工业控制网络多模式攻击检测及异常状态评估方法

面向工控网的攻击策略多种多样,其最终目的是导致系统进入临界状态或危险状态,因此,基于设备状态异常的攻击检测方式相较于其他检测方法更为可靠.然而,状态异常检测中存在攻击结束时刻难以准确界定的问题,构建攻击策略及系统异常状态描述模型,基于此,提出基于状态转移概率图的异常检测方案,实验结果表明该方案能够有效检测多种攻击方式.另外,针对语义攻击对系统状态影响的定量评估难题,提出基于异常特征和损害程度指标融合分析的攻击影响定量评估方法,实现系统所处不同阶段时状态的定量评估与分析.该项工作对于识别攻击意图有重要的理论价值和现实意义.     

基于小波分析与信息熵的DDoS攻击检测算法

DDoS(Distributed Denial of Service)攻击检测方法中,基于网络流量自相似性的检测方法作为一种异常检测方法,对网络流量变化情况比较敏感,检测率较高,然而同时也存在误报率较高的问题。对传统自相似方法以及网络中可能引起流量异常的事件进行分析,在此基础上提出一种改进的检测算法WAIE。WAIE采用小波分析的方法计算网络流量的Hurst指数并引入信息论中的信息熵对源IP地址的分散程度进行度量,根据初始阶段Hurst指数及熵值的变化自适应地设定阈值以检测攻击的发生。采用MIT林肯实验室发布的数据集以及实验室环境下采集的数据集进行实验,实验结果表明该算法能准确检测到攻击的发生。     

基于攻击图的表述性状态传递安全分析与评估

针对表述性状态传递（REST）架构本身安全机制不够完善的问题,提出基于攻击图的REST架构安全分析与评估,利用攻击图实现了对REST架构的安全性量化评估。首先,对REST架构可能受到的攻击进行了预测,据此构造了REST架构攻击图模型,并计算了攻击可能性指标和攻击实现度指标。然后,针对攻击图中的攻击状态及攻击行为,提出了安全防护措施,据此重新构造了REST架构攻击图模型,并计算了攻击可能性指标和攻击实现度指标。经比较,采用安全防护措施后,攻击可能性指标降低至原来的约1/10,攻击实现度指标降低至原来的约1/86。比较结果表明,所构造的攻击图模型能够对REST架构的安全性能进行有效的量化评估。     

基于目标项目识别的用户概貌攻击检测算法

为了准确检测协同过滤推荐系统中的用户概貌注入攻击,从攻击的目的性考虑,通过对攻击概貌中目标项目与填充项目之间的特征差异进行分析,提出一种项目评分背离度的计算方法;利用项目评分背离度来确定受攻击的目标项目,并在此基础上提出一种基于目标项目识别的用户概貌注入攻击检测算法.实验结果表明,该算法进一步提高了攻击检测的精度,确保了系统推荐的质量.     

基于变动和式累积检验算法的DDoS攻击检测

在SYN Flooding攻击检测中,为了检测算法能够实时快速准确地完成检测功能,在异常发生时能够在最短时间内发出警告,同时又必须保证警告结果的准确.根据网络TCP通信业务中SYN数据包与FIN(RST)数据包流量的变化特点,利用变动和式累积检验算法PCUSUM建立检测系统,对归一化后的SYN包与FIN(RST)包差值进行实时监控,检测网络流量异常.检测过程中,算法不需要建立正常业务和攻击行为的详细模型,仿真结果表明,在保持相同检测准确度情况下,算法对SYN Flooding攻击具有较短的报警时间,提高了检测系统的性能.     

基于近邻参考集与E2LSH加速的姿态敏感器故障检测

为满足高维、多状态姿控敏感器遥测数据的实时故障检测,提出了一种基于局部敏感哈希和子空间异常因子的故障检测算法.算法通过局部敏感哈希索引的建立和使用,检测全局故障点;通过子空间异常因子的计算,检测子空间故障点.提出了近似邻近参考集与缓存桶的概念,降低算法的时间复杂度.ZDPS-2卫星的姿控敏感器数据分析结果表明,该方法故障查准率89.3%,查全率100%,且泛化性能优于原始的子空间异常程度算法.该算法解决了原始的子空间异常程度算法实时性低、检测全局故障困难问题,可以满足姿控敏感器实时故障检测需求.     

一种轻量级的SYN Flooding攻击检测方法

提出了一种轻量级的源端DDoS攻击检测的有效方法.本方法基于Bloom Filter技术对数据包信息进行提取,然后使用变化点计算方法进行异常检测,不仅能够检测出SYN Flooding攻击的存在,而且能够避免因为正常拥塞引起的误报.重放DARPA数据实验表明,算法的检测结果与类似方法相比更精确,使用的计算资源很少.     

基于多维熵值分类的骨干网流量异常检测研究

针对高速骨干网上异常检测要求高检测效率和低误报率问题,提出了一个基于多维流量数据熵值分类方法.在多个不同维度上采用熵度量流量数据的分布特征,提出了多维高效熵值计算算法有效减低熵值计算的时间和空间复杂度;在每个时间窗口上把不同维度熵值序列排列成检测向量,采用一类支持向量机对检测向量进行分类;对支持向量机分类判断过程中可能出现误报的情况,提出多窗口关联检测算法,通过在多个连续时间窗口上对异常向量进行多窗口关联检测,最终判断异常是否发生.通过在真实网络流量数据集上的两个对比实验,验证了本文算法在检测效率方面随着网络流量和攻击流量的增加时间和空间开销增长较为平缓,在检测精度方面也取得了令人满意的效果.     

基于指标依赖模型构建与监控的攻击检测方法

随着攻击技术的不断演进,防御的难度也与日俱增.为了及时有效地识别和阻断攻击的实施,学术界与工业界已提出众多基于攻击检测的防御技术.现有的攻击检测方法主要着眼于攻击事件,通过识别攻击特征或者定位异常活动来发现攻击,分别具有泛化性和攻击导向性不足的局限性,容易被攻击者精心构造的攻击变种绕过,造成漏报和误报.然而本文根据观察发现,尽管攻击及其变种可能采用众多不同的攻击机制来绕过一些防御措施,以实现同一攻击目的,但由于攻击目的不变,这些攻击对系统的影响依然具有相似性,因此所造成的系统影响并不会随攻击手段的大量增多而随之产生对应的增长.针对该特点,本文提出基于攻击指标依赖模型的攻击检测方法以更有效地应对攻击变种.本文所提出的指标依赖模型着眼于漏洞利用后对系统的影响而非变化多样的攻击行为,因此具有更强的泛化能力.基于模型指导,我们进一步采用多层次监控技术,以迅速捕获定位攻击迹,最终实现对目标攻击与变种的精确检测,有效降低攻击检测的误报率.本文在DARPA透明计算项目以及典型APT攻击组成的测试集上与现有的基于攻击事件分析的检测方法进行实验对比,实验表明在预设场景下本文所提出的方法可以以可接受的性能损耗实现99.30%的检出率.     

动态传感网络主节点恶意攻击检测仿真

动态传感网络是一种点对点结构的网络,有着多跳、无中心、自组织网络等特点,主节点会根据需要发生变动,导致网络拓扑结构也随之改变.传统的受恶意攻击主节点检测方法是根据固定拓扑结构设定的属性指标进行检测,针对拓扑结构经常变动的动态传感网络中受恶意攻击主节点检测准确性不高.提出利用加权平均算法的动态传感网络恶意行为检测方法,对节点的变化恶意信息进行加权,将节点特殊标记信息所携带的数据进行加权,使得各个节点的加权因子比较合理,对整个节点网络的加权平均控制在一定范围内,对恶意行为进行检测.通过对改进算法进行仿真验证,结果表明,提出的方法在入侵检测和屏蔽恶意代码攻击方面有着良好的效果.     

基于行为模型的工控异常检测方法研究

目前,工业控制系统(Industrial Control Systems,ICS)网络安全已经成为信息安全领域的重点问题,而检测篡改行为数据及控制程序等攻击是ICS网络安全的难点问题,据此提出了基于行为模型的工控异常检测方法。该方法从工控网络流量中提取行为数据序列,根据ICS的控制和被控过程构建正常行为模型,通过比较分析实时提取的行为数据与模型预测的行为数据,判断是否出现异常。通过实验分析,验证了所提方法能有效实现对篡改行为数据及控制程序等攻击的异常检测。     

新型工业控制系统勒索蠕虫威胁与防御

工业控制系统（ICS）的大规模攻击对于电力生产、输配电、石油化工、水处理和传输等涉及国计民生的关键基础设施是一个巨大的威胁,目前提出的针对ICS的勒索蠕虫受限于工控网络隔离的特性,难以大规模传播。基于观察到的ICS实际开发场景,针对ICS高度隔离化的问题,提出一种基于新的攻击路径的勒索蠕虫威胁模型。此威胁模型首先将工程师站作为初次感染目标,然后以工程师站作为跳板,对处于内部网络的工业控制设备进行攻击,最后实现蠕虫式感染和勒索。基于此威胁模型,实现了ICSGhost——一种勒索蠕虫原型。在封闭的实验环境中,ICSGhost能够以预设的攻击路径对ICS进行蠕虫式感染;同时,针对该勒索蠕虫威胁,讨论了防御方案。实验结果表明此种威胁切实存在,并且由于其传播路径基于ICS实际的开发场景,较难检测和防范。     

基于攻击图的工控系统脆弱性量化方法

提出了一种基于攻击图的工控系统脆弱性量化研究方法. 从工控系统中存在的漏洞利用难度和漏洞危害性两个维度出发, 同时结合具体的工业系统中有关防御强度、攻击强度、物理损失、信息损失等方面, 提出了一系列的脆弱性量化指标, 制定了比较全面的等级划分标准. 之后将量化指标与攻击图相结合, 利用攻击过程中每一步的原子攻击期望来对可能存在的所有攻击路径进行脆弱性分析. 最后以典型的锅炉控制系统作为实验背景进行了案例分析. 实验结果表明, 该方法能够较全面地分析工控系统中潜在的隐患威胁, 科学合理地评估各条攻击路径的脆弱性, 由此得到总攻击期望最大的攻击路径.     

工业控制系统安全态势感知技术研究

工业控制系统(简称工控)是国家关键基础设施的核心,越来越多的工作开始关注工控系统安全。然而,这些工作的实际应用场景并不统一,因此他们取得的成果无法相互借鉴。为了解决这个问题,在深入研究这些安全技术的基础上,我们提出了工控系统安全态势感知(Situational Awareness for Industrial Control Systems Security,SA-ICSS)框架,该框架由态势觉察、态势理解和态势投射三个阶段构成。在态势觉察阶段,我们首先利用网络测绘和脆弱性发现技术获取完善的目标系统环境要素,如网络拓扑和漏洞信息;其次,我们将入侵检测和入侵诱捕等5种设备部署在目标系统中,以便从控制系统中捕获所有的可疑活动。在态势理解阶段,我们首先基于结构化威胁信息表达(Structured Threat Information Expression,STIX)标准对目标系统进行本体建模,构建了控制任务间的依赖关系以及控制任务与运行设备的映射关系;其次,自动化推理引擎通过学习分析师推理技术,从可疑活动中识别出攻击意图以及目标系统可能受到的影响。在态势投射阶段,我们首先利用攻击图、贝叶斯网络和马尔科夫模型从可疑活动中构建攻击模型;其次,我们利用现有的威胁评估技术从攻击模型中预测可能发生的攻击事件、可能被感染的设备以及可能存在的零日漏洞。我们阐述了SA-ICSS各个阶段的任务范围,并对其中的关键技术进行了分析与总结。最后,我们还探讨了SA-ICSS待解决的若干问题。     

A security and authentication layer for SCADA/DCS applications

Mid 2010, a sophisticated malicious computer worm called Stuxnet targeted major ICS systems around the world causing severe damages to Siemens automation products. Stuxnet proved its ability to infect air-gapped-segregated critical computers control system. After this attack, the whole ICS industry security was thrust into spotlight. Automation suppliers have already started to re-think their business approach to cyber security. The OPC foundation have made also significant changes and improvements on its new design OPC-UA to increase security of automation applications but, what is still missing and seems to be not resolved any time soon is having security in depth for industrial automation applications. In this paper, we propose a simple but strong security control solution to be implemented as a logic level security on SCADA and DCS systems. The method presented in this work enforces message integrity to build trusts between DCS system components, but it should not be viewed as the main nor the only protection layer implemented on an industrial automation system. The proposed solution can be viewed as a low-level security procedure to avoid malicious attacks such as Stuxnet.     

基于模糊集和熵的工控系统灰色风险评估模型

为减少工业控制系统(ICS)风险评估中专家主观性的影响,使评估结果体现资产在可用性、完整性和机密性(AIC)3个方面不同的安全需求,提出一种基于模糊集和熵的灰色风险评估模型。结合威胁种类和安全目标,建立风险评估指标体系;引入模糊集和信息熵对权重的计算方法进行改进;将灰色理论用于风险评估,计算出ICS整体的风险、各设备风险以及设备在AIC这3方面面临的不同风险。对民航某ICS的应用结果表明,该模型能较为全面地评估系统的风险,为ICS防护提供重要依据。     

基于容器的轻量级工业控制系统网络安全测试床研究

针对现有工业控制系统(ICS)测试床部署成本高、网络拓扑简单固定、难以共享等问题,提出了一种基于容器的轻量级ICS网络安全测试床构建方法。该方法将田纳西—伊斯曼过程模型及其控制算法分别封装为两类Docker容器镜像,根据Web图形化界面绘制工业控制网络拓扑,自动配置容器接口并连接成仿真工控网络,最终实现具有真实的工业控制网络数据流的ICS网络安全测试床。实验结果表明,该方法仅需要较少的系统资源,就可快速实现给定网络拓扑的测试环境,支持多种网络攻击测试,相比于其他ICS测试床,具有更好的资源使用、加载速度和可移植性,有利于ICS网络安全的测试、研究和教学工作。     

面向工业控制系统的灰色层次信息安全评估模型

工业控制系统（IndustrialControlSystem,ICS）信息安全评估是确保工业控制系统安全、稳定运行的基础和保障,更是制定安全管理防范措施的指南针。文章基于ICS安全需求特殊性,结合ICS信息系统网络架构部署,给出针对ICS的安全指标体系和评估细则,并提出了自下而上、分层次、分区域的安全评估模型及相应的定量计算方法。该方法在对安全评估指标划分的基础上,对各区域指标重要性进行权重比较计算,并采用了灰色数学模糊聚类计算,消除了评估人员的主观不确定因素,最终计算得到安全等级。测评案例表明,该模型减轻了安全测评人员的综合评价任务,实现了ICS安全的定量评价,提高了安全评估的准确性,为工业控制系统的安全提供保障。     

面向进程多变体软件系统的攻击面定性建模分析

攻击面是衡量软件系统安全性的一个重要指标,采用攻击面描述可以通过集合的方式描述软件系统的安全性并对其进行度量。一般的攻击面模型基于I/O自动机模型对软件系统进行建模,其一般采用非冗余的架构,难以应用于类似多变体系统这类异构冗余的系统架构。Manadhatad等提出了一种在非相似余度系统中进行攻击面度量的方式,但其采用的系统架构表决粒度和表决方式与多变体系统不同,无法准确度量多变体系统的攻击面。因此,在传统攻击面模型基础上,结合多变体系统异构冗余架构的特点,对传统攻击面模型进行扩展,并构建多变体系统的攻击面模型;使用形式化方式表示多变体系统的攻击面,根据多变体系统在系统出口点处的表决机制对传统攻击面模型进行改进,以使其能解释多变体系统攻击面缩小的现象,通过该建模方式,能够说明采用多变体架构的多变体系统在运行过程中攻击面的变化。采用了两组多变体执行架构的软件系统进行实例分析,分别通过与未采用多变体架构的功能相同的软件系统在未受攻击和遭受攻击两种情境下进行攻击面的对比分析,体现多变体系统在攻击面上的变化。结合攻击面理论与多变体执行系统的特点提出了一种面向多变体执行系统的攻击面建模方法,目前可以定性分析多变体执行系统攻击面的变化,未来将在定量分析多变体执行系统攻击面的方向继续进行深入研究。     

基于工控业务仿真的高交互可编程逻辑控制器蜜罐系统设计实现

工控蜜罐的诱捕能力受仿真程度显著影响，针对现有工控蜜罐缺乏业务逻辑仿真的问题，提出了一种基于工控业务仿真的高交互可编程逻辑控制器（PLC）蜜罐设计框架和搭建方法。首先，基于工控系统的交互层次提出了一种新的工控系统（ICS）蜜罐分类方法；然后，根据工控设备的不同仿真维度，将蜜罐诱捕过程分为过程仿真循环和服务仿真循环；最后，通过定制的数据转存模块将过程数据转换到服务仿真循环中，以实现业务逻辑数据的实时响应。实验以西门子S7-300 PLC设备为参考，结合典型工控蜜罐软件Conpot和建模仿真工具Matlab/Simulink，实现了信息服务仿真和控制过程仿真的协同工作。实验结果表明，相较于Conpot，高交互PLC蜜罐系统新增了11种西门子S7设备私有功能，其中读（04 Read功能码）写（05 Write功能码）操作实现了对PLC的I区7个通道的监测和Q区1个通道的控制。这种全新的蜜罐系统突破了现有交互层次和方式的局限，为工控蜜罐设计拓展了新方向。