工控网络流量异常检测方法、装置及系统制造方法及图纸

本申请涉及一种工控网络流量异常检测方法、装置及系统，涉及网络安全技术领域，对工控网络流量数据中的请求报文和响应报文组成的报文对进行匹配；对匹配成功的所述报文对转换为携带时间戳的符号序列，所述符号序列中的每个符号指示一个唯一状态事件；按顺序依次获取携带时间戳的符号序列中的符号，并输入预先构建的异常检测模型进行异常检测；如果检测到当前获取的所述符号序列中的符号属于已知符号，则输入到对应的子周期DFA模型；根据子周期DFA模型接收所述符号后的状态转移结果，确定异常检测结果。可以解决目前针对SCADA系统的语义攻击，对工业设备或工业生产造成破坏的问题。对工业设备或工业生产造成破坏的问题。对工业设备或工业生产造成破坏的问题。

【技术实现步骤摘要】
工控网络流量异常检测方法、装置及系统


[0001]本申请涉及工控网络流量异常检测方法、装置及系统，属于网络安全


技术介绍

[0002]SCADA(Supervisory ControlAnd DataAcquisition，数据采集与监视控制)系统被用于监视和控制关键基础设施，例如废水分配设施，天然气生产系统和发电站。SCADA系统主要是通过HMI和PLC间的通信来实现，HMI根据业务需求按照一定逻辑定期向PLC发送相关指令，PLC根据接收的指令内容访问现场设备的信息并将信息返回给HMI，HMI接收到返回信息后对信息进行呈现以达到监视控制的目的。在实际工业生产中，存在明确的周期行为和操作顺序，因此SCADA流量在业务逻辑上也存在高周期性。
[0003]SCADA流量的周期类型分为：轮询周期和定时周期，轮询周期指SCADA系统按照工业生产的业务逻辑依次执行一系列指令，多用于从现场设备中检索数据。定时周期是SCADA系统每隔固定时间执行某类操作，常用于调整现场设备状态。在HMI和PLC通信通道中可能存在多个轮询周期和多个定时周期混合的情况。对于更加复杂的情况，例如，假设HMI和PLC间的通信采用多线程的体系结构，每个线程都负责独立任务，线程间并发运行。在这种情况下，工控系统中的流量是多路复用的，即某个流量可能出现在多种周期模式中。
[0004]互联网化带来便利的同时也带来了很多安全威胁，在真实的工业生产中，SCADA系统除了面对传统的网络攻击，如功能码异常、DoS(Denial ofservice)、缓冲区溢出等攻击外，还要面临一种专门针对SCADA系统的语义攻击。攻击者对工业生产流程和物理设备有着详细的了解，可以通过构造一组看似“合法”的消息序列来有针对性地对工业设备或者工业生产造成破坏。

技术实现思路

[0005]本申请提供了一种工控网络流量异常检测方法、装置及系统，可以解决目前针对SCADA系统的语义攻击，对工业设备或工业生产造成破坏的问题。
[0006]本申请提供如下技术方案：
[0007]第一方面，提供了一种工控网络流量异常检测方法，一种工控网络流量异常检测方法，包括：
[0008]对工控网络流量数据中的请求报文和响应报文组成的报文对进行匹配；
[0009]对匹配成功的所述报文对转换为携带时间戳的符号序列，所述符号序列中的每个符号指示一个唯一状态事件；
[0010]按顺序依次获取携带时间戳的符号序列中的符号，并输入预先构建的异常检测模型进行异常检测；
[0011]如果检测到当前获取的所述符号序列中的符号属于已知符号，则输入到对应的子周期DFA模型；所述子周期DFA模型为对工控网络流量数据对应的符号序列进行分类得到多个子周期对应的符号集合后，对每个所述子周期内的符号集合按照状态转移关系建立DFA
模型得到的；
[0012]根据子周期DFA模型接收所述符号后的状态转移结果，确定异常检测结果。
[0013]第二方面，提供了一种工控网络流量异常检测装置，包括
[0014]报文匹配模块，用于对工控网络流量数据中的请求报文和响应报文组成的报文对进行匹配；
[0015]映射模块，用于对匹配成功的所述报文对转换为携带时间戳的符号序列，所述符号序列中的每个符号指示一个唯一状态事件；
[0016]符号获取模块，用于按顺序依次获取携带时间戳的符号序列中的符号，并输入预先构建的异常检测模型进行异常检测；
[0017]判定模块，用于如果检测到当前获取的所述符号序列中的符号属于已知符号，则输入到对应的子周期DFA模型；所述子周期DFA模型为对工控网络流量数据对应的符号序列进行分类得到多个子周期对应的符号集合后，对每个所述子周期内的符号集合按照状态转移关系建立DFA模型得到的；
[0018]结果输出模块，用于根据子周期DFA模型接收所述符号后的状态转移结果，确定异常检测结果。
[0019]第三方面，提供一种工控网络流量异常检测系统，所述系统包括处理器和存储器；所述存储器中存储有程序，所述程序由所述处理器加载并执行以实现本申请第一方面所述的工控网络流量异常检测方法的步骤。
[0020]本申请的有益效果在于：本申请的工控网络流量异常检测方法通过构建异常检测模型，基于马尔科夫原理划分子周期，并对各个子周期分别建立DFA模型，可以准确检测出异常流量，同时能够检测更加复杂的语义攻击。相比于现有的异常检测方法，本申请的方法可以检测更多类型的语义攻击并且检测模型的误报率和漏报率更低。
[0021]上述说明仅是本申请技术方案的概述，为了能够更清楚了解本申请的技术手段，并可依照说明书的内容予以实施，以下以本申请的较佳实施例并配合附图详细说明如后。
附图说明
[0022]图1是本申请一个实施例提供的一个状态转移图；
[0023]图2是本申请一个实施例提供的工控网络流量异常检测方法的流程图；
[0024]图3是本申请一个实施例提供的异常检测模型的构架图；
[0025]图4是本申请另一个实施例提供的个状态转移图；
[0026]图5是本申请一个实施例提供的子周期状态转移图；
[0027]图6是本申请一个实施例提供的工控网络流量异常检测装置的框图。
[0028]图7是本申请一个实施例提供的工控网络流量异常检测系统的框图。
具体实施方式
[0029]下面结合附图和实施例，对本申请的具体实施方式作进一步详细描述。以下实施例用于说明本申请，但不用来限制本申请的范围。
[0030]图1给出了一个多周期混合的工控网络流量对应的状态转移图，参见图1，该状态转移图包括一个轮询周期状态序列“abcdbedfabcdbedf
……”
和另一个定时周期状态序列
“
AAA
……”
，为一个多周期混合的状态转移图。
[0031]如图1所示，针对该状态转移图，简单语义攻击可分成两类：次序攻击和时序攻击。
[0032]次序攻击是指攻击者将消息指令以非法、恶意的顺序发送，如将序列“abcdbedfabcdbedf
……”
中的“ab”子序列颠倒构成异常序列“bacdbedfbacdbedf
……”
进行次序攻击。示例性地，在一个次序攻击影响高压输气管的案例中，输气管的压强由两个阀门控制，攻击者控制了输气管道的PLC，通过发送指令强制将一个阀门完全打开，另一个阀门完全关闭，导致输气管的压强过大而停止工作。这些指令在单独检测时都是合法的，但是当它们以一种非法顺序发送时会将系统停止工作。
[0033]时序攻击是指攻击者将消息指令在非法的时间发送，如将序列“AAA
……”
的周期时间由5秒改为2秒构成时序攻击。示例性地，在输水系统中，攻击者以一种异常频率给PLC发送正常顺序的指令，导致输水管道的阀门快速地打开和关闭，形成气锤效应，造成大量输水管道破裂。...

【技术保护点】

【技术特征摘要】
1.一种工控网络流量异常检测方法，其特征在于，包括：对工控网络流量数据中的请求报文和响应报文组成的报文对进行匹配；对匹配成功的所述报文对转换为携带时间戳的符号序列，所述符号序列中的每个符号指示一个唯一状态事件；按顺序依次获取携带时间戳的符号序列中的符号，并输入预先构建的异常检测模型进行异常检测；如果检测到当前获取的所述符号序列中的符号属于已知符号，则输入到对应的子周期DFA模型；所述子周期DFA模型为对工控网络流量数据对应的符号序列进行分类得到多个子周期对应的符号集合后，对每个所述子周期内的符号集合按照状态转移关系建立DFA模型得到的；根据子周期DFA模型接收所述符号后的状态转移结果，确定异常检测结果。2.根据权利要求1所述的方法，其特征在于，所述根据子周期DFA模型接收所述符号后的状态转移结果，确定异常检测结果，包括：所述子周期DFA模型接收所述符号后，若对应的状态由当前状态转移到周期性序列的下一个状态，则判定状态正常转移；在状态正常转移的情况下，若当前符号携带的时间戳与当前状态下的平均时间间隔的差值大于时间间隔偏差阈值，则检测为当前符号时序异常。3.根据权利要求1所述的方法，其特征在于，所述根据子周期DFA模型接收所述符号后的状态转移结果，确定异常检测结果，包括：所述子周期DFA模型接收所述符号后，若发生的状态转移未出现在状态转移过程的预期位置，则检测为“丢失”异常。4.根据权利要求1所述的方法，其特征在于，所述根据子周期DFA模型接收所述符号后的状态转移结果，确定异常检测结果，包括：所述子周期DFA模型接收所述符号后，若对应的状态依然为当前状态，未发生状态转移，则检测为“重传”异常。5.根据权利要求1所述的方法，其特征在于，若当前获取的所述符号序列中的符号属于未知符号，则检测为“未知”异常。6.根据权利要求1所述的方法，其特征在于，所述对工控网络流量数...

【专利技术属性】
技术研发人员：唐玉维，
申请(专利权)人：苏州联电能源发展有限公司，
类型：发明
国别省市：