CN111988289B - Epa工业控制网络安全测试***及方法 - Google Patents

Epa工业控制网络安全测试***及方法 Download PDF

Info

Publication number
CN111988289B
CN111988289B CN202010774356.6A CN202010774356A CN111988289B CN 111988289 B CN111988289 B CN 111988289B CN 202010774356 A CN202010774356 A CN 202010774356A CN 111988289 B CN111988289 B CN 111988289B
Authority
CN
China
Prior art keywords
message
communication
module
equipment
epa
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202010774356.6A
Other languages
English (en)
Other versions
CN111988289A (zh
Inventor
林瑞金
叶瑞哲
隋涛
洪炜林
林豪臻
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Xiamen University of Technology
Original Assignee
Xiamen University of Technology
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Xiamen University of Technology filed Critical Xiamen University of Technology
Priority to CN202010774356.6A priority Critical patent/CN111988289B/zh
Publication of CN111988289A publication Critical patent/CN111988289A/zh
Application granted granted Critical
Publication of CN111988289B publication Critical patent/CN111988289B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明涉及网络安全技术领域，具体地说，涉及一种EPA工业控制网络安全测试***及方法。其包括安全管理单元，所述安全管理单元用于对EPA控制网络应用层以及数据链路中报文的安全措施进行管理；报文控制单元，所述报文控制单元用于对数据链路中的EPA报文进行控制；信息库单元，所述信息库单元存放了所述安全管理单元所需的信息，并对其进行操作处理。本发明中报文接收方在收到报文后，提取原始消息，将原始消息和相应的校验密钥，通过设计的校验算法生成新的校验码，将此新校验码与接收报文中的校验码进行比较，若完全相同则确定报文合法并接受数据包；否则丢弃该数据包，从而有效的避免入侵数据包对网络造成威胁以及损坏。

Description

EPA工业控制网络安全测试***及方法
技术领域
本发明涉及网络安全技术领域，具体地说，涉及一种涉及EPA工业控制网络安全测试***及方法。
背景技术
目前，随着计算机、通信、网络等信息技术的发展，信息交换的领域已经覆盖了工厂，而随着自动化控制技术的进一步发展，需要建立包含从工业现场设备层到控制层、管理层等各个层次的综合自动化网络平台，建立以工业网络技术为基础的企业信息化***，但基于网络技术的控制***，由于网络的共享性以及数据传输的虚拟性，因此很容易被外界数据包入侵，从而使网络安全性降低，让工厂的自动化生产被迫停止，造成经济损失。
针对网络***，通常采用防止被入侵的手段是对报文进行加密方式，以及对临时发放密钥的方式或预先保存密钥的形式；但是无论哪种形式，都会存在一定的缺陷：
如预先存入密钥的形式，则如果密钥预先已被获取，后续如果被外界入侵获取，则容易被破解信息，那么所谓的加密密钥的作用就荡然无存。因此，现有技术中多采用动态密钥的形式，即在进行连接时，现场发放密钥。那么也容易被现场攻克，那同样这种动态密钥的方式，同样到导致数据入侵，影响设备安全。
而工业控制网络***对我们的工业生产十分重要，为此希望提供一种保障网络安全，同时不被入侵的网络技术，目前，尚未提出有效的解决办法。
发明内容
本发明的目的在于提供EPA工业控制网络安全测试***及方法，以解决上述背景技术中提出的问题。
为实现上述目的，本发明目的之一在于，提供了EPA工业控制网络安全测试***，包括工业控制验证平台，用于验证EPA工业控制网络的安全性，所述工业控制验证平台包括：
安全管理单元，所述安全管理单元用于对EPA控制网络应用层以及数据链路中报文的安全措施进行管理；
报文控制单元，所述报文控制单元用于对数据链路中的EPA报文进行控制；
通信对话联系单元，所述通信对话联系单元包括通信目录，所述通信目录记录了所以需要通信设备的ID，其中，通信对话联系单元和所有的报文发送方、报文接受方的通信采用不同于报文发送方和报文接受方之间通信的物理通信路径，从而，使得即使一条物理通信路径被截获，报文信息或通信密钥数据依然可以不被截获，增加通信被截获的难度；
通信对话联系单元和所有报文发送方、报文接收方通信，报文发送方和报文接收方之间的通信联系由通信对话联系单元确认，并提供物理地址进行连接；
信息库单元，所述信息库单元存放了所述安全管理单元所需的信息，并对其进行操作处理；
所述安全管理单元包括报文加密模块、完整性校验模块、设备鉴别模块和访问控制模块；所述报文加密模块用于对数据链路中报文进行加密；所述完整性校验模块用于保证加密后的报文在传输过程中的完整性；所述设备鉴别模块用于向可信中心发出鉴别请求报文；所述访问控制模块用于控制接收所述可信中心收到的请求，并通过网桥与可信设备建立通信；
其中，完整性校验密钥的生成、更新、密钥的生成方法相同，报文发送方在构造原始消息的同时，利用校验密钥和原始消息通过设计的校验算法生成校验码，附在原始消息后作为报文的一个字段，与原始消息一起构造成完整性校验报文，发送给接收方。
报文接收方在收到报文后，提取原始消息，将原始消息和相应的校验密钥，通过设计的校验算法生成新的校验码，将此新校验码与接收报文中的校验码进行比较，若完全相同则确定报文合法并接受数据包；否则丢弃该数据包，并根据ServiceID决定是否返回负响应，从而判别用户数据是否被非法篡改或被破坏。
所述报文控制单元包括报文控制模块和报文过滤模块；所述报文控制模块用于控制传输中的报文协议；所述报文过滤模块用于对传输中的报文进行过滤；
所述信息库单元包括信息探测模块、漏洞检测模块、协议模块和存储模块；所述信息探测模块用于对设备的开放端口进行扫描、服务辨识、木马识别和操作***探测；所述漏洞检测模块用于对所述存储模块中的特征报文进行扫描和检测；所述协议模块用于所述信息库单元与所述安全管理单元和所述报文控制单元三者之间的信息交互；所述存储模块用于对报文以及信息交互的数据进行存储。
信息探测模块中对于非EPA识备通过发送PING或ARP报文便可以探测设备是否存活，其中ARP可以绕过防火墙对PING的过滤；对于EPA设备，开辟捕获线程对EPA设备声明报文进行解析，从而识别设备存活信息和MAC、IP和冗余号等设备信息并发现非法EPA设备，然后对发现设备采用全开扫描、半开扫描、UDP扫描等多种端口扫描技术对目标***的UDP端口和TCP端口进行测试，识别各端口状态，并根据开放端口与服务映射表，进行第一次服务辨识；这个过程可以对一些端口上的木马威胁进行识别；第二次辨识是通过与目标***建立连接后，收集返回的Banner信息，查询服务特征库就能大致识别出服务类型，甚至软件的名称和版本，最后采用TTL旗帜等手段对目标***进行操作***辨识；对于依赖通用操作***的设备就需要在漏洞检测时测试***漏洞，而对于UC/OS等实时操作***和无操作***的EPA网络设备和现场设备可绕过***漏洞测试。
作为本技术方案的进一步改进，所述报文加密模块采用周期性更新的秘钥加密法，秘钥由所述可信中心初始化。
其中，密钥保存于128字节长的Octet String，设备对密钥的获取是根据密钥在表内的偏移量和实际使用的密码表的长度，从密码表中取得实际使用的密钥，密钥在表内的偏移量和实际使用的密钥表的长度是在通信开始前向可信中心申请的会话密钥的生存周期由应用场景和需求决定。
作为本技术方案的进一步改进，所述周期性更新的秘钥加密法采用秘钥算法生产密文，其算法公式如下：
M＝{E(m，k)}；
其中，M为密文；E(*)为加密函数；m为原始消息；k为秘钥。
作为本技术方案的进一步改进，所述周期性更新的秘钥加密法采用解密函数进行解密，其函数公式如下：
m＝{D(M，k)}；
其中，m为原始消息；D(*)为解密函数；M为密文；k为秘钥。
作为本技术方案的进一步改进，所述鉴别请求报文主要由设备ID、设备鉴别码和随机数构成，设备鉴别码通过设备ID、安全ID和随机数通过随机算法生成，其算法公式如下：
Maut＝{A(IDdev，IDsec，C)∣IDdev∣C}；
其中，Maut为设备鉴别请求报文；A(*)为鉴别算法；IDdev为设备ID；IDsec为安全ID。
作为本技术方案的进一步改进，所述可信中心接收到鉴别请求报文，通过随机算法生成对比鉴别码，其算法公式如下：
MAC＝{A(IDdev，IDsec，C)}；
其中，MAC为对比鉴别码；A(*)为鉴别算法；IDdev为设备ID；IDsec为安全ID。
作为本技术方案的进一步改进，所述报文过滤模块(122)为验收滤波寄存器。
作为本技术方案的进一步改进，所述协议模块(133)采用TCP/IP协议，TCP/IP协议包括应用层、传输层、网络层和数据链路层。
作为本技术方案的进一步改进，所述应用层用于接收来自所述传输层的数据，同时按不同应用要求与方式将数据传输至传输层；所述传输层用于为使用平台和计算机信息网内部数据结合提供通道；所述网络层用于负责网络中数据包的传送；所述数据链路层用于提供链路管理错误检测，并对不同通信媒介有关信息细节问题进行有效处理。
本发明目的之二在于，提供了一种EPA工业控制网络安全测试方法，包括上述中任意一项所述的EPA工业控制网络安全测试***，包括如下方法步骤：
S1、通信发起方向可信中心发出鉴别请求报文，申请会话密钥；
S2、可信中心收到鉴别请求后，如果容许则向通信双方下发会话密钥；
S3、报文发送方发送需要通话的报文接收方的虚拟名称给通信对话联系单元，通信对话联系单元分配一个通信密钥和报文接收方的物理地址给报文发送方，同时，发送一个通信密钥和报文发送方的物理地址给报文接受方；从而建立报文发送方和报文接收方的通信许可；
S4、在获得通信许可后，报文发送方将原始消息和会话密钥进行加密；
加密后，密文作为报文体加在安全报文头之后交由EPA应用实体发送，此时，通信物理路径采用同于报文发送方、报文接受方和通信对话联系单元之间通信的物理通信路径；
S5、请求设备鉴别模块发送鉴别请求报文；
S6、网络设备接收鉴别请求报文；
S7、接收鉴别请求报文后判断其是否超过请求频率；
S8、可信中心接收到鉴别请求报文，将生成的设备鉴别码与报文中的设备鉴别码进行比对；
S9、报文在发送之前，报文发送方先将明文用会话密钥通过设计的算法生成密文，密文与源IP、目的IP和操作组成报文的主体，一起发送给网络设备；
S10、网络设备在接收到报文后，先对报文发送的频率进行检查；
S11、报文接收方在接收报文后，对于报文进行解密，获得明文信息。
与现有技术相比，本发明的有益效果：
1、该EPA工业控制网络安全测试***及方法中，报文接收方在收到报文后，提取原始消息，将原始消息和相应的校验密钥，通过设计的校验算法生成新的校验码，将此新校验码与接收报文中的校验码进行比较，若完全相同则确定报文合法并接受数据包；否则丢弃该数据包，从而有效的避免入侵数据包对网络造成威胁以及损坏。
2、该EPA工业控制网络安全测试***及方法中，随机算法在计算过程中，加入的随机因子为时间戳，时间戳用于防止重放攻击、保障语义安全。
3、该EPA工业控制网络安全测试***及方法中，密钥在表内的偏移量和实际使用的密钥表的长度是在通信开始前向可信中心申请的会话密钥的生存周期由应用场景和需求决定，从而提高秘钥在使用时的安全性；
4、该EPA工业控制网络安全测试***及方法中，临时分配报文发送方和报文接收方的物理地址，从而使得报文不容易被破解，而且即使破解，其信息也不会被截获，或者截获后依然不能对被接收方法欺骗，保证通信信息的安全性；
5、该EPA工业控制网络安全测试***及方法中，通信建立通道和通信通道采用不同的物理通信路径，这使得通信和信道建立连接采用不同的渠道，使得通信更加安全。
附图说明
图1为实施例1的整体结构示意图；
图2为实施例1的安全管理单元模块框图；
图3为实施例1的报文控制单元模块框图；
图4为实施例1的信息库单元模块框图；
图5为实施例1的验收滤波流程示意图。
图中各个标号意义为：
100、工业控制验证平台；
110、安全管理单元；111、报文加密模块；112、完整性校验模块；113、设备鉴别模块；114、访问控制模块；
120、报文控制单元；121、报文控制模块；122、报文过滤模块；
130、信息库单元；131、信息探测模块；132、漏洞检测模块；133、协议模块；134、存储模块。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
实施例1
请参阅图1-图5所示，本实施例目的之一在于，提供了EPA工业控制网络安全测试***，包括工业控制验证平台100，用于验证EPA工业控制网络的安全性，工业控制验证平台100包括：
安全管理单元110，安全管理单元110用于对EPA控制网络应用层以及数据链路中报文的安全措施进行管理；
报文控制单元120，报文控制单元120用于对数据链路中的EPA报文进行控制；
通信对话联系单元，所述通信对话联系单元包括通信目录，所述通信目录记录了所以需要通信设备的ID，其中，通信对话联系单元和所有的报文发送方、报文接受方的通信采用不同于报文发送方和报文接受方之间通信的物理通信路径，从而，使得即使一条物理通信路径被截获，报文信息或通信密钥数据依然可以不被截获，增加通信被截获的难度；
通信对话联系单元和所有报文发送方、报文接收方通信，报文发送方和报文接收方之间的通信联系由通信对话联系单元确认，并提供物理地址进行连接；
信息库单元130，信息库单元130存放了安全管理单元110所需的信息，并对其进行操作处理，从而使用户可方便地自定义其它安全措施。
安全管理单元110包括报文加密模块111、完整性校验模块112、设备鉴别模块113和访问控制模块114；报文加密模块111用于对数据链路中报文进行加密；完整性校验模块112用于保证加密后的报文在传输过程中的完整性；设备鉴别模块113用于向可信中心发出鉴别请求报文；访问控制模块114用于控制接收可信中心收到的请求，并通过网桥与可信设备建立通信；
其中，完整性校验密钥的生成、更新、密钥的生成方法相同，报文发送方在构造原始消息的同时，利用校验密钥和原始消息通过设计的校验算法生成校验码，附在原始消息后作为报文的一个字段，与原始消息一起构造成完整性校验报文，发送给接收方。
报文接收方在收到报文后，提取原始消息，将原始消息和相应的校验密钥，通过设计的校验算法生成新的校验码，将此新校验码与接收报文中的校验码进行比较，若完全相同则确定报文合法并接受数据包；否则丢弃该数据包，并根据ServiceID决定是否返回负响应，从而判别用户数据是否被非法篡改或被破坏。
报文控制单元120包括报文控制模块121和报文过滤模块122；报文控制模块121用于控制传输中的报文协议；报文过滤模块122用于对传输中的报文进行过滤；
其中，报文是网络传输的单位，传输过程中会不断的封装成分组、包、帧来传输，封装的方式就是添加一些信息段。
信息库单元130包括信息探测模块131、漏洞检测模块132、协议模块133和存储模块134；信息探测模块131用于对设备的开放端口进行扫描、服务辨识、木马识别和操作***探测；漏洞检测模块132用于对存储模块134中的特征报文进行扫描和检测；协议模块133用于信息库单元130与安全管理单元110和报文控制单元120三者之间的信息交互；存储模块134用于对报文以及信息交互的数据进行存储。
信息探测模块中对于非EPA识备通过发送PING或ARP报文便可以探测设备是否存活，其中ARP可以绕过防火墙对PING的过滤；对于EPA设备，开辟捕获线程对EPA设备声明报文进行解析，从而识别设备存活信息和MAC、IP和冗余号等设备信息并发现非法EPA设备，然后对发现设备采用全开扫描、半开扫描、UDP扫描等多种端口扫描技术对目标***的UDP端口和TCP端口进行测试，识别各端口状态，并根据开放端口与服务映射表，进行第一次服务辨识；这个过程可以对一些端口上的木马威胁进行识别；第二次辨识是通过与目标***建立连接后，收集返回的Banner信息，查询服务特征库就能大致识别出服务类型，甚至软件的名称和版本，最后采用TTL旗帜等手段对目标***进行操作***辨识；对于依赖通用操作***的设备就需要在漏洞检测时测试***漏洞，而对于UC/OS等实时操作***和无操作***的EPA网络设备和现场设备可绕过***漏洞测试。
漏洞检测模块通过从存储模块中抽取特征报文进行扫描和检测，测试单元从漏洞特征库中提取测试特征指纹形成测试报文，向测试对象发送测试报文，然后侦听检测目标的响应，并收集信息，而后结合漏洞特征库判断EPA网络是否存在安全漏洞；实际表现为封装在一条测试插件中的特征匹配对，测试插件完成特征的提取，形成测试报文，接收返回信息并判断是否存在漏洞。
本实施例中，报文加密模块111采用周期性更新的秘钥加密法，秘钥由可信中心初始化，通过EPA报文加密可以保证数据保密性，防止信息被非法获取。
其中，密钥保存于128字节长的Octet String，设备对密钥的获取是根据密钥在表内的偏移量和实际使用的密码表的长度，从密码表中取得实际使用的密钥，密钥在表内的偏移量和实际使用的密钥表的长度是在通信开始前向可信中心申请的会话密钥的生存周期由应用场景和需求决定。
进一步的，周期性更新的秘钥加密法采用秘钥算法生产密文，其算法公式如下：
M＝{E(m，k)}；
其中，M为密文；E(*)为加密函数；m为原始消息；k为秘钥。
具体的，：周期性更新的秘钥加密法采用解密函数进行解密，其函数公式如下：
m＝{D(M，k)}；
其中，m为原始消息；D(*)为解密函数；M为密文；k为秘钥。
此外，鉴别请求报文主要由设备ID、设备鉴别码和随机数构成，设备鉴别码通过设备ID、安全ID和随机数通过随机算法生成，其算法公式如下：
Maut＝{A(IDdev，IDsec，C)∣IDdev∣C}；
其中，Maut为设备鉴别请求报文；A(*)为鉴别算法；IDdev为设备ID；IDsec为安全ID。
除此之外，可信中心接收到鉴别请求报文，根据设备ID查到对应的设备安全ID，与设备ID、随机数一起通过随机算法生成对比鉴别码，其算法公式如下：
MAC＝{A(IDdev，IDsec，C)}；
其中，MAC为对比鉴别码；A(*)为鉴别算法；IDdev为设备ID；IDsec为安全ID。
进一步的，报文过滤模块122为验收滤波寄存器。
验收滤波寄存器优选采用CAN报文的验收滤波寄存器，其工作流程如本技术领域人员所公知的那样，CAN控制器监听所有来自CAN总线上的报文，当一个报文到达时，CAN控制器执行快速的硬件搜索算法，将收到的CAN报文标识符与验收过滤RAM中存储的标识符进行匹配；如果没有匹配，则丢弃该报文，这个过程不会对CAN控制器产生中断，应用代码仍然正常执行；如果有匹配的标识符，CAN控制器将通过置位集中接收状态寄存器中的相应位产生中断，中断服务程序将该报文从CAN控制器的寄存器复制到RAM中，并通过置位CAN命令寄存器的相应位来释放CAN控制器的接收寄存器。
具体的，协议模块133采用TCP/IP协议，TCP/IP协议包括应用层、传输层、网络层和数据链路层。
此外，应用层用于接收来自传输层的数据，同时按不同应用要求与方式将数据传输至传输层；传输层用于为使用平台和计算机信息网内部数据结合提供通道，可以实现数据传输与数据共享；网络层用于负责网络中数据包的传送；数据链路层用于提供链路管理错误检测，并对不同通信媒介有关信息细节问题进行有效处理。
本实施例目的之二在于，提供了EPA工业控制网络安全测试方法，包括上述中任意一项的EPA工业控制网络安全测试***，包括如下方法步骤：
(一)、报文加密：
S1、通信发起方向可信中心发出鉴别请求报文，申请会话密钥；
S2、可信中心收到鉴别请求后，如果容许则向通信双方下发会话密钥；
S3、报文发送方发送需要通话的报文接收方的虚拟名称给通信对话联系单元，通信对话联系单元分配一个通信密钥和报文接收方的物理地址给报文发送方，同时，发送一个通信密钥和报文发送方的物理地址给报文接受方；从而建立报文发送方和报文接收方的通信许可；
S4、在获得通信许可后，报文发送方将原始消息和会话密钥进行加密；
其中，加密公式为：M＝{E(m，k)}；
加密后，密文作为报文体加在安全报文头之后交由EPA应用实体发送；，此时，通信物理路径采用同于报文发送方、报文接受方和通信对话联系单元之间通信的物理通信路径；
(二)、设备鉴别：
S5、请求设备鉴别模块113发送鉴别请求报文，鉴别请求报文主要由设备ID、设备鉴别码和随机数构成，设备鉴别码由设备ID、安全ID和随机数通过设计的算法生成，加入的随机因子为时间戳，用于防止重放攻击、保障语义安全；
S6、网络设备接收鉴别请求报文；
S7、接收鉴别请求报文后判断其是否超过请求频率，若是则抛弃报文，否则转发给
可信中心；
S8、可信中心接收到鉴别请求报文，根据设备ID查到对应的设备安全ID，与设备ID、随机数一起，通过设计的算法生成设备鉴别码，将生成的设备鉴别码与报文中的设备鉴别码进行比对，如果不同则抛弃报文，如果相同则发送鉴别通过报文(其中包括其初始访问控制列表)给网络设备，允许设备通信，同时发送给设备其初始会话密钥；
(三)、访问控制：
S9、报文在发送之前，报文发送方先将明文用会话密钥通过设计的算法生成密文，密文与源IP、目的IP和操作组成报文的主体，一起发送给网络设备；
S10、网络设备在接收到报文后，先对报文发送的频率进行检查，如果超过最高速率.则抛弃报文；如正常则对源IP、目的IP和操作与控制列表中信息进行比对；如果匹配，转发报文；
S11、报文接收方在接收报文后，对于报文进行解密，获得明文信息；
其中，解密公式为：m＝{D(M。k)。
以上显示和描述了本发明的基本原理、主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的仅为本发明的优选例，并不用来限制本发明，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。

Claims (2)

1.一种EPA工业控制网络安全测试方法，包括EPA工业控制网络安全测试***，所述EPA工业控制网络安全测试***包括工业控制验证平台(100)，用于验证EPA工业控制网络的安全性，其特征在于：所述工业控制验证平台(100)包括：
安全管理单元(110)，所述安全管理单元(110)用于对EPA控制网络应用层以及数据链路中报文的安全措施进行管理；
报文控制单元(120)，所述报文控制单元(120)用于对数据链路中的EPA报文进行控制；
通信对话联系单元，所述通信对话联系单元包括通信目录，所述通信目录记录了所以需要通信设备的ID，其中，通信对话联系单元和所有的报文发送方、报文接受方的通信采用不同于报文发送方和报文接受方之间通信的物理通信路径，从而，使得即使一条物理通信路径被截获，报文信息或通信密钥数据依然可以不被截获，增加通信被截获的难度；
通信对话联系单元和所有报文发送方、报文接收方通信，报文发送方和报文接收方之间的通信联系由通信对话联系单元确认，并提供物理地址进行连接；
信息库单元(130)，所述信息库单元(130)存放了所述安全管理单元(110)所需的信息，并对其进行操作处理；
所述安全管理单元(110)包括报文加密模块(111)、完整性校验模块(112)、设备鉴别模块(113)和访问控制模块(114)；所述报文加密模块(111)用于对数据链路中报文进行加密；所述完整性校验模块(112)用于保证加密后的报文在传输过程中的完整性；所述设备鉴别模块(113)用于向可信中心发出鉴别请求报文；所述访问控制模块(114)用于控制接收所述可信中心收到的请求，并通过网桥与可信设备建立通信；
所述报文控制单元(120)包括报文控制模块(121)和报文过滤模块(122)；所述报文控制模块(121)用于控制传输中的报文协议；所述报文过滤模块(122)用于对传输中的报文进行过滤；
其中，所述报文过滤模块(122)为验收滤波寄存器；所述验收滤波寄存器采用CAN报文的验收滤波寄存器，CAN控制器监听所有来自CAN总线上的报文，当一个报文到达时，所述CAN控制器执行快速的硬件搜索算法，将收到的CAN报文标识符与验收过滤RAM中存储的标识符进行匹配；如果没有匹配，则丢弃该报文，这个过程不会对所述CAN控制器产生中断，应用代码仍然正常执行；如果有匹配的标识符，所述CAN控制器将通过置位集中接收状态寄存器中的相应位产生中断，中断服务程序将该报文从CAN控制器的寄存器复制到RAM中，并通过置位CAN命令寄存器的相应位来释放所述CAN控制器的接收寄存器；
所述信息库单元(130)包括信息探测模块(131)、漏洞检测模块(132)、协议模块(133)和存储模块(134)；所述信息探测模块(131)用于对设备的开放端口进行扫描、服务辨识、木马识别和操作***探测；所述漏洞检测模块(132)用于对所述存储模块(134)中的特征报文进行扫描和检测；所述协议模块(133)用于所述信息库单元(130)与所述安全管理单元(110)和所述报文控制单元(120)三者之间的信息交互；所述存储模块(134)用于对报文以及信息交互的数据进行存储；
所述信息探测模块(131)对于非EPA识备通过发送PING或ARP报文探测设备是否存活，ARP绕过防火墙对PING的过滤；对于EPA设备，开辟捕获线程对EPA设备声明报文进行解析，从而识别包括设备存活信息、MAC、IP和冗余号在内的设备信息，并发现非法EPA设备，然后对发现设备采用包括全开扫描、半开扫描、UDP扫描在内的端口扫描技术对目标***的UDP端口和TCP端口进行测试，识别各端口状态，并根据开放端口与服务映射表，进行第一次服务辨识；对一些端口上的木马威胁进行识别；第二次辨识是通过与目标***建立连接后，收集返回的Banner信息，查询服务特征库就能识别出服务类型、软件的名称和版本，最后采用TTL旗帜对目标***进行操作***辨识；对于依赖通用操作***的设备就需要在漏洞检测时测试***漏洞，而对于UC/OS等实时操作***和无操作***的EPA网络设备和现场设备可绕过***漏洞测试；
所述漏洞检测模块(132)通过从存储模块中抽取特征报文进行扫描和检测，测试单元从漏洞特征库中提取测试特征指纹形成测试报文，向测试对象发送测试报文，然后侦听检测目标的响应，并收集信息，而后结合漏洞特征库判断EPA网络是否存在安全漏洞；实际表现为封装在一条测试插件中的特征匹配对，测试插件完成特征的提取，形成测试报文，接收返回信息并判断是否存在漏洞；
所述报文加密模块(111)采用周期性更新的秘钥加密法；
所述周期性更新的秘钥加密法采用秘钥算法生产密文，其算法公式如下：
M＝{E(m，k)}；
其中，M为密文；E(*)为加密函数；m为原始消息；k为秘钥；
包括如下方法步骤：
S1、通信发起方向可信中心发出鉴别请求报文，申请会话密钥；
S2、可信中心收到鉴别请求后，如果容许则向通信双方下发会话密钥；
S3、报文发送方发送需要通话的报文接收方的虚拟名称给通信对话联系单元，通信对话联系单元分配一个通信密钥和报文接收方的物理地址给报文发送方，同时，发送一个通信密钥和报文发送方的物理地址给报文接受方；从而建立报文发送方和报文接收方的通信许可；
S4、在获得通信许可后，报文发送方将原始消息和会话密钥进行加密；
加密后，密文作为报文体加在安全报文头之后交由EPA应用实体发送，此时，通信物理路径采用同于报文发送方、报文接受方和通信对话联系单元之间通信的物理通信路径；
S5、请求设备鉴别模块(113)发送鉴别请求报文；
S6、网络设备接收鉴别请求报文；
S7、接收鉴别请求报文后判断其是否超过请求频率；
S8、可信中心接收到鉴别请求报文，将生成的设备鉴别码与报文中的设备鉴别码进行比对；
S9、报文在发送之前，报文发送方先将明文用会话密钥通过设计的算法生成密文，密文与源IP、目的IP和操作组成报文的主体，一起发送给网络设备；
S10、网络设备在接收到报文后，先对报文发送的频率进行检查；
S11、报文接收方在接收报文后，对于报文进行解密，获得明文信息；
所述周期性更新的秘钥加密法采用解密函数进行解密，其函数公式如下：
m＝{D(M，k)}；
其中，m为原始消息；D(*)为解密函数；M为密文；k为秘钥；
所述鉴别请求报文主要由设备ID、设备鉴别码和随机数构成，设备鉴别码通过设备ID、安全ID和随机数通过随机算法生成，其算法公式如下：
Maut＝{A(IDdev，IDsec，C)∣IDdev∣C}；
其中，Maut为设备鉴别请求报文；A(*)为鉴别算法；IDdev为设备ID；IDsec为安全ID；
所述协议模块(133)采用TCP/IP协议，TCP/IP协议包括应用层、传输层、网络层和数据链路层；
所述应用层用于接收来自所述传输层的数据，同时按不同应用要求与方式将数据传输至传输层；所述传输层用于为使用平台和计算机信息网内部数据结合提供通道；所述网络层用于负责网络中数据包的传送；所述数据链路层用于提供链路管理错误检测。
2.根据权利要求1所述的EPA工业控制网络安全测试方法，其特征在于：所述可信中心接收到鉴别请求报文，通过随机算法生成对比鉴别码，其算法公式如下：
MAC＝{A(IDdev，IDsec，C)}；
其中，MAC为对比鉴别码；A(*)为鉴别算法；IDdev为设备ID；IDsec为安全ID。
CN202010774356.6A 2020-08-04 2020-08-04 Epa工业控制网络安全测试***及方法 Active CN111988289B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010774356.6A CN111988289B (zh) 2020-08-04 2020-08-04 Epa工业控制网络安全测试***及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010774356.6A CN111988289B (zh) 2020-08-04 2020-08-04 Epa工业控制网络安全测试***及方法

Publications (2)

Publication Number Publication Date
CN111988289A CN111988289A (zh) 2020-11-24
CN111988289B true CN111988289B (zh) 2021-07-23

Family

ID=73446017

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010774356.6A Active CN111988289B (zh) 2020-08-04 2020-08-04 Epa工业控制网络安全测试***及方法

Country Status (1)

Country Link
CN (1) CN111988289B (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112583662A (zh) * 2020-12-04 2021-03-30 恒安嘉新（北京）科技股份公司 主机存活探测方法、装置、设备及存储介质
CN113313216B (zh) * 2021-07-30 2021-11-30 深圳市永达电子信息股份有限公司 网络数据的主体抽取方法、装置、电子设备及存储介质
CN115834090A (zh) * 2021-09-15 2023-03-21 华为技术有限公司 通信方法及装置
CN116881108B (zh) * 2023-09-01 2023-11-28 安徽高灯微行科技有限公司 车辆etc功能监测方法、装置、车辆、存储介质和产品

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102710605A (zh) * 2012-05-08 2012-10-03 重庆大学 一种云制造环境下的信息安全管控方法
CN105429962A (zh) * 2015-11-03 2016-03-23 清华大学 一种通用的面向加密数据的中间网络服务构建方法与体系
CN110381035A (zh) * 2019-06-25 2019-10-25 北京威努特技术有限公司 网络安全测试方法、装置、计算机设备及可读存储介质

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017129089A1 (zh) * 2016-01-29 2017-08-03 腾讯科技（深圳）有限公司 无线网络连接方法、装置及存储介质

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102710605A (zh) * 2012-05-08 2012-10-03 重庆大学 一种云制造环境下的信息安全管控方法
CN105429962A (zh) * 2015-11-03 2016-03-23 清华大学 一种通用的面向加密数据的中间网络服务构建方法与体系
CN110381035A (zh) * 2019-06-25 2019-10-25 北京威努特技术有限公司 网络安全测试方法、装置、计算机设备及可读存储介质

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
EPA网络安全方案的设计与实现;王浩;《总线与网络》;20110315(第3期);正文第3节，图2 *

Also Published As

Publication number Publication date
CN111988289A (zh) 2020-11-24

Similar Documents

Publication Publication Date Title
CN111988289B (zh) Epa工业控制网络安全测试***及方法
US9438592B1 (en) System and method for providing unified transport and security protocols
US7472414B2 (en) Method of processing data traffic at a firewall
US7552323B2 (en) System, apparatuses, methods, and computer-readable media using identification data in packet communications
US9094372B2 (en) Multi-method gateway-based network security systems and methods
KR100628325B1 (ko) 무선 네트워크에 대한 공격을 탐지하기 위한 침입 탐지센서 및 무선 네트워크 침입 탐지 시스템 및 방법
US8413248B2 (en) Method for secure single-packet remote authorization
US9602485B2 (en) Network, network node with privacy preserving source attribution and admission control and device implemented method therfor
CN111245862A (zh) 一种物联网终端数据安全接收、发送的***
CA2506418C (en) Systems and apparatuses using identification data in network communication
US8671451B1 (en) Method and apparatus for preventing misuse of a group key in a wireless network
EP2007066A9 (en) A policy enforcement point and a linkage method and system for intrude detection system
JP2007173959A (ja) 暗号化通信装置
KR20110087972A (ko) 세션 테이블을 이용한 비정상 트래픽의 차단 방법
JP2005065004A (ja) 暗号化通信データ検査方法、暗号化通信データ検査装置及び暗号化通信データ検査プログラム
Budzko et al. Analysis of the level of security provided by advanced information and communication technologies
KR101005870B1 (ko) 미인증 장비의 티시피 세션 차단 방법
KR20020096194A (ko) 통합보안 네트워크 카드에 의한 네트워크 보안 방법 및시스템
CN118337472A (zh) 一种利用ARP协议绕过windows防火墙的局域网通讯方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB03 Change of inventor or designer information
CB03 Change of inventor or designer information

Inventor after: Lin Ruijin

Inventor after: Ye Ruizhe

Inventor after: Sui Tao

Inventor after: Hong Weilin

Inventor after: Lin Haozhen

Inventor before: Lin Ruijin

Inventor before: Ye Ruizhe

Inventor before: Sui Tao

GR01 Patent grant
GR01 Patent grant