[發明專利]一種面向工業控制系統的多步攻擊建模方法及系統

有效

• 申請號: 202210438285.1
• 申請日: 2022-04-25
• 公開（公告）號: CN115037508B
• 公開（公告）日: 2023-08-22
• 發明（設計）人: 王佰玲;陳翊璐;王子博;魏玉良;辛國棟
• 申請（專利權）人: 哈爾濱工業大學（威海）;威海天之衛網絡空間安全科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/14;H04L41/12
• 代理公司: 威海恒譽潤達專利代理事務所(普通合伙) 37260
• 代理人: 郭瑩

一種面向工業控制系統的多步攻擊建模方法及系統，其包括進行系統拓撲分析和系統漏洞處理以生成攻擊圖；根據各物理組件設備的功能依賴關系構建與或圖；根據攻擊圖和與或圖生成與或攻擊圖；對與或攻擊圖進行擴展，其解決了現有的攻擊建模方法存在著復雜性較高的技術問題，且本發明使得安全分析人員從全局掌握攻擊者行為及其意圖，充分了解工控系統當前所面臨的威脅情況，可廣泛應用于大數據處理領域。

技術領域

本發明涉及大數據處理領域，尤其是涉及一種面向工業控制系統的多步攻擊建模方法及系統。

背景技術

工業控制系統與互聯網技術不斷融合，原有的封閉環境逐漸被打破，此外，工控系統原有的組態軟件、通信協議、可編程邏輯控制器、執行器等同樣存在著安全漏洞。近年來，針對工控系統的安全事件往往綜合利用多個漏洞組合成多步攻擊，最終影響工控系統物理執行層設備的正常運作。因此，對多個漏洞組合攻擊以及非聯網設備進行攻擊建模，使得威脅分析人員能夠及時掌握當前環境下的安全情況尤為重要。目前，針對工控系統的攻擊建模方法有傳統攻擊建模方法和新型攻擊建模方法等。

傳統攻擊建模方法包括攻擊樹和攻擊圖方法等。攻擊樹模型通過根節點和葉節點展示攻擊行為與結果，從根節點到葉節點的路徑即為攻擊路徑。在分析復雜多步攻擊進行時，攻擊樹顯露出數據結構龐大、分析效率低等不足。攻擊圖模型能夠比攻擊樹模型展示更復雜的攻擊情況，可以枚舉攻擊者能成功到達的所有可能路徑并實現可視化，是分析多步驟組合攻擊的重要工具。然而攻擊圖往往利用網絡可達行關系生成，缺少考慮到工控系統物理過程層的非聯網設備。此外，傳統攻擊建模方法往往聚焦于系統脆弱性的具體信息，忽略了攻擊者的全局攻擊目的以及攻擊行為之間的關聯，使得安全分析人員在理解攻擊場景時具有一定的困難。

針對近年來頻發的APT新型攻擊，殺傷鏈、MITRE?ATTCK模型等被相繼提出。殺傷鏈模型基于攻擊生命周期從較高抽象層次展示攻擊者目標和防護系統風險，難以表達具體的攻擊行為及其所關聯的具體數據、防護措施、配置資源等。MITRE?ATTCK模型在殺傷鏈模型基礎上，圍繞戰術、技術和流程從抽象目的、實施技術到具體實例對攻擊進行了描述，更貼近真實攻擊者的行為。雖然MITRE?ATTCK模型為攻擊實現提供了詳細分析，但詳細的自然語言使得機器難以理解，在一定程度上增加了攻擊分析的復雜性。

發明內容

為解決上述技術問題，本發明提供一種面向工業控制系統的多步攻擊建模方法及系統。

本申請實施例的第一方面提供了一種面向工業控制系統的多步攻擊建模方法，其包括：

進行系統拓撲分析和系統漏洞處理以生成攻擊圖；

根據各物理組件設備的功能依賴關系構建與或圖；

根據所述攻擊圖和所述與或圖生成與或攻擊圖；

對所述與或攻擊圖進行擴展。

優選的，所述攻擊圖的生成，具體通過以下方式實現：

通過系統網絡拓撲分析掌握系統設備信息和初始拓撲結構，利用拓撲掃描和漏洞掃描工具更新拓撲信息，收集漏洞信息；根據安全信息庫抽取漏洞的前后置條件、影響產品、攻擊模式、攻擊后果信息，基于設備、拓撲和漏洞信息，采用廣度優先搜索算法生成聯網設備攻擊圖。

優選的，所述系統拓撲分析，具體通過以下方式實現：

分析系統設計文檔中的系統設備及其連接關系，獲得初始階段的系統拓撲結構，并收集設備的網絡信息，使用掃描工具在不影響系統正常工作的情況下對工控設備進行探測，更新工控系統拓撲結構，從而更新所述的攻擊圖；同時，根據掃描結果、配置文件提取并保存設備IP、類型、廠商、通信信息。

優選的，所述系統漏洞處理，具體通過以下方式實現：