WO2021237739A1 - 工业控制系统安全性分析方法、装置和计算机可读介质 - Google Patents

工业控制系统安全性分析方法、装置和计算机可读介质 Download PDF

Info

Publication number
WO2021237739A1
WO2021237739A1 PCT/CN2020/093522 CN2020093522W WO2021237739A1 WO 2021237739 A1 WO2021237739 A1 WO 2021237739A1 CN 2020093522 W CN2020093522 W CN 2020093522W WO 2021237739 A1 WO2021237739 A1 WO 2021237739A1
Authority
WO
WIPO (PCT)
Prior art keywords
industrial control
control system
data packet
communication data
control device
Prior art date
Application number
PCT/CN2020/093522
Other languages
English (en)
French (fr)
Inventor
郭代飞
Original Assignee
西门子（中国）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 西门子（中国）有限公司 filed Critical 西门子（中国）有限公司
Priority to CN202080099457.6A priority Critical patent/CN115428397A/zh
Priority to US17/927,930 priority patent/US11843639B2/en
Priority to EP20937269.7A priority patent/EP4135281A4/en
Priority to PCT/CN2020/093522 priority patent/WO2021237739A1/zh
Publication of WO2021237739A1 publication Critical patent/WO2021237739A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis

Definitions

  • the present invention relates to the field of communication technology, and in particular to an industrial network behavior analysis method, device and computer readable medium.
  • IOT Internet of Things
  • OT Operational Technology
  • the communication data packets transmitted between the control devices in the industrial control system to be analyzed are collected, and then the security analysis of the industrial control system to be analyzed is performed based on the collected communication data packets. Determine whether the industrial control system to be analyzed is at risk of malicious attacks.
  • the security of the industrial control system to be analyzed is analyzed based on the communication data packets collected from the industrial control system to be analyzed, and the security of different industrial control systems in the same OT network is not considered.
  • a malicious attack on an industrial control system may affect the security of another industrial control system located in the same OT network. Therefore, it is impossible to accurately analyze the security of the industrial control system.
  • the safety analysis method, device and computer readable medium of the industrial control system provided by the present invention can analyze the safety of the industrial control system more accurately.
  • an embodiment of the present invention provides an industrial control system safety analysis method including:
  • the threat coefficient of the communication data packet to each of the second industrial control systems is determined, wherein the threat system is used to characterize the communication data packet to the corresponding all Describe the threat level of the second industrial control system.
  • the judging whether the network identifiable information is located in a pre-created event database includes:
  • the identification parameter includes device asset information of the control device that sends and receives the communication data packet, and the Internet Protocol IP address of the control device that sends and receives the communication data packet At least one of the port and protocol used to transmit the communication data packet, application information of the application program that sends and receive the communication data packet, and the identification of the protocol used to transmit the communication data packet;
  • the separately acquiring the security policies of the first industrial control system and each of the second industrial control systems includes:
  • For each of the second industrial control systems obtain the security policy from the firewall between the second industrial control system and the first industrial control system;
  • the security policy is obtained from the firewall of the control device.
  • a third possible implementation manner in combination with the above-mentioned second possible implementation manner, it is determined according to the network identifiable information and each of the security policies that the communication data packet controls each of the second industry
  • the threat factor of the system including:
  • the first probability of the communication data packet passing through the firewall between the second industrial control system and the first industrial control system where the control device is located is determined, wherein:
  • the first security policy is a security policy used by a firewall between the second industrial control system and the first industrial control system where the control device is located;
  • the communication data packet causes the control device to pass through the firewall between the first industrial control system and the second industrial control system where the control device is located.
  • the second probability of a threat where the second security policy is a security policy used by the firewall of the control device;
  • the threat coefficient of the communication data packet to each of the second industrial control systems is determined according to the threat coefficient component of each control device in the second industrial control system.
  • the method further includes:
  • the extracted network identifiable information and each of the security policies determine that there is a target control device in the OT network that is at risk of being attacked by the communication data packet;
  • an optimization suggestion for optimizing at least one acquired security policy is generated according to the network identifiable information.
  • an embodiment of the present invention also provides a safety analysis device for an industrial control system, including:
  • a data collection module for collecting communication data packets from a first industrial control system, where the operational technology OT network includes the first industrial control system and at least one second industrial control system connected to the first industrial control system System, the communication data packet is interactive data transmitted between control devices in the first industrial control system;
  • An information extraction module for extracting network identifiable information from the communication data packets collected by the data collection module, wherein the network identifiable information is used to identify at least one of the communication object, communication rules, and communication content one;
  • a first analysis module configured to determine that the communication data packet is a malicious data packet when the judgment module determines that the network identifiable information is located in the event database;
  • a policy acquisition module configured to acquire the security policies of the first industrial control system and each of the second industrial control systems when the judgment module determines that the network identifiable information is located in the event database, Wherein, the security policy is used to characterize the rules for processing malicious data packets;
  • a second analysis module is used to determine that the communication data packet is for each of the second The threat coefficient of the industrial control system, wherein the threat system is used to characterize the threat degree of the communication data packet to the corresponding second industrial control system.
  • the judgment module includes:
  • a parameter identification unit for acquiring at least one identification parameter included in the network identifiable information, where the identification parameter includes equipment asset information of a control device that sends and receives the communication data packet, and controls for sending and receiving the communication data packet At least one of the Internet Protocol IP address of the device, the port and protocol used to transmit the communication data packet, the application information of the application program that transceives the communication data packet, and the identification of the protocol used to transmit the communication data packet;
  • a parameter search unit for determining whether there is at least one identification parameter acquired by the parameter identification unit in the event database
  • a first judgment unit configured to determine that at least one identification parameter exists in the event database when the parameter search unit determines that the network identifiable information is located in the event database;
  • a second judging unit is configured to determine that no one of the identification parameters exists in the event database when the parameter search unit determines that the network identifiable information is not located in the event database.
  • the strategy acquisition module includes:
  • a first policy obtaining unit configured to obtain the security policy from the firewall between the second industrial control system and the first industrial control system for each of the second industrial control systems;
  • a second policy obtaining unit configured to obtain the security policy from the firewall of the control device for each of the control devices in the first industrial control system
  • a third policy obtaining unit is used to obtain the security policy from the firewall of the control device for each of the control devices in the second industrial control system.
  • the second analysis module includes:
  • a first calculation unit is used to determine where the communication data packet passes through the control device based on the network identifiable information and the first security policy for one of the control devices located in the second industrial control system The first probability of the firewall between the second industrial control system and the first industrial control system, wherein the first security policy is the second industrial control system where the control device is located and the first The security strategy used by the firewall between industrial control systems;
  • a second calculation unit is used to determine that the communication data packet passes through the first The second probability that the firewall between the industrial control system and the second industrial control system where the control device is located poses a threat to the control device, where the second security policy is the security used by the firewall of the control device Strategy;
  • a third calculation unit for one of the control devices located in one of the second industrial control systems, according to the importance weight of the control device and the first probability determined by the first calculation unit And the second probability determined by the second calculation unit to determine the threat coefficient component of the control device, wherein the importance weight is positive to the important coefficient of the control device in the second industrial control system
  • a fourth calculation unit is used to determine the communication according to the threat coefficient component of each control device in the second industrial control system determined by the third calculation unit for each of the second industrial control systems The threat coefficient of the data packet to each of the second industrial control systems.
  • the industry The safety analysis device of the control system further includes:
  • a device screening module is used to determine the existence of the communication data packet in the OT network based on the network identifiable information obtained by the information extraction module and each of the security policies obtained by the strategy obtaining module Target control equipment at risk of attack;
  • a coefficient calculation module configured to respectively determine the threat coefficient of the communication data packet to each of the target control devices determined by the device screening module according to the network identifiable information obtained by the information extraction module;
  • An information sending module configured to send the threat coefficient of each target control device determined by the coefficient calculation module to the administrator
  • a strategy optimization module which is used to generate a check command according to the network identifiable information after receiving a confirmation instruction issued by the administrator according to the threat coefficient of each target control device sent by the information sending module At least one optimization suggestion for optimizing the security policy obtained by the strategy obtaining module.
  • the embodiment of the present invention also provides another industrial control system security analysis device, including: at least one memory and at least one processor;
  • the at least one memory is used to store a machine-readable program
  • the at least one processor is configured to invoke the machine-readable program to execute the foregoing first aspect and the method provided in any possible implementation manner of the first aspect.
  • an embodiment of the present invention also provides a computer-readable medium having computer instructions stored on the computer-readable medium, and when the computer instructions are executed by a processor, the processor executes the first Aspect and the method provided by any possible implementation of the first aspect.
  • the OT network includes at least two industrial control systems. After the communication data packet is collected from the first industrial control system in the OT network, the network identifiable is extracted from the collected communication data packet According to the extracted network identifiable information and the pre-created event database, it is determined whether the collected communication data packet is a malicious data packet. If it is determined that the collected communication data packet may be malicious to the first industrial control system The attacked malicious data packet further obtains the security policies of each industrial control system in the OT network, and according to the obtained various security policies and the network identifiable information that has been extracted, it is determined that the malicious data packet is the first in the OT network. The threat coefficient of each second industrial control system other than the industrial control system.
  • any industrial control system in the OT network it will not only analyze whether the communication data packets transmitted between the control devices in the industrial control system are malicious data packets, but also based on the safety of each industrial control system in the OT network.
  • the strategy analyzes the threat of malicious data packets transmitted in other industrial control systems to the industrial control system. Therefore, it is possible to more comprehensively analyze the safety problems of the industrial control system, so as to analyze the safety of the industrial control system more accurately.
  • FIG. 1 is a flowchart of a safety analysis method of an industrial control system according to an embodiment of the present invention
  • FIG. 2 is a flowchart of a method for determining a threat coefficient of an industrial control system according to an embodiment of the present invention
  • FIG. 3 is a flowchart of a method for generating a security policy optimization suggestion according to an embodiment of the present invention
  • FIG. 4 is a schematic diagram of an industrial control system safety analysis device provided by an embodiment of the present invention.
  • FIG. 5 is a schematic diagram of another industrial control system safety analysis device provided by an embodiment of the present invention.
  • FIG. 6 is a schematic diagram of yet another industrial control system safety analysis device provided by an embodiment of the present invention.
  • Figure 7 is a schematic diagram of yet another industrial control system safety analysis device provided by an embodiment of the present invention.
  • FIG. 8 is a schematic diagram of an industrial control system safety analysis device including a strategy optimization module provided by an embodiment of the present invention
  • Fig. 9 is a schematic diagram of a safety analysis device for an industrial control system including a memory and a processor according to an embodiment of the present invention.
  • the communication data packet is determined to be malicious
  • the first analysis module 45 The strategy acquisition module 46: The second analysis module
  • Strategy Optimization Module 411 Memory 412: Processor
  • Parameter Identification Unit 432 Parameter Search Unit 433: First Judgment Unit
  • the second judgment unit 451 The first strategy acquisition unit 452: The second strategy acquisition unit
  • the third strategy acquisition unit 461 The first calculation unit 462: The second calculation unit
  • the communication data packets transmitted between the control devices in the industrial control system can be collected, and then the safety of the industrial control system can be improved according to the collected communication data packets.
  • Analysis where the communication data packet can be control commands, device status information, etc.
  • the communication data packets transmitted between the control devices in each industrial control system are collected separately, and then the security of the corresponding industrial control system is analyzed based on the collected communication data packets
  • industrial control systems located in the same OT network will affect each other. When an industrial control system is maliciously attacked, it may affect the security of another industrial control system in the same OT network.
  • the communication data packet independently analyzes the security of each industrial control system, it does not fully reflect the malicious attacks that the industrial control system may be subjected to, resulting in the inability to accurately analyze the security of the industrial control system.
  • a communication data packet is collected from an industrial control system, and when it is determined that the collected communication data packet is a malicious data packet, the security policy of each industrial control system in the OT network where the industrial control system is located is obtained, and then according to The acquired security policies can analyze the threat coefficient of the malicious data packet to other industrial control systems in the OT network. It can be seen that when analyzing the security of the industrial control system, it not only detects whether the communication data packets between the control devices in the current industrial control system are malicious data packets, but also based on the security of each industrial control system in the same OT network. Strategies to determine the threat of malicious data collected in other industrial control systems to the current industrial control system, so as to analyze the safety of the industrial control system more comprehensively to ensure the accuracy of the analysis of the safety of the industrial control system sex.
  • the embodiment of the present invention provides a method for analyzing the safety of an industrial control system.
  • the method may include the following steps:
  • Step 101 Collect communication data packets from the first industrial control system, where the OT network includes a first industrial control system and at least one second industrial control system connected to the first industrial control system, and the communication data packet is the first industrial control system Interactive data transmitted between control devices in the system;
  • Step 102 Extract network identifiable information from the communication data packet, where the network identifiable information is used to identify at least one of a communication object, a communication rule, and a communication content;
  • Step 103 Determine whether the network identifiable information is located in a pre-created event database
  • Step 104 If the network identifiable information is in the event database, it is determined that the communication data packet is a malicious data packet;
  • Step 105 Obtain security policies of the first industrial control system and each second industrial control system in the OT network, where the security policy is used to characterize the rules for processing malicious data packets;
  • Step 106 Determine the threat coefficient of the communication data packet to each second industrial control system according to the network identifiable information and each security policy, where the threat system is used to characterize the threat degree of the communication data packet to the corresponding second industrial control system.
  • the OT network includes at least two industrial control systems. After the communication data packet is collected from the first industrial control system in the OT network, the network data packet is extracted from the collected communication data packet. Identify information, and then determine whether the collected communication data packet is a malicious data packet based on the extracted network identifiable information and the pre-created event database. If it is determined that the collected communication data packet is likely to affect the first industrial control system For malicious data packets that are maliciously attacked, the security policies of various industrial control systems in the OT network are further obtained, and based on the obtained various security policies and the extracted network identifiable information, it is determined that the malicious data packet is detrimental to the OT network. The threat coefficient of each second industrial control system outside the first industrial control system.
  • any industrial control system in the OT network it will not only analyze whether the communication data packets transmitted between the control devices in the industrial control system are malicious data packets, but also based on the safety of each industrial control system in the OT network.
  • the strategy analyzes the threat of malicious data packets transmitted in other industrial control systems to the industrial control system. Therefore, it is possible to more comprehensively analyze the safety problems of the industrial control system, so as to analyze the safety of the industrial control system more accurately.
  • the traffic of the first industrial control system can be intercepted, so as to obtain the communication data packets transmitted between the control devices in the first industrial control system.
  • a probe data acquisition sensor
  • the probe can be used to intercept traffic from the access switch and the system bus in the first industrial control system, where the system bus is used to connect the programmable logic Controller (Programmable Logic Controller, PLC) and engineer stations (Engineer stations) and operator stations (Operator stations), access switches are used to connect the operation center with engineer stations and operator stations.
  • PLC programmable logic Controller
  • Engineer stations Engineer stations
  • Operator stations Operator stations
  • the collected communication data packets are interactive data transmitted between control devices in the industrial control system, such as control commands and status feedback.
  • Information, etc. in order to facilitate the analysis of the security of the industrial control system based on the communication data packet, the network identifiable information needs to be extracted from the communication data packet.
  • the network identifiable information is used to identify the communication object, communication rules and communication of the corresponding communication data packet.
  • the content and other information can then be used to determine whether the communication data packet is a malicious data packet from multiple aspects such as the communication object, communication rules, communication content, etc., and determine whether the communication data packet is a malicious data packet based on the communication data packet to other industries. Threats to the control system.
  • the network identifiable parameters may include any one or more of the following identification parameters: asset information, IP address, communication port, communication protocol, application program information, and special identification in the protocol.
  • asset information is the device asset information of the control device that sends and receives the corresponding communication data packet, such as device name, device type, device supplier, device operating system/firmware version number, etc.
  • IP address is the corresponding communication received
  • the communication port is the port used when sending and receiving the corresponding communication data packet
  • the communication protocol is the protocol used when sending and receiving the corresponding communication data packet
  • the application information is the application of the application sending and receiving the corresponding communication data packet.
  • Information such as application name, version, etc.
  • the network identifiable information after the network identifiable information is extracted from the communication data packet, it can be detected whether there is at least one of the identification parameters included in the network identifiable information in the pre-created event database, and if there is a network in the event database At least one identification parameter included in the identifiable information is determined to be a malicious data packet, and if any identification parameter included in the network identifiable information does not exist in the event database, then the collected communication data is determined
  • the packet is a legal data packet.
  • the identification parameters of the malicious data packet are stored in the event database, and then the identification parameters included in the network identifiable information are matched with the identification parameters in the event database, and the communication data corresponding to the network identifiable information can be accurately determined Whether the packet is a malicious data packet, so as to further ensure the accuracy of the security analysis of the industrial control system.
  • the security policy of each industrial control system in the OT network can be obtained, and then based on the obtained The security strategy analyzes the threat of the communication data packet to various industrial control systems.
  • the security policies of each industrial control system in the OT network can be obtained in the following ways:
  • a security policy is obtained from the firewall of the control device.
  • the communication data packet may be transmitted from one control device in the first industrial control system to another control device.
  • the equipment may also be transmitted from the first industrial control system to the second industrial control system, or from one control device in the second industrial control system to another control device, and the firewall of the control device is used to receive the control device
  • the firewall between the industrial control systems is used to filter the malicious data packets transmitted between the industrial control systems, and the firewall filters the malicious data packets according to corresponding security policies.
  • the security policy is the basis for the firewall to filter and process malicious data packets.
  • the security policy can specifically allow/deny source addresses, allow/deny target addresses, allow/deny services/protocols, and allow/deny service/protocols. Denied safe areas, etc.
  • the network identifiable information extracted from the communication data packet and the obtained various security policies may be obtained.
  • the threat coefficient of communication data packets to each second industrial control system can be determined by the following methods:
  • Step 201 For each control device in the second industrial control system, according to the network identifiable information and the first security strategy, it is determined that the communication data packet passes through the second industrial control system and the first industrial control system where the control device is located.
  • Step 202 For each control device in the second industrial control system, according to the network identifiable information and the second security policy, determine whether the communication data packet passes through the first industrial control system and the second industrial control system where the control device is located. The second probability of threats to the control device behind the firewall between the two, where the second security policy is the security policy used by the firewall of the control device;
  • Step 203 For each control device in the second industrial control system, determine the threat coefficient component of the control device according to the first probability, the second probability, and the importance weight of the control device, where the importance weight Positive correlation with the important coefficient of the control equipment in the second industrial control system;
  • Step 204 Determine the threat coefficient of the communication data packet to each second industrial control system according to the threat coefficient component of each control device in the second industrial control system.
  • the first probability is used to characterize the probability that a communication data packet passes through the firewall between the first industrial control system and the second industrial control system
  • the second probability is used to characterize the communication data packet passing through the first industrial control system and The probability that the second industrial control system poses a threat to the corresponding control equipment in the second industrial control system
  • the first security policy is the security policy obtained from the firewall between the first industrial control system and the second industrial control system
  • the second security The strategy is the security strategy of the corresponding control equipment in the second industrial control system.
  • the first probability can be determined according to the matching relationship between the network identifiable information and the first security policy
  • the second probability can be determined according to the matching relationship between the network identifiable information and the second security policy.
  • the same industrial control system usually includes multiple control devices, and different control devices are responsible for performing different tasks in the industrial control system. Therefore, different control devices have different degrees of importance to the industrial control system.
  • the importance of the control equipment to the industrial control system can preset corresponding importance weights for different control equipment, so that the importance weights of the control equipment correspond to the importance of the control equipment in the industrial control system.
  • the threat coefficient component of the control device can be determined according to the first probability, the second probability and the importance weight corresponding to the control device, and then the same second industrial control system By summing the threat coefficient components of each control device in the control device, the threat coefficient of the communication data packet to the second industrial control system can be obtained.
  • the probability of a malicious data packet reaching each control device through the firewall can be determined, and according to the malicious data packet reaching the control device
  • the probability of the equipment and the importance of the control equipment to the industrial control system can determine the threat coefficient component of the control equipment. According to the threat coefficient component of each control equipment in the same industrial control system, the threat coefficient of the communication data packet to the industrial control system can be determined.
  • the probability of each control device in the industrial control system being affected by the communication data packet and the importance of each control device to the industrial control system are integrated, making the determined threat coefficient more accurate , which can further improve the accuracy of safety analysis of industrial control systems.
  • the security policies may also be obtained according to the obtained security policies.
  • the method for optimizing the security policy may include the following steps:
  • Step 301 According to the extracted network identifiable information and various security policies, determine the target control device that is at risk of being attacked by the communication data packet in the OT network;
  • Step 302 Determine the threat coefficient of the communication data packet to each target control device according to the network identifiable information
  • Step 303 Send the threat coefficient of each target control device to the administrator
  • Step 304 After receiving the confirmation instruction issued by the administrator according to the threat coefficient of each target control device, generate an optimization suggestion for optimizing at least one acquired security policy according to the network identifiable information.
  • the probability of the control device being attacked by the communication data packet is determined according to the degree of matching between the security policy obtained from the firewall of the control device and the network identifiable information
  • the probability of the control device being attacked by the communication data packet is determined according to the degree of matching between the first security policy and the second security policy corresponding to the control device and the network identifiable information.
  • the attack probability threshold is set in advance, and when the total probability of a control device being communicated by the data packet is greater than the attack probability threshold, the control device is determined as the target control device.
  • the threat coefficient of the communication data packet to the target control device is equal to the target control device being attacked by the communication data packet. Probability. If the target control device is located in the second industrial control system, the threat coefficient of the communication data packet to the target control device is equal to the product of the first probability and the second probability corresponding to the target control device.
  • each target control device and the threat coefficient of each target control device are sent to the administrator, and the administrator confirms the communication data according to the threat coefficient of each target control device Whether the packet is an illegal data packet, after the user sends a confirmation instruction for indicating that the communication data packet is an illegal data packet, an optimization suggestion for optimizing at least one acquired security policy is generated according to the network identifiable information.
  • the identification information and threat coefficient of each target control device are sent to the administrator, and the administrator controls the identification information of the device according to each target Confirm whether the communication data packet is indeed an illegal data packet with the threat coefficient. If the administrator determines that the communication data packet is indeed an illegal data packet, it will automatically generate optimization suggestions for optimizing the security strategy based on the network identifiable information, and then generate The optimization suggestion of the company is sent to the strategy optimization software or the administrator to optimize the security strategy, so that the optimized security strategy can effectively process the communication data packets that are determined to be illegal data packets, thereby improving the security of the industrial control system and the OT network sex.
  • the related information of the communication data packet and the identification information of each target control device are sent to the alarm module, and the alarm module sends out alarm information, so that the network maintenance personnel
  • the communication data packets are processed in time to avoid the communication data packets from causing more serious attacks on the OT network.
  • the untrusted asset database includes the extracted network
  • determine the service or application traffic statistics information corresponding to the communication data packet based on the information stored in the untrusted asset database, and send the determined service or application traffic statistics information to the administrator so that the administrator can determine the communication Whether the data packet is an illegal data packet.
  • the administrator confirms that the communication data packet is an illegal data packet based on the identification of each target control device and the threat coefficient of each target control device, the network identifiable information extracted from the communication data packet is stored in the untrusted asset database , In order to perform service or application traffic statistics for malicious data packets that are subsequently detected.
  • the communication data packet after determining that the communication data packet is a malicious data packet, detect the severity of the event corresponding to the communication data packet, and if the event corresponding to the communication data packet is serious, check each security policy to determine whether the firewall allows the communication data packet Pass, avoid the communication data packet to cause serious damage to the industrial control system and OT network.
  • an embodiment of the present invention provides a safety analysis device for an industrial control system, including:
  • a data collection module 41 is used to collect communication data packets from the first industrial control system.
  • the operating technology OT network includes a first industrial control system and at least one second industrial control system connected to the first industrial control system.
  • the data packet is the interactive data transmitted between the control devices in the first industrial control system;
  • An information extraction module 42 for extracting network identifiable information from the communication data packets collected by the data collection module 41, where the network identifiable information is used to identify at least one of a communication object, communication rules, and communication content;
  • a policy acquisition module 45 is used to acquire the security policies of the first industrial control system and each second industrial control system when the judgment module 43 determines that the network identifiable information is located in the event database, where the security policy is used to characterize the Rules for processing malicious data packets;
  • a second analysis module 46 is used to determine the threat coefficient of the communication data packet to each second industrial control system based on the network identifiable information extracted by the information extraction module 42 and each security policy acquired by the policy acquisition module 45, where: The threat system is used to characterize the threat degree of the communication data packet to the corresponding second industrial control system.
  • the data collection module 41 can be used to perform step 101 in the above method embodiment
  • the information extraction module 42 can be used to perform step 102 in the above method embodiment
  • the judgment module 43 can be used to perform step 102 in the above method embodiment.
  • the first analysis module 44 can be used to perform step 104 in the above method embodiment
  • the strategy acquisition module 45 can be used to perform step 105 in the above method embodiment
  • the second analysis module 46 can be used to perform step 105 in the above method embodiment. ⁇ 106.
  • the judgment module 43 includes:
  • a first judgment unit 433, configured to determine that at least one identification parameter exists in the event database in the parameter search unit 432, and then determine that the network identifiable information is located in the event database;
  • a second judgment unit 434 is used to determine that there is no identification parameter in the event database by the parameter search unit 432, and then determine that the network identifiable information is not located in the event database.
  • the policy acquisition module 45 includes:
  • a first policy obtaining unit 451, configured to obtain a security policy from the firewall between the second industrial control system and the first industrial control system for each second industrial control system;
  • a second policy obtaining unit 452 for each control device in the first industrial control system, obtain a security policy from the firewall of the control device;
  • a third policy obtaining unit 453 is configured to obtain a security policy from the firewall of the control device for each control device in the second industrial control system.
  • the second analysis module 46 includes:
  • a first calculation unit 461 is used to determine, for a control device located in a second industrial control system, according to the network identifiable information and the first security policy, that the communication data packet passes through the second industrial control system and the second industrial control system where the control device is located.
  • the first probability of the firewall between the first industrial control system, where the first security policy is the security policy used by the firewall between the second industrial control system and the first industrial control system where the control device is located;
  • a second computing unit 462 is used to determine the location of the communication data packet through the first industrial control system and the control device based on the network identifiable information and the second security policy for a control device located in a second industrial control system The second probability that the firewall between the second industrial control system poses a threat to the control device, where the second security policy is the security policy used by the firewall of the control device;
  • a third calculation unit 463 for a control device located in a second industrial control system, according to the importance of the control device and the first probability determined by the first calculation unit 461 and the second calculation unit 462 The determined second probability determines the threat coefficient component of the control device, where the importance weight is positively correlated with the important coefficient of the control device in the second industrial control system;
  • a fourth calculation unit 464 is used for each second industrial control system, according to the threat coefficient component of each control device in the second industrial control system determined by the third calculation unit 463, to determine that the communication data packet affects each second industrial control system. Threat factor of industrial control system.
  • the first calculation unit 461 may be used to perform step 201 in the above method embodiment
  • the second calculation unit 462 may be used to perform step 202 in the above method embodiment
  • the third calculation unit 463 may be used to perform step 202 in the above method embodiment
  • the fourth calculation unit 464 may be used to execute step 204 in the above method embodiment.
  • the safety analysis device of the industrial control system further includes:
  • a device screening module 47 is used to determine the target control device that is at risk of being attacked by communication data packets in the OT network based on the network identifiable information obtained by the information extraction module 42 and the various security policies obtained by the policy obtaining module 45;
  • a coefficient calculation module 48 is used to determine the threat coefficient of the communication data packet to each target control device determined by the device screening module 47 according to the network identifiable information obtained by the information extraction module 42;
  • An information sending module 49 for sending the threat coefficient of each target control device determined by the coefficient calculation module 48 to the administrator;
  • a strategy optimization module 410 is used to generate and use the network identifiable information after receiving a confirmation instruction issued by the administrator according to the threat coefficient of each target control device sent by the information transmission module 49, 45 optimization suggestions for optimizing the security strategy obtained.
  • the device screening module 47 can be used to perform step 301 in the above method embodiment
  • the coefficient calculation module 48 can be used to perform step 302 in the above method embodiment
  • the information sending module 49 can be used to perform the above method embodiment.
  • the strategy optimization module 410 can be used to execute step 410 in the foregoing method embodiment.
  • an embodiment of the present invention provides a security analysis device for an industrial control system, including: at least one memory 411 and at least one processor 412;
  • the at least one memory 411 is used to store a machine-readable program
  • the at least one processor 412 is configured to call the machine-readable program to execute the safety analysis method of the industrial control system provided in each of the foregoing embodiments.
  • the present invention also provides a computer-readable medium that stores instructions for making a computer execute the safety analysis method of an industrial control system as described herein.
  • a system or device equipped with a storage medium may be provided, and the software program code for realizing the function of any of the above-mentioned embodiments is stored on the storage medium, and the computer (or CPU or MPU of the system or device) ) Read and execute the program code stored in the storage medium.
  • the program code itself read from the storage medium can realize the function of any one of the above-mentioned embodiments, so the program code and the storage medium storing the program code constitute a part of the present invention.
  • Examples of storage media used to provide program codes include floppy disks, hard disks, magneto-optical disks, optical disks (such as CD-ROM, CD-R, CD-RW, DVD-ROM, DVD-RAM, DVD-RW, DVD+RW), Magnetic tape, non-volatile memory card and ROM.
  • the program code can be downloaded from the server computer via a communication network.
  • the program code read from the storage medium is written to the memory provided in the expansion board inserted into the computer or written to the memory provided in the expansion unit connected to the computer, and then the program code is based on the memory provided in the expansion board.
  • the instructions cause the CPU installed on the expansion board or the expansion unit to perform part or all of the actual operations, so as to realize the function of any one of the above-mentioned embodiments.
  • system structure described in the foregoing embodiments may be a physical structure or a logical structure, that is, some modules may be implemented by the same physical entity, or some modules may be implemented by multiple physical entities, or may be implemented by multiple physical entities. Some components in independent devices are implemented together.
  • the hardware unit can be implemented mechanically or electrically.
  • a hardware unit may include a permanent dedicated circuit or logic (such as a dedicated processor, FPGA or ASIC) to complete the corresponding operation.
  • the hardware unit may also include programmable logic or circuits (such as general-purpose processors or other programmable processors), which may be temporarily set by software to complete corresponding operations.
  • the specific implementation mechanical, or dedicated permanent circuit, or temporarily set circuit

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明提供了工业控制系统安全性分析方法、装置和计算机可读介质，该工业控制系统安全性分析方法包括：从第一工业控制系统采集通信数据包，其中，运营技术OT网络包括相连接的第一工业控制系统和至少一个第二工业控制系统，通信数据包为第一工业控制系统中控制设备之间传输的交互数据；从通信数据包中提取网络可识别信息；判断网络可识别信息是否位于预先创建的事件数据库中；如果网络可识别信息位于事件数据库中，则确定通信数据包为恶意数据包，获取第一工业控制系统和每个第二工业控制系统的安全策略，根据网络可识别信息和各安全策略确定通信数据包对各个第二工业控制系统的威胁系数。本方案能够更加准确地对工业控制系统的安全性进行分析。

Description

工业控制系统安全性分析方法、装置和计算机可读介质 技术领域
本发明涉及通信技术领域，尤其涉及工业网络行为分析方法、装置和计算机可读介质。
背景技术
随着物联网(The Internet of Things，IOT)技术和运营技术(Operational Technology，OT)的不断发展与进步，大型生产型企业要求在同一个安全监控系统内监控所有工业控制系统，因此不同的工业控制系统会接入到同一安全监控系统构成OT网络，但由于工业控制系统的安全防御能力较弱，进而导致OT网络被恶意攻击的风险较高。
目前在对工业控制系统的安全性进行分析时，采集待分析工业控制系统内各控制设备之间传输的通信数据包，进而根据采集到的通信数据包对待分析工业控制系统进行安全性分析，以确定待分析工业控制系统是否存在被恶意攻击的风险。
针对目前对工业控制系统进行安全性分析的方法，根据从待分析工业控制系统内采集到的通信数据包对待分析工业控制系统的安全性进行分析，并不考虑同一OT网络中不同工业控制系统之间的影响，而一个工业控制系统受到恶意攻击时可能会影响位于同一OT网络中的另一个工业控制系统的安全性，因此无法准确地对工业控制系统的安全性进行分析。
发明内容
有鉴于此，本发明提供的工业控制系统安全性分析方法、装置和计算机可读介质，能够更加准确地对工业控制系统的安全性进行分析。
第一方面，本发明实施例提供了一种工业控制系统安全性分析方法包括：
从第一工业控制系统采集通信数据包，其中，运营技术OT网络包括所述第一工业控制系统以及与所述第一工控控制系统相连接的至少一个第二工业控制系统，所述通信数据包为所述第一工业控制系统中控制设备之间传输的交互数据；
从所述通信数据包中提取网络可识别信息，其中，所述网络可识别信息用于标识通信对象、通信规则和通信内容中的至少一个；
判断所述网络可识别信息是否位于预先创建的事件数据库中；
如果所述网络可识别信息位于所述事件数据库中，则执行：
确定所述通信数据包为恶意数据包；
获取所述OT网络内所述第一工业控制系统和每一个所述第二工业控制系统的安全策略，其中，所述安全策略用于表征对恶意数据包进行处理的规则；
根据所述网络可识别信息和各个所述安全策略，确定所述通信数据包对各个所述第二工业控制系统的威胁系数，其中，所述威胁系统用于表征所述通信数据包对相应所述第二工业控制系统的威胁程度。
在第一种可能的实现方式中，结合上述第一方面，所述判断所述网络可识别信息是否位于预先创建的事件数据库中，包括：
获取所述网络可识别信息包括的至少一个识别参数，其中，所述识别参数包括收发所述通信数据包的控制设备的设备资产信息、收发所述通信数据包的控制设备的网际互联协议IP地址、传输所述通信数据包所使用的端口和协议、收发所述通信数据包的应用程序的应用信息和传输所述通信数据包所使用协议的标识中的至少一个；
判断所述事件数据库中是否存在至少一个所述识别参数；
如果所述事件数据库中存在至少一个所述识别参数，则确定所述网络可识别信息位于所述事件数据库中；
如果所述事件数据库中不存在任何一个所述识别参数，则确定所述网络可识别信息未位于所述事件数据库中。
在第二种可能的实现方式中，结合上述第一方面，所述分别获取所述第一工业控制系统和每一个所述第二工业控制系统的安全策略，包括：
针对每一个所述第二工业控制系统，从该第二工业控制系统与所述第一工业控制系统之间的防火墙获取所述安全策略；
针对所述第一工业控制系统中的每一个所述控制设备，从该控制设备的防火墙中获取所述安全策略；
针对所述第二工业控制系统中的每一个所述控制设备，从该控制设备的防火墙中获取所述安全策略。
在第三种可能的实现方式中，结合上述第二种可能的实现方式，所述根据所述网络可识别信息和各个所述安全策略，确定所述通信数据包对各个所述第二工业控制系统的威胁系数，包括：
针对位于一个所述第二工业控制系统中的一个所述控制设备，均执行：
根据所述网络可识别信息和第一安全策略，确定所述通信数据包通过该控制设备所在的所述第二工业控制系统与所述第一工业控制系统之间防火墙的第一概率，其中，所述第一安 全策略为该控制设备所在的所述第二工业控制系统与所述第一工业控制系统之间防火墙所使用的安全策略；
根据所述网络可识别信息和第二安全策略，确定所述通信数据包通过所述第一工业控制系统与该控制设备所在的所述第二工业控制系统之间的防火墙后对该控制设备造成威胁的第二概率，其中，所述第二安全策略为该控制设备的防火墙所使用的安全策略；
根据所述第一概率、所述第二概率和该控制设备的重要度权值，确定该控制设备的威胁系数分量，其中，所述重要度权值与该控制设备在所述第二工业控制系统中的重要系数正相关；
针对每一个所述第二工业控制系统，根据该第二工业控制系统中各个控制设备的所述威胁系数分量，确定所述通信数据包对各个所述第二工业控制系统的威胁系数。
在第四种可能的实现方式中，结合上述第一方面以及第一方面的第一种可能的实现方式、第二种可能的实现方式和第三种可能的实现方式中的任意一个，在所述分别获取所述第一工业控制系统和每一个所述第二工业控制系统的安全策略之后，进一步包括：
根据提取到的网络可识别信息和各个所述安全策略，确定所述OT网络中存在被所述通信数据包攻击风险的目标控制设备；
根据所述网络可识别信息分别确定所述通信数据包对每个所述目标控制设备的威胁系数；
将各个所述目标控制设备的威胁系数发送给管理员；
在接收到所述管理员根据各个所述目标控制设备的威胁系数而发出的确认指令后，根据所述网络可识别信息生成用于对至少一个获取到的所述安全策略进行优化的优化建议。
第二方面，本发明实施例还提供了一种工业控制系统安全性分析装置，包括：
一个数据采集模块，用于从第一工业控制系统采集通信数据包，其中，运营技术OT网络包括所述第一工业控制系统以及与所述第一工控控制系统相连接的至少一个第二工业控制系统，所述通信数据包为所述第一工业控制系统中控制设备之间传输的交互数据；
一个信息提取模块，用于从所述数据采集模块采集到的所述通信数据包中提取网络可识别信息，其中，所述网络可识别信息用于标识通信对象、通信规则和通信内容中的至少一个；
一个判断模块，用于判断所述信息提取模块提取到的所述网络可识别信息是否位于预先创建的事件数据库中；
一个第一分析模块，用于在所述判断模块确定所述网络可识别信息位于所述事件数据库中时，确定所述通信数据包为恶意数据包；
一个策略获取模块，用于在所述判断模块确定所述网络可识别信息位于所述事件数据库 中时，分别获取所述第一工业控制系统和每一个所述第二工业控制系统的安全策略，其中，所述安全策略用于表征对恶意数据包进行处理的规则；
一个第二分析模块，用于根据所述信息提取模块提取到的所述网络可识别信息和所述策略获取模块获取到的各个所述安全策略，确定所述通信数据包对各个所述第二工业控制系统的威胁系数，其中，所述威胁系统用于表征所述通信数据包对相应所述第二工业控制系统的威胁程度。
在第一种可能的实现方式中，结合上述第二方面，所述判断模块包括：
一个参数识别单元，用于获取所述网络可识别信息包括的至少一个识别参数，其中，所述识别参数包括收发所述通信数据包的控制设备的设备资产信息、收发所述通信数据包的控制设备的网际互联协议IP地址、传输所述通信数据包所使用的端口和协议、收发所述通信数据包的应用程序的应用信息和传输所述通信数据包所使用协议的标识中的至少一个；
一个参数查找单元，用于判断所述事件数据库中是否存在至少一个由所述参数识别单元获取到的所述识别参数；
一个第一判断单元，用于在所述参数查找单元确定所述事件数据库中存在至少一个所述识别参数，则确定所述网络可识别信息位于所述事件数据库中；
一个第二判断单元，用于在所述参数查找单元确定所述事件数据库中不存在任何一个所述识别参数，则确定所述网络可识别信息未位于所述事件数据库中。
在第二种可能的实现方式中，结合上述第二方面，所述策略获取模块包括：
一个第一策略获取单元，用于针对每一个所述第二工业控制系统，从该第二工业控制系统与所述第一工业控制系统之间的防火墙获取所述安全策略；
一个第二策略获取单元，用于针对所述第一工业控制系统中的每一个所述控制设备，从该控制设备的防火墙中获取所述安全策略；
一个第三策略获取单元，用于针对所述第二工业控制系统中的每一个所述控制设备，从该控制设备的防火墙中获取所述安全策略。
在第三种可能的实现方式中，结合上述第二种可能的实现方式，所述第二分析模块包括：
一个第一计算单元，用于针对位于一个所述第二工业控制系统中的一个所述控制设备，根据所述网络可识别信息和第一安全策略，确定所述通信数据包通过该控制设备所在的所述第二工业控制系统与所述第一工业控制系统之间防火墙的第一概率，其中，所述第一安全策略为该控制设备所在的所述第二工业控制系统与所述第一工业控制系统之间防火墙所使用的安全策略；
一个第二计算单元，用于针对位于一个所述第二工业控制系统中的一个所述控制设备， 根据所述网络可识别信息和第二安全策略，确定所述通信数据包通过所述第一工业控制系统与该控制设备所在的所述第二工业控制系统之间的防火墙后对该控制设备造成威胁的第二概率，其中，所述第二安全策略为该控制设备的防火墙所使用的安全策略；
一个第三计算单元，用于针对位于一个所述第二工业控制系统中的一个所述控制设备，根据该控制设备的重要度权值以及所述第一计算单元确定出的所述第一概率和所述第二计算单元确定出的所述第二概率，确定该控制设备的威胁系数分量，其中，所述重要度权值与该控制设备在所述第二工业控制系统中的重要系数正相关；
一个第四计算单元，用于针对每一个所述第二工业控制系统，根据所述第三计算单元确定出的该第二工业控制系统中各个控制设备的所述威胁系数分量，确定所述通信数据包对各个所述第二工业控制系统的威胁系数。
在第四种可能的实现方式中，结合上述第二方面以及第二方面的第一种可能的实现方式、第二种可能的实现方式和第三种可能的实现方式中的任意一个，该工业控制系统安全性分析装置进一步包括：
一个设备筛选模块，用于根据所述信息提取模块获取到的所述网络可识别信息和所述策略获取模块获取到的各个所述安全策略，确定所述OT网络中存在被所述通信数据包攻击风险的目标控制设备；
一个系数计算模块，用于根据所述信息提取模块获取到的所述网络可识别信息，分别确定所述通信数据包对所述设备筛选模块确定出的每一个所述目标控制设备的威胁系数；
一个信息发送模块，用于将所述系数计算模块确定出的各个所述目标控制设备的威胁系数发送给管理员；
一个策略优化模块，用于在接收到所述管理员根据所述信息发送模块所发送的各个所述目标控制设备的威胁系数而发出的确认指令后，根据所述网络可识别信息生成用于对至少一个由所述策略获取模块获取到的所述安全策略进行优化的优化建议。
第三方面，本发明实施例还提供了另一种工业控制系统安全性分析装置，包括：至少一个存储器和至少一个处理器；
所述至少一个存储器，用于存储机器可读程序；
所述至少一个处理器，用于调用所述机器可读程序，执行上述第一方面以及第一方面的任一可能的实现方式所提供的方法。
第四方面，本发明实施例还提供了一种计算机可读介质，所述计算机可读介质上存储有 计算机指令，所述计算机指令在被处理器执行时，使所述处理器执行上述第一方面以及第一方面的任一可能的实现方式所提供的方法。
由上述技术方案可知，OT网络包括由至少两个工业控制系统所构成，在从OT网络中的第一工业控制系统采集到通信数据包后，从所采集到的通信数据包中提取网络可识别信息，进而根据所提取到的网络可识别信息和预先创建的事件数据库确定采集到的通信数据包是否为恶意数据包，如果确定所采集到的通信数据包为可能对第一工业控制系统进行恶意攻击的恶意数据包，则进一步获取OT网络内各个工业控制系统的安全策略，并根据获取到的各个安全策略和已经提取到的网络可识别信息，确定该恶意数据包对OT网络中除第一工业控制系统之外的各个第二工业控制系统的威胁系数。由此可见，针对OT网络中的任意一个工业控制系统，不仅会分析该工业控制系统内控制设备之间传输的通信数据包是否为恶意数据包，还会根据OT网络中各工业控制系统的安全策略分析其他工业控制系统内传输的恶意数据包对该工业控制系统的威胁，因此能够更加全面的分析工业控制系统存在的安全问题，从而能够更加准确地对工业控制系统的安全性进行分析。
附图说明
图1是本发明一个实施例提供的一种工业控制系统安全性分析方法的流程图；
图2是本发明一个实施例提供的一种工业控制系统威胁系数确定方法的流程图；
图3是本发明一个实施例提供的一种安全策略优化建议生成方法的流程图；
图4是本发明一个实施例提供的一种工业控制系统安全性分析装置的示意图；
图5是本发明一个实施例提供的另一种工业控制系统安全性分析装置的示意图；
图6是本发明一个实施例提供的又一种工业控制系统安全性分析装置的示意图；
图7是本发明一个实施例提供的再一种工业控制系统安全性分析装置的示意图；
图8是本发明一个实施例提供的一种包括策略优化模块的工业控制系统安全性分析装置的示意图；
图9是本发明一个实施例提供的一种包括存储器和处理器的工业控制系统安全性分析装置的示意图。
附图标记列表：
101：从第一工业控制系统采集通信数据包
102：从通信数据包中提取网络可识别信息
103：判断网络可识别信息是否位于预先创建的事件数据库中
104：如果网络可识别信息位于事件数据库中，则确定通信数据包为恶意数据包
105：获取OT网络内第一工业控制系统和每一个第二工业控制系统的安全策略
106：根据网络可识别信息和安全策略，确定通信数据包对第二工业控制系统的威胁系数
201：根据网络可识别信息和第一安全策略，确定第一概率
202：根据网络可识别信息和第二安全策略，确定第二概率
203：根据第一概率、第二概率和控制设备的重要度权值，确定该控制设备的威胁系数分量
204：根据第二工业控制系统中各控制设备的威胁系数分量，确定威胁系数
301：根据网络可识别信息和各安全策略，确定存在被通信数据包攻击风险的目标控制设备
302：根据网络可识别信息分别确定通信数据包对每个目标控制设备的威胁系数
303：将各个目标控制设备的威胁系数发送给管理员
304：在接收到确认指令后，根据网络可识别信息生成优化建议
41：数据采集模块           42：信息提取模块          43：判断模块
44：第一分析模块           45：策略获取模块          46：第二分析模块
47：设备筛选模块           48：系数计算模块          49：信息发送模块
410：策略优化模块          411：存储器               412：处理器
431：参数识别单元          432：参数查找单元         433：第一判断单元
434：第二判断单元          451：第一策略获取单元     452：第二策略获取单元
453：第三策略获取单元      461：第一计算单元         462：第二计算单元
463：第三计算单元          464：第四计算单元
具体实施方式
如前所述，在由多个工业控制系统所构成的OT网络中，可以采集工业控制系统内控制设备之间所传输的通信数据包，进而根据采集到的通信数据包对工业控制系统的安全性进行分析，其中通信数据包可以是控制指令、设备状态信息等。目前在对工业控制系统的安全性进行分析时，分别采集每一个工业控制系统内控制设备之间传输的通信数据包，进而根据所采集到的通信数据包对相应工业控制系统的安全性进行分析，然而位于同一OT网络中的工业控制系统之间会相互影响，当一个工业控制系统受到恶意攻击时可能会影响同一OT网络中的另一个工业控制系统的安全性，因此根据控制设备之间的通信数据包独立地对各个工业控制系统进行安全性分析时，并不能全面反映工业控制系统可能受到的恶意攻击，导致无法准确地对工业控制系统的安全性进行分析。
本发明实施例中，从一个工业控制系统采集通信数据包，当确定所采集到的通信数据包为恶意数据包后，获取该工业控制系统所在OT网络内各个工业控制系统的安全策略，进而根据获取到的各个安全策略可以分析该恶意数据包对OT网络内其他工业控制系统的威胁系数。由此可见，在对工业控制系统的安全性进行分析时，不仅检测当前工业控制系统内控制设备之间的通信数据包是否为恶意数据包，还会根据同一OT网络内各个工业控制系统的安全策略来确定在其他工业控制系统内采集到的恶意数据对当前工业控制系统的威胁，进而可以更加全面地对工业控制系统的安全性进行分析，以保证对工业控制系统的安全性进行分析的准确性。
下面结合附图对本发明实施例提供的工业控制系统安全性分析方法和装置进行详细说明。
如图1所示，本发明实施例提供了一种工业控制系统安全性分析方法，该方法可以包括如下步骤：
步骤101：从第一工业控制系统采集通信数据包，其中，OT网络包括第一工业控制系统以及与第一工控控制系统相连接的至少一个第二工业控制系统，通信数据包为第一工业控制系统中控制设备之间传输的交互数据；
步骤102：从通信数据包中提取网络可识别信息，其中，网络可识别信息用于标识通信对象、通信规则和通信内容中的至少一个；
步骤103：判断网络可识别信息是否位于预先创建的事件数据库中；
步骤104：如果网络可识别信息位于事件数据库中，则确定通信数据包为恶意数据包；
步骤105：获取OT网络内第一工业控制系统和每一个第二工业控制系统的安全策略，其中，安全策略用于表征对恶意数据包进行处理的规则；
步骤106：根据网络可识别信息和各个安全策略，确定通信数据包对各个第二工业控制系统的威胁系数，其中，威胁系统用于表征通信数据包对相应第二工业控制系统的威胁程度。
在本发明实施例中，OT网络包括由至少两个工业控制系统所构成，在从OT网络中的第一工业控制系统采集到通信数据包后，从所采集到的通信数据包中提取网络可识别信息，进而根据所提取到的网络可识别信息和预先创建的事件数据库确定采集到的通信数据包是否为恶意数据包，如果确定所采集到的通信数据包为可能对第一工业控制系统进行恶意攻击的恶意数据包，则进一步获取OT网络内各个工业控制系统的安全策略，并根据获取到的各个安全策略和已经提取到的网络可识别信息，确定该恶意数据包对OT网络中除第一工业控制系统之外的各个第二工业控制系统的威胁系数。由此可见，针对OT网络中的任意一个工业控 制系统，不仅会分析该工业控制系统内控制设备之间传输的通信数据包是否为恶意数据包，还会根据OT网络中各工业控制系统的安全策略分析其他工业控制系统内传输的恶意数据包对该工业控制系统的威胁，因此能够更加全面的分析工业控制系统存在的安全问题，从而能够更加准确地对工业控制系统的安全性进行分析。
在本发明实施例中，在从第一工业控制系统采集通信数据包时，可以截取第一工业控制系统的流量，从而获得第一工业控制系统内各控制设备之间传输的通信数据包。具体地，可以在第一工业控制系统中设置探针(数据采集传感器)，利用探针从第一工业控制系统中的接入交换机和系统总线截取流量，其中，系统总线用于连接可编程逻辑控制器(Programmable Logic Controller，PLC)与工程师站(Engineer stations)和操作员站(Operator stations)，接入交换机用于连接运营中心与工程师站和操作员站。
可选地，在图1所示工业控制系统安全性分析方法的基础上，所采集到的通信数据包为工业控制系统内控制设备之间所传输的交互数据，比如可以是控制指令、状态反馈信息等，为了便于根据通信数据包对工业控制系统的安全性进行分析，需要从通信数据包中提取网络可识别信息，网络可识别信息用于标识相应通信数据包的通信对象、通信规则以及通信内容等信息，进而可以从通信对象、通信规则、通信内容等多个方面来判断通信数据包是否为恶意数据包，以及在确定通信数据包为恶意数据包的基础上确定通信数据包对其他工业控制系统的威胁。
网络可识别参数可以包括如下识别参数中的任意一个或多个：资产信息、IP地址、通信端口、通信协议、应用程序信息以及协议中的特殊标识。其中，资产信息为收发相应通信数据包的控制设备的设备资产信息，比如可以是设备名称、设备类型、设备的供应商、设备的操作系统/固件的版本号等，IP地址为收到相应通信数据包的控制设备的IP地址，通信端口是收发相应通信数据包时使用的端口，通信协议是收发相应通信数据包时所使用的协议，应用程序信息是收发相应通信数据包的应用程序的应用信息，比如可以是应用程序名称、版本等。
在本发明实施例中，从通信数据包中提取到网络可识别信息后，可以检测预先创建的事件数据库中是否存在网络可识别信息所包括各个识别参数中的至少一个，如果事件数据库中存在网络可识别信息包括的至少一个识别参数，则确定所采集到的通信数据包为恶意数据包，而如果事件数据库中不存在网络可识别信息包括的任何一个识别参数，则确定所采集到的通信数据包为合法数据包。将恶意数据包所具有的各项识别参数存储到事件数据库中，进而将网络可识别信息包括的识别参数与事件数据库中的识别参数进行匹配，可以准确地确定网络可识别信息所对应的通信数据包是否为恶意数据包，进而进一步保证对工业控制系统进行安 全性分析的准确性。
可选地，在图1所示工业控制系统安全性分析方法的基础上，在确定一个通信数据包为恶意数据包之后，可以获取OT网络中各个工业控制系统的安全策略，进而根据所获取到的安全策略分析该通信数据包对各个工业控制系统的威胁。具体可以通过如下方式获取OT网络中各个工业控制系统的安全策略：
针对OT网络中的每一个第二工业控制系统，从该第二工业控制系统与第一工业控制系统之间的防火墙获取安全策略；
针对OT网络中第一工业控制系统所包括的每一个控制设备，从该控制设备的防火墙中获取安全策略；
针对OT网络中第二工业控制系统所包括的每一个控制设备，从该控制设备的防火墙中获取安全策略。
在本发明实施例中，在确定从第一工业控制系统中采集到的通信数据包为恶意数据包后，该通信数据包可能会从第一工业控制系统中的一个控制设备传输至另一个控制设备，还可能从第一工业控制系统传输到第二工业控制系统，还可能从第二工业控制系统中的一个控制设备传输至另一个控制设备，而控制设备的防火墙用于对控制设备所接收到恶意数据包进行过滤，工业控制系统之间的防火墙用于对工业控制系统之间传输的恶意数据包进行过滤，且防火墙按照相应的安全策略对恶意数据包进行过滤。因此，通过从各个控制设备的防火墙和工业控制系统之间的防火墙获取安全策略，可以分析恶意数据包通过不同路径传输至相应工业控制系统而造成威胁的威胁系数，还可以分析出可能会受到恶意数据包攻击的控制设备以及具体的受影响程度，从而能够更加全面的对工业控制系统的安全性进行分析。
在本发明实施例中，安全策略是防火墙对恶意数据包进行过滤和处理的依据，安全策略具体可以允许/拒绝的源地址、允许/拒绝的目标地址、允许/拒绝的服务/协议以及允许/拒绝的安全区域等。
可选地，在从OT网络中各控制设备的防火墙和各工业控制系统之间的防火墙获取到安全策略之后，可以根据从通信数据包中提取到的网络可识别信息和获取到的各个安全策略来确定通信数据包对各个第二工业控制系统的威胁系数。如图2所示，可以通过如下方式来确定通信数据包对一个第二工业控制系统的威胁系数：
步骤201：针对该第二工业控制系统中的每一个控制设备，根据网络可识别信息和第一安全策略，确定通信数据包通过该控制设备所在的第二工业控制系统与第一工业控制系统之间防火墙的第一概率，其中，第一安全策略为该控制设备所在的第二工业控制系统与第一工业控制系统之间防火墙所使用的安全策略；
步骤202：针对该第二工业控制系统中的每一个控制设备，根据网络可识别信息和第二安全策略，确定通信数据包通过第一工业控制系统与该控制设备所在的第二工业控制系统之间的防火墙后对该控制设备造成威胁的第二概率，其中，第二安全策略为该控制设备的防火墙所使用的安全策略；
步骤203：针对该第二工业控制系统中的每一个控制设备，根据第一概率、第二概率和该控制设备的重要度权值，确定该控制设备的威胁系数分量，其中，重要度权值与该控制设备在第二工业控制系统中的重要系数正相关；
步骤204：根据该第二工业控制系统中各个控制设备的威胁系数分量，确定通信数据包对各个第二工业控制系统的威胁系数。
在本发明实施例中，第一概率用于表征通信数据包通过第一工业控制系统和第二工业控制系统之间防火墙的概率，第二概率用于表征通信数据包通过第一工业控制系统和第二工业控制系统后对第二工业控制系统中相应控制设备造成威胁的概率，第一安全策略为从第一工业控制系统和第二工业控制系统之间的防火墙获取的安全策略，第二安全策略为第二工业控制系统中相应控制设备的安全策略。根据网络可识别信息与第一安全策略的匹配关系，可以确定第一概率，根据网络可识别信息与第二安全策略的匹配关系，可以确定第二概率。
在本发明实施例中，由于同一工业控制系统通常包括有多个控制设备，不同控制设备在工业控制系统中负责执行不同的任务，因此不同的控制设备对于工业控制系统具有不同的重要程度，根据控制设备对于工业控制系统的重要性可以为不同的控制设备预设相应的重要度权值，使得控制设备的重要度权值与该控制设备在工业控制系统中的重要性相对应。针对位于一个第二工业控制系统中的一个控制设备，根据该控制设备对应的第一概率、第二概率和重要度权值可以确定该控制设备的威胁系数分量，进而对同一第二工业控制系统中各个控制设备的威胁系数分量进行求和，便可以获得通信数据包对该第二工业控制系统的威胁系数。
在本发明实施例中，根据从工业控制系统之间防火墙获取的安全策略和从控制设备的防火墙获取的安全策略，可以确定恶意数据包通过防火墙达到各个控制设备的概率，根据恶意数据包到达控制设备的概率和控制设备对于工业控制系统的重要程度可以确定控制设备的威胁系数分量，根据同一工业控制系统中各个控制设备的威胁系数分量可以确定通信数据包对该工业控制系统的威胁系数。在确定通信数据包对工业控制系统的威胁系数时，综合了工业控制系统内各个控制设备受通信数据包影响的概率和各个控制设备对于工业控制系统的重要程度，使得确定出的威胁系数更加准确，从而能够进一步提高对工业控制系统进行安全性分析的准确性。
可选地，在上述各个实施例所提供工业控制系统安全性分析方法的基础上，在获取到第 一工业控制系统和各个第二工业控制系统的安全策略之后，还可以根据获取到的安全策略确定出可能被通信数据包攻击的所有控制设备，并根据所有可能被通信数据包攻击的控制设备生成用于对安全策略进行优化的优化建议。如图3所示，对安全策略进行优化的方法可以包括如下步骤：
步骤301：根据提取到的网络可识别信息和各个安全策略，确定OT网络中存在被通信数据包攻击风险的目标控制设备；
步骤302：根据网络可识别信息分别确定通信数据包对每个目标控制设备的威胁系数；
步骤303：将各个目标控制设备的威胁系数发送给管理员；
步骤304：在接收到管理员根据各个目标控制设备的威胁系数而发出的确认指令后，根据网络可识别信息生成用于对至少一个获取到的安全策略进行优化的优化建议。
在本发明实施例中，对于第一工业控制系统中的控制设备，根据从该控制设备的防火墙获取的安全策略与网络可识别信息的匹配程度，确定该控制设备被通信数据包攻击的概率，对于第二工业控制系统中的控制设备，根据从该控制设备所对应的第一安全策略和第二安全策略与网络可识别信息的匹配程度，确定该控制设备被通信数据包攻击的概率。预先设定攻击概率阈值，当一个控制设备被通信数据包共计的概率大于攻击概率阈值时，将该控制设备确定为目标控制设备。
在本发明实施例中，针对每一个目标控制设备，如果该目标控制设备位于第一工业控制系统中，则通信数据包对该目标控制设备的威胁系数等于该目标控制设备被通信数据包攻击的概率，如果该目标控制设备位于第二工业控制系统中，则通信数据包对该目标控制设备的威胁系数等于该目标控制设备所对应的第一概率与第二概率的乘积。
在本发明实施例中，确定出各个目标控制设备的威胁系数后，将各个目标控制设备以及各个目标控制设备的威胁系数发送给管理员，由管理员根据各个目标控制设备的威胁系数确认通信数据包是否为非法数据包，当用户发出用于指示通信数据包为非法数据包的确认指令后，根据网络可识别信息生成用于对至少一个获取到的安全策略进行优化的优化建议。
在本发明实施例中，在确定出可能会被通信数据包攻击的目标控制设备后，将各个目标控制设备的标识信息和威胁系数发送给管理员，由管理员根据各个目标控制设备的标识信息和威胁系数确认通信数据包是否确实是非法数据包，如果管理员确定通信数据包确实是非法数据包，则自动根据网络可识别信息生成用于对安全策略进行优化的优化建议，并将所生成的优化建议发送给策略优化软件或管理员，以便于对安全策略进行优化，使得优化后的安全策略能够有效处理被确定为非法数据包的通信数据包，从而提高工业控制系统和OT网络的安全性。
在本发明实施例中，在管理员确认通信数据包为非法数据包后，将通信数据包的相关信息以及各个目标控制设备的标识信息发送给报警模块，报警模块发出报警信息，使得网络维护人员及时对通信数据包进行处理，以避免通信数据包对OT网络造成更加严重的攻击。
可选地，在从通信数据包中提取出网络可识别信息后，检测预先创建的不可信资产数据库中是否包括有提取出的网络可识别信息，如果不可信资产数据库中包括有提取出的网络可识别信息，则根据不可信资产数据库中存储的信息确定对应于通信数据包的服务或应用流量统计信息，并将确定出的服务或应用流量统计信息发送给管理员，以便于管理员确定通信数据包是否为非法数据包。另外，如果管理员根据各个目标控制设备的标识和各个目标控制设备的威胁系数确认通信数据包为非法数据包，则将从通信数据包中提取到的网络可识别信息存储到不可信资产数据库中，以便针对后续检测出的恶意数据包进行服务或应用流量统计。
可选地，在确定通信数据包为恶意数据包后，检测通信数据包所对应事件的严重程度，如果通信数据包所对应事件较严重，则检查各个安全策略，以确定防火墙是否允许通信数据包通过，避免通信数据包对工业控制系统和OT网络造成严重的破坏。
如图4所示，本发明一个实施例提供了一种工业控制系统安全性分析装置，包括：
一个数据采集模块41，用于从第一工业控制系统采集通信数据包，其中，运营技术OT网络包括第一工业控制系统以及与第一工控控制系统相连接的至少一个第二工业控制系统，通信数据包为第一工业控制系统中控制设备之间传输的交互数据；
一个信息提取模块42，用于从数据采集模块41采集到的通信数据包中提取网络可识别信息，其中，网络可识别信息用于标识通信对象、通信规则和通信内容中的至少一个；
一个判断模块43，用于判断信息提取模块42提取到的网络可识别信息是否位于预先创建的事件数据库中；
一个第一分析模块44，用于在判断模块43确定网络可识别信息位于事件数据库中时，确定通信数据包为恶意数据包；
一个策略获取模块45，用于在判断模块43确定网络可识别信息位于事件数据库中时，分别获取第一工业控制系统和每一个第二工业控制系统的安全策略，其中，安全策略用于表征对恶意数据包进行处理的规则；
一个第二分析模块46，用于根据信息提取模块42提取到的网络可识别信息和策略获取模块45获取到的各个安全策略，确定通信数据包对各个第二工业控制系统的威胁系数，其中，威胁系统用于表征通信数据包对相应第二工业控制系统的威胁程度。
在本发明实施例中，数据采集模块41可用于执行上述方法实施例中的步骤101，信息提 取模块42可用于执行上述方法实施例中的步骤102，判断模块43可用于执行上述方法实施例中的步骤103，第一分析模块44可用于执行上述方法实施例中的步骤104，策略获取模块45可用于执行上述方法实施例中的步骤105，第二分析模块46可用于执行上述方法实施例中的步骤106。
可选地，在图4所示工业控制系统安全性分析装置的基础上，如图5所示，判断模块43包括：
一个参数识别单元431，用于获取网络可识别信息包括的至少一个识别参数，其中，识别参数包括收发通信数据包的控制设备的设备资产信息、收发通信数据包的控制设备的网际互联协议IP地址、传输通信数据包所使用的端口和协议、收发通信数据包的应用程序的应用信息和传输通信数据包所使用协议的标识中的至少一个；
一个参数查找单元432，用于判断事件数据库中是否存在至少一个由参数识别单元431获取到的识别参数；
一个第一判断单元433，用于在参数查找单元432确定事件数据库中存在至少一个识别参数，则确定网络可识别信息位于事件数据库中；
一个第二判断单元434，用于在参数查找单元432确定事件数据库中不存在任何一个识别参数，则确定网络可识别信息未位于事件数据库中。
可选地，在图4所示工业控制系统安全性分析装置的基础上，如图6所示，策略获取模块45包括：
一个第一策略获取单元451，用于针对每一个第二工业控制系统，从该第二工业控制系统与第一工业控制系统之间的防火墙获取安全策略；
一个第二策略获取单元452，用于针对第一工业控制系统中的每一个控制设备，从该控制设备的防火墙中获取安全策略；
一个第三策略获取单元453，用于针对第二工业控制系统中的每一个控制设备，从该控制设备的防火墙中获取安全策略。
可选地，在图6所示工业控制系统安全性分析装置的基础上，如图7所示，第二分析模块46包括：
一个第一计算单元461，用于针对位于一个第二工业控制系统中的一个控制设备，根据网络可识别信息和第一安全策略，确定通信数据包通过该控制设备所在的第二工业控制系统与第一工业控制系统之间防火墙的第一概率，其中，第一安全策略为该控制设备所在的第二工业控制系统与第一工业控制系统之间防火墙所使用的安全策略；
一个第二计算单元462，用于针对位于一个第二工业控制系统中的一个控制设备，根据 网络可识别信息和第二安全策略，确定通信数据包通过第一工业控制系统与该控制设备所在的第二工业控制系统之间的防火墙后对该控制设备造成威胁的第二概率，其中，第二安全策略为该控制设备的防火墙所使用的安全策略；
一个第三计算单元463，用于针对位于一个第二工业控制系统中的一个控制设备，根据该控制设备的重要度权值以及第一计算单元461确定出的第一概率和第二计算单元462确定出的第二概率，确定该控制设备的威胁系数分量，其中，重要度权值与该控制设备在第二工业控制系统中的重要系数正相关；
一个第四计算单元464，用于针对每一个第二工业控制系统，根据第三计算单元463确定出的该第二工业控制系统中各个控制设备的威胁系数分量，确定通信数据包对各个第二工业控制系统的威胁系数。
在本发明实施例中，第一计算单元461可用于执行上述方法实施例中的步骤201，第二计算单元462可用于执行上述方法实施例中的步骤202，第三计算单元463可用于执行上述方法实施例中的步骤203，第四计算单元464可用于执行上述方法实施例中的步骤204。
可选地，在图4至图7中任一附图所示工业控制系统安全性分析装置的基础上，如图8所示，该工业控制系统安全性分析装置进一步包括：
一个设备筛选模块47，用于根据信息提取模块42获取到的网络可识别信息和策略获取模块45获取到的各个安全策略，确定OT网络中存在被通信数据包攻击风险的目标控制设备；
一个系数计算模块48，用于根据信息提取模块42获取到的网络可识别信息，分别确定通信数据包对设备筛选模块47确定出的每一个目标控制设备的威胁系数；
一个信息发送模块49，用于将系数计算模块48确定出的各个目标控制设备的威胁系数发送给管理员；
一个策略优化模块410，用于在接收到管理员根据信息发送模块49所发送的各个目标控制设备的威胁系数而发出的确认指令后，根据网络可识别信息生成用于对至少一个由策略获取模块45获取到的安全策略进行优化的优化建议。
在本发明实施例中，设备筛选模块47可用于执行上述方法实施例中的步骤301，系数计算模块48可用于执行上述方法实施例中的步骤302，信息发送模块49可用于执行上述方法实施例中的步骤，策略优化模块410可用于执行上述方法实施例中的步骤410。
如图9所示，本发明一个实施例提供了一种工业控制系统安全性分析装置，包括：至少一个存储器411和至少一个处理器412；
所述至少一个存储器411，用于存储机器可读程序；
所述至少一个处理器412，用于调用所述机器可读程序，执行上述各个实施例所提供的工业控制系统安全性分析方法。
本发明还提供了一种计算机可读介质，存储用于使一计算机执行如本文的工业控制系统安全性分析方法的指令。具体地，可以提供配有存储介质的系统或者装置，在该存储介质上存储着实现上述实施例中任一实施例的功能的软件程序代码，且使该系统或者装置的计算机(或CPU或MPU)读出并执行存储在存储介质中的程序代码。
在这种情况下，从存储介质读取的程序代码本身可实现上述实施例中任何一项实施例的功能，因此程序代码和存储程序代码的存储介质构成了本发明的一部分。
用于提供程序代码的存储介质实施例包括软盘、硬盘、磁光盘、光盘(如CD-ROM、CD-R、CD-RW、DVD-ROM、DVD-RAM、DVD-RW、DVD+RW)、磁带、非易失性存储卡和ROM。可选择地，可以由通信网络从服务器计算机上下载程序代码。
此外，应该清楚的是，不仅可以通过执行计算机所读出的程序代码，而且可以通过基于程序代码的指令使计算机上操作的操作系统等来完成部分或者全部的实际操作，从而实现上述实施例中任意一项实施例的功能。
此外，可以理解的是，将由存储介质读出的程序代码写到插入计算机内的扩展板中所设置的存储器中或者写到与计算机相连接的扩展单元中设置的存储器中，随后基于程序代码的指令使安装在扩展板或者扩展单元上的CPU等来执行部分和全部实际操作，从而实现上述实施例中任一实施例的功能。
需要说明的是，上述各流程和各系统结构图中不是所有的步骤和模块都是必须的，可以根据实际的需要忽略某些步骤或模块。各步骤的执行顺序不是固定的，可以根据需要进行调整。上述各实施例中描述的系统结构可以是物理结构，也可以是逻辑结构，即，有些模块可能由同一物理实体实现，或者，有些模块可能分由多个物理实体实现，或者，可以由多个独立设备中的某些部件共同实现。
以上各实施例中，硬件单元可以通过机械方式或电气方式实现。例如，一个硬件单元可以包括永久性专用的电路或逻辑(如专门的处理器，FPGA或ASIC)来完成相应操作。硬件单元还可以包括可编程逻辑或电路(如通用处理器或其它可编程处理器)，可以由软件进行临时的设置以完成相应操作。具体的实现方式(机械方式、或专用的永久性电路、或者临时设置的电路)可以基于成本和时间上的考虑来确定。
上文通过附图和优选实施例对本发明进行了详细展示和说明，然而本发明不限于这些已 揭示的实施例，基与上述多个实施例本领域技术人员可以知晓，可以组合上述不同实施例中的代码审核手段得到本发明更多的实施例，这些实施例也在本发明的保护范围之内。

Claims (12)

  1. 工业控制系统安全性分析方法，包括：
    从第一工业控制系统采集通信数据包，其中，运营技术OT网络包括所述第一工业控制系统以及与所述第一工控控制系统相连接的至少一个第二工业控制系统，所述通信数据包为所述第一工业控制系统中控制设备之间传输的交互数据；
    从所述通信数据包中提取网络可识别信息，其中，所述网络可识别信息用于标识通信对象、通信规则和通信内容中的至少一个；
    判断所述网络可识别信息是否位于预先创建的事件数据库中；
    如果所述网络可识别信息位于所述事件数据库中，则执行：
    确定所述通信数据包为恶意数据包；
    获取所述OT网络内所述第一工业控制系统和每一个所述第二工业控制系统的安全策略，其中，所述安全策略用于表征对恶意数据包进行处理的规则；
    根据所述网络可识别信息和各个所述安全策略，确定所述通信数据包对各个所述第二工业控制系统的威胁系数，其中，所述威胁系统用于表征所述通信数据包对相应所述第二工业控制系统的威胁程度。
  2. 根据权利要求1所述的方法，其中，所述判断所述网络可识别信息是否位于预先创建的事件数据库中，包括：
    获取所述网络可识别信息包括的至少一个识别参数，其中，所述识别参数包括收发所述通信数据包的控制设备的设备资产信息、收发所述通信数据包的控制设备的网际互联协议IP地址、传输所述通信数据包所使用的端口和协议、收发所述通信数据包的应用程序的应用信息和传输所述通信数据包所使用协议的标识中的至少一个；
    判断所述事件数据库中是否存在至少一个所述识别参数；
    如果所述事件数据库中存在至少一个所述识别参数，则确定所述网络可识别信息位于所述事件数据库中；
    如果所述事件数据库中不存在任何一个所述识别参数，则确定所述网络可识别信息未位于所述事件数据库中。
  3. 根据权利要求1所述的方法，其中，所述分别获取所述第一工业控制系统和每一个所述第二工业控制系统的安全策略，包括：
    针对每一个所述第二工业控制系统，从该第二工业控制系统与所述第一工业控制系统之间的防火墙获取所述安全策略；
    针对所述第一工业控制系统中的每一个所述控制设备，从该控制设备的防火墙中获取所述安全策略；
    针对所述第二工业控制系统中的每一个所述控制设备，从该控制设备的防火墙中获取所述安全策略。
  4. 根据权利要求3所述的方法，其中，所述根据所述网络可识别信息和各个所述安全策略，确定所述通信数据包对各个所述第二工业控制系统的威胁系数，包括：
    针对位于一个所述第二工业控制系统中的一个所述控制设备，均执行：
    根据所述网络可识别信息和第一安全策略，确定所述通信数据包通过该控制设备所在的所述第二工业控制系统与所述第一工业控制系统之间防火墙的第一概率，其中，所述第一安全策略为该控制设备所在的所述第二工业控制系统与所述第一工业控制系统之间防火墙所使用的安全策略；
    根据所述网络可识别信息和第二安全策略，确定所述通信数据包通过所述第一工业控制系统与该控制设备所在的所述第二工业控制系统之间的防火墙后对该控制设备造成威胁的第二概率，其中，所述第二安全策略为该控制设备的防火墙所使用的安全策略；
    根据所述第一概率、所述第二概率和该控制设备的重要度权值，确定该控制设备的威胁系数分量，其中，所述重要度权值与该控制设备在所述第二工业控制系统中的重要系数正相关；
    针对每一个所述第二工业控制系统，根据该第二工业控制系统中各个控制设备的所述威胁系数分量，确定所述通信数据包对各个所述第二工业控制系统的威胁系数。
  5. 根据权利要求1至4中任一所述的方法，其中，在所述分别获取所述第一工业控制系统和每一个所述第二工业控制系统的安全策略之后，进一步包括：
    根据提取到的网络可识别信息和各个所述安全策略，确定所述OT网络中存在被所述通信数据包攻击风险的目标控制设备；
    根据所述网络可识别信息分别确定所述通信数据包对每个所述目标控制设备的威胁系数；
    将各个所述目标控制设备的威胁系数发送给管理员；
    在接收到所述管理员根据各个所述目标控制设备的威胁系数而发出的确认指令后，根据所述网络可识别信息生成用于对至少一个获取到的所述安全策略进行优化的优化建议。
  6. 工业控制系统安全性分析装置，包括：
    一个数据采集模块(41)，用于从第一工业控制系统采集通信数据包，其中，运营技术OT网络包括所述第一工业控制系统以及与所述第一工控控制系统相连接的至少一个第二工业控制系统，所述通信数据包为所述第一工业控制系统中控制设备之间传输的交互数据；
    一个信息提取模块(42)，用于从所述数据采集模块(41)采集到的所述通信数据包中提取网络可识别信息，其中，所述网络可识别信息用于标识通信对象、通信规则和通信内容中 的至少一个；
    一个判断模块(43)，用于判断所述信息提取模块(42)提取到的所述网络可识别信息是否位于预先创建的事件数据库中；
    一个第一分析模块(44)，用于在所述判断模块(43)确定所述网络可识别信息位于所述事件数据库中时，确定所述通信数据包为恶意数据包；
    一个策略获取模块(45)，用于在所述判断模块(43)确定所述网络可识别信息位于所述事件数据库中时，分别获取所述第一工业控制系统和每一个所述第二工业控制系统的安全策略，其中，所述安全策略用于表征对恶意数据包进行处理的规则；
    一个第二分析模块(46)，用于根据所述信息提取模块(42)提取到的所述网络可识别信息和所述策略获取模块(45)获取到的各个所述安全策略，确定所述通信数据包对各个所述第二工业控制系统的威胁系数，其中，所述威胁系统用于表征所述通信数据包对相应所述第二工业控制系统的威胁程度。
  7. 根据权利要求6所述的装置，其中，所述判断模块(43)包括：
    一个参数识别单元(431)，用于获取所述网络可识别信息包括的至少一个识别参数，其中，所述识别参数包括收发所述通信数据包的控制设备的设备资产信息、收发所述通信数据包的控制设备的网际互联协议IP地址、传输所述通信数据包所使用的端口和协议、收发所述通信数据包的应用程序的应用信息和传输所述通信数据包所使用协议的标识中的至少一个；
    一个参数查找单元(432)，用于判断所述事件数据库中是否存在至少一个由所述参数识别单元(431)获取到的所述识别参数；
    一个第一判断单元(433)，用于在所述参数查找单元(432)确定所述事件数据库中存在至少一个所述识别参数，则确定所述网络可识别信息位于所述事件数据库中；
    一个第二判断单元(434)，用于在所述参数查找单元(432)确定所述事件数据库中不存在任何一个所述识别参数，则确定所述网络可识别信息未位于所述事件数据库中。
  8. 根据权利要求6所述的装置，其中，所述策略获取模块(45)包括：
    一个第一策略获取单元(451)，用于针对每一个所述第二工业控制系统，从该第二工业控制系统与所述第一工业控制系统之间的防火墙获取所述安全策略；
    一个第二策略获取单元(452)，用于针对所述第一工业控制系统中的每一个所述控制设备，从该控制设备的防火墙中获取所述安全策略；
    一个第三策略获取单元(453)，用于针对所述第二工业控制系统中的每一个所述控制设备，从该控制设备的防火墙中获取所述安全策略。
  9. 根据权利要求8所述的装置，其中，所述第二分析模块(46)包括：
    一个第一计算单元(461)，用于针对位于一个所述第二工业控制系统中的一个所述控制设备，根据所述网络可识别信息和第一安全策略，确定所述通信数据包通过该控制设备所在的所述第二工业控制系统与所述第一工业控制系统之间防火墙的第一概率，其中，所述第一安全策略为该控制设备所在的所述第二工业控制系统与所述第一工业控制系统之间防火墙所使用的安全策略；
    一个第二计算单元(462)，用于针对位于一个所述第二工业控制系统中的一个所述控制设备，根据所述网络可识别信息和第二安全策略，确定所述通信数据包通过所述第一工业控制系统与该控制设备所在的所述第二工业控制系统之间的防火墙后对该控制设备造成威胁的第二概率，其中，所述第二安全策略为该控制设备的防火墙所使用的安全策略；
    一个第三计算单元(463)，用于针对位于一个所述第二工业控制系统中的一个所述控制设备，根据该控制设备的重要度权值以及所述第一计算单元(461)确定出的所述第一概率和所述第二计算单元(462)确定出的所述第二概率，确定该控制设备的威胁系数分量，其中，所述重要度权值与该控制设备在所述第二工业控制系统中的重要系数正相关；
    一个第四计算单元(464)，用于针对每一个所述第二工业控制系统，根据所述第三计算单元(463)确定出的该第二工业控制系统中各个控制设备的所述威胁系数分量，确定所述通信数据包对各个所述第二工业控制系统的威胁系数。
  10. 根据权利要求6至9中任一所述的装置，其中，进一步包括：
    一个设备筛选模块(47)，用于根据所述信息提取模块(42)获取到的所述网络可识别信息和所述策略获取模块(45)获取到的各个所述安全策略，确定所述OT网络中存在被所述通信数据包攻击风险的目标控制设备；
    一个系数计算模块(48)，用于根据所述信息提取模块(42)获取到的所述网络可识别信息，分别确定所述通信数据包对所述设备筛选模块(47)确定出的每一个所述目标控制设备的威胁系数；
    一个信息发送模块(49)，用于将所述系数计算模块(48)确定出的各个所述目标控制设备的威胁系数发送给管理员；
    一个策略优化模块(410)，用于在接收到所述管理员根据所述信息发送模块(49)所发送的各个所述目标控制设备的威胁系数而发出的确认指令后，根据所述网络可识别信息生成用于对至少一个由所述策略获取模块(45)获取到的所述安全策略进行优化的优化建议。
  11. 工业控制系统安全性分析装置，包括：至少一个存储器(411)和至少一个处理器(412)；
    所述至少一个存储器(411)，用于存储机器可读程序；
    所述至少一个处理器(412)，用于调用所述机器可读程序，执行权利要求1至5中任一 所述的方法。
  12. 计算机可读介质，所述计算机可读介质上存储有计算机指令，所述计算机指令在被处理器执行时，使所述处理器执行权利要求1至5中任一所述的方法。
PCT/CN2020/093522 2020-05-29 2020-05-29 工业控制系统安全性分析方法、装置和计算机可读介质 WO2021237739A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN202080099457.6A CN115428397A (zh) 2020-05-29 2020-05-29 工业控制系统安全性分析方法、装置和计算机可读介质
US17/927,930 US11843639B2 (en) 2020-05-29 2020-05-29 Industrial control system security analysis method and apparatus
EP20937269.7A EP4135281A4 (en) 2020-05-29 2020-05-29 METHOD AND DEVICE FOR SAFETY ANALYSIS OF AN INDUSTRIAL CONTROL SYSTEM AND COMPUTER READABLE MEDIUM
PCT/CN2020/093522 WO2021237739A1 (zh) 2020-05-29 2020-05-29 工业控制系统安全性分析方法、装置和计算机可读介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2020/093522 WO2021237739A1 (zh) 2020-05-29 2020-05-29 工业控制系统安全性分析方法、装置和计算机可读介质

Publications (1)

Publication Number Publication Date
WO2021237739A1 true WO2021237739A1 (zh) 2021-12-02

Family

ID=78745410

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2020/093522 WO2021237739A1 (zh) 2020-05-29 2020-05-29 工业控制系统安全性分析方法、装置和计算机可读介质

Country Status (4)

Country Link
US (1) US11843639B2 (zh)
EP (1) EP4135281A4 (zh)
CN (1) CN115428397A (zh)
WO (1) WO2021237739A1 (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116611077A (zh) * 2023-07-20 2023-08-18 北京升鑫网络科技有限公司 基于主机网络包捕获和分析的虚拟补丁防护方法及系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130104236A1 (en) * 2011-10-14 2013-04-25 Albeado, Inc. Pervasive, domain and situational-aware, adaptive, automated, and coordinated analysis and control of enterprise-wide computers, networks, and applications for mitigation of business and operational risks and enhancement of cyber security
US20170230410A1 (en) * 2016-02-10 2017-08-10 Accenture Global Solutions Limited Telemetry Analysis System for Physical Process Anomaly Detection
WO2019003041A1 (en) * 2017-06-28 2019-01-03 Si-Ga Data Security (2014) Ltd. THREAT DETECTION SYSTEM FOR INDUSTRIAL CONTROL DEVICES
CN110661761A (zh) * 2018-06-29 2020-01-07 西门子股份公司 一种访问控制设备、方法、计算机程序产品和计算机可读介质
CN110896386A (zh) * 2018-09-12 2020-03-20 西门子（中国）有限公司 识别安全威胁的方法、装置、存储介质、处理器和终端

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1877904B1 (en) * 2005-05-05 2015-12-30 Cisco IronPort Systems LLC Detecting unwanted electronic mail messages based on probabilistic analysis of referenced resources
US8769674B2 (en) * 2006-09-07 2014-07-01 Symantec Corporation Instant message scanning
WO2011030455A1 (ja) * 2009-09-14 2011-03-17 森清 セキュア監査システム及びセキュア監査方法
CN107705470A (zh) 2017-08-17 2018-02-16 阿里巴巴集团控股有限公司 购物结算方法、智能购物设备以及智能超市系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130104236A1 (en) * 2011-10-14 2013-04-25 Albeado, Inc. Pervasive, domain and situational-aware, adaptive, automated, and coordinated analysis and control of enterprise-wide computers, networks, and applications for mitigation of business and operational risks and enhancement of cyber security
US20170230410A1 (en) * 2016-02-10 2017-08-10 Accenture Global Solutions Limited Telemetry Analysis System for Physical Process Anomaly Detection
WO2019003041A1 (en) * 2017-06-28 2019-01-03 Si-Ga Data Security (2014) Ltd. THREAT DETECTION SYSTEM FOR INDUSTRIAL CONTROL DEVICES
CN110661761A (zh) * 2018-06-29 2020-01-07 西门子股份公司 一种访问控制设备、方法、计算机程序产品和计算机可读介质
CN110896386A (zh) * 2018-09-12 2020-03-20 西门子（中国）有限公司 识别安全威胁的方法、装置、存储介质、处理器和终端

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP4135281A4 *

Also Published As

Publication number Publication date
EP4135281A1 (en) 2023-02-15
US20230199029A1 (en) 2023-06-22
US11843639B2 (en) 2023-12-12
CN115428397A (zh) 2022-12-02
EP4135281A4 (en) 2024-01-31

Similar Documents

Publication Publication Date Title
CN108289088B (zh) 基于业务模型的异常流量检测系统及方法
EP2953298B1 (en) Log analysis device, information processing method and program
CN109962891B (zh) 监测云安全的方法、装置、设备和计算机存储介质
CN110495138B (zh) 工业控制系统及其网络安全的监视方法
US20150341380A1 (en) System and method for detecting abnormal behavior of control system
KR101880162B1 (ko) 자동제어시스템 내 제어신호 분석을 이용한 제어신호 무결성 검증 방법
CN112468488A (zh) 工业异常监测方法、装置、计算机设备及可读存储介质
CN107209834B (zh) 恶意通信模式提取装置及其系统和方法、记录介质
JP2015076863A (ja) ログ分析装置、方法およびプログラム
EP3215955B1 (en) Identifying a potential ddos attack using statistical analysis
CN110324323B (zh) 一种新能源厂站涉网端实时交互过程异常检测方法及系统
CN109167794B (zh) 一种面向网络系统安全度量的攻击检测方法
CN112822151A (zh) 面向控制网络工业计算机的多层精准主动网络攻击检测方法及系统
CN110959158A (zh) 信息处理装置、信息处理方法和信息处理程序
WO2021237739A1 (zh) 工业控制系统安全性分析方法、装置和计算机可读介质
KR20070060441A (ko) 트래픽 패턴 분석에 의한 망 공격 탐지장치 및 방법
JP7396371B2 (ja) 分析装置、分析方法及び分析プログラム
KR100520687B1 (ko) 네트워크 상태 표시 장치 및 방법
CN112291213A (zh) 一种基于智能终端的异常流量分析方法及装置
KR20190027122A (ko) 네트워크 공격 패턴 분석 및 방법
CN113938312B (zh) 一种暴力破解流量的检测方法及装置
CN112543177A (zh) 一种网络攻击检测方法及装置
JP2019175070A (ja) アラート通知装置およびアラート通知方法
CN117648689B (zh) 基于人工智能的工控主机安全事件自动响应方法
CN111931168B (zh) 一种基于警报关联的僵尸机检测方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20937269

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020937269

Country of ref document: EP

Effective date: 20221111

NENP Non-entry into the national phase

Ref country code: DE