关键词:
工控协议安全
协议逆向
数据处理
格式推断
随机采样
数据挖掘
摘要:
随着5G的发展,物联网智能设备、工控设施已经广泛应用在各个重要领域。然而,近年来工控基础设施安全事件频发,作为基础设施的工控设备成为了攻击者的主要目标,工控安全在国家层面具有极高的战略意义。网络通信协议作为工业控制环境下设备间通信必不可少的要素之一,更是成为了攻击者展开攻击手段的主要对象,工控协议安全逐渐成为了工控和学术界的关注点。协议逆向分析技术是当前协议安全的主要分析手段之一,其通过对目标流量报文进行解析来还原目标协议的设计规范及详细信息,进一步的能够为工控设备提供安全保护。然而,由于工控协议表现出的独特特征,目前的协议逆向分析方案仍然面临着一些问题,如对工控协议的不适用性和效率低下等,使得其未能完全应用于工控场景。因此,如何在不降低逆向解析结果准确性的同时,实现低开销且能适用于工控未知协议的协议逆向方案仍然是当前协议逆向领域广泛研究的热点。本文在对现阶段未知工控协议逆向分析方案现状调研分析的基础上,针对性地做出了以下研究:
(1)针对当前逆向分析机制对大容量报文样本存在分析效率低甚至于无法应对的问题,提出一种基于交互式随机采样策略的报文预处理方法HMCRS。该方法首次将随机采样策略运用于协议逆向过程的报文处理阶段,将一次大量的分析过程转变为增量式的多次迭代过程,并在报文采样过程中引入了人工的专家知识经验,很好的结合了专家知识与自动化工具的优势。理论分析与实验结果表明,提出的协议逆向分析方法能够有效提升分析效率,且具有较好的通用适配性。
(2)针对当前基于序列比对方法中存在的巨大时间开销问题,提出一种基于数据挖掘算法的序列比对优化方案IMCSA。该方案通过对数据挖掘算法Apriori的改进提升,实现对流量报文关键词的精确搜索;在此基础上,通过谱聚类算法,实现了对报文序列的精准聚类,为序列比对算法提供了良好的序列比对空间,降低了因无效比对而产生的不必要时间开销。理论分析和实验结果表明,该方案能够有效地提升基于序列比对方法的效率,降低时间开销。
(3)依托随机采样方法、数据挖掘算法、序列比对方法等关键技术,设计并实现了一个未知工控协议逆向分析系统。通过对多种工控物联网协议进行实验分析,表明系统可以有效解析多种未知工控协议。同时通过对比实验,表明了我们的系统具有较低的运行开销,特别适用于工控未知协议的逆向解析。