一种工控系统安全性评估方法与流程

1.本发明属于工业控制和网络安全技术领域，具体涉及一种工控系统安全性评估方法。


背景技术：

2.从震网病毒攻击伊朗核设施开始，针对工控系统的安全逐渐进入公众视野，近年来，针对工控系统的攻击有愈演愈烈的趋势，且不同于普通的web攻击，工控系统攻击事件都带有明显的政治企图，往往造成严重的社会影响，对国家安全、经济稳定造成极大地影响。
3.目前对于工控系统安全防护，采用的手段是在工业系统外围部署安全设备进行隔离，但是对于工控系统网络安全缺少整体的安全性评估方法，从而无法整体地、系统地对整个工控系统安全性作出判断，因而无法准确的对系统的安全态势进行预测，无法进行更加主动、准确的防御措施，针对此种情况，为实现对工控系统安全进行实时性预测，本发明提出一种工控系统安全性评估方法。


技术实现要素：

4.为了克服以上技术问题，本发明提出一种工控系统安全性评估方法，具有准确性高、实时性好且不影响工控系统正常生产活动的特点。
5.为了实现上述目的，本发明采用的技术方案是：
6.一种工控系统安全性评估方法，包括以下步骤；
7.步骤1：通过工控场景模块产生工控系统所涉及的多个场景实验数据，包括无事件场景数据、正常生产场景数据、网络攻击场景数据以及自然事件数据，在各场景下对工控系统数据采集形成安全性评估的原始样本数据；
8.步骤2：通过数据采集模块部署传感器，用于采集工控系统处于不同时间场景中时系统中各个节点的数据，汇总形成总的原始的样本数据集；
9.步骤3：将数据采集模块所获取的不同节点的数据、各种格式的数据、不同指标的量化数据通过数据处理模块进行预处理，统一数据格式，进行归一化处理并剔除失真数据；
10.步骤4：将数据处理模块的输出场景数据经过特征提取形成原始特征向量数据集，然后通过安全评估模块进行评估，安全评估模块通过主成分分析法将原始特征向量数据集累计贡献率超过80％的主成分进行进一步提取并形成可用于模型训练的特征向量数据集，通过人工蜂群算法调整参数实现加快全局优化能力，提高全局收敛速度，在模型训练过程中只需调整部分参数即可形成具有检测能力的神经网络模型；
11.步骤5：数据镜像模块是将待检测工控系统的各节点数据进行旁路镜像，直接采集镜像数据即可实现对待测系统数据的采集，且数据镜像模块除了镜像数据不会产生新的流量，能够实现在系统不停运时实现对其的检测；
12.步骤6：根据安全评估模块的检测结果，当安全阈值大于0.8时，提示系统处于“低
危”状态；当安全阈值小于0.3时，提示系统处于“高危”状态；当安全阈值介于0.3和0.8之间时，提示系统处于“中危”状态。
13.所述无事件场景数据、正常生产场景数据、网络攻击场景数据、自然事件数据4大类场景数据包含41种小类数据，包含影响工控系统安全的物理安全性和技术安全性事件，具体包含无场景事件1种，自然事件8种，攻击事件31种，依据其对系统的影响程度将41类数据划分为10个级别，影响数值分别为0～9，其中影响数值越大代表对系统性能影响越大，0分代表对系统性能无影响。
14.所述数据采集模块是通过部署于仿真工控系统场景的多个传感器完成原始数据的采集，仿真工控场景通过各种事件场景产生样本数据集，形成针对每个具体场景的原始数据集。
15.所述安全评估模块包含整个工控系统中的安全防御能力d，工控系统已知安全问题的排查程度与防护v，设备及相关服务的运行稳定性s，工业控制系统资产总数a，设备正常运行时生产能力m，设备在各个场景运行时的生产能力m，可使用资产数量a，设备在各个场景下的恢复能力r(r∈[0,1])，则整个系统在响应事件场景下的安全性指数为：
[0016][0017]
在评估整个工业控制系统影响的过程中，要满足工控系统所处场景影响数值越低，则安全性越高指数越高的基本原则，不满足此条基本原则的数据设定为无效数据。
[0018]
所述安全评估模块是利用概率神经网络构建的分类检测模型，其接收数据处理层的数据作为训练样本，通过训练模型得出安全评估参数。
[0019]
所述为安全评估模块的数据处理过程具体为：
[0020]
数据处理模块将处理过的数据进行特征提取并筛选，最终用于进行安全性评估的原始训练样本数据x～p；
[0021]
特征向量数据经过主成分分析法进行降维，将高维特征空间映射到低维特征空间，在不同要求的前提下，可自行调整累计贡献率，累计贡献率设定值越高，则对特征向量数据的降维程度则越大，数据量相对则越小；
[0022]
训练样本数据x～p经过主成分分析法进行降维，最终得到样本数据x’～p；
[0023]
概率神经网络模型通过x’～p进行训练，并通过人工蜂群算法调整参数实现加快全局优化能力，提高全局收敛速度，在模型训练过程中只需调整部分参数即可形成具有检测能力的神经网络模型；
[0024]
神经网络模型开放数据接口，外部工控系统数据经过数据采集模块、数据处理形成标准的格式化数据，其处理逻辑与数据采集模块、数据处理模块类似，最终得出整个工控系统的安全性的衡量参数，参数值越大，安全性越高，其所面临的安全问题相对较低。
[0025]
所述数据处理模块是对数据采集模块所获取的原始数据集进行粗粒度处理的过程，由于原始数据来自不同节点，格式并不相同，各种指标的量化方式也存在差异，无法直接使用，需要对原始数据进行预处理，进而对各项数据进行规范化处理；
[0026]
所述数据的规范化处理包括定义统一的数据格式，并统一数据的量化标准，将所有的指标合理地转化为数值；其次对于分步区间过大的指标进行归一化处理，将其映射到[0,1]区间；对于失真数据，将其从样本中剔除。
[0027]
所述数据镜像模块将工控系统中的各项数据进行旁路镜像，由于在对实际的工控系统进行数局采集时，必须保证不能影响工控系统的正常运行，任何直接的外部作用都有可能破坏工控系统的可用性，在对工控数据进行采集时，首先对生产传感器节点、网络节点及其他设备节点进行镜像，直接采集镜像数据即可实现对待测系统数据的采集，数据镜像模块除了镜像数据不会产生额外的新的流量，解决了设备在不停机状况下的安全性检测和评估问题；
[0028]
当工控系统所部署的安全系统防御能力很低且遭受严重的网络攻击而导致瘫痪时，其安全性指数接近0，而当工控系统安全防御系统完善，系统漏洞排查彻底且被隔离或处置，工控系统处于无场景运行时，其安全系数接近1。
[0029]
本发明的有益效果：
[0030]
通过本发明提供的方法进行工业控制系统的安全性评估，能够在风险感知层面快速评估工控系统态势，作为工业安全防护的第一步，能够主动发现潜在威胁，提高主动防御能力，进而提升工控系统的安全运行能力。
附图说明
[0031]
图1为本发明实施例提供的工控系统安全性评估系统的框架示意图。
[0032]
图2为本发明实施例提供的工控系统安全性评估系统的整体流程步骤示意图。
具体实施方式
[0033]
下面结合附图对本发明作进一步详细说明。
[0034]
如图1所示为本发明实施例提供的工控系统安全性评估系统的框架，包含工控系统场景、数据采集模块、数据处理模块、安全评估模块、数据镜像模块和报警系统，需要说明的是，在真实工控场景中，工控安全性分为物理安全性和技术安全性，其中物理安全性包含操作规范、设备安装环境、管理制度、人员素质等，技术安全性包含网络防护能力、系统漏洞、设备性能、物理环境(防潮、防火)等。
[0035]
图2所示为本发明实施例提供的工控系统安全性评估系统的整体流程步骤，具体为：
[0036]
工控场景模块产生工业控制系统所涉及的多个场景实验数据，形成安全性评估的原始样本数据，其包含无事件场景数据、正常生产场景数据、网络攻击场景数据、自然事件数据共4大类型的数据及相应事件发生时对工控系统生产性能的影响程度，并将事件作用后的系统性能与事件作用性关联，在本实施例场景中对4大类场景数据做了进一步细分，共包含41种小类数据，包含影响工控系统安全的物理安全性和技术安全性事件，具体包含无场景事件1种，自然事件8种，攻击事件31种。依据其对系统的影响程度将41类数据划分为10个级别，影响数值分别为0～9，其中影响数值越大代表对系统性能影响越大，0分代表对系统性能无影响。
[0037]
数据采集模块是通过部署于仿真工控系统场景的多个传感器完成原始数据的采集，由于仿真工控场景通过各种事件场景产生样本数据集，因此不同场景传感器所采集到的数据不尽相同，一般采集数据包括但不限于电压相角、电压幅度、继电器频率、电压幅度、阻抗、网络流量等数据，形成针对每个具体场景的原始数据集。
[0038]
根据工业控制系统的要求，工控系统需要保证可用性、可靠性、安全性，各个场景对工控系统的影响应反映到对这三个特征的影响上，在量化指数上可用性权重为0.5，可靠性权重为0.3，安全性权重为0.2，在各个场景中，需要反馈仿真工控系统的受影响程度。
[0039]
系统安全性指数评估方法包括系统可用性、可靠性、安全性，包含整个工控系统中的安全防御能力d，工控系统已知安全问题的排查程度与防护v，设备及相关服务的运行稳定性s，工业控制系统资产总数a，设备正常运行时生产能力m，设备在各个场景运行时的生产能力m，可使用资产数量a，设备在各个场景下的恢复能力r(r∈[0,1])，则整个系统在响应事件场景下的安全性指数为：
[0040][0041]
在评估整个工业控制系统影响的过程中，要满足工控系统所处场景影响数值越低，则安全性越高指数越高的基本原则，不满足此条基本原则的数据设定为无效数据。
[0042]
数据处理模块是对数据采集模块所获取的原始数据集进行粗粒度处理的过程，由于原始数据来自不同节点，格式并不相同，各种指标的量化方式也存在差异，无法直接使用，需要对原始数据进行预处理，进而对各项数据进行规范化处理。
[0043]
数据的规范化处理包括定义统一的数据格式，并统一数据的量化标准，将所有的指标合理地转化为数值；其次对于分步区间过大的指标进行归一化处理，将其映射到[0,1]区间；对于失真数据，将其从样本中剔除。
[0044]
安全评估模块是利用概率神经网络构建的分类检测模型，其接收数据处理层的数据作为训练样本，通过训练模型得出安全评估参数。
[0045]
图2的s1为安全评估模块的数据处理过程：
[0046]
数据处理模块将处理过的数据进行特征提取并筛选，最终用于进行安全性评估的原始训练样本数据x～p。
[0047]
特征向量数据经过主成分分析法进行降维，将高维特征空间映射到低维特征空间，本实施例中要求主成分累计贡献率必须达到80％及以上才能够算达标，可选的，在不同要求的前提下，可自行调整累计贡献率，累计贡献率设定值越高，则对特征向量数据的降维程度则越大，数据量相对则越小。
[0048]
训练样本数据x～p经过主成分分析法进行降维，最终得到样本数据x’～p。
[0049]
概率神经网络模型通过x’～p进行训练，并通过人工蜂群算法调整参数实现加快全局优化能力，提高全局收敛速度，在模型训练过程中只需调整部分参数即可形成具有检测能力的神经网络模型。
[0050]
神经网络模型开放数据接口，外部工控系统数据经过数据采集模块、数据处理形成标准的格式化数据，其处理逻辑与数据采集模块、数据处理模块类似，最终得出整个工控系统的安全性的衡量参数，参数值越大，安全性越高，其所面临的安全问题相对较低。
[0051]
数据镜像模块将工控系统中的各项数据进行旁路镜像，由于在对实际的工控系统进行数局采集时，必须保证不能影响工控系统的正常运行，任何直接的外部作用都有可能破坏工控系统的可用性，因此本发明实施例在对工控数据进行采集时，首先对生产传感器节点、网络节点及其他设备节点进行镜像，直接采集镜像数据即可实现对待测系统数据的采集，数据镜像模块除了镜像数据不会产生额外的新的流量，解决了设备在不停机状况下
的安全性检测和评估问题。
[0052]
需要说明的是，当工控系统所部署的安全系统防御能力很低且遭受严重的网络攻击而导致瘫痪时，其安全性指数接近0。而当工控系统安全防御系统完善，系统漏洞排查彻底且被隔离或处置，工控系统处于无场景运行时，其安全系数接近1。
[0053]
报警系统将检测出的安全性系数与给出安全性系数的范围进行对比，在本发明实施例中，当安全性系数处于[0.8,1)时，报警系统提示系统处于“低危”状态；当安全性系数处于[0.3,0.8),提示系统处于“中危”状态；当安全性系数处于(0,0.3),提示系统处于“高危”状态。