[發明專利]一種面向未知工控協議的模糊測試系統和方法

在審

• 申請號: 202111112940.6
• 申請日: 2021-09-18
• 公開（公告）號: CN113886225A
• 公開（公告）日: 2022-01-04
• 發明（設計）人: 郭志民;周劼英;王丹;呂卓;楊文;許勇剛;殷樹剛;陳岑;李暖暖;張錚;蔡軍飛;李鳴巖;劉鋒;劉欣;劉潮;陳旭;胡宇宣
• 申請（專利權）人: 國網河南省電力公司電力科學研究院;國網信息通信產業集團有限公司;國家電網有限公司
• 主分類號: G06F11/36
• 分類號: G06F11/36
• 代理公司: 北京智繪未來專利代理事務所(普通合伙) 11689
• 代理人: 張紅蓮;王萍

本申請公開了一種面向未知工控協議的模糊測試系統和方法，包括：智能體利用基于分層強化學習的HRLFuzz模型，通過執行動作生成變異測試樣例；接收回報、獎勵，結合從測試樣例導出的新狀態選擇下一動作，分層強化學習生成變異測試樣例，直至獎勵最大化；消息發送模塊將測試樣例發送給工控網絡系統；工控網絡系統對測試用例進行處理得到回報和消息響應；解釋器將回報翻譯后發送至智能體；工控網絡監控模塊得到獎勵后發送至智能體，并對消息響應進行異常監控。本發明利用強化學習模型實現測試用例的變異生成，并提出工業控制協議模糊測試框架HRLFuzz，解決了已有的模糊測試方法并沒有對被測對象進行全面、完整的漏洞檢測的問題。

技術領域

本發明屬于工業控制技術領域，涉及一種面向未知工控協議的模糊測試系統和方法。

背景技術

工業控制系統(Industrial control systems，ICS)是石油和石化工業、電力系統、核電廠等關鍵基礎設施正常運行的必要設施。早期的工業控制系統是獨立于外部網絡的封閉系統，因此不太可能受到攻擊。隨著工業和制造業的發展，工業控制系統與網絡互聯互通，使其暴露在蠕蟲、木馬等外部攻擊之下，對其正常運行構成重大威脅。事實上，針對工業網絡的著名攻擊，如Stuxnet、BlackEnergy，已經在世界范圍內造成了嚴重的破壞。這表明了當前工業網絡安全形勢的嚴重性。

近年來，模糊測試(fuzz test，fuzzing)技術由于準確率高、不要求源代碼、適用性高等優點，被廣泛應用于協議漏洞挖掘。最初，使用傳統的模糊測試方法對ICPs進行測試，通過變異或生成的方法產生大量測試用例，將其作為協議實體程序的輸入，期望這些不尋常的輸入能引發協議實體異常，以提高目標程序的覆蓋率，盡可能全面地找到協議目前存在的漏洞。利用傳統模糊測試方法生成測試用例，通常只會對協議的某個狀態或者單個功能類型碼發送測試用例，能發現對應單個協議狀態或者單個功能類型碼的漏洞，但是很多安全漏洞都是由多個協議狀態或多個功能類型碼共同作用所觸發的。顯然，這些已有的模糊測試方法并沒有對被測對象進行全面、完整的漏洞檢測。

發明內容

為解決現有技術中的不足，本申請提供一種面向未知工控協議的模糊測試系統和方法。

為了實現上述目標，本發明采用如下技術方案：

一種面向未知工控協議的模糊測試系統，包括智能體、消息發送模塊、工控網絡系統、工控網絡監控模塊、解釋器；

所述智能體，用于利用基于分層強化學習的HRLFuzz(HRL：層次強化學習)模型，通過執行動作生成變異測試樣例；用于接收工控網絡系統、工控網絡監控模塊的回報、獎勵，并結合從測試樣例導出的新狀態，選擇下一動作，分層強化學習生成變異測試樣例，直至獎勵最大化；

所述消息發送模塊，用于將測試樣例發送給工控網絡系統；

所述工控網絡系統，用于通過工控網絡服務器對測試用例進行處理，得到回報和消息響應；

所述解釋器，用于將回報翻譯成HRLFuzz框架可以訪問的消息實體和消息狀態序列后發送至智能體；

所述工控網絡監控模塊，用于通過獎勵函數得到獎勵后發送至智能體，并對消息響應進行異常監控，在發現異常時，發出警報。

本發明進一步包括以下優選方案：

優選地，所述智能體包括頭域變異模塊、內容變異模塊和序列變異模塊，分別利用不同變異策略對消息變異；

所述頭域變異模塊包括length、marker、version以及command四種類型變異策略；

所述內容變異模塊的變異策略包括利用位翻轉策略發現新的路徑；

所述序列變異模塊的變異策略是將當前選擇的消息隨機插入到正確消息序列的位置，以改變狀態轉移的方向。