基于攻击图的工业控制网络安全隐患分析

《基于攻击图的工业控制网络安全隐患分析》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、基于攻击图的工业控制网络安全隐患分析　　摘要随着科学技术的发展，计算机技术水平得到了较大的提高。传统的工业控制系统已经无法满足控制管理一体化的需求，工业控制系统为了能够适应当前的发展趋势，逐渐向工业信息化方向迈进，加大了对计算机软件硬件及通用计算机通讯协议的使用。但是，由于没有将网络防病毒措施融入到工业控制网络系统中，导致互联网容易遭受病毒侵扰，影响着工业控制系统网络的运行效果。　　【关键词】攻击图工业控制网络安全隐患实现　　工业控制系统影响着各行各业的生产运行，被广泛的应用于水利系统、电力系统、化工生产系统、制造行业和大型

2、的制造企业的自动化控制领域中，在实际的使用过程中，主要是依靠工业控制系统来实现自动化运转，在各个领域中占据重要位置。工业控制系统与办公管理系统实现了一体化集成，为数据交流提供了便利，通过与办公网络互联，共同组成了工业控制系统网络。本文对攻击图的工业控制网络的安全隐患进行分析。　　1基于攻击图的工业控制网络整体系统结构设计　　1.1整体系统结构设计　　在对攻击图的工业控制网络安全隐患进行分析时，需要充分开发工控系统攻击图隐患分析工具，主要包括原子攻击规则生成模块、工控系统主机连接信息采集模块和工控系统图生成模块等。该项工具在使

3、用过程中主要是运用人工手动输入来实现，通过对各模块进行分析，进而得出清晰直观的主机攻击图。攻击图生成模块需要输入相关的攻击图脚本，对攻击图模块进行可视化展示，确保展示效果具有清晰直观性特点。工控系统攻击图分析工具系统中主要包括工控系统隐患分析、原子攻击规则生成、工控系统攻击图生成、攻击图可视化展示等方面的模块。在运用工控系统攻击图对安全隐患进行分析时，主要分为挖掘系统漏洞，（挖掘系统漏洞包括缓冲区溢出、程序不按计划运行、插入恶意代码）、系统配置扫描、仿真平台配置输入、攻击图隐患分析、安全分析与加固建议和系统隐患消除六个流程状

4、况，在实际的运用过程中存在密切的逻辑关系。　　1.2基于层的攻击图生成模块设计　　为了给人们展示出直观清晰的网络拓扑生成模块，将其分成不同的区域，对网络的网络模块进行简化，增加绘制网络区域的功能。该种做法能够给用户提供清晰和直观的网络拓扑管理，为基于层的攻击图提供信息配置功能，为了方便人们的使用，在用户界面设置了网络区域功能按钮，对不同的网络区域使用不同的颜色进行填充，并用不同的区域名称进行标记。如果设备从一个区域转移到另外一个区域时，设备的区域属性也会随之发生相应的改变。　　基于层的攻击图生成模块主要设计方法为，攻击图的正

5、向生成算法主要是由攻击源发起的，主要用于分析已知攻击源所在的位置，明确哪些主机会对攻击源的正常工作造成威胁，能够实现对网络设备的保护。基于层的攻击图生成算法在实际的使用过程中主要是利用工控网络的层次结构来实现的，需要对复杂的工控网络进行按层计算，进而生成攻击图网络。　　攻击图网络图的生成主要以MulVAL为工具，MulVAL是“多主机、多阶段漏洞分析”，是堪萨斯州大学的一个开源项目，主要是运用逻辑编程语言Datalog来描述网络元素和安全联动情况，MulVAL的分析工具输入主要包括主机配置、漏洞通告、网络配置等，输出为PDF

6、或TXT格式描述的攻击图。但是该攻击图的节点不是主机，节点的类型主要包括：棱形的权限节点、圆形的攻击步骤节点和矩形的配置信息节点。MulVAL作为命令行工具，能够实现对漏洞库文件的优化配置，转换OVAL/Nessus漏洞报告，生成攻击图。MulVAL工具生成的攻击图例子如图1所示。　　1.3网络状态采集模块设计　　网络状态采集模块主要是对攻击图生成算法进行服务的模块，在使用前需要明确网络系统的信息状态，按照合理的方法对网络拓扑进行有效连接，对网络层次信息进行合理划分，明确网络拓扑设备上存在的漏洞信息，例如，设计网络状态信息输

7、入格式文件，设计网络层次划分方式，网络设备基本信息输入方式和网络威胁信息输入方式等。明确攻击主机的所在位置，对网络状态信息采集模块进行合理设计。首先，在对网络连接输入方式进行设计时，主要的连接信息包括服务器、交换机、防火墙、PC机、集线器和现场设备等。需要明确设备间链路的具体连接情况，结合实际的网络拓扑需要自行选择网络设备，在已有模块的基础上对工业控制网络拓扑图进行合理设计，确保路由器和防火墙配置的合理性。其次，在对网络的层次进行划分时，需要采用矩形框来对网络拓扑进行分层，通过双击矩形对话框，对话框中的设备进行合理配置。最后

8、，对网络设备的信息进行配置时，需要明确设备操作系统的版本、设备上的具体服务信息和设备在运行过程中可能产生的漏洞信息，防止漏洞程序和作用对漏洞造成的威胁。　　2工业控制系统安全隐患分析系统的实现　　2.1攻击图生成算法的实现　　为了实现对工业控制系统安全隐患的分析，主要找到IT工控网层中的可