一种工控漏洞危害评估方法、装置、设备、介质及程序产品与流程

本技术涉及数据处理，尤其涉及一种工控漏洞危害评估方法、装置、设备、介质及程序产品。

背景技术：

1、随着工业互联网与关键基础设施数字化进程的加速，工业控制系统正从封闭孤立的专用网络演变为信息域与物理域深度融合的互联系统。在这一演进过程中，信息技术与运营技术的边界日趋模糊，海量工业资产、复杂控制逻辑与多样网络协议交织共存，使得网络环境下的安全威胁呈现出跨域级联与后果物理化的新特征，对工业环境下的安全评估技术提出了新的挑战。

2、在常规的工业安全评估实践中，系统理论过程分析方法突破传统可靠性工程仅关注组件失效的局限，从控制论视角将安全问题视为控制结构中的约束问题，通过构建分层控制结构模型，定义传感器、控制器、执行机构与被控过程间的反馈回路与交互逻辑，进而分析控制指令在传输与执行中的潜在偏差，识别不安全控制行为以制定安全约束措施。

3、然而，现有图神经网络模型以网络连接关系为节点关联依据，将工控设备作为同质化节点进行处理。在危害传导分析方面，现有方法基于孤立漏洞的静态评分或定性逻辑推演进行评估。在评估结果解释方面，现有深度学习模型输出单一的风险分数作为评估结果。导致现有评估机制难以精准识别隐蔽威胁源，导致评估结果准确度较低。

技术实现思路

1、本技术提供一种工控漏洞危害评估方法、装置、设备、介质及程序产品，用于提升工控漏洞危害评估结果的准确度。

2、第一方面，本技术实施例提供了一种工控漏洞危害评估方法，该方法包括：

3、基于工业控制系统的多源异构数据，构建包含漏洞节点、网络资产节点及物理实体节点的异构图谱，上述多源异构数据包括网络资产数据、漏洞知识库数据、物理工程数据及工控网络流量数据；

4、基于上述异构图谱，利用直连致损元路径和级联传递元路径，提取漏洞在上述漏洞节点、上述网络资产节点及上述物理实体节点间的级联危害传导路径；

5、基于上述级联危害传导路径，生成融合直接物理危害与间接级联危害的节点嵌入向量；

6、基于上述节点嵌入向量，生成多维级联危害评分，并基于上述多维级联危害评分计算级联增益值和隐蔽关联影响因子；

7、基于上述级联增益值和上述隐蔽关联影响因子，输出工控漏洞的量化评估结果。

8、本技术提供的技术方案至少带来以下有益效果：由于可以基于工业控制系统的网络资产数据、漏洞知识库数据、物理工程数据及工控网络流量数据等多源异构数据，构建包含漏洞节点、网络资产节点及物理实体节点的异构图谱，明确区分不同类型节点的属性差异与跨域关联关系，进而利用直连致损元路径和级联传递元路径提取漏洞在三类节点间的完整级联危害传导路径，完整覆盖漏洞从网络层到物理层的全链条传导过程，然后基于上述级联危害传导路径生成融合直接物理危害与间接级联危害的节点嵌入向量，并基于上述节点嵌入向量生成多维级联危害评分，计算得到级联增益值和隐蔽关联影响因子，量化不同节点在危害传导中的作用与隐性关联强度，以使得工业控制系统安全评估平台可以基于上述级联增益值和上述隐蔽关联影响因子，输出同时覆盖显性直接危害与隐性级联危害的工控漏洞量化评估结果，因此，避免了现有图神经网络模型因以网络连接关系为唯一节点关联依据、将工控设备作为同质化节点处理，基于孤立漏洞的静态评分或定性逻辑推演进行危害传导分析所导致的工控漏洞危害评估结果准确度低的问题，从而显著提升工控漏洞危害评估的准确度。

9、一种可能的实现方式，在上述基于上述多源异构数据，构建包含漏洞节点、网络资产节点及物理实体节点的异构图谱之后，上述工控漏洞危害评估方法还包括：

10、为上述异构图谱中的物理实体节点构建泛化物理价值向量；

11、上述基于上述级联危害传导路径，生成融合直接物理危害与间接级联危害的节点嵌入向量，包括：

12、通过具有动态价值偏置项的注意力机制，基于上述级联危害传导路径，生成融合直接物理危害与间接级联危害的节点嵌入向量；

13、其中，上述动态价值偏置项基于上述泛化物理价值向量确定。

14、另一种可能的实现方式，上述泛化物理价值向量包含安全价值分量、机密价值分量和可用性价值分量；

15、本技术实施例提供的上述工控漏洞危害评估方法还包括：

16、基于上述物理实体节点的安全完整性等级与上述物理实体节点执行逻辑的预设加权系数，确定上述安全价值分量；

17、基于上述物理实体节点的内存地址映射信息与预设敏感参数区段的匹配结果，确定上述机密价值分量；

18、基于上述物理实体节点在控制逻辑图中的介数中心性，确定上述可用性价值分量。

19、又一种可能的实现方式，上述基于上述多源异构数据，构建包含漏洞节点、网络资产节点及物理实体节点的异构图谱，包括：

20、基于上述多源异构数据构建上述漏洞节点、上述网络资产节点及上述物理实体节点；

21、基于深度包检测算法提取工控网络流量数据的操作语义与网络连接信息；

22、根据上述操作语义构建上述网络资产节点与上述物理实体节点之间的语义边；

23、根据上述网络连接信息分别构建上述网络资产节点之间的通信边、上述漏洞节点与上述网络资产节点之间的依存边；

24、基于上述漏洞节点、上述网络资产节点、上述物理实体节点、上述语义边、上述通信边及上述依存边构建上述异构图谱；

25、其中，上述异构图谱包含由上述漏洞节点、上述网络资产节点、上述物理实体节点以及边序列构成的、且用于定义风险传导规则的上述直连致损元路径和上述级联传递元路径，上述边序列包括上述语义边、上述通信边以及上述依存边中的至少一种。

26、又一种可能的实现方式，上述语义边包括关键控制边和敏感读取边；上述操作语义包括写操作类原语和读操作类原语；

27、上述根据操作语义构建网络资产节点与物理实体节点之间的语义边，包括：

28、若上述操作语义为上述写操作类原语且上述物理实体节点对应的安全价值分量高于预设阈值，则构建关键控制边；

29、若上述操作语义为上述读操作类原语且上述物理实体节点对应的机密价值分量高于预设阈值，则构建敏感读取边。

30、又一种可能的实现方式，上述直连致损元路径包括安全破坏路径、机密泄露路径和业务中断路径；上述级联传递元路径包括跨域渗透路径；

31、上述安全破坏路径依次经过漏洞节点、网络资产节点及物理实体节点，且漏洞节点与网络资产节点之间通过依存边连接，网络资产节点与物理实体节点之间通过语义边连接；

32、上述机密泄露路径依次经过漏洞节点、网络资产节点及物理实体节点，且漏洞节点与网络资产节点之间通过依存边连接，网络资产节点与物理实体节点之间通过敏感读取边连接；

33、上述业务中断路径依次经过漏洞节点、第一网络资产节点及第二网络资产节点，且漏洞节点与上述第一网络资产节点之间通过依存边连接，上述第一网络资产节点与上述第二网络资产节点之间通过通信边连接；

34、上述跨域渗透路径依次经过第一漏洞节点、上述第一网络资产节点、上述第二网络资产节点及第二漏洞节点，且上述第一漏洞节点与上述第一网络资产节点之间通过依存边连接，上述第一网络资产节点与上述第二网络资产节点之间通过通信边连接，上述第二网络资产节点与上述第二漏洞节点之间通过依存边连接。

35、又一种可能的实现方式，上述级联传递元路径包括跨域渗透路径；

36、上述利用直连致损元路径和级联传递元路径，提取漏洞在上述漏洞节点、上述网络资产节点及上述物理实体节点间的级联危害传导路径，包括：

37、基于上述异构图谱生成预设维度的邻接张量；

38、提取上述邻接张量中对应上述依存边的第一通道切片、对应上述关键控制边的第二通道切片、对应上述敏感读取边的第三通道切片以及对应上述通信边的第四通道切片；

39、基于上述第一通道切片与上述第二通道切片生成安全破坏路径的路径实例矩阵；

40、基于上述第一通道切片与上述第三通道切片生成机密泄露路径的路径实例矩阵；

41、基于上述第一通道切片与上述第四通道切片生成业务中断路径的路径实例矩阵；

42、基于上述直连致损元路径中包含的上述业务中断路径的路径实例矩阵与转置后第一通道切片生成跨域渗透路径的路径实例矩阵；

43、从所有路径实例矩阵中提取上述漏洞节点、上述网络资产节点及上述物理实体节点各自对应的唯一节点标识，并根据上述唯一节点标识构建节点连接顺序标识序列；

44、基于上述节点连接顺序标识序列生成上述级联危害传导路径。

45、又一种可能的实现方式，上述通过具有动态价值偏置项的注意力机制，基于上述级联危害传导路径，生成融合直接物理危害与间接级联危害的节点嵌入向量，包括：

46、基于上述级联危害传导路径中任一节点的相邻节点的泛化物理价值向量确定动态价值偏置项，上述任一节点和上述相邻节点分别为上述漏洞节点、上述网络资产节点及上述物理实体节点中的任一种；

47、计算上述任一节点与上述相邻节点之间的基础注意力得分；

48、基于上述动态价值偏置项对上述基础注意力得分进行加权放大；

49、基于加权后注意力得分对上述相邻节点的投影特征进行加权聚合，得到上述任一节点对应的安全破坏路径语义嵌入、机密泄露路径语义嵌入、业务中断路径语义嵌入以及跨域渗透路径语义嵌入；

50、对上述安全破坏路径语义嵌入、上述机密泄露路径语义嵌入以及上述业务中断路径语义嵌入进行语义级聚合，得到直连路径特征；

51、对上述跨域渗透路径语义嵌入进行语义级聚合，得到级联路径特征；

52、通过自适应级联门控单元，将上述级联路径特征与上述直连路径特征进行残差融合，生成融合直接物理危害与间接级联危害的上述节点嵌入向量。

53、又一种可能的实现方式，上述多维级联危害评分包括物理安全级联评分、机密泄露级联评分和生产中断级联评分。

54、又一种可能的实现方式，上述基于上述多维级联危害评分计算级联增益值和隐蔽关联影响因子，包括：

55、基于多维级联危害评分加权融合后的综合级联危害评分与漏洞原始基础评分的第一差值，确定上述级联增益值；

56、基于切断漏洞间关联路径后重新计算的物理安全级联评分的第二差值占上述实际物理安全级联评分的比值，确定上述隐蔽关联影响因子。

57、第二方面，本技术实施例提供了本技术提供一种工控漏洞危害评估装置，包括：第一构建模块，用于基于工业控制系统的多源异构数据，构建包含漏洞节点、网络资产节点及物理实体节点的异构图谱，上述多源异构数据包括网络资产数据、漏洞知识库数据、物理工程数据及工控网络流量数据；

58、提取模块，用于基于上述异构图谱，利用直连致损元路径和级联传递元路径，提取漏洞在上述漏洞节点、上述网络资产节点及上述物理实体节点间的级联危害传导路径；

59、生成模块，用于基于上述级联危害传导路径，生成融合直接物理危害与间接级联危害的节点嵌入向量；

60、计算模块，用于基于上述节点嵌入向量，生成多维级联危害评分，并基于上述多维级联危害评分计算级联增益值和隐蔽关联影响因子；

61、输出模块，用于基于上述级联增益值和上述隐蔽关联影响因子，输出工控漏洞的量化评估结果。

62、一种可能的实现方式，上述工控漏洞危害评估装置还包括第二构建模块；上述第二构建模块用于为上述异构图谱中的物理实体节点构建泛化物理价值向量；

63、上述生成模块具体用于通过具有动态价值偏置项的注意力机制，基于上述级联危害传导路径，生成融合直接物理危害与间接级联危害的节点嵌入向量；其中，上述动态价值偏置项基于上述泛化物理价值向量确定。

64、另一种可能的实现方式，上述泛化物理价值向量包含安全价值分量、机密价值分量和可用性价值分量；上述工控漏洞危害评估装置还包括确定模块；上述确定模块，用于基于上述物理实体节点的安全完整性等级与上述物理实体节点执行逻辑的预设加权系数，确定上述安全价值分量；基于上述物理实体节点的内存地址映射信息与预设敏感参数区段的匹配结果，确定上述机密价值分量；基于上述物理实体节点在控制逻辑图中的介数中心性，确定上述可用性价值分量。

65、又一种可能的实现方式，上述第一构建模块具体用于：

66、基于上述多源异构数据构建上述漏洞节点、上述网络资产节点及上述物理实体节点；基于深度包检测算法提取工控网络流量数据的操作语义与网络连接信息；根据上述操作语义构建上述网络资产节点与上述物理实体节点之间的语义边；根据上述网络连接信息分别构建上述网络资产节点之间的通信边、上述漏洞节点与上述网络资产节点之间的依存边；基于上述漏洞节点、上述网络资产节点、上述物理实体节点、上述语义边、上述通信边及上述依存边构建上述异构图谱；其中，上述异构图谱包含由上述漏洞节点、上述网络资产节点、上述物理实体节点以及边序列构成的、且用于定义风险传导规则的上述直连致损元路径和上述级联传递元路径，上述边序列包括上述语义边、上述通信边以及上述依存边中的至少一种。

67、又一种可能的实现方式，上述语义边包括关键控制边和敏感读取边；上述操作语义包括写操作类原语和读操作类原语；上述第一构建模块还用于当上述操作语义为上述写操作类原语且上述物理实体节点对应的安全价值分量高于预设阈值时，构建关键控制边；当上述操作语义为上述读操作类原语且上述物理实体节点对应的机密价值分量高于预设阈值时，构建敏感读取边。

68、又一种可能的实现方式，上述直连致损元路径包括安全破坏路径、机密泄露路径和业务中断路径；上述级联传递元路径包括跨域渗透路径；

69、上述安全破坏路径依次经过漏洞节点、网络资产节点及物理实体节点，且漏洞节点与网络资产节点之间通过依存边连接，网络资产节点与物理实体节点之间通过语义边连接；

70、上述机密泄露路径依次经过漏洞节点、网络资产节点及物理实体节点，且漏洞节点与网络资产节点之间通过依存边连接，网络资产节点与物理实体节点之间通过敏感读取边连接；

71、上述业务中断路径依次经过漏洞节点、第一网络资产节点及第二网络资产节点，且漏洞节点与上述第一网络资产节点之间通过依存边连接，上述第一网络资产节点与上述第二网络资产节点之间通过通信边连接；

72、上述跨域渗透路径依次经过第一漏洞节点、上述第一网络资产节点、上述第二网络资产节点及第二漏洞节点，且上述第一漏洞节点与上述第一网络资产节点之间通过依存边连接，上述第一网络资产节点与上述第二网络资产节点之间通过通信边连接，上述第二网络资产节点与上述第二漏洞节点之间通过依存边连接。

73、又一种可能的实现方式，上述级联传递元路径包括跨域渗透路径；

74、上述提取模块具体用于：基于上述异构图谱生成预设维度的邻接张量；提取上述邻接张量中对应上述依存边的第一通道切片、对应上述关键控制边的第二通道切片、对应上述敏感读取边的第三通道切片以及对应上述通信边的第四通道切片；基于上述第一通道切片与上述第二通道切片生成安全破坏路径的路径实例矩阵；基于上述第一通道切片与上述第三通道切片生成机密泄露路径的路径实例矩阵；基于上述第一通道切片与上述第四通道切片生成业务中断路径的路径实例矩阵；基于上述直连致损元路径中包含的上述业务中断路径的路径实例矩阵与转置后第一通道切片生成跨域渗透路径的路径实例矩阵；从所有路径实例矩阵中提取上述漏洞节点、上述网络资产节点及上述物理实体节点各自对应的唯一节点标识，并根据上述唯一节点标识构建节点连接顺序标识序列；基于上述节点连接顺序标识序列生成上述级联危害传导路径。

75、又一种可能的实现方式，上述生成模块具体用于基于上述级联危害传导路径中任一节点的相邻节点的泛化物理价值向量确定动态价值偏置项，上述任一节点和上述相邻节点分别为上述漏洞节点、上述网络资产节点及上述物理实体节点中的任一种；计算上述任一节点与上述相邻节点之间的基础注意力得分；基于上述动态价值偏置项对上述基础注意力得分进行加权放大；基于加权后注意力得分对上述相邻节点的投影特征进行加权聚合，得到上述任一节点对应的安全破坏路径语义嵌入、机密泄露路径语义嵌入、业务中断路径语义嵌入以及跨域渗透路径语义嵌入；对上述安全破坏路径语义嵌入、上述机密泄露路径语义嵌入以及上述业务中断路径语义嵌入进行语义级聚合，得到直连路径特征；对上述跨域渗透路径语义嵌入进行语义级聚合，得到级联路径特征；通过自适应级联门控单元，将上述级联路径特征与上述直连路径特征进行残差融合，生成融合直接物理危害与间接级联危害的上述节点嵌入向量。

76、又一种可能的实现方式，上述多维级联危害评分包括物理安全级联评分、机密泄露级联评分和生产中断级联评分。

77、又一种可能的实现方式，上述计算模块具体用于：基于多维级联危害评分加权融合后的综合级联危害评分与漏洞原始基础评分的第一差值，确定上述级联增益值；基于切断漏洞间关联路径后重新计算的物理安全级联评分的第二差值占上述实际物理安全级联评分的比值，确定上述隐蔽关联影响因子。

78、第三方面，本技术提供一种电子设备，该电子设备包括：处理器和存储器；该存储器存储可在处理器上运行的程序或指令，上述程序或指令被该处理器执行时实现上述第一方面的方法。

79、第四方面，本技术提供一种可读存储介质，该可读存储介质上存储程序或指令，上述程序或指令被计算机执行时实现上述第一方面的方法。

80、第五方面，本技术提供一种计算机程序产品，该计算机程序产品被存储在存储介质中，当该计算机程序产品被计算机执行时以实现上述第一方面的方法。

81、第六方面，本技术实施例提供了一种芯片，该芯片包括处理器和通信接口，上述通信接口和上述处理器耦合，上述处理器用于运行程序或指令，实现如第一方面上述的方法。

82、上述第二方面至第六方面的有益效果参考第一方面的对应描述，不再赘述。