CN106230857A - 一种面向工控***的主动式漏洞检测***和检测方法 - Google Patents
一种面向工控***的主动式漏洞检测***和检测方法 Download PDFInfo
- Publication number
- CN106230857A CN106230857A CN201610782703.3A CN201610782703A CN106230857A CN 106230857 A CN106230857 A CN 106230857A CN 201610782703 A CN201610782703 A CN 201610782703A CN 106230857 A CN106230857 A CN 106230857A
- Authority
- CN
- China
- Prior art keywords
- leak
- control system
- industrial control
- win2k
- information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000001514 detection method Methods 0.000 title claims abstract description 47
- 230000003993 interaction Effects 0.000 claims abstract description 8
- 238000000034 method Methods 0.000 claims description 13
- 230000008569 process Effects 0.000 claims description 10
- 238000012360 testing method Methods 0.000 claims description 7
- 238000012854 evaluation process Methods 0.000 claims description 5
- 238000013480 data collection Methods 0.000 claims description 3
- 230000000246 remedial effect Effects 0.000 claims description 3
- 241000208340 Araliaceae Species 0.000 claims 1
- 235000005035 Panax pseudoginseng ssp. pseudoginseng Nutrition 0.000 claims 1
- 235000003140 Panax quinquefolius Nutrition 0.000 claims 1
- 235000008434 ginseng Nutrition 0.000 claims 1
- 230000008901 benefit Effects 0.000 abstract description 6
- 108010077055 methylated bovine serum albumin Proteins 0.000 abstract 1
- 238000013461 design Methods 0.000 description 5
- 238000005516 engineering process Methods 0.000 description 4
- 230000000694 effects Effects 0.000 description 3
- 238000002474 experimental method Methods 0.000 description 3
- 230000001427 coherent effect Effects 0.000 description 2
- 238000012795 verification Methods 0.000 description 2
- 208000019901 Anxiety disease Diseases 0.000 description 1
- 208000032170 Congenital Abnormalities Diseases 0.000 description 1
- 206010068052 Mosaicism Diseases 0.000 description 1
- 241000700605 Viruses Species 0.000 description 1
- 238000004458 analytical method Methods 0.000 description 1
- 230000036506 anxiety Effects 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 230000000052 comparative effect Effects 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 235000013399 edible fruits Nutrition 0.000 description 1
- 238000011156 evaluation Methods 0.000 description 1
- 239000002360 explosive Substances 0.000 description 1
- 238000009434 installation Methods 0.000 description 1
- 238000011031 large-scale manufacturing process Methods 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000006855 networking Effects 0.000 description 1
- 230000002688 persistence Effects 0.000 description 1
- 238000004886 process control Methods 0.000 description 1
- 231100000817 safety factor Toxicity 0.000 description 1
- 229920006395 saturated elastomer Polymers 0.000 description 1
- 210000003765 sex chromosome Anatomy 0.000 description 1
- XLYOFNOQVPJJNP-UHFFFAOYSA-N water Substances O XLYOFNOQVPJJNP-UHFFFAOYSA-N 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1433—Vulnerability analysis
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer And Data Communications (AREA)
Abstract
本发明公开了一种面向工控***的主动式安全漏洞检测***和检测方法,涉及工业控制***安全领域,漏洞检测***采用客户机服务器模式,包括控制器、客户端、服务器、评估报告和数据中心,其中控制器与服务器相连,服务器与不同客户端相连,客户端可通过防火墙、路由器连接互联网,也可与数据中心连接进行数据交互,同时服务器与数据中心相连进行数据交互,根据数据中心提供的数据生成评估报告。本发明的优点在于提出的漏洞检测***不需要开发攻击代码,与微软开发的MBSA漏洞检测***相比,检测速度快,准确度高,能很好地满足工业控制***的高稳定性、高实时性要求,适合于管理员评估整个工业控制***的安全状况,且对工业控制***的稳定运行无影响。
Description
技术领域
本发明涉及工业信息安全领域,尤其涉及一种面向工控***的主动式漏洞检测***和检测方法。
背景技术
工业控制***的信息安全关系到国家能源和基础设施行业的安全及稳定运行,是企业及国家安全面临的严峻挑战。***产品越来越多地采用通用协议、通用硬件和通用软件,以各种方式与互联网等公共网络连接,病毒、木马等威胁正在向工业控制***扩散,***信息安全问题日益突出。过程控制***已经从单机、分布式朝网络化方向发展,在网络设计过程中引入了不同类型的信息和通讯技术(ICT),包括Internet和无线技术。这些新技术的引入也给基础行业的安全带来了新的挑战,包括电力、水利、交通运输以及大型制造行业。
工业控制***的协议和设计,偏重于功能实现的实时性和可靠性。对安全攻击缺乏前期的设计和有效的抵御方法。由于***兼容性问题,工业控制***通常不升级、不打补丁,甚至有的工作站供应商明确要求用户不得自行升级***。因此,***长期运行后会积累大量的安全漏洞,这些缺陷使工控***面对网络安全攻击时极其脆弱,给安全生产带来极大隐患。工控安全的现状处于“先天不足,后天失养,未来堪忧”的状态:***无法及时更新,自身漏洞隐蔽,不能被及时探测与修复,***本身的安全隐患不容忽视;***协议本身欠缺安全因素,安全政策和管理制度并不完善,易被攻击者利用;不能良好地审计***中的违规操作行为,对于***用户访问权限的管理机制不完善;***操作人员缺乏必要的安全意识,操作过程不规范。
近年来,工控信息安全事故频发,工控漏洞数量呈现***式增长。工业控制***之所以会面临拒绝服务、控制命令篡改、高级持续性威胁(APT)等攻击,最根本的原因是***存在可以被渗透的漏洞。漏洞是安全问题的根源,漏洞检测是解决安全问题的基础。只有了解***存在的安全隐患,才能做到有针对性的防护。
因此,本领域的技术人员致力于开发一种面向工控***的主动式漏洞检测***和检测方法,加强工控***的漏洞检测,从根本上解决工控***的安全问题。
发明内容
有鉴于现有技术的上述缺陷,本发明所要解决的技术问题是如何实现工业控制***的主动安全检测。
为实现上述目的,本发明提供了一种面向工控***的主动式漏洞检测***,包括控制器、客户端、服务器、评估报告模块和数据中心,其中,所述控制器与所述服务器相连,所述服务器与不同的所述客户端相连,所述客户端通过防火墙和/或路由器连接互联网,并与所述数据中心连接进行数据交互,所述服务器与所述数据中心相连进行数据交互;所述漏洞检测***被配置为采集工控***的软件、用户、进程及应用配置信息,然后进行逻辑判断以发现所述工控***中存在的安全漏洞,并根据所述数据中心提供的数据由所述评估报告模块生成评估报告。
进一步地,所述控制器被配置为由管理员控制所述漏洞检测***的启停及根据需要设置检测参数和检测目标。
进一步地,所述服务器被配置为通知客户端进行数据收集及检测逻辑条件判断,当收到所有客户端检测完毕的消息后,通知所述评估报告模块生成评估报告。
进一步地,所述客户端被配置为接收到所述服务器发来的消息后,读取本机的***和配置信息,进一步判断漏洞存在的逻辑条件是否成立,最后把检测判断结果发往所述数据中心,同时通知所述服务器检测完成。
进一步地,所述数据中心被配置为所述客户端和所述评估报告模块的公共接口,存放***所有信息,包括漏洞数据库、漏洞存在的逻辑条件和客户端检测的CVE列表。
进一步地,所述评估报告模块被配置为向***管理员提供评估目标的漏洞信息,所述漏洞信息包括漏洞名称、漏洞发布日期、漏洞内容简述、漏洞危险等级、损失类型、漏洞类型、暴露的***组件、相关参考信息、脆弱的软件及其版本和补救措施。
本发明还公开了一种面向工控***的主动式漏洞检测方法,包括以下步骤:
步骤1、读取操作***版本、具有漏洞的文件名字、应用版本和补丁状态,判断脆弱的软件是否存在;
步骤2、获取相应的服务是否运行、具体配置设置和其它工作区,判断脆弱的配置是否存在。
进一步地,所述步骤1进一步包括:
步骤1.1、定义五个集合,其中所有元素为三态变量,其值域为{0,1,Φ}:
(1)文件名称FN={fn1,fn2,……,fnn};
(2)应用软件版本AV={av1,av2,……,avm};
(3)软件补丁PS={ps1,ps2,……,psk};
(4)运行服务RS={rs1,rs2,……,rst};
(5)配置设置CS={cs1,cs2,……,csi};
当漏洞的判断不使用某一变量时,其取值为Φ,当所述工控***存在相应信息时
变量取值为1,否则取值为0;
步骤1.2、定义三个函数:
(1)判断***存在脆弱软件的判别函数
其中,fn∈FN,av∈AV,ps∈PS,其函数的输出结果表示漏洞寄存的脆弱软件存在与否;
(2)判断***存在脆弱配置的判别函数
其中,rs∈RS,cs∈CS,其函数的输出结果表示与漏洞相关的脆弱配置是否存在;
(3)判断***对漏洞脆弱的判别函数
f(g,h)=g(fn,av,ps)∩h(rs,cs) (3)
其中式(3)的输出结果为漏洞是否存在的结论,取值为1表示存在漏洞,取
值为0表示漏洞不存在。
进一步地,所述步骤1进一步包括定义需要收集的***信息为***文件、注册表、进程、注册用户及IIS服务器注册信息;根据规定漏洞所依赖的脆弱条件及如何判断脆弱条件是否成立;数据中心保存评估过程使用的所有数据,包括***配置信息、漏洞信息、检测结果以及评估过程中检测器采集的***信息。
进一步地,所述步骤1进一步包括:
步骤1.1、建立漏洞信息表VUL_LIST及相应的查询信息表Detail_LIST,并手工添加相应的漏洞信息;
步骤1.2、建立***注册信息表Win2K_RegistryKeys及其配置表Win2K_RegistryKeys_Conf;文件属性表Win2K_FileAttributes及其配置表Win2K_FileAttributes_Conf、MetabaseKeys;属性表Win2K_MetabaseKeys及其配置表Win2K_MetabaseKeys_Conf;
步骤1.3、利用数据库模式的INSERT语句填充配置表Win2K_RegistryKeys_Conf、Win2K_FileAttributes_Conf和Win2K_MetabaseKeys_Conf的值;按照配置表Win2K_RegistryKeys_Conf的RegistryKey,读取***中与其对应的EntryName、EntryType和EntryValue值,并填到Win2K_RegistryKeys表中;按照配置表Win2K_FileAttributes_Conf的FilePath,读取***中与其对应的Owner、Filesize、Modified、MSChecksum、MD5和Version值,并填到Win2K_FileAttributes表中;按照配置表Win2K_MetabaseKeys_Conf的MetabaseKey,读取***中与其对应的Id、Name等,并填到Win2K_MetabaseKeys表中;
步骤1.4、依次读取VUL_LIST中的CVE_ID,根据其对应的脆弱条件Conditions(i)到Detail_LIST表中查询其对应的RULE,到对应表中读取相应信息进行规则匹配,得出漏洞是否存在的判断;
步骤1.5、对于发现的***漏洞,根据其CVE名称到漏洞数据库中查找与其有关的相应信息,按照主机IP和漏洞严重级别进行分类显示。
本发明的优点在于提出的漏洞检测***不需要开发攻击代码,与微软开发的MBSA漏洞检测***相比,检测速度快,准确度高,能很好地满足工业控制***的高稳定性、高实时性要求,适合于管理员评估整个工业控制***的安全状况,且对控制***的稳定运行无影响。
以下将结合附图对本发明的构思、具体结构及产生的技术效果作进一步说明,以充分地了解本发明的目的、特征和效果。
附图说明
图1是本发明的一个较佳实施例的主动式漏洞检测***结构图;
图2是本发明的一个较佳实施例的漏洞检测信息图;
图3是本发明的一个较佳实施例的漏洞检测实现流程图;
图4是本发明的一个较佳实施例的实验测试环境图。
具体实施方式
下面结合附图和具体实施例对本发明作进一步说明。
本发明所述的一种面向工控***的主动式安全漏洞检测***,采用客户机/服务器C/S模式,主要包括如下模块:控制器、客户端(client)、服务器(server)、评估报告和数据中心,其体系结构如图1所示,其中虚线表示控制信号,箭头指向信号的流动方向;实线表示数据信息,箭头指向数据的流动方向,其中控制器与服务器相连,服务器与不同客户端相连,客户端可通过防火墙、路由器连接互联网,也可与数据中心连接进行数据交互,同时服务器与数据中心相连进行数据交互,根据数据中心提供的数据生成评估报告。安全漏洞检测***首先采集***的软件、用户、进程及应用配置信息,然后进行逻辑判断以发现***中存在的安全漏洞。
***结构中每个模块的功能及其之间的关系如下:控制器是漏洞检测体系的用户接口,主要是管理员控制***的启停及根据需要设置检测参数和检测目标;服务器负责***的协调,通知客户端进行数据收集及检测逻辑条件判断,当收到所有客户端检测完毕的消息后,通知漏洞评估报告模块,输出评估报告;客户端接收到服务器发来的消息后,读取本机的***和配置信息,进一步判断漏洞存在的逻辑条件是否成立,最后把检测判断结果发往数据中心,同时通知服务器模块检测完成;数据中心是客户端模块和评估报告模块的公共接口,***中所有的信息都存放在这里,包括漏洞数据库、漏洞存在的逻辑条件和客户端模块检测的CVE列表(Common Vulnerabilities&Exposures,公共漏洞和暴露)等;漏洞评估报告为***管理员提供评估目标的漏洞信息,主要包括漏洞名称、漏洞发布日期、漏洞内容简述、漏洞危险等级、损失类型、漏洞类型、暴露的***组件、相关参考信息、脆弱的软件及其版本和补救措施。
所述无损式漏洞检测的核心是对***的配置信息进行逻辑判断,进而得到***中存在的漏洞信息。首先需要读取操作***版本、具有漏洞的文件名字、应用版本和补丁状态,以判断脆弱的软件是否存在。接着获取相应的服务是否运行、具体配置设置和其它工作区,判断脆弱的配置是否存在。下面给出其具体原理。
首先,定义一些集合:(1)文件名称FN={fn1,fn2,……,fnn},(2)应用软件版本AV={av1,av2,……,avm},(3)软件补丁PS={ps1,ps2,……,psk},(4)运行服务RS={rs1,rs2,……,rst},(5)配置设置CS={cs1,cs2,……,csi}。以上这五个集合中所有元素为三态变量,其值域为{0,1,Φ}。当漏洞的判断不使用某一变量时,其取值为Φ,当***存在相应信息时变量取值为1,否则取值为0。
其次,定义三个函数:
(1)判断***存在脆弱软件的判别函数
其中,fn∈FN,av∈AV,ps∈PS,其函数的输出结果表示漏洞寄存的脆弱软件存在与否。
(2)判断***存在脆弱配置的判别函数
其中,rs∈RS,cs∈CS,其函数的输出结果表示与漏洞相关的脆弱配置是否存在。
(3)判断***对漏洞脆弱的判别函数
f(g,h)=g(fn,av,ps)∩h(rs,cs) (3)
式(3)的输出结果为漏洞是否存在的结论,取值为1表示存在漏洞,取值为0表示漏洞不存在。判断***是否存在某一漏洞时,首先利用式(1)判断漏洞所寄存的脆弱软件是否存在,接着利用式(2)判断***是否存在漏洞所依附的脆弱配置,最后利用式(3)可得到***是否脆弱的判断结果。
这里以检测Windows操作***上远程数据协议(RDP)纯文本会话校验和不加密漏洞为例进行介绍,这里fn=Terminal Server 5.0∈FN,cs=Φ∈CS,av=rdpwd.sysversions∈AV,rs=RDP service∈RS,ps=Patch Q324380_W2K_SP4_X86_EN.exe∈PS,由此得到以下2个判别函数:
g=Terminal Server 5.0∩(rdpwd.sys versions<5.0.2195.5880)∩!PatchQ324380_W2K_SP4_X86_EN.exe(4)
f=RDP service∩Φ (5)
通过读取***的注册表值和文件***属性,就可得到函数g和f的值,最后利用式(3)就可判断出***是否存在名为远程数据协议(RDP)纯文本会话校验和不加密的漏洞(CAN-2002-0863)。
漏洞检测***的具体实现包括定义收集的信息、漏洞逻辑条件的判断规则、***控制器、服务器和客户端之间的协调等。以Windows***为例,其实现过程如下。
(1)***信息收集
定义需要收集的***信息是漏洞检测***工作的第一步,对于Windows***,要收集的主要信息为***文件、注册表、进程、注册用户及IIS服务器注册信息等。
(2)规则检测
检测规则是漏洞检测***的核心,其规定漏洞所依赖的脆弱条件及如何判断脆弱条件是否成立,检测信息如图2所示。图中漏洞与脆弱条件的对应关系可能是一对一,也可能是一对多。Conditions(i)(i=1,2,……,n)为漏洞的脆弱条件,RULE为脆弱条件的判断规则,其形式为IF…,THEN…。比如,漏洞CAN-2002-0863的一个脆弱条件为:Conditions(1)=Terminal Server 5.0,其判断规则为:
IF RegistryKey='HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server'AND EntryName='ProductVersion'AND EntryValue='5.0'in TABLEWin2K_RegistryKeys,THEN Terminal Server 5.0。
(3)数据中心
数据中心保存评估过程使用的所有数据,包括***配置信息、漏洞信息、检测结果以及评估过程中漏洞检测***采集的***信息。其中漏洞检测***收集的***信息直接决定了评估结果,这些数据由与平台相关的模式(Schema)确定。
(4)实现流程
如图3所示,该体系实现包括信息表建立、***信息获取、检测逻辑判断和评估结果输出:
步骤1、:信息表建立
首先,根据Mitre网站提供的信息建立漏洞信息表VUL_LIST及相应的查询信息表Detail_LIST,并手工添加相应的信息;
其次,建立:
a.***注册信息表Win2K_RegistryKeys及其配置表Win2K_RegistryKeys_Conf;
b.文件属性表Win2K_FileAttributes及其配置表Win2K_FileAttributes_Conf、MetabaseKeys;
c.属性表Win2K_MetabaseKeys及其配置表Win2K_MetabaseKeys_Conf。
步骤2:***信息获取
首先,利用数据库模式的INSERT语句填充配置表Win2K_RegistryKeys_Conf、Win2K_FileAttributes_Conf和Win2K_MetabaseKeys_Conf的值;
其次,按照配置表Win2K_RegistryKeys_Conf的RegistryKey,读取***中与其对应的EntryName、EntryType和EntryValue值,并填到Win2K_RegistryKeys表中;
再次,按照配置表Win2K_FileAttributes_Conf的FilePath,读取***中与其对应的Owner、Filesize、Modified、MSChecksum、MD5和Version值,并填到Win2K_FileAttributes表中;
最后,按照配置表Win2K_MetabaseKeys_Conf的MetabaseKey,读取***中与其对应的Id、Name等,并填到Win2K_MetabaseKeys表中。
步骤3:检测逻辑判断
依次读取VUL_LIST中的CVE_ID,根据其对应的脆弱条件Conditions(i)到Detail_LIST表中查询其对应的RULE,到对应表中读取相应信息进行规则匹配,得出漏洞是否存在的判断。
步骤4:评估结果输出
对于发现的***漏洞,根据其CVE名称到漏洞数据库中查找与其有关的相应信息,按照主机IP和漏洞严重级别进行分类显示。
对设计的漏洞检测***进行试验环境测试,其试验环境如图4所示。实验环境为内部10M局域网网段192.168.1.0/24,共享一个C类地址202.117.14.189联入Internet。在192.168.1.19主机上安装漏洞检测***的控制器和服务器端,192.168.1.231作为数据库服务器,三个主站:192.168.1.226、192.168.1.218和192.168.1.18作为检测目标,并在其上安装漏洞检测***的客户端。3个主站的操作***均为Windows 2K,192.168.1.226服务器安装了除IE浏览器补丁外的所有安全补丁。
为了对比试验结果,选取了微软的漏洞扫描器Microsoft Baseline SecurityAnalyzer(MBSA),它为目前Microsoft Windows平台功能最强大的漏洞检测***。给出本***ICS-VS和MBSA两个检测***对主站192.168.1.226的扫描结果:
1)针对同样的单一目标主机,MBSA用时40秒,ICS-VS用时21秒,几乎只是MBSA的一半,这充分显示了ICS-VS的快速性。这主要是由于ICS-VS利用***配置信息,采用内部查询方式得到***的漏洞。因此,与采用外部扫描方式工作的漏洞评估***相比,ICS-VS检测速度快。
2)安装IE6.0SP1前发现的漏洞从数量上看,MBSA发现了3个,而ICS-VS发现了7个。仔细检查发现的漏洞,结合微软网站的资料,发现ICS-VS发现的漏洞修补程序已经全部纳入IE6.0SP1。从这一点看出,本***是非常精确的。
为了进一步测试ICS-VS的检测速度,对3台主站进行3次漏洞扫描,ICS-VS所用的最小时间是30秒,MBSA的最小时间是150s。这个试验进一步突出了本***的最大优点:快速。这进一步说明本***可以应用在大型工业控制***环境中,这充分体现了利用***配置信息、采用内部查询方式的漏洞评估方式带来的好处。
本发明提出的面向工业控制***的主动无损式漏洞检测***ICS-VS,能很好地满足了工控***高稳定性和高实时性的要求。从对主站和工控网络***的实验中可以看出,所提出的网络***漏洞检测评估体系ICS-VS具有检测精度高、速度快的优点,且其不需要开发攻击代码,对检测目标的运行性能零影响。该检测***适用于网络管理员分析工控***的安全状况,具有较好的应用前景。
以上详细描述了本发明的较佳具体实施例。应当理解,本领域的普通技术无需创造性劳动就可以根据本发明的构思作出诸多修改和变化。因此,凡本技术领域中技术人员依本发明的构思在现有技术的基础上通过逻辑分析、推理或者有限的实验可以得到的技术方案,皆应在由权利要求书所确定的保护范围内。
Claims (10)
1.一种面向工控***的主动式漏洞检测***,其特征在于,包括控制器、客户端、服务器、评估报告模块和数据中心,其中,所述控制器与所述服务器相连,所述服务器与不同的所述客户端相连,所述客户端通过防火墙和/或路由器连接互联网,并与所述数据中心连接进行数据交互,所述服务器与所述数据中心相连进行数据交互;所述漏洞检测***被配置为采集工控***的软件、用户、进程及应用配置信息,然后进行逻辑判断以发现所述工控***中存在的安全漏洞,并根据所述数据中心提供的数据由所述评估报告模块生成评估报告。
2.如权利要求1所述的面向工控***的主动式漏洞检测***,其特征在于,所述控制器被配置为由管理员控制所述漏洞检测***的启停及根据需要设置检测参数和检测目标。
3.如权利要求1所述的面向工控***的主动式漏洞检测***,其特征在于,所述服务器被配置为通知客户端进行数据收集及检测逻辑条件判断,当收到所有客户端检测完毕的消息后,通知所述评估报告模块生成评估报告。
4.如权利要求1所述的面向工控***的主动式漏洞检测***,其特征在于,所述客户端被配置为接收到所述服务器发来的消息后,读取本机的***和配置信息,进一步判断漏洞存在的逻辑条件是否成立,最后把检测判断结果发往所述数据中心,同时通知所述服务器检测完成。
5.如权利要求1所述的面向工控***的主动式漏洞检测***,其特征在于,所述数据中心被配置为所述客户端和所述评估报告模块的公共接口,存放***所有信息,包括漏洞数据库、漏洞存在的逻辑条件和客户端检测的CVE列表。
6.如权利要求1所述的面向工控***的主动式漏洞检测***,其特征在于,所述评估报告模块被配置为向***管理员提供评估目标的漏洞信息,所述漏洞信息包括漏洞名称、漏洞发布日期、漏洞内容简述、漏洞危险等级、损失类型、漏洞类型、暴露的***组件、相关参考信息、脆弱的软件及其版本和补救措施。
7.一种面向工控***的主动式漏洞检测方法,其特征在于,包括以下步骤:
步骤1、读取操作***版本、具有漏洞的文件名字、应用版本和补丁状态,判断脆弱的软件是否存在;
步骤2、获取相应的服务是否运行、具体配置设置和其它工作区,判断脆弱的配置是否存在。
8.如权利要求7所述的面向工控***的主动式漏洞检测方法,其特征在于,所述步骤1进一步包括:
步骤1.1、定义五个集合,其中所有元素为三态变量,其值域为{0,1,Φ}:
(1)文件名称FN={fn1,fn2,……,fnn};
(2)应用软件版本AV={av1,av2,……,avm};
(3)软件补丁PS={ps1,ps2,……,psk};
(4)运行服务RS={rs1,rs2,……,rst};
(5)配置设置CS={cs1,cs2,……,csi};
当漏洞的判断不使用某一变量时,其取值为Φ,当所述工控***存在相应信息时变量取值为1,否则取值为0;
步骤1.2、定义三个函数:
(1)判断***存在脆弱软件的判别函数
其中,fn∈FN,av∈AV,ps∈PS,其函数的输出结果表示漏洞寄存的脆弱软件存在与否;
(2)判断***存在脆弱配置的判别函数
其中,rs∈RS,cs∈CS,其函数的输出结果表示与漏洞相关的脆弱配置是否存在;
(3)判断***对漏洞脆弱的判别函数
f(g,h)=g(fn,av,ps)∩h(rs,cs) (3)
其中式(3)的输出结果为漏洞是否存在的结论,取值为1表示存在漏洞,取值为0表示漏洞不存在。
9.如权利要求7所述的面向工控***的主动式漏洞检测方法,其特征在于,所述步骤1进一步包括定义需要收集的***信息为***文件、注册表、进程、注册用户及IIS服务器注册信息;根据规定漏洞所依赖的脆弱条件及如何判断脆弱条件是否成立;数据中心保存评估过程使用的所有数据,包括***配置信息、漏洞信息、检测结果以及评估过程中检测器采集的***信息。
10.如权利要求7所述的面向工控***的主动式漏洞检测方法,其特征在于,所述步骤1进一步包括:
步骤1.1、建立漏洞信息表VUL_LIST及相应的查询信息表Detail_LIST,并手工添加相应的漏洞信息;
步骤1.2、建立***注册信息表Win2K_RegistryKeys及其配置表Win2K_RegistryKeys_Conf;文件属性表Win2K_FileAttributes及其配置表Win2K_FileAttributes_Conf、MetabaseKeys;属性表Win2K_MetabaseKeys及其配置表Win2K_MetabaseKeys_Conf;
步骤1.3、利用数据库模式的INSERT语句填充配置表Win2K_RegistryKeys_Conf、Win2K_FileAttributes_Conf和Win2K_MetabaseKeys_Conf的值;按照配置表Win2K_RegistryKeys_Conf的RegistryKey,读取***中与其对应的EntryName、EntryType和EntryValue值,并填到Win2K_RegistryKeys表中;按照配置表Win2K_FileAttributes_Conf的FilePath,读取***中与其对应的Owner、Filesize、Modified、MSChecksum、MD5和Version值,并填到Win2K_FileAttributes表中;按照配置表Win2K_MetabaseKeys_Conf的MetabaseKey,读取***中与其对应的Id、Name等,并填到Win2K_MetabaseKeys表中;
步骤1.4、依次读取VUL_LIST中的CVE_ID,根据其对应的脆弱条件Conditions(i)到Detail_LIST表中查询其对应的RULE,到对应表中读取相应信息进行规则匹配,得出漏洞是否存在的判断;
步骤1.5、对于发现的***漏洞,根据其CVE名称到漏洞数据库中查找与其有关的相应信息,按照主机IP和漏洞严重级别进行分类显示。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201610782703.3A CN106230857A (zh) | 2016-08-30 | 2016-08-30 | 一种面向工控***的主动式漏洞检测***和检测方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201610782703.3A CN106230857A (zh) | 2016-08-30 | 2016-08-30 | 一种面向工控***的主动式漏洞检测***和检测方法 |
Publications (1)
Publication Number | Publication Date |
---|---|
CN106230857A true CN106230857A (zh) | 2016-12-14 |
Family
ID=58071901
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201610782703.3A Pending CN106230857A (zh) | 2016-08-30 | 2016-08-30 | 一种面向工控***的主动式漏洞检测***和检测方法 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN106230857A (zh) |
Cited By (7)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN106685968A (zh) * | 2016-12-29 | 2017-05-17 | 北京安天网络安全技术有限公司 | 一种工控设备自动化漏洞防御***及方法 |
CN106773719A (zh) * | 2017-01-25 | 2017-05-31 | 上海云剑信息技术有限公司 | 一种基于bp神经网络的工业控制***漏洞自动挖掘方法 |
CN107239705A (zh) * | 2017-05-25 | 2017-10-10 | 中国东方电气集团有限公司 | 一种非接触式的工业控制***或设备静态漏洞检测***和检测方法 |
CN107733878A (zh) * | 2017-09-29 | 2018-02-23 | 国网甘肃省电力公司电力科学研究院 | 一种工业控制***的安全防护装置 |
CN108173700A (zh) * | 2018-01-29 | 2018-06-15 | 云南昆船设计研究院有限公司 | 一种工业控制***安全服务平台及实施方法 |
CN112671609A (zh) * | 2020-12-21 | 2021-04-16 | 哈尔滨工大天创电子有限公司 | 一种资产普查与安全检测方法、装置及终端设备 |
CN114238980A (zh) * | 2021-11-29 | 2022-03-25 | 中国兵器工业信息中心 | 一种工控设备漏洞挖掘方法、***、设备及存储介质 |
Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN1694454A (zh) * | 2005-05-10 | 2005-11-09 | 西安交通大学 | 主动式网络安全漏洞检测器 |
CN102082659A (zh) * | 2009-12-01 | 2011-06-01 | 厦门市美亚柏科信息股份有限公司 | 一种面向网络安全评估的漏洞扫描***及其处理方法 |
CN104200166A (zh) * | 2014-08-05 | 2014-12-10 | 杭州安恒信息技术有限公司 | 基于脚本的网站漏洞扫描方法和*** |
-
2016
- 2016-08-30 CN CN201610782703.3A patent/CN106230857A/zh active Pending
Patent Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN1694454A (zh) * | 2005-05-10 | 2005-11-09 | 西安交通大学 | 主动式网络安全漏洞检测器 |
CN102082659A (zh) * | 2009-12-01 | 2011-06-01 | 厦门市美亚柏科信息股份有限公司 | 一种面向网络安全评估的漏洞扫描***及其处理方法 |
CN104200166A (zh) * | 2014-08-05 | 2014-12-10 | 杭州安恒信息技术有限公司 | 基于脚本的网站漏洞扫描方法和*** |
Cited By (9)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN106685968A (zh) * | 2016-12-29 | 2017-05-17 | 北京安天网络安全技术有限公司 | 一种工控设备自动化漏洞防御***及方法 |
CN106773719A (zh) * | 2017-01-25 | 2017-05-31 | 上海云剑信息技术有限公司 | 一种基于bp神经网络的工业控制***漏洞自动挖掘方法 |
CN107239705A (zh) * | 2017-05-25 | 2017-10-10 | 中国东方电气集团有限公司 | 一种非接触式的工业控制***或设备静态漏洞检测***和检测方法 |
CN107733878A (zh) * | 2017-09-29 | 2018-02-23 | 国网甘肃省电力公司电力科学研究院 | 一种工业控制***的安全防护装置 |
CN107733878B (zh) * | 2017-09-29 | 2023-06-27 | 国网甘肃省电力公司电力科学研究院 | 一种工业控制***的安全防护装置 |
CN108173700A (zh) * | 2018-01-29 | 2018-06-15 | 云南昆船设计研究院有限公司 | 一种工业控制***安全服务平台及实施方法 |
CN112671609A (zh) * | 2020-12-21 | 2021-04-16 | 哈尔滨工大天创电子有限公司 | 一种资产普查与安全检测方法、装置及终端设备 |
CN114238980A (zh) * | 2021-11-29 | 2022-03-25 | 中国兵器工业信息中心 | 一种工控设备漏洞挖掘方法、***、设备及存储介质 |
CN114238980B (zh) * | 2021-11-29 | 2022-11-25 | 中国兵器工业信息中心 | 一种工控设备漏洞挖掘方法、***、设备及存储介质 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN106230857A (zh) | 一种面向工控***的主动式漏洞检测***和检测方法 | |
CN102821137B (zh) | 一种网站安全检测方法及*** | |
CN109922160B (zh) | 一种基于电力物联网的终端安全接入方法、装置及*** | |
US8392963B2 (en) | Techniques for tracking actual users in web application security systems | |
CN101635730B (zh) | 中小企业内网信息安全托管方法与*** | |
US9231962B1 (en) | Identifying suspicious user logins in enterprise networks | |
US7792049B2 (en) | Techniques for modeling and evaluating protocol interactions | |
KR101883400B1 (ko) | 에이전트리스 방식의 보안취약점 점검 방법 및 시스템 | |
US20070005738A1 (en) | Automated remote scanning of a network for managed and unmanaged devices | |
US9338187B1 (en) | Modeling user working time using authentication events within an enterprise network | |
CN102306258B (zh) | 一种基于可配置知识库的unix主机安全配置审计方法 | |
CN105933268A (zh) | 一种基于全量访问日志分析的网站后门检测方法及装置 | |
CN104767757A (zh) | 基于web业务的多维度安全监测方法和*** | |
US11621974B2 (en) | Managing supersedence of solutions for security issues among assets of an enterprise network | |
JP2001282655A (ja) | ネットワークデバイス管理方法、装置、および記憶媒体 | |
KR100912794B1 (ko) | 실시간 웹 서버 해킹 분석 및 홈페이지 위변조 감시를 위한 웹 위협관리 시스템 및 그 방법 | |
US20190342324A1 (en) | Computer vulnerability assessment and remediation | |
CN105227571A (zh) | 基于nginx+lua的web应用防火墙***及其实现方法 | |
CN103402195B (zh) | 企业级移动终端的应用处理方法和企业级移动应用平台 | |
CN103378991A (zh) | 一种在线服务异常监测方法及其监测*** | |
CN112118238B (zh) | 认证登录的方法、装置、***、设备及存储介质 | |
CN113315767A (zh) | 一种电力物联网设备安全检测***及方法 | |
CN116668079A (zh) | 网络***漏洞扫描方法 | |
US20080162444A1 (en) | System and method for monitoring and providing patent information automatically | |
CN112804370A (zh) | 诈骗网站的分析方法及*** |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
RJ01 | Rejection of invention patent application after publication |
Application publication date: 20161214 |
|
RJ01 | Rejection of invention patent application after publication |