基于多CA量ICS系统信息侦测方法.docVIP

基于多CA量ICS系统信息侦测方法 　　摘要：本文深入研究了当前工业控制系统特别是监控系统的原理和过程，分析了监控系统存在信息泄露的安全隐患，并根据工业控制监控系统的特点，构建了基于多CA量的关键变量侦测方法，从监视量和控制量两个方面，分别提出了基于相关分析和基于状态转移的侦测分析模型。搭建了实验平台，通过模拟实验验证了方法模型的可行性。 　　关键词：工业控制系统 SCADA系统 信息侦测 　　中图分类号：TP311.13 文献标识码： A 文章编号：1007-9416（2015）08-0000-00 　　工业控制系统（ICS，Industrial Control System）广泛应用于石油炼化、核工业、交通水利、电力等多个国家的关键基础设施领域，在国民经济和工业生产中占据极其重要的地位。而随着“两化融合”的不断深入，工业控制系统正越来越多的连入企业网、内部网甚至国际互联网中，在给工业控制提供方便的同时，也带来了严重的安全隐患。近年来，连续出现了多起针对工控系统的攻击事件，“Stuxnet”、“duqu”、“火焰”病毒给一些国家的核设施和关键基础设施造成了巨大破坏。 　　作为工业控制系统中的重要组成部分，SCADA系统是以计算机为基础的自动化监控系统，用以实现对现场的运行设备进行监视和控制，实现数据采集、设备控制、测量、参数调节以及各类信号报警等各项功能。文献[1]中提出了现有SCADA系统的软硬件在数据保密性方面存在的安全漏洞，文献[2]提出了SCADA系统所处网络环境存在的安全隐患及网络协议的漏洞。本文总结分析了ICS系统安全隐患，并提出了一种基于多CA量的ICS系统信息侦测方法，明确了SCADA数据信息泄露与ICS系统安全的联系，为智能分析CA量获取工业控制系统关键信息提供了一种有效手段。 　　1 工控系统监控原理与建模 　　1.1 ICS系统结构 　　工业控制系统主要由以下几个部分组成：SCADA（Supervisory Control And Data Acquisition）系统，即数据采集与监控系统，分布式过程控制系统DCS（Distributed Control System），可编程逻辑控制器PLC（Programmable Logic Controller），人机界面HMI（Human Machine Interface）等。 　　典型工业控制系统如上图1所示，主要可以分为以下几个层次：监视控制层、采集和控制层、感知和执行层。其中监视控制层包括SCADA系统监控中心和所属的监控上位机。采集和控制层主要指控制器层，控制器有PLC、RTU、DCS等多种类型。感知和执行层指的是外部现场设备和场站，也包括监控中使用的传感设备等。 　　工业控制系统的监控设备主要包括监控站、工业通信网络、控制器及现场设备。简化示意图如下图2所示。 　　在监控系统中，控制器按照预先编写的程序逻辑对现场设备进行控制，并采集现场设备的实时参数，监控站通过工业通信网络与控制器进行信息交换，监控站向PLC发送控制指令，PLC向监控站上传监视信息。 　　1.2多CA量建模 　　在典型ICS的监控系统中，控制量（C量）和监视量（A量）是SCADA系统实施监控过程的关键点，也是监控信息的承载变量。在典型工业控制系统中，控制量和监视量是以绝对地址和值来表示和传输的。根据CA量的特点，对SCADA系统的监控过程建模。如图3所示。 　　设该工控系统中控制量有n个，分别是Ci（i=1，2，……，n），监视量有m个，分别是Aj（j=1，2，……，m）。将控制量作为系统输入，监视量作为系统输出，建立监控站-PLC多输入多输出系统模型。 　　控制量C的不同的输入状态控制着监视量A的输出结果，同时监视量A的结果也通过反馈控制C的输入状态，这样形成了一个自动控制回路，也就保证了整个工控系统的正常运转。也就是说，控制量输入Ci经过ICS系统的H（*）变换，输出监视量Ai，而Ai经过控制器内部F（*）反馈控制Ci。 　　2 基于CA关联的ICS系统信息侦测方法 　　由于工业控制系统在设计过程中注重系统的可用性和实时性，而对系统信息的安全没有做出应有的防护。尤其在监控过程中，监控站通过工业信息网络与PLC连接实现数据传输，实际上是将PLC直接连接到了监控站所在的内部网里。仅仅通过在内部网络上设置工业防火墙，来防止内部网络的非法访问，不能保证内部数据的安全。 　　为了从通信数据中获取ICS系统的关键信息，根据从网络中获取的SCADA数据，本文提出了一种基于多CA量的ICS系统信息侦测方法，来分析得到ICS系统的关键信息。 　　2.1 SCADA系统网络数据侦测模型 　　由于工业以太网是基于TCP/IP协议的，SCADA数据的传输采用