面向ICS的異常檢測(cè)系統(tǒng)研究.pdf

1、工業(yè)控制系統(tǒng)(Industrial Control System,ICS)是電力、冶金、化工、石油、天然氣、水利、交通等關(guān)鍵基礎(chǔ)設(shè)施的核心系統(tǒng),其運(yùn)行安全性直接關(guān)系到人民生命財(cái)產(chǎn)安全和國(guó)家戰(zhàn)略安全。然而長(zhǎng)期以來,ICS屬于封閉的專有系統(tǒng),與互聯(lián)網(wǎng)處于“物理隔離”狀態(tài),其設(shè)計(jì)與實(shí)施目標(biāo)主要注重系統(tǒng)的功能性、可用性、可測(cè)性和可控性。隨著網(wǎng)絡(luò)與信息技術(shù)的發(fā)展,尤其是互聯(lián)網(wǎng)、云計(jì)算、物聯(lián)網(wǎng)的廣泛應(yīng)用,ICS已逐漸開始從“封閉系統(tǒng)”變成了“開放系

2、統(tǒng)”(如允許遠(yuǎn)程操控、允許與企業(yè)內(nèi)部或產(chǎn)業(yè)鏈上的其他系統(tǒng)互聯(lián)互通等)、從“專有技術(shù)系統(tǒng)”變成了“通用技術(shù)系統(tǒng)”(如采用Windows操作系統(tǒng)、TCP/IP協(xié)議等),致使ICS的安全形勢(shì)日益嚴(yán)峻。ICS的信息安全形勢(shì)已經(jīng)引起了國(guó)家、政府機(jī)關(guān)、大型國(guó)有企業(yè)及高等院校的高度重視,已然成為近年來信息安全領(lǐng)域研究的熱點(diǎn)。
　　該文依據(jù)“上位機(jī)系統(tǒng)文件變更異常檢測(cè)?上下位機(jī)通信異常檢測(cè)?下位機(jī)數(shù)據(jù)異常檢測(cè)”的邏輯主線展開深入研究。首先,對(duì)IC

3、S的發(fā)展概況和信息安全現(xiàn)狀進(jìn)行了深入分析,分析了ICS現(xiàn)有的防護(hù)手段(工業(yè)防火墻技術(shù))及其局限性,研究分析了當(dāng)前主流的異常檢測(cè)技術(shù);其次,論文對(duì)ICS的體系結(jié)構(gòu)進(jìn)行了詳細(xì)分析,將ICS系統(tǒng)分為“企業(yè)區(qū)”、“上位機(jī)區(qū)”、“下位機(jī)區(qū)”三個(gè)區(qū)域進(jìn)行不同等級(jí)的安全防護(hù)。針對(duì)上位機(jī)區(qū)異常檢測(cè),論文研究了上位機(jī)系統(tǒng)文件變更異常檢測(cè)技術(shù),設(shè)計(jì)了文件變更異常檢測(cè)的流程與方法;針對(duì)上下位機(jī)通信異常檢測(cè),該文著重研究了開源異常檢測(cè)系統(tǒng)Snort及其規(guī)則,總

4、結(jié)和設(shè)計(jì)了一套基于“工業(yè)現(xiàn)場(chǎng)總線協(xié)議——MODBUS協(xié)議”的Snort規(guī)則;針對(duì)ICS下位機(jī)的控制數(shù)據(jù)、通信協(xié)議、高實(shí)時(shí)性等特點(diǎn),結(jié)合聚類的相關(guān)算法,提出了一種基于自適應(yīng)聚類的離群點(diǎn)挖掘算法(ACBOD, Adaptive Clustering-Based Outlier Detection)。
　　在以上研究基礎(chǔ)上,采用ASP.NET工具,研制了面向ICS的異常檢測(cè)原型系統(tǒng),該系統(tǒng)包括:上位機(jī)系統(tǒng)文件變更異常檢測(cè)、上下位機(jī)通信異