基于攻击图的工业控制网络安全隐患分析

刘海川，花蕾

（1.太原市轨道交通发展有限公司，山西 太原 030002；2.山西晋中理工学院，山西 晋中 030600）

0 引言

现阶段来看，工业控制系统已经在我国有广泛应用，无论是在水利系统、电力系统。还是化工系统中的应用都发挥出了理想效果，其在实际应用的过程中往往是依靠着系统的自动化运转来实现的。目前，工业控制系统与办公管理系统已经初步实现了一体化集成，这也在很大程度上增加了数据互通的便捷性，可以通过与办公网络进行互联组成工业控制系统网络，这样可以有效降低工业控制网络运行过程中出现安全隐患的可能性。

1 工业控制系统的特点

1.1 工控系统的网络特点

对于工业控制系统来说，其可以利用ICS进行表示，是由一系列自动化控制器件以及检测现场数据的控制器件所组成，其在实际应用的过程中可以有效保证系统的整体自动化运行，同时也实现了对工业基础设备运行过程的有效监督。因此，对于工控系统网络来说，其与其他的IT网络往往存在较大差异性，其属于一个半封闭网络，这一网络系统在实际运行的过程中其特点体现在以下几个方面：第一，其有很强的实时性通信能力；第二，设备更换操作相对复杂；第三，系统运行过程中不能重启；第四，通信协议具有多样性[1]。

1.2 工控系统网络层次性

对于工控系统网络来说，其结构性较为明显，可以将其分为三层，分别是IT层、板工程以及工控层。首先，IT层。对于这一层来说，其属于全开放式的网络，同时也是我们在日常生活以及工作中经常会应用到的网络系统，可以将其直接连接到Internet。其次，办公层。对于办公层这一结构来说，相对复杂，主机上需要安装相应的办公管理软件，例如OA、SCADA客户端、历史数据库客户端等等，这样才能使这一层的各项功能得到有效发挥。其中，SCADA客户端主要是为用户提供其感兴趣的工控系统运行数据，将这些运行过程中所产生的数据更为精准地传递给用户。而历史数据库客户端主要是为了方便用户查看系统运行过程中所产生的历史数据，从而使得用户对接下来的系统运行情况有一定把握，这也有利于办公操作的开展[2]。最后，工控层。对于工控层来说，其主要包括工控现场设备的管理，例如PLC、RTU等等。工控层主要是对现场设备的工作状态进行控制，从而实现对现场数据的有效采集。

2 基于攻击图的工业控制网络系统结构设计分析

2.1 整体系统结构设计

在进行攻击图的工业控制网络安全隐患情况分析的时候，应该注意对其运行过程中的要点进行准确把握，这就需要开发出具有针对性的工业控制系统攻击图隐患分析工具，其主要包括生成模块、工控系统主机连接信息采集模块以及工控系统图生成模块，不同的模块有自身独特的用途。运用工控系统攻击图隐患分析工具可以实现对各种模块的有效分析，从而得出更为直观的主机攻击图。当前的工控系统攻击图分析工具系统主要包括原子攻击规则生成、工控系统攻击图生成以及攻击图可视化展示等等模块，这也使得其整体分析效果较为理想，最终所得出的安全隐患信息也较为具体。在运用工控系统攻击图对安全隐患问题进行深入分析的时候，应该注意，在进行系统漏洞挖掘的时候，对插入恶意代码以及不按计划运行等情况进行确定，要为系统配置扫描装置，从而实现对攻击图隐患的深入分析[3]。

2.2 攻击性生成模块设计

为了可以向人们更为直观清晰地展示出网络拓扑生成模块，应该注意对网络模块进行适当简化，通过这种方式将其分为不同的区域，这样可以使其功能特性得到更为具体的展示。为基于层的攻击图提供信息配置功能可以使人们对于控制系统的操作更为简便，同时也在很大程度上提升了工业控制系统的整体运行稳定性。通过在用户界面设置网络区域功能按钮的方式可以实现对不同颜色的填充，从而使得区域名称标记的开展更为方便。对于攻击图的正向生成算法来说，其主要是由攻击源发起的，在这一过程中需要对已知的攻击源所在位置进行确定，明确哪些主机会对攻击源的正常运转产生负面影响，这样也更加方便相关保护工作的开展，从而实现了对网络设备运行状态的有效保护。当前来看，攻击图网络图的生成主要是以MulVAL为基本工具，运用逻辑编程语言来对网络元素进行描述，此种方式的应用较为广泛，使得MulVAL作为命令执行工具的实际价值得到了有效发挥，可以生成相应的漏洞报告，同时也可以生成攻击图。

3 工业控制系统安全隐患分析的实现

3.1 攻击图生成算法

想要实现对工业控制系统安全隐患的深入分析，应该注意找到IT工业控制网络层级中可以攻击到的所有主机，由列表的第一位开始对主机进行攻击。在进行节点计算操作的时候，应该注意对操作方法进行合理选择，一定要严格避免攻击路径出现重复性，同时还要注意对所有攻击路径列表中的节点进行删除处理，从而避免大量的多余数据存在而致使无效攻击路径出现[4]。对于办公层来说，在生成这一层级的时候，应该注意对办公层节点进行划分，将其分为办公层与IT层的边界主机、办公层与工控层的边界主机，这也使得这一层级在实际运行的过程中可以对当前系统存在的安全隐患有更为清晰具体的认知。

3.2 网络状态采集模块的实现

（1）网络连接信息配置技术的实现。对于网络连接信息配置技术来说，其主要是依靠集线器、交换机以及路由等装置来实现的，在实际运行过程中需要对信息储存格式进行合理选择，通常会将信息格式保存为hacl，并且将其中的src作为源节点，这样一来，系统在实际运行的过程中对于传输端口的选择会更为精准。Apply是保存配置信息的关键模块，在实际应用的过程中还应该对其功能进行不断完善，使其关键作用得到有效发挥，这也是实现网络连接信息配置技术的基础前提。

（2）主机信息配置技术的实现。对于主机信息配置技术来说，其在现阶段的工控网络系统中已经有了初步应用，其在实际应用的过程中发挥出了理想效果。对于攻击图工业控制网络系统来说，其组成较为复杂，主要包括服务器、主机以及PLC等设备，系统在实际运转的过程中需要严格按照相应的规定在配置界面进行配置操作，从而实现对当前主机漏洞的有效优化，从而使得配置系统在实际运行的过程中发挥出理想效果。在进行主机服务类型选择的时候，应该保证其系统配置的合理性[5]。同时，还应该注意对服务栏目进行开放，通过这种方式来实现对表格中内容的修改，可以运用删除按钮来对选中的信息进行删除处理，通过这种方式来保证信息处理效果。

3.3 攻击目标配置技术的实现

对于现阶段的工控系统攻击目标配置技术来说，其主要是由攻击信息以及攻击类型所组成，在实际运用的过程中需要制作出与之相对应的攻击目标表格，通过这种方式来对配置完成的信息进行展示，并且在这一过程中不能对信息进行修改，要注意结合实际需求对攻击类型进行合理设置。当配置信息选择完成之后，应该注意通过增加按钮的方式来进行信息配置，并且将其添加到攻击目标表格中[6]。可以利用ID来实现对网络设备的准确标记，这也使得文件设备的识别效果更为理想，也在很大程度上方便了用户使用。同时，想要实现攻击目标配置技术的有效运用，应该注意将设备名称所标记的攻击目标展示在配置界面中，并且要对模块中的设备名称进行转化，将其转化为设备ID，这样也可以实现对信息的有效保存以及配置[7]。

4 结语

综上所述，通过对基于攻击图工业控制网络安全隐患的深入分析之后可以看出，由于攻击图系统自身具有复杂性，并且体量较为庞大，一般情况下，不适合在大型的工业控制网络中进行应用。经过对工业控制网络体系进行深入分析之后，对整体系统结构设计、攻击图生成模块以及网络状态采集模板有了较为深入的了解，可以实现对控制网络安全隐患的有效检测以及排查，使得安全隐患分析工作的开展更为顺利[8-9]。在对工业控制系统的安全隐患分析系统进行确定的时候，主要是对各个层级的攻击图及生成算法实现以及网络状态采集模块进行确定，从而使得安全隐患得到有效控制，同时也明确了攻击图工控系统安全隐患分析的实现方法，进一步强化了对工控系统运行过程中安全隐患的分析能力。