導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 機(jī)械安全論文>>正文

基于攻擊樹的工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估

文檔作者：黃慧萍，肖世德，孟祥印文檔來源：西南交通大學(xué)		點(diǎn) 擊數(shù)：	更新時(shí)間： 2022年11月08日
下載地址：點(diǎn)擊這里	文件大?。?331.65 KB 共4頁(yè)	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共4頁(yè)]

本文件共4頁(yè)，如需編輯使用，請(qǐng)下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?31.65 KB 共4頁(yè) 文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇：安全閥校驗(yàn)過程中的風(fēng)險(xiǎn)辨識(shí)與控制

上一篇：高安全性氣動(dòng)潤(rùn)滑注油車設(shè)計(jì)及應(yīng)用

文本預(yù)覽

僅提取頁(yè)面文字內(nèi)容，供快速閱讀使用。

第32卷第10期
2015年10月
計(jì)算機(jī)應(yīng)用研究
Application Research of Computers
V01．32 No．10
0ct．2015
基于攻擊樹的工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估冰
黃慧萍，肖世德，孟祥印
(西南交通大學(xué)機(jī)械工程學(xué)院機(jī)電測(cè)控系，成都610031)
摘要：針對(duì)如何量化評(píng)估系統(tǒng)的信息安全狀況這一問題，提出一種基于攻擊樹的工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)
評(píng)估方法。該方法首先運(yùn)用攻擊樹對(duì)工業(yè)控制系統(tǒng)進(jìn)行信息攻擊建模，然后利用概率風(fēng)險(xiǎn)評(píng)估技術(shù)計(jì)算葉節(jié)
點(diǎn)、根節(jié)點(diǎn)和各攻擊序列發(fā)生的概率，結(jié)合攻擊目標(biāo)實(shí)現(xiàn)后所造成的損失即可計(jì)算得到根節(jié)點(diǎn)的風(fēng)險(xiǎn)值。案例
分析的計(jì)算結(jié)果不僅表明了根節(jié)點(diǎn)和各攻擊序列遭受信息攻擊風(fēng)險(xiǎn)的概率大小，還揭示了系統(tǒng)攻擊樹中風(fēng)險(xiǎn)最
大的攻擊路徑，證明該方法合理可行。該方法有助于風(fēng)險(xiǎn)管理者找到工業(yè)控制系統(tǒng)中的信息安全薄弱環(huán)節(jié)和最
有可能被攻擊者利用的攻擊路徑和方式，從而重點(diǎn)采取防御措施。
關(guān)鍵詞：攻擊樹；工業(yè)控制系統(tǒng)；信息安全；風(fēng)險(xiǎn)評(píng)估
中圖分類號(hào)：’rP309．2 文獻(xiàn)標(biāo)志碼：A 文章編號(hào)：1001．3695(2015)10—3022—04
doi：10．3969／i．issn．1001．3695．2015．10．033
Attack tree—based method fbr assessing cyber
security risk of industrial control system
Hu粕g Huiping，Xiao Shide，Meng Xi粕g)rin
(腳‘．o廠覷倒ro朧ckn池f&amp;amp;c0眥ro脅凡g，_sch002礦^舭地n沁f E增in船^昭，so山機(jī)es￡，io咖增‰沁巧毋，ck昭也610031，肌i加)
Abstract： In order to quantify the indus喇a(chǎn)l control system’s infoⅡIIation secudty risk，【“s pape‘proposed an attack tree—
based method for assessing the svstem’s cyber secu^t丫risk situation．This metllod first constmcted an attack tree．in which
t|le Illtimate attack goal presented as the top node and the attack events presented as the leaf nodes．Then“selected three in—
dices for each leaf node and applied the probability risk assessment technology to ca】cula【e the probability of occurrence for
each node in the attack tree．Lastly，“calculated the risk value of t11e top node based on the magnitude of the potential loss
when implemented the ultjmate attack goal． Calculating results of an application case indicate that the pmposed method is rea—
sonable and applicable． It can help lhe risk management persons to find山e weakest places and the most dangerous attack sce—
n面os in the industrial contIDl svstem．
Key words： attack tree；industrial contml system；cyber security；risk assessment
0引言
工業(yè)控制系統(tǒng)廣泛應(yīng)用于國(guó)家關(guān)鍵基礎(chǔ)設(shè)施中，包括電
力、石油石化、鐵路、水處理等行業(yè)。控制系統(tǒng)的功能安全
(functional s出ty)和信息安全(cyber security)對(duì)于這些行業(yè)企
業(yè)的生產(chǎn)平穩(wěn)運(yùn)行起著舉足輕重的作用。長(zhǎng)期以來，控制系統(tǒng)
的性能、可靠性、靈活性與控制系統(tǒng)的功能安全一直都得到很
高的重視。然而工業(yè)控制系統(tǒng)的信息安全卻被忽視。scADA
(supeⅣisory cont“aIld data acquisition)系統(tǒng)?是工業(yè)控制系
統(tǒng)的重要組成部分之一。隨著網(wǎng)絡(luò)、通信和計(jì)算機(jī)技術(shù)的迅速
發(fā)展，目前許多工業(yè)控制scADA系統(tǒng)采用了多種多樣的通信
方式，它們與其他信息系統(tǒng)的連接越來越多，因此導(dǎo)致工業(yè)控
制系統(tǒng)中的控制命令和狀態(tài)數(shù)據(jù)面臨著被網(wǎng)絡(luò)中不法分子竄
改的極大危險(xiǎn)，可能出現(xiàn)一系列較嚴(yán)重的控制系統(tǒng)被攻擊事
件，造成較大的損失’2j。例如，在2010年9月24日，伊朗布什
爾核電站的系統(tǒng)受到震網(wǎng)(stuxnet)病毒的攻擊，導(dǎo)致該電站
的核設(shè)施無法正常工作¨1。因此，如何保障工業(yè)控制系統(tǒng)的
信息安全已成為業(yè)界必須解決的一個(gè)關(guān)鍵問題，是目前的一個(gè)
研究熱點(diǎn)。國(guó)內(nèi)外學(xué)者的研究?jī)?nèi)容中涉及的一個(gè)重要方面就
是對(duì)工業(yè)控制系統(tǒng)的信息安全風(fēng)險(xiǎn)進(jìn)行評(píng)估，這對(duì)于幫助人們
認(rèn)識(shí)系統(tǒng)在信息安全方面的薄弱環(huán)節(jié)有著重要意義，有利于人
們有針對(duì)性地對(duì)系統(tǒng)的弱點(diǎn)和漏洞采取相應(yīng)的防御措施H’51。
信息安全風(fēng)險(xiǎn)評(píng)估技術(shù)主要分為兩大類，即定性和定量的
風(fēng)險(xiǎn)評(píng)估技術(shù)和方法MJ。定性風(fēng)險(xiǎn)評(píng)估技術(shù)和方法主要依靠
評(píng)估者的經(jīng)驗(yàn)和主觀意見來對(duì)問題作出高、中、低的定性分析
和判斷，對(duì)負(fù)面事件發(fā)生的可能性以及所帶來的后果無法給出
量化的結(jié)果。定量風(fēng)險(xiǎn)評(píng)估技術(shù)和方法能從數(shù)值上說明評(píng)估
對(duì)象的危險(xiǎn)程度，準(zhǔn)確描述系統(tǒng)的危險(xiǎn)性，因此它是當(dāng)前工業(yè)
控制系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估的一個(gè)主要研究方向。
目前，國(guó)內(nèi)外學(xué)者應(yīng)用各種方法來評(píng)估工業(yè)控制系統(tǒng)的信
息安全風(fēng)險(xiǎn)。姜瑩瑩等人o¨結(jié)合應(yīng)用層次分析法和模糊評(píng)判
集來對(duì)一個(gè)油氣田scADA系統(tǒng)的信息安全性進(jìn)行綜合評(píng)價(jià)。
收稿日期：2014一07一13；修回日期：2014．08．27 基金項(xiàng)目：國(guó)家自然科學(xué)基金資助項(xiàng)目(51205326)；中央高?；究蒲袠I(yè)務(wù)費(fèi)專項(xiàng)基金
資助項(xiàng)目(2682013Cx022)；四川省應(yīng)用基礎(chǔ)研究項(xiàng)目(2014JY0212)
作者簡(jiǎn)介：黃慧萍(1977．)，女，湖北武漢人，講師，博士研究生，主要研究方向?yàn)楣I(yè)控制系統(tǒng)網(wǎng)絡(luò)技術(shù)(hhpin薩@163．com)；肖世德(1967-)，
男．教授，博導(dǎo)，主要研究方向?yàn)闄C(jī)電監(jiān)控設(shè)備可靠性、危險(xiǎn)場(chǎng)合工業(yè)監(jiān)控系統(tǒng)；孟祥印(1979-)，男，副教授，博士，主要研究方向?yàn)閟cADA系統(tǒng)監(jiān)
控技術(shù)．
萬方數(shù)據(jù)
第10期黃慧萍，等：基于攻擊樹的工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估‘3023·
這種系統(tǒng)性的分析方法能對(duì)復(fù)雜的系統(tǒng)進(jìn)行分解，無須高深的
數(shù)學(xué)工具，所需定量數(shù)據(jù)信息較少。但是該方法只能得到系統(tǒng)
整體很安全、安全、基本安全和不安全的評(píng)價(jià)結(jié)果，無法體現(xiàn)系
統(tǒng)在信息安全方面的薄弱環(huán)節(jié)，不利于針對(duì)系統(tǒng)的弱點(diǎn)和信息
漏洞制定相應(yīng)的防護(hù)措施。B叫c¨等人舊1采用著色Petri網(wǎng)
方法來對(duì)一個(gè)工業(yè)控制scADA系統(tǒng)的信息攻擊進(jìn)行建模。該
方法從信息安全的角度出發(fā)，對(duì)信息攻擊者的行為進(jìn)行建模，
能夠定量地表示入侵的危害程度，從而幫助管理、技術(shù)人員針
對(duì)系統(tǒng)的入侵找到最有效的控制措施。但是基于著色Petri網(wǎng)
的攻擊模型比攻擊樹模型等基于圖形化的模型建模更繁瑣，模
型形式更復(fù)雜，在實(shí)際應(yīng)用中受到了限制。
Schneier[9 3提出的攻擊樹建模技術(shù)是一種得到了廣泛應(yīng)用
的圖形化風(fēng)險(xiǎn)建模和分析方法。攻擊樹是從可靠性中故障樹
形式啟發(fā)而來，它是一種基于攻擊的、形式化分析系統(tǒng)和子系
統(tǒng)安全風(fēng)險(xiǎn)的方法。攻擊樹模型因其結(jié)構(gòu)簡(jiǎn)單、表示方法易于
理解的特點(diǎn)，已經(jīng)成為當(dāng)前有關(guān)安全分析的技術(shù)領(lǐng)域中應(yīng)用得
較多的一種方法。1?。國(guó)內(nèi)外已經(jīng)有學(xué)者將攻擊樹應(yīng)用在各種
不同工業(yè)控制系統(tǒng)的風(fēng)險(xiǎn)評(píng)估工作中，例如，Ten等人?1使用
攻擊樹對(duì)一個(gè)scADA系統(tǒng)的信息安全脆弱性進(jìn)行了評(píng)估；
Park等人¨21利用攻擊樹模型來分析一個(gè)反應(yīng)器保護(hù)系統(tǒng)的信
息安全；Byres等人¨列使用攻擊樹建模方法對(duì)一個(gè)基于Modb—
us協(xié)議棧的工業(yè)控制scADA通信系統(tǒng)進(jìn)行了漏洞分析；蔣健
雷¨41應(yīng)用攻擊樹建模分析了某泵站放江sCADA系統(tǒng)的安全
性問題及對(duì)策。這些研究結(jié)果表明，攻擊樹是一種分析系統(tǒng)威
脅并對(duì)系統(tǒng)可能遭受的潛在信息攻擊進(jìn)行建模的方便、有效的
工具。但是他們的研究在建立了系統(tǒng)的攻擊樹模型之后，只是
定性地判斷系統(tǒng)風(fēng)險(xiǎn)的高低程度，缺乏定量的分析。針對(duì)此問
題，本文提出一種以攻擊樹模型為基礎(chǔ)、結(jié)合概率風(fēng)險(xiǎn)評(píng)估技
術(shù)的定量分析方法，來對(duì)工業(yè)控制系統(tǒng)的信息安全風(fēng)險(xiǎn)進(jìn)行量
化的評(píng)估。
1 攻擊樹模型的基本概念
攻擊樹(attack tree)模型是Schneider在1999年提出的一
種描述系統(tǒng)可能受到的多種攻擊的方法。它采用樹型結(jié)構(gòu)來
表示針對(duì)系統(tǒng)的各種攻擊行為。在一棵攻擊樹中，樹的根節(jié)點(diǎn)
表示攻擊者的最終攻擊目標(biāo)，葉節(jié)點(diǎn)表示具體的攻擊事件，即
攻擊者可能采取的各種攻擊手段，其他為中間節(jié)點(diǎn)。攻擊樹的
各個(gè)分支表示為達(dá)到最終攻擊目標(biāo)可能采取的各種攻擊序列。
除了葉節(jié)點(diǎn)以外，攻擊樹的各節(jié)點(diǎn)分為與(AND)節(jié)點(diǎn)、或
(0R)節(jié)點(diǎn)兩類。AND節(jié)點(diǎn)表示必須全部完成此節(jié)點(diǎn)下的各
分支才能到達(dá)該節(jié)點(diǎn)；0R節(jié)點(diǎn)表示只要完成此節(jié)點(diǎn)下的一個(gè)
分支即可要到達(dá)該節(jié)點(diǎn)。任何一條從葉節(jié)點(diǎn)到根節(jié)點(diǎn)的路徑
表示實(shí)現(xiàn)這個(gè)攻擊目標(biāo)而進(jìn)行的一次完整的攻擊過程¨?。遍
歷整個(gè)攻擊樹可以生成實(shí)現(xiàn)以根節(jié)點(diǎn)為攻擊目標(biāo)的所有網(wǎng)絡(luò)
攻擊路徑。攻擊樹可采用圖形和文本兩種方法來表示，如圖1
所示。攻擊樹能在一張圖內(nèi)顯示所有的攻擊路徑。
瓜圈叁圈
(a)圖形描述(b)文本描述(c)圖形描述(d)文本描述
圖1攻擊樹0R、AND節(jié)點(diǎn)的表示方法
schneider在其闡述攻擊樹的文章中指出，攻擊樹的建立
需要集思廣益，需要各方面的技術(shù)人員參與。攻擊樹的建立不
能一蹴而就，需要反復(fù)的推想。在構(gòu)建具體的工業(yè)控制系統(tǒng)攻
擊樹時(shí)，首先由相關(guān)專業(yè)技術(shù)人員對(duì)系統(tǒng)進(jìn)行細(xì)致的分析，將
攻擊者的最終攻擊目標(biāo)作為根節(jié)點(diǎn)，將攻擊者可能采取的具體
攻擊行為表示為攻擊樹的葉節(jié)點(diǎn)，其他為中間節(jié)點(diǎn)，這樣就能
得到一棵或者多棵確定的攻擊樹。通過細(xì)致地對(duì)整個(gè)系統(tǒng)的
信息安全事件進(jìn)行實(shí)例化，就能得到由多棵攻擊樹組成的攻擊
森林，森林中每一棵攻擊樹的根節(jié)點(diǎn)表示針對(duì)系統(tǒng)信息安全的
一個(gè)攻擊目標(biāo)，葉節(jié)點(diǎn)表示能引起攻擊目標(biāo)安全事件發(fā)生的各
類攻擊事件，每條從葉節(jié)點(diǎn)到根節(jié)點(diǎn)穿過整棵攻擊樹的路徑表
示對(duì)系統(tǒng)的一次具體攻擊過程，每條從葉節(jié)點(diǎn)到根節(jié)點(diǎn)穿過整
棵攻擊防御樹的路徑表示對(duì)sCADA系統(tǒng)的一次具體攻擊過
程，即一個(gè)攻擊序列。
2 基于攻擊樹工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估方法
風(fēng)險(xiǎn)評(píng)估是風(fēng)險(xiǎn)管理的一個(gè)重要過程，經(jīng)常用事件所造成
的損失和事件發(fā)生的概率這兩者的乘積來表示風(fēng)險(xiǎn)，即
_R=L．×P。(1)
攻擊樹中的根節(jié)點(diǎn)代表攻擊者的最終目標(biāo)，因此基于攻擊
樹的風(fēng)險(xiǎn)評(píng)估的最終目的是確定攻擊樹根節(jié)點(diǎn)的風(fēng)險(xiǎn)值，以及
影響該值的攻擊路徑和最可能被攻擊者利用的攻擊方法。這
樣技術(shù)人員能夠根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果有重點(diǎn)地制定相應(yīng)的防御
對(duì)策。本文所提出基于攻擊樹的工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)
評(píng)估方法的具體步驟如下：
a)確定攻擊目標(biāo)，建立系統(tǒng)的攻擊樹模型；
b)選擇合適的評(píng)判指標(biāo)，并對(duì)攻擊樹葉子節(jié)點(diǎn)的指標(biāo)進(jìn)
行量化；
c)計(jì)算葉子節(jié)點(diǎn)(攻擊事件)發(fā)生的概率P．；
d)計(jì)算攻擊樹根節(jié)點(diǎn)(即攻擊者成功實(shí)現(xiàn)最終攻擊目標(biāo))
發(fā)生的概率心；
e)分析攻擊樹根節(jié)點(diǎn)的攻擊目標(biāo)實(shí)現(xiàn)后所造成的損失
，叫，利用式(1)計(jì)算根節(jié)點(diǎn)的風(fēng)險(xiǎn)值；
f)分析攻擊序列，并計(jì)算各攻擊序列發(fā)生的概率P“
g)根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果判斷分析最有可能被攻擊者利用
的攻擊路徑和方法。
2．1 攻擊樹葉于節(jié)點(diǎn)的指標(biāo)量化
由攻擊樹的相關(guān)概念可知，當(dāng)攻擊樹的各個(gè)葉節(jié)點(diǎn)被賦予
一定數(shù)值后，就能利用它進(jìn)行一些數(shù)學(xué)分析，如風(fēng)險(xiǎn)評(píng)估、脆弱
性分析等。工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)值的最終結(jié)果就是通
過對(duì)葉子節(jié)點(diǎn)的分析計(jì)算而得到的。因此，葉子節(jié)點(diǎn)的賦值和
風(fēng)險(xiǎn)評(píng)價(jià)對(duì)于基于攻擊樹模型的系統(tǒng)風(fēng)險(xiǎn)值計(jì)算結(jié)果有很大
的影響。美國(guó)工業(yè)控制系統(tǒng)安全指南¨劉中指出，在工業(yè)控制
scADA系統(tǒng)的信息安全風(fēng)險(xiǎn)評(píng)估中，系統(tǒng)風(fēng)險(xiǎn)值取決于系統(tǒng)
發(fā)生風(fēng)險(xiǎn)的概率與發(fā)生風(fēng)險(xiǎn)所產(chǎn)生的后果。其中，系統(tǒng)發(fā)生風(fēng)
險(xiǎn)的概率受到多個(gè)因素的影響，包括攻擊成本、攻擊難度和攻
擊被發(fā)現(xiàn)的可能性。因此，在計(jì)算葉子節(jié)點(diǎn)的風(fēng)險(xiǎn)值時(shí)，給每
個(gè)葉子節(jié)點(diǎn)賦予這樣的三個(gè)屬性值。應(yīng)用多屬性效用理論，將
以上屬性轉(zhuǎn)換成其實(shí)現(xiàn)目標(biāo)的效用值。那么計(jì)算葉子節(jié)點(diǎn)風(fēng)
險(xiǎn)概率值的公式如下：
尸。=K。l xU(cost．)+％if|×u(di皿)+睨d×￡『(detl) (2)
其中：i表示任意一個(gè)葉子節(jié)點(diǎn)，即可能的一種攻擊事件；尸，表
示該葉子節(jié)點(diǎn)所代表的攻擊事件發(fā)生的概率；cost．表示實(shí)現(xiàn)
該葉子節(jié)點(diǎn)攻擊事件的成本；d旺表示實(shí)現(xiàn)該葉子節(jié)點(diǎn)的難易
程度；det。表示該葉子節(jié)點(diǎn)的攻擊事件可能被發(fā)現(xiàn)的等級(jí)。
w乙。表示攻擊成本參數(shù)的權(quán)重；耽：。表示攻擊難度參數(shù)的權(quán)重；
萬方數(shù)據(jù)
·3024· 計(jì)算機(jī)應(yīng)用研究第32卷
礬。表示攻擊被發(fā)現(xiàn)的可能性參數(shù)的權(quán)重，且這三個(gè)權(quán)重系數(shù)
之和為1。u(cost。)表示攻擊成本參數(shù)的效用值；U(d衄)表示
攻擊難度參數(shù)的效用值；u(det。)表示攻擊被發(fā)現(xiàn)可能性參數(shù)
的效用值。
運(yùn)用式(2)求葉子節(jié)點(diǎn)攻擊事件發(fā)生的概率尸。值涉及到
三個(gè)屬性，因此需要制定相應(yīng)的評(píng)分標(biāo)準(zhǔn)來對(duì)它們進(jìn)行評(píng)價(jià)。
本文的重點(diǎn)在于提出一種量化的基于攻擊樹的工業(yè)控制系統(tǒng)
風(fēng)險(xiǎn)評(píng)估方法，因此對(duì)于評(píng)分標(biāo)準(zhǔn)的建立未作深入探討。在具
體評(píng)估時(shí)，評(píng)估人員可以根據(jù)實(shí)際情況建立相應(yīng)的評(píng)分標(biāo)準(zhǔn)。
本文所采用的等級(jí)評(píng)分標(biāo)準(zhǔn)如表1所示。
表l等級(jí)評(píng)分標(biāo)準(zhǔn)
在實(shí)際應(yīng)用時(shí)，葉子節(jié)點(diǎn)的屬性得分可以采用專家打分法
給出，其中攻擊成本屬性可以直接由專家給出具體值，而攻擊
難度和被發(fā)現(xiàn)的可能性這兩個(gè)屬性只需要專家作出判斷，給出
兩兩葉子節(jié)點(diǎn)之間的比較值。
2．2計(jì)算葉子節(jié)點(diǎn)發(fā)生的概率
為了計(jì)算葉子節(jié)點(diǎn)所代表的攻擊事件發(fā)生的概率，需要計(jì)
算效用值u(cosI。)、u(d避)、u(det。)。通過分析可知，cost。、
d戰(zhàn)、det。與U(cost。)、U(d征)、U(det。)成反比例關(guān)系。為了方
便計(jì)算，三組之間的對(duì)應(yīng)關(guān)系均取為u(x)=lA。運(yùn)用式(2)
即可求得葉子節(jié)點(diǎn)攻擊事件發(fā)生的概率P。值。
2．3計(jì)算攻擊樹根節(jié)點(diǎn)發(fā)生的概率
在攻擊樹自底向上由葉節(jié)點(diǎn)求根節(jié)點(diǎn)概率的過程中，有以
下兩種計(jì)算情況：
a)AND節(jié)點(diǎn)發(fā)生的概率等于其下各分支子樹發(fā)生概率的
乘積，如式(3)所示。
．p。=P。l×尸。2×?×P。。(3)
其中：m1、m2、m凡代表節(jié)點(diǎn)m下的子樹；P(m)代表節(jié)點(diǎn)m發(fā)
生的概率；尸(mn)代表子樹鞏n發(fā)生的概率。
b)OR節(jié)點(diǎn)發(fā)生的概率等于其下各分支子樹發(fā)生概率中
的最大值，如式(4)所示。
P。=max{P。l，PJ，12，‘?！?，Jp。。} (4)
2．4計(jì)算攻擊樹根節(jié)點(diǎn)的風(fēng)險(xiǎn)值
在分析根節(jié)點(diǎn)的攻擊目標(biāo)實(shí)現(xiàn)后所造成的損失時(shí)，以經(jīng)濟(jì)
損失為指標(biāo)，考慮多方面的因素，如對(duì)生產(chǎn)造成的損失、設(shè)備損
壞損失、修補(bǔ)成本等。同時(shí)應(yīng)注意不僅要考慮攻擊所帶來的直
接經(jīng)濟(jì)損失，還要考慮各種無形損失，如對(duì)公司聲譽(yù)的影響等。
在確定攻擊目標(biāo)實(shí)現(xiàn)后造成的經(jīng)濟(jì)損失k。。之后，利用式(1)
即可計(jì)算得到根節(jié)點(diǎn)的量化風(fēng)險(xiǎn)值。
2．5攻擊序列分析
攻擊序列是指一組攻擊行為鏈，即攻擊樹中的一系列葉子
節(jié)點(diǎn)，發(fā)生了這些葉子節(jié)點(diǎn)所代表的攻擊事件．就會(huì)達(dá)到攻擊
樹的根節(jié)點(diǎn)，即實(shí)現(xiàn)了攻擊者的最終目標(biāo)’1“。在確定攻擊序
列之后?？梢詫?duì)它們進(jìn)行分析。假設(shè)si是一個(gè)攻擊序列s江
(E1，匝，?，肪)，則攻擊序列發(fā)生的概率如式(5)所示。
3案例分析
只。=Jp￡l×P髓×。·‘×JDn (5)
M0dbus是廣泛應(yīng)用于當(dāng)今工業(yè)控制領(lǐng)域的一種開放、標(biāo)
準(zhǔn)的網(wǎng)絡(luò)通信協(xié)議，采用主從通信機(jī)制。在基于M0dbus的工
業(yè)控制scADA系統(tǒng)中，各個(gè)控制器之間或者控制器與其他設(shè)
備之間都可以通過該協(xié)議進(jìn)行通信。由于Modbus在設(shè)計(jì)之初
并未考慮信息安全，存在著不驗(yàn)證、不加密、不校驗(yàn)、可編程等
安全問題，所以它缺乏有效的機(jī)制來避免來自外界的信息安全
威脅。下面以Byres等人在文獻(xiàn)[13]中分析的一個(gè)基于Mod．
bus的工業(yè)控制系統(tǒng)為例(有關(guān)該系統(tǒng)的詳細(xì)背景信息可參考
文獻(xiàn)[13])，構(gòu)建該系統(tǒng)的一棵攻擊樹實(shí)例，并運(yùn)用本文所提
方法來對(duì)該攻擊樹進(jìn)行量化風(fēng)險(xiǎn)評(píng)估。
該系統(tǒng)的11個(gè)攻擊目標(biāo)分別為：(a)接入SCADA系統(tǒng)、
(b)確定Modbus設(shè)備、(c)干擾控制中心與遠(yuǎn)程工作站之間的
通信、(d)使從站無法工作、(e)讀取從站數(shù)據(jù)、(f)向從站寫數(shù)
據(jù)、(g)對(duì)從站編程、(h)危害從站、(i)使主站無法工作、(j)向
主站寫數(shù)據(jù)、(k)危害主站。分別以這11個(gè)攻擊目標(biāo)為根節(jié)
點(diǎn)可以建立1l棵攻擊樹，這11棵樹組成的攻擊森林就能表達(dá)
整個(gè)系統(tǒng)的信息安全問題。在上述11個(gè)攻擊目標(biāo)中，危害主
站設(shè)備是最為嚴(yán)重的幾類攻擊之一，會(huì)對(duì)系統(tǒng)產(chǎn)生嚴(yán)重的影
響。針對(duì)該攻擊目標(biāo)，建立的攻擊樹如圖2所示。該攻擊樹的
根節(jié)點(diǎn)、中間節(jié)點(diǎn)和葉節(jié)點(diǎn)的含義如表2所示。當(dāng)采用相同的
方法對(duì)所有11棵攻擊樹進(jìn)行了量化的風(fēng)險(xiǎn)評(píng)估之后，不僅能
根據(jù)這些量化的結(jié)果分析出每棵攻擊樹中遭受攻擊概率最大
的攻擊路徑，還能確定scADA系統(tǒng)中信息安全風(fēng)險(xiǎn)最大的攻
擊目標(biāo)，為技術(shù)人員做后續(xù)的ScADA系統(tǒng)防護(hù)工作提供依據(jù)。
圖2一個(gè)攻擊樹實(shí)例
表2攻擊樹中各節(jié)點(diǎn)的含義
節(jié)點(diǎn)符號(hào)含義
攻擊scADA系統(tǒng)主站
對(duì)主站進(jìn)行物理攻擊
對(duì)主站進(jìn)行網(wǎng)絡(luò)攻擊
通過網(wǎng)絡(luò)接入攻擊主站
通過從站接入攻擊主站
物理接人從站
接入scADA系統(tǒng)的網(wǎng)絡(luò)鏈路
物理接入主站
獲取主站的管理員密碼
通過網(wǎng)絡(luò)破壞主站的操作系統(tǒng)
通過網(wǎng)絡(luò)破壞主站的人機(jī)接口應(yīng)用程序
直接控制從站使從站設(shè)備不能正常工作
控制從站對(duì)來自主站的請(qǐng)求進(jìn)行錯(cuò)誤的響應(yīng)
利用錯(cuò)誤響應(yīng)來破壞主站
網(wǎng)絡(luò)接人從站使從站設(shè)備不能正常工作
網(wǎng)絡(luò)接入從站對(duì)來自主站的請(qǐng)求進(jìn)行錯(cuò)誤的響應(yīng)
利用錯(cuò)誤響應(yīng)來破壞主站
G
m№附!坌舶H眩BⅨ巧髓町既磅Ⅲ
萬方數(shù)據(jù)
第10期黃慧萍，等：基于攻擊樹的工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估·3025·
應(yīng)用表1所示評(píng)分標(biāo)準(zhǔn)對(duì)該攻擊樹中各個(gè)葉子節(jié)點(diǎn)的屬
性值進(jìn)行打分，評(píng)分結(jié)果如表3所示。
表3各葉子節(jié)點(diǎn)的屬性得分
攻擊攻擊攻擊被攻擊攻擊攻擊被
攻擊譬妻簍曩寄磊茬攻擊譬囊簍鬟等琵瞿
得分得分等級(jí)得分得分得分等級(jí)得分
El 5 2 5 E6 2 3 3
E2 2 4 2 E7 2 4 2
E3 3 4 4 E8 3 2 5
E4 3 3 4 E9 3 3 4
E5 4 2 5 E10 3 5 2
然后將各值代人式(2)，得到各葉子節(jié)點(diǎn)攻擊事件的發(fā)生
概率，結(jié)果如表4所示。
表4葉子節(jié)點(diǎn)發(fā)生的概率
攻擊發(fā)生概率攻擊發(fā)生概率攻擊發(fā)生概率
El 0 35 E4 0．316 7 E7 O 375
E2 O．375 E5 O．365 E8 O．39
E3 O．275 E6 0 383 3 E9 0 316 7
E10 0 3
基于表3的數(shù)據(jù)，利用式(3)(4)對(duì)圖2所示的攻擊樹自
底向上分析計(jì)算得到根節(jié)點(diǎn)發(fā)生的概率值P。為0．316 7。
在確定攻擊目標(biāo)實(shí)現(xiàn)造成的經(jīng)濟(jì)損失L‰．之后，利用式
(1)即可計(jì)算得到攻擊樹根節(jié)點(diǎn)的量化風(fēng)險(xiǎn)值。
分析可知，要實(shí)現(xiàn)圖2所示攻擊樹的最終攻擊目標(biāo)，共有
五種不同的組合，即該攻擊樹有五組攻擊序列，如下所示：s1=
{E1，E2}；s2={E3}；s3={E4}；s4={E5，E6，E7}；s5={E8，
E9．E10}。
采用式(5)計(jì)算可得攻擊序列發(fā)生的概率如表5所示。
表5各攻擊序列發(fā)生的概率
攻擊發(fā)生概率攻擊發(fā)生概率
Sl O．13l 25 S4 O．052 5
S2 O．275 s5 0．037 1
S3 O．316 7
分析表5的結(jié)果可知，在本文列舉的這個(gè)攻擊樹實(shí)例中，
s3和S2是發(fā)生概率較大的兩個(gè)攻擊序列，對(duì)應(yīng)的攻擊事件是
E4、E3。也就是說，攻擊者極有可能通過網(wǎng)絡(luò)來破壞系統(tǒng)主站
的人機(jī)接口應(yīng)用程序和操作系統(tǒng)，從而達(dá)到危害ScADA系統(tǒng)
主站的目的。在制定保護(hù)措施時(shí)，應(yīng)該針對(duì)這些攻擊方式重點(diǎn)
采取防御措施。例如，安裝防火墻、入侵檢測(cè)系統(tǒng)、異常流量分
析工具，還可以提高scADA系統(tǒng)主、從站人機(jī)接口應(yīng)用程序自
身的安全性。
采用本文所述方法對(duì)該系統(tǒng)中的11棵攻擊樹進(jìn)行信息安
全風(fēng)險(xiǎn)評(píng)估之后，即可得到11項(xiàng)量化的風(fēng)險(xiǎn)值數(shù)據(jù)。風(fēng)險(xiǎn)值
越大，對(duì)系統(tǒng)的危害也就越大。據(jù)此可以判斷整個(gè)系統(tǒng)中危險(xiǎn)
程度較為嚴(yán)重的幾個(gè)攻擊目標(biāo)。針對(duì)它們所包含的攻擊事件
和發(fā)生概率最大的攻擊序列，有針對(duì)性地來部署防御措施，重
點(diǎn)加以保護(hù)，避免攻擊者實(shí)現(xiàn)攻擊目標(biāo)，對(duì)系統(tǒng)造成嚴(yán)重危害。
4結(jié)束語(yǔ)
工業(yè)控制系統(tǒng)的信息安全風(fēng)險(xiǎn)評(píng)估是保障系統(tǒng)安全的基
礎(chǔ)性工作。只有正確、全面地了解和理解系統(tǒng)的安全風(fēng)險(xiǎn)后，
才能決定如何處理安全風(fēng)險(xiǎn)，從而在系統(tǒng)的建設(shè)投資、信息安
全措施的選擇、信息安全保障體系的建設(shè)中作出合理的決策。
本文在簡(jiǎn)要分析當(dāng)今信息安全風(fēng)險(xiǎn)評(píng)估的主要技術(shù)基礎(chǔ)之上，
提出了一種基于攻擊樹的工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)量化評(píng)
估方法，并結(jié)合一個(gè)系統(tǒng)實(shí)例進(jìn)行了計(jì)算分析，說明了本方法
的合理性和可行性。使用該方法得到的結(jié)果能夠指導(dǎo)風(fēng)險(xiǎn)管
理者對(duì)系統(tǒng)的信息安全狀況進(jìn)行風(fēng)險(xiǎn)評(píng)估，同時(shí)幫助技術(shù)人員
分析出攻擊者最有可能采取的攻擊途徑，從而有針對(duì)性、有重
點(diǎn)地采取相應(yīng)的防御措施。
本文所采用的這種風(fēng)險(xiǎn)評(píng)估方法在量化葉子節(jié)點(diǎn)的指標(biāo)
時(shí)，不可避免地受主觀因素的干預(yù)，例如建立評(píng)分標(biāo)準(zhǔn)和賦予
葉子節(jié)點(diǎn)屬性得分值時(shí)，采取專家打分的方式。因此，下一步
工作的重點(diǎn)是研究如何減少主觀因素在工業(yè)控制系統(tǒng)信息安
全風(fēng)險(xiǎn)評(píng)估中的影響。例如，搜集葉子節(jié)點(diǎn)的攻擊事件發(fā)生概
率的影響因素的數(shù)據(jù)樣本，采用神經(jīng)網(wǎng)絡(luò)等技術(shù)手段來預(yù)測(cè)葉
子節(jié)點(diǎn)的發(fā)生概率，從而降低主觀因素對(duì)評(píng)估結(jié)果的影響。
參考文獻(xiàn)：
[1]王華忠．監(jiān)控與數(shù)據(jù)采集(scADA)系統(tǒng)及其應(yīng)用[M]．北京：電
子工業(yè)出版社，2010．
[2]彭杰，劉力．工業(yè)控制系統(tǒng)信息安全性分析[J]．自動(dòng)化儀表，
2012，33(12)：36·39．
[3]魏飲志．工業(yè)網(wǎng)絡(luò)控制系統(tǒng)的安全與管理[J]．測(cè)控技術(shù)，2013，
32(2)：87-92．
[4]熊琦，彭勇，戴忠華．工控系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估初探[J]．中國(guó)信
息安全，2012，27(3)：57—59．
[5]彭勇，江常青．謝豐．工業(yè)控制系統(tǒng)信息安全研究進(jìn)展[J]．清華大
學(xué)學(xué)報(bào)：自然科學(xué)版，2012，52(10)：1396．1408．
[6]朱信銘．信息安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)分析方法淺談[J]．信息安全與技
術(shù)，2010，28(8)：87—89．
[7]姜瑩瑩，曹謝東，白琳．基于層次分析法的scADA系統(tǒng)安全評(píng)價(jià)
[J]．物聯(lián)網(wǎng)技術(shù)，2013，32(12)：71．75．
[8] Bouchti A E，Haqiq A．Modeling cybe卜attack for SCADA systems
usi“g CoPNet approach[c]／／Proc of Intemational symposium on se—
cu—ty aIld Safety of Complex Systems．2012：125·133．
[9] schIleier B．Attack trees[J]．Dr．Dobb’s Joumal 0f Software
T∞Is，1999，24(12)：21—29．
[10】王華忠，顏秉勇，夏春明．基于攻擊樹模型的工業(yè)控制系統(tǒng)信息安
全分析[J]．化工自動(dòng)化與儀表．2012，40(2)：219．222．
111 J Ten Cw，“uC C，G0viⅡdarasuM．Vulnerabilitv哪essment of cvber_
security for scADAsystem using attack Lrees[c]／／Proc of IEEE con．
ference on Power En舀neering society Geneml Meeting．20ar7：l-8．
[12]Park G Y，I七e c K，choi J G，e￡Ⅱz．cyber security analysis by at．
tack trees for a reactor protection system[c]／／Proc of Korean Nucle—
ar Society(KNS)Fall Meeting．2008：268．279．
[13]ByTes E J，F(xiàn)r柚z M，MiⅡer D．The use 0f attack trees in舶sessing
vulIlerabilities in scADA syslems[c]／／PrDc of Intemational Infra—
smlcture SurviVabiljty Worksh叩．2008：76l-770．
[14]蔣健雷．某泵站放江scADA系統(tǒng)及其安全性研究[D]．上海：華
東理工大學(xué)，2011．
[15]NIsT sP800-82，Guide【0 indus岫al contml system(Ics)securitv
[s]． Gaithersbu唱：National Institute 0f standards and Technology
(NIST)．2011
[16]任丹丹，杜素果．一種基于攻擊樹的VANET位置隱私安全風(fēng)險(xiǎn)評(píng)
估的新方法[J]．計(jì)算機(jī)應(yīng)用研究，20ll，28(2)：728—732．

網(wǎng)友評(píng)論 more

機(jī)械安全論文最新內(nèi)容

03-05