[發(fā)明專利]EPA工業(yè)控制網(wǎng)絡(luò)安全測試系統(tǒng)及方法

有效

• 申請?zhí)枺?/td>: 202010774356.6
• 申請日: 2020-08-04
• 公開（公告）號: CN111988289B
• 公開（公告）日: 2021-07-23
• 發(fā)明（設(shè)計）人: 林瑞金;葉瑞哲;隋濤;洪煒林;林豪臻
• 申請（專利權(quán)）人: 廈門理工學(xué)院
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廈門荔信航知專利代理事務(wù)所(特殊普通合伙) 35247
• 代理人: 馬小玲

1.一種EPA工業(yè)控制網(wǎng)絡(luò)安全測試方法，包括EPA工業(yè)控制網(wǎng)絡(luò)安全測試系統(tǒng)，所述EPA工業(yè)控制網(wǎng)絡(luò)安全測試系統(tǒng)包括工業(yè)控制驗證平臺(100)，用于驗證EPA工業(yè)控制網(wǎng)絡(luò)的安全性，其特征在于：所述工業(yè)控制驗證平臺(100)包括：

安全管理單元(110)，所述安全管理單元(110)用于對EPA控制網(wǎng)絡(luò)應(yīng)用層以及數(shù)據(jù)鏈路中報文的安全措施進(jìn)行管理；

報文控制單元(120)，所述報文控制單元(120)用于對數(shù)據(jù)鏈路中的EPA報文進(jìn)行控制；

通信對話聯(lián)系單元，所述通信對話聯(lián)系單元包括通信目錄，所述通信目錄記錄了所以需要通信設(shè)備的ID，其中，通信對話聯(lián)系單元和所有的報文發(fā)送方、報文接受方的通信采用不同于報文發(fā)送方和報文接受方之間通信的物理通信路徑，從而，使得即使一條物理通信路徑被截獲，報文信息或通信密鑰數(shù)據(jù)依然可以不被截獲，增加通信被截獲的難度；

通信對話聯(lián)系單元和所有報文發(fā)送方、報文接收方通信，報文發(fā)送方和報文接收方之間的通信聯(lián)系由通信對話聯(lián)系單元確認(rèn)，并提供物理地址進(jìn)行連接；

信息庫單元(130)，所述信息庫單元(130)存放了所述安全管理單元(110)所需的信息，并對其進(jìn)行操作處理；

所述安全管理單元(110)包括報文加密模塊(111)、完整性校驗?zāi)K(112)、設(shè)備鑒別模塊(113)和訪問控制模塊(114)；所述報文加密模塊(111)用于對數(shù)據(jù)鏈路中報文進(jìn)行加密；所述完整性校驗?zāi)K(112)用于保證加密后的報文在傳輸過程中的完整性；所述設(shè)備鑒別模塊(113)用于向可信中心發(fā)出鑒別請求報文；所述訪問控制模塊(114)用于控制接收所述可信中心收到的請求，并通過網(wǎng)橋與可信設(shè)備建立通信；

所述報文控制單元(120)包括報文控制模塊(121)和報文過濾模塊(122)；所述報文控制模塊(121)用于控制傳輸中的報文協(xié)議；所述報文過濾模塊(122)用于對傳輸中的報文進(jìn)行過濾；

其中，所述報文過濾模塊(122)為驗收濾波寄存器；所述驗收濾波寄存器采用CAN報文的驗收濾波寄存器，CAN控制器監(jiān)聽所有來自CAN總線上的報文，當(dāng)一個報文到達(dá)時，所述CAN控制器執(zhí)行快速的硬件搜索算法，將收到的CAN報文標(biāo)識符與驗收過濾RAM中存儲的標(biāo)識符進(jìn)行匹配；如果沒有匹配，則丟棄該報文，這個過程不會對所述CAN控制器產(chǎn)生中斷，應(yīng)用代碼仍然正常執(zhí)行；如果有匹配的標(biāo)識符，所述CAN控制器將通過置位集中接收狀態(tài)寄存器中的相應(yīng)位產(chǎn)生中斷，中斷服務(wù)程序?qū)⒃搱笪膹腃AN控制器的寄存器復(fù)制到RAM中，并通過置位CAN命令寄存器的相應(yīng)位來釋放所述CAN控制器的接收寄存器；

所述信息庫單元(130)包括信息探測模塊(131)、漏洞檢測模塊(132)、協(xié)議模塊(133)和存儲模塊(134)；所述信息探測模塊(131)用于對設(shè)備的開放端口進(jìn)行掃描、服務(wù)辨識、木馬識別和操作系統(tǒng)探測；所述漏洞檢測模塊(132)用于對所述存儲模塊(134)中的特征報文進(jìn)行掃描和檢測；所述協(xié)議模塊(133)用于所述信息庫單元(130)與所述安全管理單元(110)和所述報文控制單元(120)三者之間的信息交互；所述存儲模塊(134)用于對報文以及信息交互的數(shù)據(jù)進(jìn)行存儲；

所述信息探測模塊(131)對于非EPA識備通過發(fā)送PING或ARP報文探測設(shè)備是否存活，ARP繞過防火墻對PING的過濾；對于EPA設(shè)備，開辟捕獲線程對EPA設(shè)備聲明報文進(jìn)行解析，從而識別包括設(shè)備存活信息、MAC、IP和冗余號在內(nèi)的設(shè)備信息，并發(fā)現(xiàn)非法EPA設(shè)備，然后對發(fā)現(xiàn)設(shè)備采用包括全開掃描、半開掃描、UDP掃描在內(nèi)的端口掃描技術(shù)對目標(biāo)系統(tǒng)的UDP端口和TCP端口進(jìn)行測試，識別各端口狀態(tài)，并根據(jù)開放端口與服務(wù)映射表，進(jìn)行第一次服務(wù)辨識；對一些端口上的木馬威脅進(jìn)行識別；第二次辨識是通過與目標(biāo)系統(tǒng)建立連接后，收集返回的Banner信息，查詢服務(wù)特征庫就能識別出服務(wù)類型、軟件的名稱和版本，最后采用TTL旗幟對目標(biāo)系統(tǒng)進(jìn)行操作系統(tǒng)辨識；對于依賴通用操作系統(tǒng)的設(shè)備就需要在漏洞檢測時測試系統(tǒng)漏洞，而對于UC/OS等實時操作系統(tǒng)和無操作系統(tǒng)的EPA網(wǎng)絡(luò)設(shè)備和現(xiàn)場設(shè)備可繞過系統(tǒng)漏洞測試；

所述漏洞檢測模塊(132)通過從存儲模塊中抽取特征報文進(jìn)行掃描和檢測，測試單元從漏洞特征庫中提取測試特征指紋形成測試報文，向測試對象發(fā)送測試報文，然后偵聽檢測目標(biāo)的響應(yīng)，并收集信息，而后結(jié)合漏洞特征庫判斷EPA網(wǎng)絡(luò)是否存在安全漏洞；實際表現(xiàn)為封裝在一條測試插件中的特征匹配對，測試插件完成特征的提取，形成測試報文，接收返回信息并判斷是否存在漏洞；

所述報文加密模塊(111)采用周期性更新的秘鑰加密法；

所述周期性更新的秘鑰加密法采用秘鑰算法生產(chǎn)密文，其算法公式如下：

M＝{E(m，k)}；

其中，M為密文；E(*)為加密函數(shù)；m為原始消息；k為秘鑰；

包括如下方法步驟：

S1、通信發(fā)起方向可信中心發(fā)出鑒別請求報文，申請會話密鑰；

S2、可信中心收到鑒別請求后，如果容許則向通信雙方下發(fā)會話密鑰；

S3、報文發(fā)送方發(fā)送需要通話的報文接收方的虛擬名稱給通信對話聯(lián)系單元，通信對話聯(lián)系單元分配一個通信密鑰和報文接收方的物理地址給報文發(fā)送方，同時，發(fā)送一個通信密鑰和報文發(fā)送方的物理地址給報文接受方；從而建立報文發(fā)送方和報文接收方的通信許可；

S4、在獲得通信許可后，報文發(fā)送方將原始消息和會話密鑰進(jìn)行加密；

加密后，密文作為報文體加在安全報文頭之后交由EPA應(yīng)用實體發(fā)送，此時，通信物理路徑采用同于報文發(fā)送方、報文接受方和通信對話聯(lián)系單元之間通信的物理通信路徑；

S5、請求設(shè)備鑒別模塊(113)發(fā)送鑒別請求報文；

S6、網(wǎng)絡(luò)設(shè)備接收鑒別請求報文；

S7、接收鑒別請求報文后判斷其是否超過請求頻率；

S8、可信中心接收到鑒別請求報文，將生成的設(shè)備鑒別碼與報文中的設(shè)備鑒別碼進(jìn)行比對；

S9、報文在發(fā)送之前，報文發(fā)送方先將明文用會話密鑰通過設(shè)計的算法生成密文，密文與源IP、目的IP和操作組成報文的主體，一起發(fā)送給網(wǎng)絡(luò)設(shè)備；

S10、網(wǎng)絡(luò)設(shè)備在接收到報文后，先對報文發(fā)送的頻率進(jìn)行檢查；

S11、報文接收方在接收報文后，對于報文進(jìn)行解密，獲得明文信息；

所述周期性更新的秘鑰加密法采用解密函數(shù)進(jìn)行解密，其函數(shù)公式如下：

m＝{D(M，k)}；

其中，m為原始消息；D(*)為解密函數(shù)；M為密文；k為秘鑰；

所述鑒別請求報文主要由設(shè)備ID、設(shè)備鑒別碼和隨機(jī)數(shù)構(gòu)成，設(shè)備鑒別碼通過設(shè)備ID、安全I(xiàn)D和隨機(jī)數(shù)通過隨機(jī)算法生成，其算法公式如下：

Maut＝{A(IDdev，IDsec，C)∣IDdev∣C}；

其中，Maut為設(shè)備鑒別請求報文；A(*)為鑒別算法；IDdev為設(shè)備ID；IDsec為安全I(xiàn)D；

所述協(xié)議模塊(133)采用TCP/IP協(xié)議，TCP/IP協(xié)議包括應(yīng)用層、傳輸層、網(wǎng)絡(luò)層和數(shù)據(jù)鏈路層；

所述應(yīng)用層用于接收來自所述傳輸層的數(shù)據(jù)，同時按不同應(yīng)用要求與方式將數(shù)據(jù)傳輸至傳輸層；所述傳輸層用于為使用平臺和計算機(jī)信息網(wǎng)內(nèi)部數(shù)據(jù)結(jié)合提供通道；所述網(wǎng)絡(luò)層用于負(fù)責(zé)網(wǎng)絡(luò)中數(shù)據(jù)包的傳送；所述數(shù)據(jù)鏈路層用于提供鏈路管理錯誤檢測。

2.根據(jù)權(quán)利要求1所述的EPA工業(yè)控制網(wǎng)絡(luò)安全測試方法，其特征在于：所述可信中心接收到鑒別請求報文，通過隨機(jī)算法生成對比鑒別碼，其算法公式如下：

MAC＝{A(IDdev，IDsec，C)}；

其中，MAC為對比鑒別碼；A(*)為鑒別算法；IDdev為設(shè)備ID；IDsec為安全I(xiàn)D。