[发明专利]一种适用于工业控制系统的风险评估方法

权利要求书

1.一种适用于工业控制系统的风险评估方法，其特征在于，包括如下步骤：

1)采用基于安全属性的层次化建模方法对目标网络进行建模；

2)采用攻击模式知识库对攻击者攻击过程中的能力进行建模，该攻击模式知识库中的攻击模板以各个脆弱点被利用的前提和产生的后果来描述；

3)根据步骤1)和步骤2)的建模结果构建层次化的攻击图；

4)将攻击图转化为攻击树，在转化过程中消除攻击图中的环路和多入度结点，并去除攻击图分解得到的攻击树中无解的结点；

5)采用分层指标分析法构建递阶层次化风险评价指标体系，然后用逐层加权法进行综合评判，得到工业控制系统的风险评估结果。

2.如权利要求1所述的方法，其特征在于，步骤1)采用四层的目标网络模型，包括：AI，表示工控系统级的属性描述集合，包括目标网络内业务子域之间逻辑连接关系，以及子域之间信任关系；Ad，是对工控业务子域的属性描述集合，包括目标网络内主机之间逻辑连接关系，以及主机之间信任关；Ah，是主机级的属性描述集合，其中属性集合Ahi描述攻击者在主机hi上拥有哪些权限，能否运行任意程序，以及能否窃取数据以及篡数据；As，是服务级的属性描述集合，其中属性集合Asi描述服务si在哪些主机上运行，是否会被拒绝服务攻击，以及是否存在脆弱点。

3.如权利要求1所述的方法，其特征在于：步骤2)所述攻击模式知识库的构建方法是，首先从网络攻击成功的因果条件的角度，抽象攻击者的攻击模式，然后通过分析开放脆弱点数据库中各个脆弱点的描述规范将该脆弱点映射至可被其利用的攻击模式。

4.如权利要求1所述的方法，其特征在于：步骤3)构建攻击图时，采用属性压缩技术，利用IP地址的CIDR法，将目标网络内主机间相互关系压缩成虚拟子网间相互关系。

5.如权利要求1所述的方法，其特征在于：步骤4)所述将攻击图转化为攻击树的方法包括：

a)采用基于深度彻底搜索的攻击树生成算法，不考虑攻击图的与或逻辑，将攻击图进行分解，直到分解到攻击图的叶子结点或一个分支中出现重复结点；

b)采用基于逻辑分析的无解结点标记算法，遍历新生成的树，对所有无解结点进行标记：对于树中叶子结点，如果来自攻击图中的与/或结点，那么它是无解的结点；对于树中非叶子结点，如果来自图中的与结点，当子结点存在无解结点时，它就是无解结点；如果来自图中的或结点，那么当结点的所有子结点都是无效结点时，它才是无解结点；树中非叶子结点如果无解，那么它的所有后继都无解；

c)将未标记的结点予以保留，得到了结点全部有解的与或攻击树。

6.如权利要求1所述的方法，其特征在于：步骤4)在需要针对特定的一个或若干关键目标开展安全风险评估时，采用逆向推理的攻击树直接生成算法，其步骤包括：

a)确定要分析的攻击目标，生成攻击目标集合，并获得网络路由集合和脆弱点关系图；

b)搜索脆弱点关系图，查找可一步达攻击目标的攻击节点，插入攻击节点集合；根据生成的攻击节点集合，采用递归的方法对脆弱点关系图进行遍历，每步搜索出的可达攻击节点都插入攻击节点集合；遍历完成后即获得相应的攻击路径信息，从而直接生成攻击树。

7.如权利要求1所述的方法，其特征在于：步骤5)所述递阶层次化风险评价指标体系包括：目标层，定义隐患评测的最终目的；准则层，是达到最终目的所需的综合指标，包括发生概率、影响程度及不可控性；指标层，是与准则层相关的底层指标，涉及各种具体的评价指标，包括威胁动机、攻击能力；步骤5)采用逐层加权法进行综合评判时，从指标层的底层指标开始，依据先验知识和专家函数，为各指标赋上权重值和风险值，相关指标风险值的加权和即为准则层各指标的风险值；然后依据先验知识给各个准则层的指标赋予权重值，所有准则层指标的风险值的加权和即为工控系统风险的最终评价值。