[發明專利]一種基于工業SCADA系統的深度包檢測平臺

有效

• 申請號: 201811163446.0
• 申請日: 2018-09-30
• 公開（公告）號: CN109167796B
• 公開（公告）日: 2020-05-19
• 發明（設計）人: 程鵬;王法仁;陳積明;王文海;孫優賢;王曉鵬
• 申請（專利權）人: 浙江大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 杭州求是專利事務所有限公司 33200
• 代理人: 劉靜;邱啟旺

1.一種基于工業SCADA系統的深度包檢測平臺，其特征在于：包括模擬電力系統的工業SCADA系統仿真平臺、深度包解析模塊、異常檢測模塊和入侵模塊；

工業SCADA系統仿真平臺用于模擬電力系統過程監控層與現場控制層間的典型交互模式，能夠實現Modbus/Tcp和IEC 60870-5-104的完整協議棧功能，接收和響應入侵模塊的攻擊報文，生成網絡數據流；

深度包解析模塊抓取網絡數據流進行離線解析，對網絡數據流進行分層解析，完整獲取應用層的基本字段信息；

異常檢測模塊基于所有報文的基本字段信息構建屬性集，通過屬性集補全單個報文的屬性形成完整字段信息，并根據各個字段信息的語義對各字段信息進行分類，對不同類型字段分別進行特征分析和提取，添加特征字段，實現對網絡數據流中對象語義信息的深入解析，并通過機器學習方法建立系統狀態模型；

入侵模塊基于協議脆弱性設計攻擊方式，發送攻擊報文修改、破壞系統狀態，實現系統異常狀態的模擬。

2.根據權利要求1所述的一種基于工業SCADA系統的深度包檢測平臺，其特征在于，所述工業SCADA系統仿真平臺通過Matlab中simulink模擬電力系統，同時通過組態軟件與多PLC、RTU的周期輪詢模擬現場環境Modbus/Tcp和IEC 60870-5-104協議的通訊過程，其中PLC、RTU基于docker環境部署，通過conpot和FreyrSCADA程序實現Modbus/Tcp和IEC60870-5-104PLC蜜罐在建立通訊過程中對相應協議的基礎請求和響應功能，并對每個PLC蜜罐進行docker容器封裝，模擬電力系統中的各個節點功能，針對每個節點的PLC蜜罐，通過具體對象參數配置，實現協議在現場環境中對具體目標的報文檢驗和響應功能，實現完整的協議棧功能和系統網絡架構，從而對電力系統協議場景、交互模式、網絡規模進行模擬。

3.根據權利要求1所述的一種基于工業SCADA系統的深度包檢測平臺，其特征在于，所述深度包解析模塊對報文應用層基本字段信息進行bit位的完整解析，并添加屬性標簽。

4.根據權利要求1所述的一種基于工業SCADA系統的深度包檢測平臺，其特征在于，所述異常檢測模塊基于解析結果基本字段信息構建相應協議屬性集，并以此補全形成完整字段，實現對缺失特征的利用。

5.根據權利要求1所述的一種基于工業SCADA系統的深度包檢測平臺，其特征在于，所述異常檢測模塊基于網絡數據流的協議格式對字段信息進行分析，通過各字段信息與SCADA系統中通訊功能、控制功能及過程變量信息的相關關系和字段數據類型對字段信息進行分類，將反映系統設備當前功能的非數值字段信息劃分為通訊功能字段，反映系統設備控制指令及響應行為的數值字段信息劃分為控制功能字段，反映系統被控對象過程變量值的字段信息劃分為過程變量字段。

6.根據權利要求5所述的一種基于工業SCADA系統的深度包檢測平臺，其特征在于，所述異常檢測模塊根據通訊功能字段的語義特點，分析提取其統計特征。

7.根據權利要求5所述的一種基于工業SCADA系統的深度包檢測平臺，其特征在于，所述異常檢測模塊根據控制功能字段的語義特點，分析提取其行為特征。

8.根據權利要求5所述的一種基于工業SCADA系統的深度包檢測平臺，其特征在于，所述異常檢測模塊根據過程變量字段的語義特點，分析提取其時間特征。

9.根據權利要求1所述的一種基于工業SCADA系統的深度包檢測平臺，其特征在于，所述異常檢測模塊結合提取特征字段和補全后的完整字段信息并通過樸素貝葉斯算法構建系統狀態模型。

10.根據權利要求1所述的一種基于工業SCADA系統的深度包檢測平臺，其特征在于，所述入侵模塊完整分析協議的脆弱性，獲取function code、originator address、commonadsu address、determined value、indetermined value、QOS字段對系統的影響，并在滿足協議約束的條件下，隨機變異以上字段構建并發送報文，對系統異常狀態進行全面的模擬。