[發明專利]一種用于工控協議的流量重放式測試方法及測試引擎

有效

• 申請號: 202010540777.2
• 申請日: 2020-06-15
• 公開（公告）號: CN111756714B
• 公開（公告）日: 2022-05-20
• 發明（設計）人: 張嘉瑋;何躍鷹;張曉明;楊立群;曹可建;孫中豪;羅冰;邢燕禎;谷杰銘;郭濤;李明柱;陳湧;葉青
• 申請（專利權）人: 國家計算機網絡與信息安全管理中心;北京信聯科匯科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/12
• 代理公司: 南京經緯專利商標代理有限公司 32200
• 代理人: 田凌濤

1.一種用于工控協議的流量重放式測試方法，用于實現對目標工控設備的安全性測試，其特征在于，包括數據庫構建方法與流量重放測試方法，其中，數據庫構建方法包括如下步驟A至步驟C：

步驟A.針對各類工控協議應用下的傳輸流量進行收集，獲得對應各類工控協議的各個原始流量包，然后進入步驟B；

步驟B.基于各類工控協議分別所對應的預設模板，分別針對各個原始流量包，應用相應工控協議所對應預設模板中配置的協議功能碼，針對原始流量包進行解析，獲得其中至少包括工控協議名稱、流量功能碼、源IP地址、目的IP地址、目的端口的各個指定數據信息，作為該原始流量包所對應的各個指定數據信息；進而獲得各原始流量包分別所對應的各個指定數據信息，然后進入步驟C；

步驟C.將各個原始流量包、以及原始流量包所對應的各個指定數據信息，存儲至預先構建的流量重放配置管理庫中，獲得流量重放配置管理庫；

基于數據庫構建方法所獲得的流量重放配置管理庫，流量重放測試方法包括如下步驟I至步驟III：

步驟I.針對目標工控設備，由流量重放配置管理庫中選擇符合目標工控設備所對應工控協議、以及測試設計方案中測試功能目的原始流量包，作為待測試流量包，然后進入步驟II；

步驟II.根據測試設計方案，針對待測試流量包進行編輯，修正其中的源IP地址，以及根據目標工控設備，修正其中目的IP地址、目的端口，更新待測試流量包，構成重放流量包，并按預設發包機制，將重放流量包發送至目標工控設備，然后進入步驟III；

步驟III.接收來自目標工控設備接收重放流量包的反饋流量包，并對反饋流量包進行解析，判斷反饋流量包中的信息與重放流量包所對應的測試功能目標是否一致，是則表示目標工控設備存在該測試功能方面的漏洞，否則表示目標工控設備不存在該測試功能方面的漏洞。

2.根據權利要求1所述一種用于工控協議的流量重放式測試方法，其特征在于：所述流量重放測試方法中：

步驟I.針對目標工控設備，由流量重放配置管理庫中選擇符合目標工控設備所對應工控協議、以及測試設計方案中測試功能目的各個原始流量包，作為各個待測試流量包，然后進入步驟II；

步驟II.根據測試設計方案，分別針對各個待測試流量包進行編輯，修正其中的源IP地址，以及根據目標工控設備，修正其中目的IP地址、目的端口，更新各個待測試流量包，并根據測試設計方案，組合各個待測試流量包，構成重放流量包，并按預設發包機制，將重放流量包發送至目標工控設備，然后進入步驟III。

3.根據權利要求1或2所述一種用于工控協議的流量重放式測試方法，其特征在于：所述流量重放測試方法的步驟II中，針對待測試流量包進行編輯中，若待測試流量包中存在用于完整性與一致性的校驗和字段，則針對該校驗和字段重新計算，結合針對待測試流量包的其它編輯，更新待測試流量包。

4.根據權利要求1或2所述一種用于工控協議的流量重放式測試方法，其特征在于：所述數據庫構建方法的步驟B中，應用相應工控協議所對應預設模板中配置的協議功能碼，針對原始流量包的解析中，還包括獲得其中的流量速率；

所述流量重放測試方法的步驟II中，針對重放流量包，按照預設發包機制，以原始流量包的流量速率、或者預設流量重放配置速率，將重放流量包發送至目標工控設備。

5.根據權利要求1或2所述一種用于工控協議的流量重放式測試方法，其特征在于：所述對應各類工控協議的各個原始流量包支持正常數據包、異常數據包、病毒流量庫；

其中，正常數據包包含基于各種工控協議的工控設備正常控制、數據傳輸、配置變更的工控流量數據包文件；

異常數據包包含基于各種工控協議的工控設備的組態變更、高危指令、敏感操作、越界數據、超長超短包的異常工控流量數據包文件；

病毒流量庫支持包括STUXNET震網、FLAME火焰、DUQU毒區、BlackEnergy、PLC蠕蟲、PLCRookit、勒索病毒多種變種樣本的工業病毒。