一种基于配置表的工控系统安全风险评估的方法与流程

本发明涉及工业控制系统安全安全风险评估和配置核查领域，涉及一种基于配置表的工控系统安全风险评估的方法。

背景技术：

现代工业基础设施包括电力、石油与天然气、化工、水利、工业制造及交通控制等重点行业，构成了我国国民经济、现代社会以及国家安全的重要基础。工业基础设施中关键应用、系统的故障可能导致人员伤亡、严重的经济损失、基础设施被破坏、环境灾难、危及公众生活及国家安全等。

工业控制系统构成了现代工业基础设施的神经系统。传统上，工业控制系统多为采用专用技术的封闭网络，对外没有互联互通，其面临的信息安全威胁不突出。相应地，各种工业控制设备、应用、系统、通信协议都主要针对专有的封闭环境而设计。由于没有现实的信息安全威胁，工业自动化控制系统在设计、实现与部署过程中，其主要指标是可用性、功能、性能、(物理)安全性、实时性等，而无须过多考虑网络攻击、信息安全等问题。

近几十年来，各种工业控制系统正快速地从封闭、孤立的系统走向开放、互联(包括与传统it系统互联)，日益广泛地采用以太网/ip/tcp网络作为通信基础设施，将工业控制协议迁移到tcp/ip协议栈的应用层；采用包括iwlan、gprs等在内的各种无线网络；广泛采用标准的windows等商用操作系统、设备、软件、中间件与各种通用技术。典型的工业自动化控制系统，包括scada(数据采集与监控系统)、dcs(分布式控制系统)、plc(可编程逻辑控制器)等，正日益变得开放、通用和标准化。

工业控制系统在享受开放、互联技术带来的进步、效率与利益的同时，也面临着日益严重的安全威胁。由于长期缺乏安全需求的推动，对采用tcp/ip等通用技术的网络环境下广泛存在的安全威胁缺乏充分认识，现有工业控制系统过去在设计、研发中几乎完全没有考虑信息安全的问题，在部署、运维中又缺乏安全意识、管理、流程、策略与相关专业技术的支撑，导致许多工业控制系统中存在着这样或那样的安全问题，一旦被无意或恶意利用，就会造成各种严重的安全事件。

本司经过多年的实践与探索，世界各国或多或少都已意识到针对工业控制系统开展全面的安全测评，摸清、掌握工业控制系统潜在的安全风险与面临的安全威胁，有助于以此为起点推动工业控制领域各相关机构、客户与厂商等各方共同参与、相互配合，改进和完善现有工业控制系统，并研发更安全、可靠的新的工业控制系统。能够实现针对it设备及工控设备配置基线的安全检查，分析重要it设备、工控设备、网络设备安全配置情况，发现基线配置存在的安全风险。

技术实现要素：

本发明的目的在于针对现有技术的缺陷和不足，提供一种基于配置表的工控系统安全风险评估的方法，它具有远程和本地对it设备和工控设备进行安全配置检查的能力，并且符合相应安全规范，同时具有友好的人机界面和报表系统，实现基线检查工作的智能化、自动化。

为实现上述目的，本发明采用的技术方案是：

本发明所述的一种基于配置表的工控系统安全风险评估的方法，采用如下步骤：

步骤一：构建核心调度引擎，建立数据库组、引擎库、工控资产信息库，形成工业安全配置基线检查工具；

步骤二：步骤一中的数据库组由工控协议、设备、软件数据库，工控漏洞数据库，关键扫描指令数据库组成；

步骤三：步骤一中的引擎库由扫描策略引擎，发包引擎，采集引擎，判别引擎组成；

步骤四：步骤二中的工控协议、设备、软件数据库，工控漏洞数据库，关键扫描指令数据库，为核心调度引擎提供数据源一；

步骤五：步骤一中的工控资产信息库为核心调度引擎提供数据源二；

步骤六：步骤四中的数据源一和步骤五中的数据源二，形成数据源库；

步骤六：核心调度引擎通过发包引擎来对工控设备/软件进行检查，扫描引擎来对待检查的工控设备/软件，通过调用步骤五中的数据源二，来制定检查策略，然后采集引擎来采集工控设备/软件中的检查的数据，将收集到的数据送至判别引擎，判别引擎调用步骤四中的数据源一，利用工控协议、设备、软件数据库，工控漏洞数据库，关键扫描指令数据库，来判别检查得到检查结果数据，判别引擎再将检查结果数据送至核心调度引擎，核心调度引擎再将检查结果进行显示。

进一步地，步骤一中的工业安全配置基线检查工具由展示层、核心业务层、数据采集层、外部系统层和评估对象层组成；

其中:(1)展示层包括资产分类分布层、资产漏洞分布层、任务执行维护层组成，通过资产分类分布层、资产漏洞分布层、任务执行维护层，利用工具能够得到资产合规分析结果，资产漏洞分析结果和全网不合规指标分布；

其中：(2)核心业务层由任务管理、资产管理，配置管理，漏洞核查、评分系统、报表管理、系统管理、知识库管理组成；

任务管理由任务配置、任务执行、任务合并、任务比较和手动任务组成；

资产管理由资产探测、资产识别、资产维护、资产统计组成；

配置管理由联网设备核查、本地配置核查、核查策略管理、核查分析统计组成；

漏洞核查由脆弱性核查、漏洞分析、漏洞加固建议组成；

评分系统由评分规则管理、评分计算、评分统计组成；

报表管理由报表模板管理、报表分类管理、报表生成管理组成；

系统管理由用记管理、角色管理、系统审计、备份与恢复组成；

知识库管理由指纹库管理、漏洞库管理、资产信息库组成；

其中：数据采集层由在线采集和离线采集组成；

数据采集层由采集脚本管理、采集调度管理、采集协议管理组成；

离线采集由离线采集引擎管理、离线脚本管理、离线结果管理组成；

其中：(3)评估对象层由工控设备、网络设备、安全设备、web中间件、数据库和操作系统组成；

其中：(4)外部系统层由风险测评工具系统、资产系统、漏洞信息系统组成。

采用上述结构后，本发明有益效果为：本发明所述的一种基于配置表的工控系统安全风险评估的方法，它针对构成工业控制系统的工控设备、网络设备、工控应用、服务、组件等，以及工控系统普遍采用的it设备、操作系统、数据库等组件进行资产探测、配置安全基线核查、漏洞检测，实现快速检测，发现漏洞，从而能够快速得到检测结果，发现基线配置存在的安全风险。

附图说明

图1是本发明的拓扑框架结构图；

图2是本发明的风险评估工具系统架构图；

图3是本发明的与工控系统设备之间的部署方式的拓扑图；

图4是本发明的目标资产的风险程度检测的拓扑图；

图5是本发明的漏洞发现检测的拓扑图；

图6是本发明的工控漏洞发现的流程示意图；

图7是本发明的快速资产发现的流程示意图。

具体实施方式

下面结合附图对本发明作进一步的说明。

如图1所示，本发明所述的一种基于配置表的工控系统安全风险评估的方法，采用如下步骤：

步骤一：构建核心调度引擎，建立数据库组、引擎库、工控资产信息库，形成工业安全配置基线检查工具；

步骤二：步骤一中的数据库组由工控协议、设备、软件数据库，工控漏洞数据库，关键扫描指令数据库组成；

步骤三：步骤一中的引擎库由扫描策略引擎，发包引擎，采集引擎，判别引擎组成；

步骤四：步骤二中的工控协议、设备、软件数据库，工控漏洞数据库，关键扫描指令数据库，为核心调度引擎提供数据源一；

步骤五：步骤一中的工控资产信息库为核心调度引擎提供数据源二；

步骤六：步骤四中的数据源一和步骤五中的数据源二，形成数据源库；

步骤六：核心调度引擎通过发包引擎来对工控设备/软件进行检查，扫描引擎来对待检查的工控设备/软件，通过调用步骤五中的数据源二，来制定检查策略，然后采集引擎来采集工控设备/软件中的检查的数据，将收集到的数据送至判别引擎，判别引擎调用步骤四中的数据源一，利用工控协议、设备、软件数据库，工控漏洞数据库，关键扫描指令数据库，来判别检查得到检查结果数据，判别引擎再将检查结果数据送至核心调度引擎，核心调度引擎再将检查结果进行显示。

进一步地，如图2所示，步骤一中的工业安全配置基线检查工具由展示层、核心业务层、数据采集层、外部系统层和评估对象层组成；

其中:(1)展示层包括资产分类分布层、资产漏洞分布层、任务执行维护层组成，通过资产分类分布层、资产漏洞分布层、任务执行维护层，利用工具能够得到资产合规分析结果，资产漏洞分析结果和全网不合规指标分布；

其中：(2)核心业务层由任务管理、资产管理，配置管理，漏洞核查、评分系统、报表管理、系统管理、知识库管理组成；

任务管理由任务配置、任务执行、任务合并、任务比较和手动任务组成；

资产管理由资产探测、资产识别、资产维护、资产统计组成；

配置管理由联网设备核查、本地配置核查、核查策略管理、核查分析统计组成；

漏洞核查由脆弱性核查、漏洞分析、漏洞加固建议组成；

评分系统由评分规则管理、评分计算、评分统计组成；

报表管理由报表模板管理、报表分类管理、报表生成管理组成；

系统管理由用记管理、角色管理、系统审计、备份与恢复组成；

知识库管理由指纹库管理、漏洞库管理、资产信息库组成；

其中：数据采集层由在线采集和离线采集组成；

数据采集层由采集脚本管理、采集调度管理、采集协议管理组成；

离线采集由离线采集引擎管理、离线脚本管理、离线结果管理组成；

其中：(3)评估对象层由工控设备、网络设备、安全设备、web中间件、数据库和操作系统组成；

其中：(4)外部系统层由风险测评工具系统、资产系统、漏洞信息系统组成。

本发明具有通过远程及本地方式对工控设备、it设备、网络设备、工控应用等组件进行安全配置检查的能力，能够检查系统中的安全配置和安全漏洞，并且完全符合相应安全规范和最佳安全实践现有的设备配置规范要求，同时具有友好的人机界面和丰富的报表系统，完全实现了安全检查工作的智能化、自动化。

本发明支持基于iec62443、isasecureedsa的系统完整性安全评估、功能安全评估等风险评估功能。

本发明采用远程访问的方式，网络可达即可，连接现有的网络，不做网络的任何修改，可覆盖典型的工控系统，其部署方式如附图3所示。

本发明适用于自主评估、第三方评估、上级对下级检查、产品准入验收、日常运维检查等场景，可大大提高工作效率，并为工业控制系统安全建设提供强有力的技术支持。

如图4所示，本发明在使用时，用户输入目标资产进行添加资产，使用工业安全配置基线检查工具来通过资产管理来进行资产探测、资产识别、资产维护、资产统计，然后利用配置管理来进行联网设备核查、本地配置核查、核查策略管理、核查分析统计，再然后利用任务管理模块，来进行任务配置，形成新建任务，通过任务执行，根据系统根据预置好的工控基线检查模板，登录目标资产，采集待查配置等信息，与工控基线检查模板中的数据库组中的数据进行逐项比对，按照预设的权值对结果进行加权评分，得出目标资产的风险程度，然后得出匹配结果，使用评分系统进行评分，将最终结果使用报表输出。

如图5所示，本发明中针对漏洞进行探查，具体做法如下：使用工业安全配置基线检查工具通过资产管理来建立新建任务，以漏洞检查为导向，然后再通过任务管理中的任务配置来实现对ip/资产配置、端口配置、产品类型/厂家配置，然后再进行任务地，对目标工控资产探测，再使用漏洞核查进行漏洞分析，再利用评分系统对漏洞结果数据进行评分，通过报表输出最终结果。

如图6所示，本发明中，工控漏洞发现实现的功能是通过调用指纹识别引擎等发下工控目标设备的漏洞，并报告给用户。用户点击执行漏洞扫描程序。首先调用指纹识别引擎进行指纹识别分析，之后不断访问数据库查看指纹识别引擎是否执行结束。如果引擎已经执行结束，停止不断访问数据库查看程序，更新数据库任务状态，说明该任务调用引擎执行结束。状态更新之后，从漏洞任务表以及指纹结果表等表中获得需要的数据入库插入漏洞扫描结果表中。用户可以从该表格中获取数据，以便查看扫描结果。

如图7所示，本发明中，针对资产发现功能，采用如下的操作：利用工具的网络扫描-快速资产发现需要实现的功能是通过扫描网络，找出网络中的设备，并对其进行识别。本发明中的网络扫描最核心步骤就是根据网络协议收发数据包，整个过程可以分为四部分，按照先后顺序分别是主机发现、端口扫描、服务识别、系统识别，这四部分所做的工作越来越细致，后面每一步都需要前面的结果作为基础。在主机发现过程中，扫描端向所要扫描的ip发送数据包，如果该ip有回应，就说明该ip所代表的的设备存在。

端口扫描是在主机发现完成之后，确定存活的主机开放了哪些端口的步骤。端口扫描过程中，扫描程序尝试与目标主机的特定端口建立链接，如果能够成功建立链接，那么也就说明目标主机开放了相应端口

本发明中，基于我国工业转型升级和“两化深度融合”的时代背景下，一方面关键基础设施行业的工业控制系统长期以来处于“信息孤岛”的封闭状态，系统建设思路普遍重业务轻安全、甚至完全不考虑网络信息安全；另一方面智能设备的日趋成熟、管理水平和信息化水平的提升又要求工业控制网络从多个层次上或直接或间接地接入互联网。在当前形势下，要为基础设施行业的关键工业控制系统提供有效的安全防护，就必须要有针对性地对各种工业控制系统进行全面的安全风险评估。使用本设计的工业控制系统信息安全风险评估工具能够广泛地针对构成工业控制系统的工控设备、网络设备、工控应用(软件)、服务、组件等，以及工控系统普遍采用的it设备、操作系统、数据库等组件进行资产探测、配置安全基线核查、漏洞检测。

本设计覆盖工业控制系统中的操作系统、数据库、网络设备；联网设备中的工程师站、操作员站、hmi、plc、dcs、pcs、scada、opc服务器、工业交换机等；支持西门子、施耐德、罗克韦尔等主流工控厂商典型联网设备或系统的资产识别及探测功能。

以上所述仅是本发明的较佳实施方式，故凡依本发明专利申请范围所述的构造、特征及原理所做的等效变化或修饰，均包括于本发明专利申请范围内。