[发明专利]一种面向工业控制系统的脆弱性检测方法

权利要求书

1.一种面向工业控制系统的脆弱性检测方法，其特征在于：采用渐近分层的扫描策略，即基于工控协议集和设备特征对工业以太网做主动的网络探测，并对捕获数据包进行协议解析和逆向；根据协议解析的格式和语法构造特定数据包对工业设备做进一步的系统探测；建立工控专用漏洞库进行数据比对；基于工控协议脆弱性进行模糊测试，挖掘工控系统网络的安全漏洞并检测其安全脆弱性。

2.根据权利要求1所述的面向工控系统的脆弱性检测方法，其特征在于包括以下步骤：

1)基于工控以太网环境的网络探测和数据包捕获，并传递给数据包分析模块；

2)根据工控公开协议集的数据包解析

3)基于现有协议逆向技术的未知工控协议数据包的分析；

4)根据协议解析结果构造特定数据包对工控以太网做进一步的系统探测，获取设备具体信息；

5)基于工控漏洞库与系统探测的数据做特征比对，并进行漏洞检测；

6)基于工控协议脆弱性进行模糊测试，检测其安全脆弱性。

3.根据权利要求2所述的面向工控系统的脆弱性检测方法，其特征是步骤1)中，随着工控协议基于TCP/IP协议构建，网络探测技术可探测出工业以太网环境中的工控设备的名称和交换机广播地址等基本信息，也可捕获到工控主从设备的交互数据包。

4.根据权利要求2所述的面向工控系统的脆弱性检测方法，其特征是步骤2)中，基于工控协议集对网络探测捕获数据包进行判断，以找到对应协议对数据包进行解析。

5.根据权利要求2所述的面向工控系统的脆弱性检测方法，其特征是步骤3)中，基于工控私有协议交互的数据包，步骤2)无法提供解决方案，利用基于网络流量的协议逆向技术，通过协议信息分类策略、格式和语法提取策略对数据包做规则和模板解析。

6.根据权利要求2所述的面向工控系统的脆弱性检测方法，其特征是步骤4)中，利用步骤2)和步骤3)的数据包解析结构，采用主从模式，主动发送特定构造的探测数据包并截获底层设备的返回数据包，通过工控设备库对比获取设备类型、名称、标识、地址、固件版本信息等具体信息。

7.根据权利要求2所述的面向工控系统的脆弱性检测方法，其特征是步骤5)中，基于建立的工控专有漏洞库，与步骤4)中设备具体信息做比对，获取漏洞信息并进行工控漏洞检测。

8.根据权利要求2所述的面向工控系统的脆弱性检测方法，其特征是步骤6)中，基于工控协议注重实用性、可靠性而缺乏安全性的设计，对公开协议和私有协议进行模糊测试，挖掘测试目标的安全漏洞并检测其脆弱性。