受物理入侵攻击，则将检测结果上报给串行通信总线网络中的总线控制器，总线控制器对物理入侵攻击作出快速判断和应急响应。
  3. 根据权利要求1所述的一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法，其特征在于，步骤S1中，检测信号根据串行通信总线的协议规范设定，并且检测信号在数字序列上有别于所有正常的通信信号，检测信号只能被串行通信总线网络中相应的监测设备进行识别和解析，其他设备不会对检测信号作出响应。
  4. 根据权利要求1所述的一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法，其特征在于，步骤S2具体为：
    根据工控系统中串行通信总线类型，采用对应的Modbus协议、CANBus协议、P-Net协议、ProfiBus协议、WorldFIP协议、ControlNet协议、FF协议或HART协议对通信信号进行协议解析，得到数字信号序列。
  5. 根据权利要求1所述的一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法，其特征在于，步骤S3具体包括：
    S301：将步骤S2所解析得到的数字信号序列与检测信号的数字序列进行一致性检测，若接收到的信号是检测信号，则开始进行工控系统串行通信总线网络物理入侵攻击的检测，执行步骤S302；若接收到的信号不是检测信号，则不作任何响应，继续监听总线接收下一次通信信号；
    S302：根据接收信号与检测信号一致的检测结果，继续判断监测设备是否第一次接收到检测信号，若监测设备的信号数据库为空，则将接收到的信号数据存储在本地数据库中，并认为此信号是系统正常情况下的标准信号；若监测设备的信号数据库中已存储有信号数据， 则继续执行步骤S4。
  6. 根据权利要求1所述的一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法，其特征在于，步骤S5中，入侵信号是由于物理入侵攻击所引起的在总线控制器发送的原有检测信号上增加的确知信号，入侵信号具有与检测信号相同的周期。
  7. 根据权利要求1所述的一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法，其特征在于，步骤S5具体包括：
    S501：对步骤S4获得的差异信号数据进行降噪处理；
    S502：利用弱信号检测技术，对差异信号中可能存在的入侵信号进行检测，根据弱信号检测的结果判断入侵信号是否存在。
  8. 根据权利要求1所述的一种基于串行通信总线信号分析的工控系统物理入侵攻击检测方法，其特征在于，还包括以下步骤：总线控制器收到物理入侵攻击的检测信号后，向主站报警。
PCT/CN2018/120178 2018-04-20 2019-01-22 基于串行通信总线信号分析的工控系统物理入侵攻击检测方法 WO2019200944A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US16/755,163 US20200302054A1 (en) 2018-04-20 2019-01-22 Method for detecting physical intrusion attack in industrial control system based on analysis of signals on serial communication bus

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201810361229.6 2018-04-20
CN201810361229.6A CN108520187B (zh) 2018-04-20 2018-04-20 基于串行通信总线信号分析的工控系统物理入侵攻击检测方法

Publications (1)

Publication Number Publication Date
WO2019200944A1 true WO2019200944A1 (zh) 2019-10-24

Family

ID=63428920

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2018/120178 WO2019200944A1 (zh) 2018-04-20 2019-01-22 基于串行通信总线信号分析的工控系统物理入侵攻击检测方法

Country Status (3)

Country Link
US (1) US20200302054A1 (zh)
CN (1) CN108520187B (zh)
WO (1) WO2019200944A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115694846A (zh) * 2021-07-22 2023-02-03 珠海市鸿瑞信息技术股份有限公司 一种基于工业协议的安全检测系统及方法

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108520187B (zh) * 2018-04-20 2020-03-17 西安交通大学 基于串行通信总线信号分析的工控系统物理入侵攻击检测方法
CN110896393B (zh) * 2018-09-13 2023-02-17 北京奇虎科技有限公司 汽车总线的入侵检测方法、装置及计算设备
CN110798484B (zh) * 2019-11-13 2021-10-01 珠海市鸿瑞信息技术股份有限公司 工控协议特征攻击过滤分析系统
WO2021251906A1 (en) * 2020-06-11 2021-12-16 Singapore University Of Technology And Design Method and system for detecting anomaly in a physical process associated with a networked control system
CN111679657A (zh) * 2020-06-23 2020-09-18 中国核动力研究设计院 一种基于工控设备信号的攻击检测方法及系统
CN112181856B (zh) * 2020-11-02 2022-04-22 浙江中控技术股份有限公司 一种加密工控协议测试方法及装置
CN112445745B (zh) * 2021-01-29 2021-05-14 武汉精测电子集团股份有限公司 一种信号长距离传输的装置和方法
CN113746669B (zh) * 2021-08-11 2022-10-25 西安交通大学 一种基于脉冲反射波检测的物理入侵设备定位方法及系统
CN113709118B (zh) * 2021-08-11 2022-10-25 西安交通大学 一种多设备协同发波检验的物理入侵设备定位方法及系统
US11847254B2 (en) * 2022-01-21 2023-12-19 Shift5, Inc. Voltage override device for physical intrusion prevention on a data bus
CN114500056A (zh) * 2022-01-28 2022-05-13 杭州立思辰安科科技有限公司 一种基于ff协议的攻击检测方法
CN115801459A (zh) * 2023-02-03 2023-03-14 北京六方云信息技术有限公司 报文检测方法、装置、系统及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8832783B2 (en) * 2012-09-28 2014-09-09 Intel Corporation System and method for performing secure communications
CN106209870A (zh) * 2016-07-18 2016-12-07 北京科技大学 一种针对分布式工业控制系统的网络入侵检测系统
CN107065838A (zh) * 2017-06-05 2017-08-18 广东顺德西安交通大学研究院 基于指令感知和模型响应分析的工控系统攻击检测方法
CN108520187A (zh) * 2018-04-20 2018-09-11 西安交通大学 基于串行通信总线信号分析的工控系统物理入侵攻击检测方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101334760B (zh) * 2007-06-26 2010-04-07 展讯通信（上海）有限公司 监控总线非法操作的方法、装置及包含该装置的系统
US8494313B2 (en) * 2009-04-06 2013-07-23 Rockstar Consortium Us Lp Monitoring eDC polarization inverse filter coefficients to identify real-time physical intrusion into a core or metro optical network
WO2015066389A1 (en) * 2013-11-01 2015-05-07 Jonas Arnold P Method and security system for network-enabled i/o devices
CN106161084A (zh) * 2016-06-15 2016-11-23 中国电子科技网络信息安全有限公司 一种适用于现场总线网络的信息安全防护装置及方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8832783B2 (en) * 2012-09-28 2014-09-09 Intel Corporation System and method for performing secure communications
CN106209870A (zh) * 2016-07-18 2016-12-07 北京科技大学 一种针对分布式工业控制系统的网络入侵检测系统
CN107065838A (zh) * 2017-06-05 2017-08-18 广东顺德西安交通大学研究院 基于指令感知和模型响应分析的工控系统攻击检测方法
CN108520187A (zh) * 2018-04-20 2018-09-11 西安交通大学 基于串行通信总线信号分析的工控系统物理入侵攻击检测方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115694846A (zh) * 2021-07-22 2023-02-03 珠海市鸿瑞信息技术股份有限公司 一种基于工业协议的安全检测系统及方法
CN115694846B (zh) * 2021-07-22 2023-06-30 珠海市鸿瑞信息技术股份有限公司 一种基于工业协议的安全检测系统及方法

Also Published As

Publication number Publication date
CN108520187B (zh) 2020-03-17
CN108520187A (zh) 2018-09-11
US20200302054A1 (en) 2020-09-24

Similar Documents

Publication Publication Date Title
WO2019200944A1 (zh) 基于串行通信总线信号分析的工控系统物理入侵攻击检测方法
CN109962891B (zh) 监测云安全的方法、装置、设备和计算机存储介质
US11171977B2 (en) Unsupervised spoofing detection from traffic data in mobile networks
EP2725512B1 (en) System and method for malware detection using multi-dimensional feature clustering
CN108931968B (zh) 一种应用于工业控制系统中的网络安全防护系统及其防护方法
US8990938B2 (en) Analyzing response traffic to detect a malicious source
US20110261710A1 (en) Analysis apparatus and method for abnormal network traffic
US20170329314A1 (en) Modbus tcp communication behaviour anomaly detection method based on ocsvm dual-outline model
KR101375813B1 (ko) 디지털 변전소의 실시간 보안감사 및 이상징후 탐지를 위한 능동형 보안 센싱 장치 및 방법
CN111935170A (zh) 一种网络异常流量检测方法、装置及设备
CN110830287B (zh) 一种基于监督学习的物联网环境态势感知方法
WO2016194123A1 (ja) 中継装置、ネットワーク監視システム及びプログラム
CN104734916A (zh) 一种基于tcp协议的高效多级异常流量检测方法
WO2024002160A1 (zh) 数据处理方法、装置、电子设备及存储介质
Zulkifli et al. Live Forensics Method for Analysis Denial of Service (DOS) Attack on Routerboard
US20230076346A1 (en) Two-dimensionality detection method for industrial control system attacks
CN110266680B (zh) 一种基于双重相似性度量的工业通信异常检测方法
CN109743339B (zh) 电力厂站的网络安全监测方法和装置、计算机设备
Kang et al. Whitelists based multiple filtering techniques in SCADA sensor networks
CN113688385B (zh) 轻量级分布式入侵检测方法
CN107104959B (zh) 一种云环境中异常行为检测方法与装置
CN115871754B (zh) 轨道交通控制信号系统、检测方法、装置、设备及介质
CN116880319B (zh) 工业控制系统中的上位机识别方法、系统、终端及介质
CN116820896B (zh) 一种基于物理信号的非侵入式工控终端异常检测方法
Shi et al. An Industrial Control System Situation Awareness Method based on Weighting Algorithm

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18915134

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18915134

Country of ref document: EP

Kind code of ref document: A1

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 20/04/2021)