工控协议深度包解析与检测技术研究

随着物联网的发展，工控安全已经成为企业国家都十分重视的安全问题，及时发现工控系统的安全漏洞、威胁攻击，可有效实现工控系统安全保护。工控协议解析与检测是实现工控安全的重要手段，可以通过流量分析与协议字段解析与检测，识别工控网络异常，及时对工控系统中的攻击进行预警。本综述分析了当前工控协议解析与检测的发展现状与存在问题，选择几种典型的工控协议解析方法，重点介绍方法的执行流程、优点与不足，最后，对工控协议解析与检测发展趋势进行总结。     

基于状态机子图同构匹配的私有工控协议溯源

在对工业互联网设备私有工控协议进行安全分析时,溯源其采用的工控网络协议标准十分困难。文章提出一种基于状态机子图同构匹配的私有工控协议溯源方法,可快速匹配私有工控协议所采用的工控网络协议标准。该方法首先对私有工控协议流量数据进行逆向解析,通过聚类算法提取消息格式和关键字段,根据关键字段构造增广前缀树(Augmented Prefix Tree Acceptor,APTA),推断出协议状态机图;然后采用子图同构匹配算法将该状态机图与工控协议标准状态机图进行子图匹配,解决流量数据有限导致生成状态机图不完整的问题。实验结果表明,该方法溯源准确率在95%以上,可快速定位私有协议采用的工控网络协议标准,从而为进一步的安全分析提供帮助。     

基于Sulley改进的工控协议模糊测试架构设计

模糊测试(Fuzzing)可以有效发现协议漏洞。然而不同于网络协议,工控协议模糊测试具有协议种类众多、私有协议解析难等特点。对此,文章转换问题解决思路,从工控工程师的角度入手,解析了Sulley的模糊测试架构和流程,设计了基于Sulley改进的工控协议模糊测试架构,采用基于块的可视化拖拽式界面进行私有协议的数据构造,公有协议采用套件的形式进行导入,添加输入优化模块以适应于工控系统,该框架有助于解决工控协议模糊测试中易用性差、测试负载大、测试效率低的问题。     

基于协议解析的工控网络安全仿真平台设计

工业控制网络的安全防护通常采用防火墙技术和多种复杂的应用层协议协同完成,但是未涉及应用层协议的深入分析。为了更好地保障工控网络数据访问的安全,结合工控网络报文定制性的特点,详细分析了基于应用层协议解析的安全防护策略。该方案在工业防火墙的基础上,通过对工控网络通信协议的报文深入解析,直接在报文层面解析过滤,从而拦截与功能实现无关的报文,并发现隐藏较深的威胁。以OPC协议为例,搭建了基于应用层协议深度解析的工控网络安全仿真测试平台,并利用石化企业现场设备的通信数据对该平台进行了验证。所提出的安防策略为工控网络安全设备的设计和制造提供了一种基于应用层协议解析的方案,具备较高级别的安全性能。     

工业控制系统协议安全综述

工业控制系统是国家基础设施的重要组成部分,广泛应用于能源、制造、交通、军工等行业,是关乎国计民生的重要资源.工控协议是控制系统实现实时数据交换、数据采集、参数配置、状态监控、异常诊断、命令发布和执行等众多功能有机联动的重要纽带,其安全问题与工控系统的可靠稳定运行密切相关.深度剖析工控协议安全是理解工控系统安全威胁的一个重要角度,能够对工控系统的安全防护和保障提供指导.通过整理学术界与工业界对工控协议安全的研究工作,例如研究论文、标准指南、攻击事件等,系统化地分析和总结了工控协议所面临的安全问题.首先对工控网络架构、工控协议作用、协议的分类以及和传统协议的比较等进行详细阐述,然后从协议设计、实现和应用的角度深入分析了工控协议面临的攻击威胁和协议防护方案,最后讨论了未来工控协议安全的研究趋势.     

工控协议逆向分析技术研究与挑战

近年来,工业互联网的安全事件日益频发,尤其是工业控制系统(industrial control system, ICS),该现象揭示了目前ICS中已经存在较多的安全隐患,并且那些针对ICS安全隐患的大多数攻击和防御方法都需要对工控协议进行分析.然而,目前ICS中大多数私有工控协议都具有与普通互联网协议完全不同的典型特征,如结构、字段精度、周期性等方面,导致针对互联网协议的逆向分析技术通常都无法直接适用于工控协议.因此,针对工控协议的逆向分析技术已经成为近几年学术界和产业界的研究热点.首先结合2种典型工控协议,深入分析和总结了工控协议的结构特征.其次,给出了工控协议逆向分析框架,深入剖析了基于程序执行和基于报文序列的工控协议逆向分析框架的特点,并依次从人机参与程度和协议格式提取方式这2个角度,重点针对基于报文序列的工控协议分析方法进行详细阐述和对比分析.最后探讨了现有逆向分析方法的特点及不足,并对工控协议逆向分析技术的未来研究方向进行展望与分析.     

一种针对工控协议的高性能处理平台

VPP系统是开源高性能包处理平台，在流量审计领域多有应用，在工控审计领域的使用鲜少看到。本文通过将VPP系统应用于高速审计工控协议报文，成功地构建了一种高性能的工控安全审计平台。在该平台上，深度解析了Modbus/TCP、MMS、S7、IEC104等多种常见工控协议报文。通过获取到的工控协议报文的关键信息，使用去I/O操作存储解析所得数据。经过测试仪表验证，基于VPP平台的工控解析方法，与传统Linux内核方法处理数据报文相比，小包性能提高9.563%，大包性能提高24.609%，与现有工业防火墙的吞吐相比，小包提升10.908%，大包提升35.595%，大幅提高了报文处理的效率，将有效满足现代工业控制环境下，针对安全审计系统所需的稳定性、实时性和高效性。     

非标工业控制协议格式逆向方法研究

协议安全是工业控制系统信息安全中的一项重要内容,非标协议格式的正确识别是协议安全分析的基础。基于工控系统行业现状和工控协议的结构确定、传输重复、语义有限的特性,提出了基于网络流量的非标准工控协议逆向识别方法,通过单报文处理进行初步分词聚类,多报文处理进行报文序列比对,关键字段推断语义,最终得到协议格式。验证结果表明,该方法能较好地识别非标工控协议格式。     

基于字符距离聚类的未知工控协议分类方法

未知工控协议分类是实现多类型混合工控协议识别的前提。利用工控协议报文格式精简且广泛采用二进制序列的特点,提出基于字符距离聚类的未知工控协议分类方法。该方法打破传统方法计算文本协议报文的欧氏距离而难以准确反映工控协议报文相似性的问题,通过构建二进制特征序列,计算字符距离,并开展基于字符距离K-means聚类,实现了未知工控协议分类。其中,为确保分类的准确性,提出基于最大平均字符距离的最佳聚类K值确定方法。半物理仿真结果表明,所提方法对未知工控协议分类的准确率可达96.80%,协议类型判别的正确率可达97.07%。     

基于范式语法的工控协议Fuzzing测试技术

针对工控协议Fuzzing测试存在测试脚本编写工作量大、测试用例的覆盖面小、测试效率低等问题,文章提出了一种基于范式语法的工控协议Fuzzing测试方法。方法首先以改进的扩展巴科斯范式(Modified Augmented Backus-Naur Form: MABNF)描述工控协议;然后根据范式语法模型,将报文样本解析为范式语法变异树,进而生成范式语法变异树的描述脚本;文章提出了基于MABNF变异树的测试用例生成算法(MABNF-mutation-tree based Test-cases Generating Method: MTGM),算法先对MABNF变异树进行深度优先遍历,再采用语义变异策略对节点实施变异;最后利用MTGM得到冗余少、有效性高的测试用例集。使用该方法,文章实现了基于Peach的工控协议Fuzzing测试原型系统M-Peach,对供水SCADA系统进行了测试。与Peach的对比实验表明,文章所提出的方法能有效减少测试冗余,提高测试用例集的覆盖面和测试效率。     

新能源企业工控系统态势感知系统研究

随着“双碳”目标^[1]的提出，新能源在能源行业中占比愈发升高，与此同时，随着针对工控系统的网络攻击愈演愈烈，信息基础设施更为薄弱的新能源企业迫切需要一套系统化的网络安全防护措施。本文结合新能源企业工控系统特点，总结了当前企业工控系统安全态势感知面临的挑战，分析了现阶段态势感知系统的主要功能，提出了一套涵盖厂站侧、中心侧、集团分中心三个层级，融合工控设备指纹识别技术、工控协议深度解析技术、工控流量统一分析处理算法三项关键技术的态势感知系统。     

火电工控系统网络安全防护方案设计

针对火电工控系统的网络安全问题进行了研究,对当前火电工控系统的网络架构、安全挑战、防护现状、风险来源等网络安全问题进行了分析总结,按照电力系统的安全防护总体原则及相关标准规范,针对电力生产网络的特点及安全要求,提出了以数据探针为组成单元的能够覆盖电厂工控网络各个层级并配置监测中心的安全防护架构,能够对多种工控协议进行深度解析,对已知和未知危险流量进行识别和学习,并将宏观网络态势以可视化的方式展示出来,实现了对电厂工控系统多层次、立体化、智能化的安全防护,能够深度有效的保护电厂生产网络系统。     

基于Snort的Modbus TCP工控协议异常数据检测规则设计

工业控制网络通信协议的脆弱性是导致工控网络遭受攻击的主要因素。Modbus TCP是工控网络的典型通信协议。在对Modbus TCP协议进行脆弱性分析的基础上,结合Snort检测机制对典型的异常行为进行归类,提出了一种用于Snort的Modbus TCP协议异常数据流检测模板。Modbus TCP的分析和规则模板的设计方法也可推广至其他基于工业控制协议的网络,具有一定的普适性。     

基于Fuzzing测试的工业控制协议漏洞挖掘技术研究

为了及早发现工业控制系统本身的信息安全问题,基于Fuzzing测试技术在软件测试领域的成功经验,针对工业控制系统协议MMS协议进行分析和研究,利用电力系统自动化领域常用的继电器保护设备,采用桥接的方式进行MMS协议的Fuzzing测试,有效挖掘出被测设备的漏洞,导致了被测设备拒绝服务,并进行了漏洞问题的分析。研究表明,利用工控协议的Fuzzing测试技术可以有效地进行工控信息安全的漏洞挖掘工作。     

针对异构协议的动态解析器模型

介绍了异构协议报文格式和特点,通过使用XML语言描述可扩展协议报文的方法,以简单协议解析为基础,将解析器功能模块化,从而设计此异构协议动态解析器模型.应用此模型实现不必重新编译,只需进行少量代码修改,即可完成异构协议报文自动模型匹配,进而完成报文数据解析.针对两种简单协议进行模型应用,结果表明使用XML语言描述协议报文的方法及可重构的解析器能够有效地描述和解析异构协议报文,获得可靠的解析结果.     

一种针对工控设备的资产探测方法

探测是安全的第一步，对于工控设备资产信息进行有效的探测和获取是实现工业互联网信息监测和安全漏洞发现的重要起点。结合modbus、s7、dnp3和BACnet四种工控协议的通信机制和数据报文结构提出了一种针对运行在不同工控协议上的工控设备的并发进行资产探测的通用方法。通过实验证明，该方法较传统的探测方式在功能上具有通用性，在性能上提高了对工控设备的资产信息探测速率和准确率，可以为工控设备的安全预警、设备检测与维护提供帮助。     

Wireshark环境下的网络协议解析与验证方法

网络协议解析通过程序分析网络数据包的协议头及其负载,是一系列网络功能的基础。分析了Wireshark的功能、作用、体系结构以及开发环境,给出了Wireshark在Windows系统下对网络协议解析的两种方法,总结了两种方法的特性。实验结果表明,在两种方式下添加的协议解析器都能正确解析网络数据包相应协议并分析数据包的负载内容,对网络协议的解析与验证及网络数据包的内容分析具有借鉴意义。     

基于状态的工控协议Fuzzing测试技术

针对传统Fuzzing测试应用于工控系统存在测试覆盖率和有效性低、异常监测手段受限等不足,提出了一种基于状态的工控协议Fuzzing测试方法。该方法采用XML脚本对协议状态机进行描述,设计了基于协议状态机的测试序列生成算法PSTSGM,对被测对象进行状态引导以求达到更高的命中率和覆盖率。提出了基于心跳的异常监测与定位方法HFDLM,采用心跳探测和循环定位的方式,对被测嵌入式设备进行异常行为监测和异常用例定位。设计并实现了基于中间人代理的模糊测试原型系统SCADA-Fuzz,对电力SCADA系统进行了测试。实验结果表明,利用状态引导的测试能够有效发现安全漏洞。     

Oracle通信TNS协议中请求报文的解析

由于Oracle数据库的内部细节不公开,对其进行安全审计时,需要解析服务器与客户端通信的TNS协议.但已有的TNS协议解析层次不够深入,适用的数据库服务器、客户端以及操作系统、TNS协议版本范围有限,常用的协议逆向方法对于协议的负载部分解析能力有限.本文针对常用的数据库服务器、客户端以及TNS协议版本,在windows和linux操作系统下,提出一个通用的Oracle通信TNS协议请求报文解析方案.针对字节数多、意义不明的报文段,使用数据挖掘的方式获取字段值与结构的关系,以确定具体的报文格式.在实际系统中的应用表明,提出的方案可以有效解析现场采集的大量数据,从请求报文中提取出SQL语句.在对解析结果进行后期校正后,可以达到所有数据包无异常解析.     

工控物联网认证协议与密钥协商算法研究

随着物联网在工控领域发展的深入,终端设备的安全性显得尤为重要。文章以工控物联网为背景,研究了现有物联网认证协议与密钥协商算法所存在的问题,提出了基于工控物联网的轻量级双向认证协议和改进的McCullagh-Barreto密钥协商算法。该认证协议可为终端设备提供身份认证,密钥协商算法可为该认证协议的通信保驾护航,两者的完美结合保证了工控物联网环境的安全。