CN114172699A - 一种工业控制网络安全事件关联分析方法 - Google Patents

Abstract

本发明公开了一种工业控制网络安全事件关联分析方法，首先对典型工业控制网络安全事件要素进行拆解，提取工业控制网络安全事件的关键指标，并构建工业控制网络安全事件关联指标体系；对工业控制网络安全事件关联指标体系中的各指标进行量化处理；采用灰色关联度分析算法建立关联分析模型，将量化处理后的参考指标数据序列和新增安全事件数据序列输入所建立的关联分析模型，得到新增安全事件数据序列与参考指标数据序列中各个安全事件的关联度值；对所得到的关联度值进行排序，得出新增安全事件的安全等级。上述方法能够将各种复杂的网络安全事件进行充分关联分析，找出它们之间的关系，并去掉冗余，给出完整的事件描述。

Description

一种工业控制网络安全事件关联分析方法

技术领域

本发明涉及工业控制网络安全技术领域，尤其涉及一种工业控制网络安全事件关联分析方法。

背景技术

随着网络技术的发展以及工业控制网络开放程度的提升，面向工业控制网络的安全威胁方式越来越多，且造成的后果严重。当前面向工业控制网络的安全产品众多，包括防火墙、入侵检测***、终端防护设备、网关等，这些产品面向不同的功能需求会产生多种多样的安全事件信息。在实际使用中，这些安全事件信息中含有大量的重复报警和误报警，由于网络规模的逐渐加大，致使产生了海量的报警数据，使得管理员很难实时的对海量的数据进行处理，更难以识别报警的真实性，发现信息中隐藏的攻击意图。

大部分的安全事件并不是孤立产生的，其中存在着一定的联系，安全事件关联就是通过分析各个安全事件之间以及安全事件与运行环境之间的有效关联，将原来相对孤立的网络安全事件数据进行处理，通过过滤、聚合、去伪存真，发掘隐藏在这些数据之后的事件之间的真实联系，为网络管理员提供更可信，更有价值的信息。

发明内容

本发明的目的是提供一种工业控制网络安全事件关联分析方法，该方法能够将各种复杂的网络安全事件进行充分关联分析，找出它们之间的关系，并去掉冗余，给出完整的事件描述，从而及时发现攻击者的入侵行为，提高工业控制网络安全。

本发明的目的是通过以下技术方案实现的：

一种工业控制网络安全事件关联分析方法，所述方法包括：

步骤1、首先对典型工业控制网络安全事件要素进行拆解，提取工业控制网络安全事件的关键指标，并构建工业控制网络安全事件关联指标体系，作为参考指标；

步骤2、对所构建的工业控制网络安全事件关联指标体系中的各指标进行量化处理，将各指标转换为标准化输入格式的数据序列；

步骤3、采用灰色关联度分析算法建立工业控制网络安全事件关联分析模型，将量化处理后的参考指标数据序列和新增安全事件数据序列输入所建立的关联分析模型，得到新增安全事件数据序列与参考指标数据序列中各个安全事件的关联度值；

步骤4、对所得到的关联度值进行排序，得出新增安全事件的安全等级，对用户进行相应的安全告警。

由上述本发明提供的技术方案可以看出，上述方法能够将各种复杂的网络安全事件进行充分关联分析，找出它们之间的关系，并去掉冗余，给出完整的事件描述，从而及时发现攻击者的入侵行为，提高工业控制网络安全。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。

图1为本发明实施例提供的工业控制网络安全事件关联分析方法流程示意图；

图2为本发明实施例所述工业控制网络安全事件关联指标体系的一种实现结构示意图。

具体实施方式

下面结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例，这并不构成对本发明的限制。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明的保护范围。

如图1所示为本发明实施例提供的工业控制网络安全事件关联分析方法流程示意图，所述方法包括：

步骤1、首先对典型工业控制网络安全事件要素进行拆解，提取工业控制网络安全事件的关键指标，并构建工业控制网络安全事件关联指标体系，作为参考指标；

在该步骤中，所述典型工业控制网络安全事件要素包括资产、威胁、脆弱点3大类，其中：

资产是指对组织或攻击者来说具有价值属性的事物，包括数据、软件、硬件、服务和环境；

威胁是指对网络及其资产构成潜在破坏的可能性因素，包括软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码、病毒；

脆弱点是指资产本身存在的漏洞或缺点，能够被攻击者威胁利用从而损害组织利益，包括物理脆弱性、网络脆弱性、***脆弱性、应用脆弱性、管理脆弱性。

如图2所示为本发明实施例所述工业控制网络安全事件关联指标体系的一种实现结构示意图，所构建的工业控制网络安全事件关联指标体系包括3级，第1级为安全事件关键要素类别，包括基础要素、资产要素、威胁要素和脆弱点要素；

第2级为关键要素的细粒度拆分，其中基础要素包括事件主体、发生时间、事件地址、事件位置、事件情况；资产要素包括设备厂商、设备型号、设备类型、设备IP、端口、协议、操作***、应用软件；威胁要素包括恶意代码、病毒、物理威胁、运维威胁；脆弱点要素包括设备漏洞、***漏洞、应用软件漏洞、访问控制漏洞、管理漏洞；

第3级为关键要素的衍生指标，包括数据流分布、告警数量、告警分布、攻击事件历史发生频率、安全设备数目、设备状态分布、开放端口分布、协议分布、操作***分布、应用软件分布、威胁特征种类、威胁分布、漏洞数量及分布、补丁数量及分布、安全策略数量及分布。

步骤2、对所构建的工业控制网络安全事件关联指标体系中的各指标进行量化处理，将各指标转换为标准化输入格式的数据序列；

在该步骤中，根据各指标的不同性质分为定性和定量指标，具体处理方法如下：

对于定量指标的处理在于实现定量指标的归一化，把差异较大的数据无量纲化，采用min-max标准化方法将数值映射到[0,1]区间，其中：

正向指标量化处理以最小值为基准，如公式(1)所示：

负向指标量化处理以最大值为基准，如公式(2)所示：

其中v_i为转换前的值；v_j为转换后的值；v_min是指标样本的最小值；v_max是指标样本的最大值。

举例来说，假定采集到一组需要进行关联分析的安全事件集合，该集合中告警数量指标数据V＝[25,78，5，57，…，106]，最高为106，最低为5，那么根据标准化方法，标准化后的告警数量指标数据V'＝[0.198,0.723,0,0.515,…,1]。

对于定性指标的处理采用最大隶属度的方法来实现，首先基于语义确定一个评价等级集合V，其中的每个元素都是一个模糊子集；

划分多个范围，并为每一个范围确定一个真值来表示；

判断每一个元素所在的边界范围，并由此判断该元素属于哪个模糊子集；

最后将该模糊子集的真值赋予这个元素。

举例来说，先将漏洞等级定性指标确定为一个评价集合V＝{高，中，低}，分别用真值0.9、0.5、0.1来进行表示，则漏洞等级指标可以量化为V＝{0.9,0.5,0.1}，假设采集到某漏洞等级数据为“高”，则进行量化后漏洞等级为“0.9”。

步骤3、采用灰色关联度分析算法建立工业控制网络安全事件关联分析模型，将量化处理后的参考指标数据序列和新增安全事件数据序列输入所建立的关联分析模型，得到新增安全事件数据序列与参考指标数据序列中各个安全事件的关联度值；

在该步骤中，首先确定工业控制网络安全事件参考指标数据序列为：

T＝[T₁,T₂,…,T_k]，T_k＝(t_k(1),t_k(2),…,t_k(n))；

其中，k为作为参考指标的安全事件个数；n为指标个数；t_k(n)表示第k个参考安全事件的第n个指标；

参考指标包括工业控制网络中不同等级的典型安全事件及需要作为参考值进行关联关系判断的安全事件；

然后定义新增安全事件数据序列为：

X＝[X₁,X₂,…,X_m]，其中X_m＝(x_m(1),x_m(2),…,x_m(n))；

其中，m为新增需要进行分析的安全事件个数；n为指标个数；x_m(n)表示第m个新增安全事件的第n个指标；

对参考指标数据序列和新增安全事件数据序列进行归一化处理；

采用灰色关联度分析算法，计算参考指标数据序列和新增安全事件数据序列的各指标关联系数，计算方法如公式(3)所示：

其中，i＝1,2,…,m，l＝1,2,…,n；ρ为调节参数，ρ∈(0,+∞)，ρ越小，分辨力越大；

进一步的，新增安全事件X_i(i＝1,2,…,m)与参考安全事件数据T_k(l)的关联度定义为公式(4)所示：

由于工业控制网络安全事件日趋复杂，多个安全事件与某一安全事件的关联度定义为公式(5)：

步骤4、对所得到的关联度值进行排序，得出新增安全事件的安全等级，对用户进行相应的安全告警。

举例来说，假设定义了工业控制网络安全事件参考指标数据序列T＝[T₁,T₂,T₃],其中，T1为高危险等级安全事件，T2为中危险等级安全事件，T3为低危险等级安全事件。

经过一段时间的采集，得到需分析的新增安全事件数据序列X＝[X₁,X₂,X₃,X₄,X₅]，通过公式(3)和公式(4)分别计算新增安全事件与参考安全事件之间的关联度，可以得到：

	X<sub>1</sub>	X<sub>2</sub>	X<sub>3</sub>	X<sub>4</sub>	X<sub>5</sub>
						T<sub>1</sub>	0.315	0.874	0.214	0.376	0.035
T<sub>2</sub>	0.786	0.195	0.599	0.636	0.127
						T<sub>3</sub>	0.333	0.147	0.658	0.198	0.778

则可以得到：新增安全事件中，X₁为中危险等级事件，X₂为高危险等级事件，X₃为低危险等级事件，可能发展为中危险等级事件，X₄为中危险等级事件，X₅为低危险等级事件。

值得注意的是，本发明实施例中未作详细描述的内容属于本领域专业技术人员公知的现有技术。

综上所述，本发明实施例所述方法能够将各种复杂的网络安全事件进行充分关联分析，找出它们之间的关系，并去掉冗余，给出完整的事件描述，从而及时发现工业控制网络中隐蔽的安全风险，提高工业控制网络安全。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明披露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。本文背景技术部分公开的信息仅仅旨在加深对本发明的总体背景技术的理解，而不应当被视为承认或以任何形式暗示该信息构成已为本领域技术人员所公知的现有技术。

Claims (5)

1.一种工业控制网络安全事件关联分析方法，其特征在于，所述方法包括：

步骤1、首先对典型工业控制网络安全事件要素进行拆解，提取工业控制网络安全事件的关键指标，并构建工业控制网络安全事件关联指标体系，作为参考指标；

步骤2、对所构建的工业控制网络安全事件关联指标体系中的各指标进行量化处理，将各指标转换为标准化输入格式的数据序列；

步骤3、采用灰色关联度分析算法建立工业控制网络安全事件关联分析模型，将量化处理后的参考指标数据序列和新增安全事件数据序列输入所建立的关联分析模型，得到新增安全事件数据序列与参考指标数据序列中各个安全事件的关联度值；

步骤4、对所得到的关联度值进行排序，得出新增安全事件的安全等级，对用户进行相应的安全告警。

2.根据权利要求1所述工业控制网络安全事件关联分析方法，其特征在于，在步骤1中，所述典型工业控制网络安全事件要素包括资产、威胁、脆弱点3大类，其中：

资产是指对组织或攻击者来说具有价值属性的事物，包括数据、软件、硬件、服务和环境；

威胁是指对网络及其资产构成潜在破坏的可能性因素，包括软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码、病毒；

脆弱点是指资产本身存在的漏洞或缺点，能够被攻击者威胁利用从而损害组织利益，包括物理脆弱性、网络脆弱性、***脆弱性、应用脆弱性、管理脆弱性。

3.根据权利要求1所述工业控制网络安全事件关联分析方法，其特征在于，在步骤1中，所构建的工业控制网络安全事件关联指标体系包括3级，第1级为安全事件关键要素类别，包括基础要素、资产要素、威胁要素和脆弱点要素；

第2级为关键要素的细粒度拆分，其中基础要素包括事件主体、发生时间、事件地址、事件位置、事件情况；资产要素包括设备厂商、设备型号、设备类型、设备IP、端口、协议、操作***、应用软件；威胁要素包括恶意代码、病毒、物理威胁、运维威胁；脆弱点要素包括设备漏洞、***漏洞、应用软件漏洞、访问控制漏洞、管理漏洞；

第3级为关键要素的衍生指标，包括数据流分布、告警数量、告警分布、攻击事件历史发生频率、安全设备数目、设备状态分布、开放端口分布、协议分布、操作***分布、应用软件分布、威胁特征种类、威胁分布、漏洞数量及分布、补丁数量及分布、安全策略数量及分布。

4.根据权利要求1所述工业控制网络安全事件关联分析方法，其特征在于，所述步骤2的过程具体为：

根据各指标的不同性质分为定性和定量指标，具体处理方法如下：

对于定量指标的处理在于实现定量指标的归一化，把差异较大的数据无量纲化，采用min-max标准化方法将数值映射到[0,1]区间，其中：

正向指标量化处理以最小值为基准，公式如下：

负向指标量化处理以最大值为基准，公式如下：

其中v_i为转换前的值；v_j为转换后的值；v_min是指标样本的最小值；v_max是指标样本的最大值；

对于定性指标的处理采用最大隶属度的方法来实现，首先基于语义确定一个评价等级集合V，其中的每个元素都是一个模糊子集；

划分多个范围，并为每一个范围确定一个真值来表示；

判断每一个元素所在的边界范围，并由此判断该元素属于哪个模糊子集；

最后将该模糊子集的真值赋予这个元素。

5.根据权利要求1所述工业控制网络安全事件关联分析方法，其特征在于，所述步骤3的过程具体为：

首先确定工业控制网络安全事件参考指标数据序列为：

T＝[T₁,T₂,…,T_k]，T_k＝(t_k(1),t_k(2),…,t_k(n))；

其中，k为作为参考指标的安全事件个数；n为指标个数；t_k(n)表示第k个参考安全事件的第n个指标；

参考指标包括工业控制网络中不同等级的典型安全事件及需要作为参考值进行关联关系判断的安全事件；

然后定义新增安全事件数据序列为：

X＝[X₁,X₂,…,X_m]，其中X_m＝(x_m(1),x_m(2),…,x_m(n))；

其中，m为新增需要进行分析的安全事件个数；n为指标个数；x_m(n)表示第m个新增安全事件的第n个指标；

对参考指标数据序列和新增安全事件数据序列进行归一化处理；

采用灰色关联度分析算法，计算参考指标数据序列和新增安全事件数据序列的各指标关联系数，计算方法如下公式所示：

其中，i＝1,2,…,m，l＝1,2,…,n；ρ为调节参数，ρ∈(0,+∞)，ρ越小，分辨力越大；

进一步的，新增安全事件X_i(i＝1,2,…,m)与参考安全事件数据T_k(l)的关联度定义为如下公式：

由于工业控制网络安全事件日趋复杂，多个安全事件与某一安全事件的关联度定义为如下公式：

Images