[發(fā)明專利]一種基于業(yè)務(wù)建模的語(yǔ)義級(jí)安全審計(jì)方法

有效

• 申請(qǐng)?zhí)枺?/td>: 202010416553.0
• 申請(qǐng)日: 2020-05-18
• 公開(kāi)（公告）號(hào): CN111339785B
• 公開(kāi)（公告）日: 2021-02-05
• 發(fā)明（設(shè)計(jì)）人: 陳昕偉;雷濛;郭賓;羅怡靚;楊杰;馬遠(yuǎn)洋;趙宇;章渠豐;朱奕輝
• 申請(qǐng)（專利權(quán)）人: 杭州木鏈物聯(lián)網(wǎng)科技有限公司
• 主分類號(hào): G06F40/30
• 分類號(hào): G06F40/30;H04L29/06
• 代理公司: 杭州華知專利事務(wù)所(普通合伙) 33235
• 代理人: 束曉前

1.一種基于業(yè)務(wù)建模的語(yǔ)義級(jí)安全審計(jì)方法，其特征在于，包括以下步驟：

S1：接收業(yè)務(wù)建模指令，讀取工業(yè)控制系統(tǒng)的組態(tài)文件，并對(duì)組態(tài)文件的內(nèi)容進(jìn)行識(shí)別和解析；

S2：進(jìn)行業(yè)務(wù)建模，按照預(yù)置格式生成業(yè)務(wù)規(guī)則集合；

S3：接收流量監(jiān)測(cè)指令，獲取工業(yè)控制系統(tǒng)中的網(wǎng)絡(luò)通訊流量，基于OSI模型對(duì)流量進(jìn)行逐層拆解，得到應(yīng)用層數(shù)據(jù)內(nèi)容；

S4：接收深度解析指令，基于流量對(duì)應(yīng)的工業(yè)控制協(xié)議格式，對(duì)應(yīng)用層數(shù)據(jù)內(nèi)容進(jìn)行深度解析，得到與工業(yè)過(guò)程控制相關(guān)的信息；

S5：接收語(yǔ)義識(shí)別指令，識(shí)別數(shù)據(jù)包對(duì)應(yīng)的操作語(yǔ)義，將控制指令、參數(shù)對(duì)應(yīng)到設(shè)備操作行為；

S6：接收合法性判斷指令，對(duì)數(shù)據(jù)操作語(yǔ)義的合法性進(jìn)行判斷，識(shí)別出帶有惡意行為的流量；

步驟S2中的所述業(yè)務(wù)規(guī)則集合的預(yù)設(shè)格式為被控設(shè)備，寄存器地址，被控變量，變量值域，變化規(guī)則；所述變化規(guī)則包括變化特征、時(shí)間范圍T和指定數(shù)量N，所述變化特征包括遞增、遞減、變化幅度和變化頻率；

步驟S4中的所述信息包括請(qǐng)求數(shù)據(jù)包中的控制指令及其參數(shù)以及響應(yīng)數(shù)據(jù)包中的數(shù)據(jù)、狀態(tài)內(nèi)容；

步驟S5中的識(shí)別過(guò)程為：根據(jù)功能碼進(jìn)行初步識(shí)別，當(dāng)功能碼為編程相關(guān)指令時(shí)，識(shí)別為設(shè)備編程操作；當(dāng)功能碼為關(guān)閉PLC的相關(guān)指令時(shí)，識(shí)別為設(shè)備啟停操作；當(dāng)功能碼為寫(xiě)寄存器或?qū)懢€圈等寫(xiě)操作指令時(shí)，識(shí)別為控制操作；對(duì)所述控制操作進(jìn)行進(jìn)一步的識(shí)別，對(duì)照業(yè)務(wù)規(guī)則集合，根據(jù)參數(shù)中的寄存器地址匹配對(duì)應(yīng)的被控設(shè)備和被控變量；

步驟S6中的所述的合法性判斷流程為：

S6.1：獲取步驟S5生成的數(shù)據(jù)包的操作語(yǔ)義作為輸入；

S6.2：若數(shù)據(jù)包的操作語(yǔ)義為設(shè)備編程操作，則判定為非法流量，反之則進(jìn)入步驟S6.3；

S6.3：若數(shù)據(jù)包的操作語(yǔ)義為設(shè)備啟停操作，則判定為非法流量，反之則進(jìn)入步驟S6.4；

S6.4：根據(jù)被控變量對(duì)應(yīng)的業(yè)務(wù)規(guī)則，獲取被控變量的值域范圍；

若被控變量的數(shù)值超出值域范圍，則判定為非法流量反之則進(jìn)入步驟S6.5；

S6.5：根據(jù)被控變量對(duì)應(yīng)的業(yè)務(wù)規(guī)則，獲取被控變量的變化規(guī)則，并獲取時(shí)間范圍T操作同一被控變量的關(guān)聯(lián)歷史數(shù)據(jù)，若數(shù)據(jù)量小于指定數(shù)量N，則判定為合法流量，反之則進(jìn)入S6.6；

S6.6：使用預(yù)設(shè)的統(tǒng)計(jì)方法對(duì)被控變量數(shù)據(jù)值的變化規(guī)律進(jìn)行識(shí)別，若被控變量數(shù)據(jù)值的變化規(guī)律符合對(duì)應(yīng)業(yè)務(wù)規(guī)則中的變化規(guī)則，判定為合法流量，反之則判定為非法流量。

2.根據(jù)權(quán)利要求1所述的基于業(yè)務(wù)建模的語(yǔ)義級(jí)安全審計(jì)方法，其特征在于，步驟S6.2中判定的依據(jù)為：工業(yè)控制系統(tǒng)在運(yùn)行期間不需要對(duì)控制設(shè)備進(jìn)行重新編程。

3.根據(jù)權(quán)利要求1所述的基于業(yè)務(wù)建模的語(yǔ)義級(jí)安全審計(jì)方法，其特征在于，步驟S6.3中判定的依據(jù)為：控制設(shè)備的啟停操作需嚴(yán)格審批才可執(zhí)行，工業(yè)控制系統(tǒng)在運(yùn)行期間啟停控制設(shè)備將直接影響工業(yè)生產(chǎn)過(guò)程。

4.根據(jù)權(quán)利要求1所述的基于業(yè)務(wù)建模的語(yǔ)義級(jí)安全審計(jì)方法，其特征在于，步驟S6.4中判定的依據(jù)為：被控變量的數(shù)值在工業(yè)控制系統(tǒng)正常運(yùn)行期間應(yīng)在其值域范圍內(nèi)，超出值域范圍會(huì)對(duì)產(chǎn)品及生產(chǎn)設(shè)備造成損壞。

5.根據(jù)權(quán)利要求1所述的基于業(yè)務(wù)建模的語(yǔ)義級(jí)安全審計(jì)方法，其特征在于，步驟S6.5中判定的依據(jù)為：當(dāng)被控變量的數(shù)據(jù)量不足時(shí)，無(wú)法準(zhǔn)確識(shí)別其變化特征，待數(shù)據(jù)量增多后，該數(shù)據(jù)會(huì)作為歷史數(shù)據(jù)支撐對(duì)新數(shù)據(jù)進(jìn)行合法性判斷。

6.根據(jù)權(quán)利要求1所述的基于業(yè)務(wù)建模的語(yǔ)義級(jí)安全審計(jì)方法，其特征在于，步驟S6.6中判定的依據(jù)為：當(dāng)被控變量數(shù)據(jù)值的變化規(guī)律不符合變化規(guī)則時(shí)，則認(rèn)定為攻擊導(dǎo)致被控變量偏離工藝要求。