工控网络节点动态欺骗方法、装置、设备、介质及产品

本发明涉及网络安全，尤其涉及一种工控网络节点动态欺骗方法、装置、设备、介质及产品。

背景技术：

1、工业控制系统（industrial control systems，ics）是工业基础设施的核心中枢，其安全稳定运行至关重要。随着工业互联网与信息物理系统（cyber-physical systems，cps）技术的深度融合，传统上为工业控制系统构筑的物理隔离壁垒被逐步打破，导致工业控制系统开始暴露于复杂多变的外部网络环境之中。现有的网络攻击已能够穿透工业控制系统的虚拟网络边界，并转化成对工业控制系统真实工业过程的精确打击，易造成严重的生产停滞、设备损坏和环境灾难。与此同时，以防火墙、入侵检测系统、病毒防护等为代表的传统防御手段，本质上属于静态、被动的防御方法，在应对高级持续性威胁时显得力不从心，存在攻击者占据单向透明优势、难以有效应对未知威胁、攻防不对称等问题。

2、为扭转攻防不对称的局面，学术界与工业界开始探索主动防御新范式，主动防御的核心思想是从被动检测拦截异常请求转向主动干扰与操控，通过引入动态性、不确定性和欺骗性，增加攻击者的认知复杂度和攻击成本，从而瓦解其攻击链条。网络欺骗技术是一种典型的主动防御方法，其通过设置虚假目标、提供虚假信息、制造虚假反馈等手段，诱导攻击者对虚假目标发起攻击，从而保护真实的网络和系统。网络欺骗技术不仅能够扰乱攻击者的判断，还能在一定程度上延缓攻击行为，帮助防御者争取更多时间来制定应对策略。

3、在一些相关技术中，网络欺骗技术被运用于对工业控制系统的保护：工业控制系统包括多种设备和组件，例如传感器、plc（programmable logic controller，可编程逻辑控制器）、hmi（human-machine interface，人机界面）、工业设备组件等，每一设备或组件均可视为一个工控网络节点，防御者可根据这些工控网络节点设置虚拟欺骗网络，并在虚拟欺骗网络中设置多个工控蜜罐，用于模拟工控网络节点，然后诱导攻击者对这些虚假的工控蜜罐发起攻击，从而保护真实的工业控制系统。

4、然而，在真实的工业控制系统中，不同的工控网络节点之间可能存在关联，例如进水阀、出水泵和液位传感器可分别视为三个工控网络节点，进水阀和出水泵的损坏会影响液位传感器的数据变化，因此这三个工控网络节点之间存在关联性，在对应的虚拟欺骗网络中，若代表进水阀或出水泵的工控蜜罐被攻击者攻击，那么代表液位传感器的工控蜜罐理论上也会受到该攻击的影响并产生关联响应。但是，现有的单个工控蜜罐通常仅能模拟单个工控网络节点的状态和数据，虚拟欺骗网络中不同的工控蜜罐相互独立，不同工控蜜罐的状态和数据不会相互影响，这与真实的工业控制系统的运行情况不符。当攻击者同时与多个工控蜜罐交互时，若这些工控蜜罐表现出相互独立、在物理逻辑上相互矛盾的行为（例如加热组件开启但温度传感器数据不变），便会暴露其欺骗本质。

5、因此，现有的工控网络节点欺骗方法难以对工业控制系统的真实工业过程进行有效建模，导致虚拟欺骗网络的建模效果不佳，难以为工业控制系统提供有效防御。

技术实现思路

1、本发明提供一种工控网络节点动态欺骗方法、装置、设备、介质及产品，用以解决现有的工控网络节点欺骗方法难以对工业控制系统的真实工业过程进行有效建模，导致虚拟欺骗网络的建模效果不佳，难以为工业控制系统提供有效防御的缺陷。

2、本发明提供一种工控网络节点动态欺骗方法，包括：基于领域先验知识和工业控制系统的历史数据，对工业控制系统的工业过程进行建模，生成工业控制系统的过程模型；工业控制系统包括多个工控网络节点，过程模型是用于描述工业过程中多个工控网络节点之间的拓扑关系、因果关系和动态参数变化的数学模型；基于过程模型，对工业控制系统的工业过程进行仿真，生成虚拟欺骗网络；虚拟欺骗网络包括多个虚拟欺骗节点，一个虚拟欺骗节点表示一个工控网络节点，每一虚拟欺骗节点的节点状态随时间演进；基于虚拟欺骗网络，与异常客户端进行交互。

3、根据本发明提供的一种工控网络节点动态欺骗方法，基于领域先验知识和工业控制系统的历史数据，对工业控制系统的工业过程进行建模，生成工业控制系统的过程模型，包括：基于领域先验知识和历史数据，对工业控制系统进行建模，生成工业控制系统的因果结构图；因果结构图包括多个节点和多条有向边，一个节点表示一个变量，一个变量用于表示一个工控网络节点的状态，一条有向边用于表示两个节点之间的因果关系；分别对每一有向边的动态关系进行建模，生成每一有向边对应的切换仿射模型；切换仿射模型是用于描述有向边在不同工况下的动态参数变化的数学模型；其中，过程模型包括所有切换仿射模型。

4、根据本发明提供的一种工控网络节点动态欺骗方法，基于领域先验知识和历史数据，对工业控制系统进行建模，生成工业控制系统的因果结构图，包括：基于历史数据，确定描述工业控制系统的随机变量集，并基于随机变量集，构建初始无向图；随机变量集包括多个变量，初始无向图包括多个节点和多条无向边，一条无向边用于表示两个节点之间的连接关系；基于领域先验知识，确定先验知识约束集；对初始无向图中的所有节点进行条件独立性检验，生成分离集；分离集包括至少两个在特定条件下相互独立的节点，相互独立的节点之间不存在因果关系；基于分离集，对初始无向图中相互独立的节点之间的无向边进行剔除，生成目标无向图；基于先验知识约束集，对目标无向图进行边定向，确定目标无向图中每一无向边的方向，生成因果结构图；其中，因果结构图满足先验知识约束集中的约束。

5、根据本发明提供的一种工控网络节点动态欺骗方法，先验知识约束集包括时序约束、物理约束和控制约束；其中，时序约束用于表征两个节点之间存在的因果关系的时间不可逆性，物理约束用于表征工业控制系统所使用的物理定律，控制约束用于表征工业控制系统的控制回路逻辑。

6、根据本发明提供的一种工控网络节点动态欺骗方法，切换仿射模型为arx模型，切换仿射模型是基于目标切换变量、目标划分变量和目标模型参数向量确定的，目标切换变量用于表征工业控制系统的不同工况的切换情况，目标划分变量用于表征工业控制系统的不同工况区域，目标模型参数向量为arx模型的最优模型参数集合；任一有向边对应的切换仿射模型是基于以下步骤构建的：从历史数据中提取出有向边对应的两个变量的历史变量数据；基于历史变量数据，对划分变量和arx模型的模型参数集合进行迭代寻优，确定目标划分变量和目标模型参数向量；在确定目标划分变量和目标模型参数向量的情况下，对切换变量进行迭代寻优，确定目标切换变量；其中，目标切换变量、目标划分变量和目标模型参数向量是使得arx模型的全局预测误差最小的参数。

7、根据本发明提供的一种工控网络节点动态欺骗方法，基于虚拟欺骗网络，与异常客户端进行交互，包括：接收异常客户端的网络请求；对网络请求进行业务逻辑解析，提取出网络请求中的操作指令；基于操作指令，对虚拟欺骗网络中的目标虚拟欺骗节点进行操作，获得虚拟欺骗网络的响应数据；将响应数据发送至异常客户端。

8、本发明还提供一种工控网络节点动态欺骗装置，包括：建模模块，用于基于领域先验知识和工业控制系统的历史数据，对工业控制系统的工业过程进行建模，生成工业控制系统的过程模型；工业控制系统包括多个工控网络节点，过程模型是用于描述工业过程中多个工控网络节点之间的拓扑关系、因果关系和动态参数变化的数学模型；仿真模块，用于基于过程模型，对工业控制系统的工业过程进行仿真，生成虚拟欺骗网络；虚拟欺骗网络包括多个虚拟欺骗节点，一个虚拟欺骗节点表示一个工控网络节点，每一虚拟欺骗节点的节点状态随时间演进；交互模块，用于基于虚拟欺骗网络，与异常客户端进行交互。

9、本发明还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器执行计算机程序时实现如上述任一种工控网络节点动态欺骗方法。

10、本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述任一种工控网络节点动态欺骗方法。

11、本发明还提供一种计算机程序产品，包括计算机程序，计算机程序被处理器执行时实现如上述任一种工控网络节点动态欺骗方法。

12、本发明提供的工控网络节点动态欺骗方法、装置、设备、介质及产品，突破了现有技术中忽视真实工业过程的物理逻辑的局限，先根据领域先验知识和工业控制系统的历史数据，对工业控制系统的真实工业过程进行建模，生成工业控制系统的过程模型，用于描述真实工业过程中多个工控网络节点之间的拓扑关系、物理逻辑上的因果关系和动态参数变化，然后根据过程模型对工业控制系统的工业过程进行仿真，生成虚拟欺骗网络，虚拟欺骗网络包括多个虚拟欺骗节点，一个虚拟欺骗节点表示一个工控网络节点，每一虚拟欺骗节点的节点状态可以随时间演进，从而模拟出工业控制系统在真实工业过程中不同工控网络节点的节点状态和数据随时间变化的现象，这些可以随时间演进的虚拟欺骗节点可协同模拟出工业控制系统在真实工业过程中的完整业务流程，实现了对工业控制系统真实工业过程的有效建模，优化了虚拟欺骗网络的建模效果，使虚拟欺骗网络具备高保真性，最后利用虚拟欺骗网络与攻击者的异常客户端进行交互，从而可为工业控制系统提供有效防御。