可编程逻辑控制器的控制逻辑注入攻击入侵检测方法

可编程逻辑控制器(PLC)的控制逻辑注入攻击通过篡改控制程序操纵物理过程,从而达到影响控制过程或破坏物理设施的目的。针对PLC控制逻辑注入攻击,提出了一种基于白名单规则自动化生成的入侵检测方法PLCShield(Programmable Logic Controller Shield)。所提方法以PLC控制程序承载着全面、完整的物理过程控制信息为依据,主要包括两个阶段:首先,通过分析PLC程序的配置文件、指令功能、变量属性和执行路径等信息,提取程序属性、地址、值域和结构等检测规则;其次,采用主动请求PLC的运行“快照”和被动监听网络流量结合的方式,实时获取PLC当前的运行状态和流量中的操作、状态等信息,并通过对比得到的信息与检测规则识别攻击行为。以4款不同厂商和型号的PLC作为研究案例验证PLCShield的可行性,实验结果表明所提方法的攻击检测准确度达到97.71%以上,验证了所提方法的有效性。

基于DTMC的工业串行协议状态检测算法

针对现有工业信息安全研究主要集中在工业以太网方面,缺少对串行链路协议防护的研究等问题,提出一种基于离散时间马尔可夫链(Discrete Time Markov Chain,DTMC)的工业串行协议状态检测算法。该算法利用工业控制系统(Industrial Control System,ICS)行为有限和状态有限的特征,根据串行链路协议历史流量数据,自动构建ICS正常行为模型——DTMC。模型包含状态事件、状态转移、状态转移概率和状态转移时间间隔等行为信息,使用该模型所包含的状态信息作为状态检测规则集。当检测阶段生成的状态信息与状态检测规则集中的信息不同或偏差超过阈值时,产生告警或拒绝等动作。同时,结合综合包检测(Comprehensive Packet Inspection,CPI)技术来扩大协议载荷数据的可检测范围。实验结果表明,所提算法能有效检测语义攻击,保护串行链路安全,且算法误报率为5.3%,漏报率为0.6%。