[发明专利]基于通信模型的工业控制系统的入侵检测方法及系统

权利要求书

1.一种基于通信模型的工业控制系统的入侵检测方法，其特征在于：包括建立工业控制系统通信模型步骤和入侵检测步骤：首先建立工业控制系统通信模型和通信规则，所述的通信模型包含节点信息和通信连接信息；工业控制系统通信模型建立之后，以通信模型为基础产生合法通信规则集，在工业控制系统安装调试阶段以及尚未发生攻击阶段进行学习，建立通信模型并生成通信规则集；然后在工业控制网络中部署探测器，捕获数据报，由数据报分析并提取通信连接信息，与所述生成的合法通信规则集进行比对，若有违反该合法通信规则集的通信连接则产生告警；若发现入侵，则调用系统响应模块采取相应的响应策略，若实际检测有误，则进行分析并重新进行学习。

2.如权利要求1所述的一种基于通信模型的工业控制系统的入侵检测方法，其特征在于：其中建立系统通信模型采用以下方法：

第一步，捕获数据报；实时从数据链路层捕获数据报；

第二步，将实时捕获的数据报或由已有数据报文件取得的数据报，按照时间戳的顺序存储到数据报队列中，然后进行协议分析；

第三步，进行通信周期分析，分析两个节点之间每次通信连接的起始时间和结束时间，获取通信周期；

第四步，生成通信模型：根据通信周期分析结果、通信记录库条目和预定义的节点描述文件生成通信模型，并将通信模型数据存入通信模型库；

第五步，分析主从关系：实际工业控制系统中包含多个互不连通的子系统，则为每个子系统分别建立通信模型，生成通信规则以及进行入侵检测，设通信模型库中存储的信息为一个有向图，对该有向图进行遍历，获取所有主从关系域信息，为每个主从关系与生成轮询顺序函数；

第六步，生成通信规则：由通信模型库以及主从分析结果生成通信规则库。

3.如权利要求2所述的一种基于通信模型的工业控制系统的入侵检测方法，其特征在于：其中第一步中只捕获感兴趣的数据报。

4.如权利要求3所述的一种基于通信模型的工业控制系统的入侵检测方法，其特征在于：其中第一步中预先设定过滤规则，采用捕获前过滤的方式，过滤掉不符合规则的数据报。

5.如权利要求3所述的一种基于通信模型的工业控制系统的入侵检测方法，其特征在于：其中第一步中捕获数据报时为数据报打时间戳，对加有时间戳的数据报进行实时分析，或将加有时间戳的数据报存储为数据报文件。

6.如权利要求2或3或4或5所述的一种基于通信模型的工业控制系统的入侵检测方法，其特征在于：其中第二步根据预定义的工控协议描述文件识别协议类型、信源地址、信宿地址、负载二进制位串，对过滤后的协议进行通信连接分析，通信模型中也只建立协议过滤后的通信连接关系，若报文格式与预定义工控协议描述文件中的任何一个协议均不匹配，则判别为未知协议数据报，此时只识别数据链路层地址，而将数据链路层的协议数据单元PDU直接作为负载二进制位串；对每个通信连接加上时间信息，协议分析之后的数据报信息包含本次通信的开始时间和结束时间；对于面向连接的通信，结束时间大于开始时间；对于非面向连接的通信，结束时间等于开始时间。

7.如权利要求6所述的一种基于通信模型的工业控制系统的入侵检测方法，其特征在于：第四步所述的预定义的节点描述文件依据工业控制系统设计文档或系统组态文件编写，包括节点上的所有“协议-地址”信息对。

8.如权利要求7所述的一种基于通信模型的工业控制系统的入侵检测方法，其特征在于：其中采用“指导”与“探测”相结合的方法建立通信模型，所述的“指导”是以指先验知识为指导生成模型的部分信息，工业控制系统设计说明书中有控制部件、计算和信息部件以及通信部件的详细设计说明，以此为基础确定模型中的节点信息、节点之间的主从关系以及拓扑信息；所述的“探测”是指使用探测工业控制系统通信数据报的方法获取模型的部分信息；在工业控制系统部署探测器探测网络通信数据报，对探测得到的网络通信数据进行分析和挖掘，提取通信连接信息。