工业控制系统安全评估的研究与系统实现-软件工程专业论文.docx

重庆大学硕 重庆大学硕士学位论文 目 录 PAGE PAGE IV 目 录 中文摘要I 英文摘要 II 1 绪 论 1 1.1 研究背景与意义 1 1.2 国内外研究现状 2 1.3 论文研究内容 6 1.4 论文组织结构 6 2 相关理论与技术 8 2.1 信息安全评估角度 8 2.2 ICS 安全相关标准研究 9 2.2.1 NIST SP-800 82 标准概述 9 2.2.2 IEC 62443 标准概述 10 2.3 网络信息系统安全评估方法 11 2.3.1 安全评估方法类型分析 11 2.3.2 决策理论 13 2.3.3 具体评估方法 15 2.4 本章小结 19 HYPERLINK \l _TOC_250004 3 ICS 安全评估建模 20 HYPERLINK \l _TOC_250003 3.1 ICS 安全评估方式与流程设计 20 HYPERLINK \l _TOC_250002 3.1.1 ICS 安全评估方式的分析 20 3.1.2 安全评估流程设计 20 HYPERLINK \l _TOC_250001 3.2 SCIAM 安全评估指标模型 23 HYPERLINK \l _TOC_250000 3.2.1 ICS 与传统信息系统的差别 23 3.2.2 安全评估模型结构 24 3.2.3 安全属性模型 26 3.2.4 评估模型指标体系 28 3.3 ICS 安全评估量化计算 34 3.3.1 ICS 安全评估量化计算方法 34 3.3.2 属性客观权重计算 36 3.3.3 评估人员客观权重计算 37 3.3.4 安全评估结果计算 37 3.4 本章小结 38 4 ICS 安全评估系统需求分析 40 4.1 总体需求 40 4.2 主要功能模块需求 42 4.2.1 基于 SCIAM 评估模型的模块 42 4.2.2 基于 SAL 安全标准评估的模块 42 4.2.3 维护指标的模块 45 4.3 本章小结 46 5 ICS 安全评估系统的设计与实现 47 5.1 系统设计 47 5.1.1 架构设计 47 5.1.2 数据持久层的设计 49 5.1.3 功能模块内部结构的设计 51 5.2 系统实现 53 5.3 本章小结 57 6 总结与展望 58 6.1 总结 58 6.2 展望 58 致 谢 60 参考文献 61 重庆大学 重庆大学硕士学位论文 1 绪 论 PAGE PAGE 10 1 绪 论 1.1 研究背景与意义 在计算机技术与网络技术高速发展的今天，信息化与工业化不断融合，使得 两者不断在产品、技术以及组织管理上形成各种新形态。现代工业控制系统（ICS， Industrial Control System）是指工业部门与关键基础设施中的控制系统，包括数据 采集与监控系统（SCADA, Supervisory Control and Data Acquisition）、分布式控制 系统（DCS，Distributed Control System）、过程控制系统（PCS，Process Control System）、可编程逻辑控制器（PLC，Programmable Logic Controllers）以及其他相 关配置系统等 HYPERLINK \l _bookmark0 [1]。ICS 是国家关键基础设施的重要组成部分，已广泛应用于交通、 水电、医疗、食品、航空航天、化工等工业领域。据统计，我国 80%的关键基础 设施部署了并依赖于 ICS[2]。 自 2010 年，伊朗布什尔核电站遭遇首例 ICS 网络攻击病毒——Stuxnet 以来， 相继曝光了一系列 ICS 攻击事件。据权威工业安全时间信息库 RISI（Repository of Security Incidents）统计，截至 2011 年 10 月，全球针对 ICS 的攻击事件已发生超 过 200 起。据美国国土安全部下属的工业控制系统应急响应小组（ICS-CERT）发 布的统计，ICS 安全事件从 2010 年至 2013 年，逐年呈倍数上升，已大大超越 200 起，如图 1.1 所示。其中的安全事件主要集中在政府机构、水电、能源、化工以及 核设施等国家关键基础设施领域[3]。 图 1.1 ICS-CERT 统计的 ICS 安全事件 Figure1.1 Sttistics of ICS Security Incidents from ICS-CERT 虽然相比于传统信息系统的攻击事件，针对 ICS 的安全事件数量微小，但是 由于 ICS 事关民生大计，每件攻击事件造成的可能危害与影响都非常巨大。每件 事件