(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111528640.6 (22)申请日 2021.12.15 (71)申请人 国网江西省电力有限公司电力科 学 研究院 地址 330096 江西省南昌市青山湖区民营 科技园内民强路8 8号 申请人 国家电网有限公司 (72)发明人 杨浩　肖勇才　 (74)专利代理 机构 南昌市平凡知识产权代理事 务所 36122 代理人 姚伯川 (51)Int.Cl. H04L 9/40(2022.01) H04L 41/14(2022.01) (54)发明名称 一种工控系统面向设备的攻击建模方法 (57)摘要 一种工控系统面向设备的攻击 建模方法， 该 方法针对工控系统典型场景中各类通信物理设 备， 按功能相似性、 软件相似性对设备进行分类； 对每类设备构建软件结构树， 将 工控系统中的数 据流分为数值数据流和指令数据流； 从数据产 生、 流入、 流经、 流出分析数据的流转过程； 针对 数据的敏感性分析各叶子结点和根结点面临的 威胁以及可能面临的攻击。 本发 明利于分析设备 上软件和文件的敏感性， 提高指令数据流的保护 性； 特定工控系统场景下， 面向设备的攻击分析， 为设备的安全加固提供了依据。 权利要求书2页 说明书4页 附图2页 CN 114338101 A 2022.04.12 CN 114338101 A 1.一种工控系统面向设备的攻击建模方法， 其特征在于， 所述方法针对工控系统典型 场景中各类通信物理设备， 按功能相似性、 软件相似性对设备进 行分类； 对每类设备构建软 件结构树， 将工控系统中的数据流分为数值数据流和指 令数据流； 从数据产生、 流入、 流经、 流出分析数据的流转过程； 针对数据的敏感性分析各叶子结点和根结点面临的威胁以及可 能面临的攻击； 所述方法步骤如下： （1） 系统通信物 理设备分析与分类， 根据工控系统的网络拓扑结构及网络设备， 分析所 有的通信物理设备， 包括各类终端设备、 网络设备， 将功能相同或相似的设备归为 一类； （2） 构建 设备软件结构树 分析每类设备上运行的软件， 为每类设备构建一个软件结构树； 其中根结点为该类设 备名称， 软件结构树的一级子结点为功 能相对独立的运行在根结点上软件； 针对一级结点 上的软件功能模块进 行细分， 形成软件 结构树的二级子结点； 针对二级 结点上的功能模块， 进一步进 行功能子模块的细化， 形成软件结构树的三级子结点； 依此类推， 由设备上软件的 数量和复杂度决定了软件结构树的宽度和深度； 在功能模块细化过程中， 其中一级结点及 以后的各级结点细化的依据是其子结点是潜在的受攻击的子模块； 采用方框嵌套体的方式表达设备软件结构树； 最外层的方框表示设备名称， 对应着软 件结构树的根结点； 第一内层方框为设备上运行的软件， 对应着软件 结构树的一级子结点； 第二内层方框、 第三内层方框依此类推对应着软件 结构树的二级子结点、 三级子结点； 在软 件功能模块旁 标注所操作的存 储在设备 上的文件； （3） 应用软件与端口的关系分析， 分析通信物 理设备上开放的端口， 分析端口对应的应 用软件或软件 模块， 并在软件结构树上 标注； （4） 设备上数值数据流与指令数据流分析， 将数据分为指令数据和数值数据， 分析设备 上数值数据流与指 令数据流， 并在设备软件结构树的根结点或一级结点之 间分析数值数据 流和指令数据流的流 转过程； （5） 结点 威胁分析及漏洞和攻击手段分析 针对设备软件结构树， 分析叶子结点的敏感性， 即分析叶子结点对攻击者而言是否存 在攻击价值； 进而分析叶子结点面临的威胁， 其中威胁 分为： 信息泄露、 权限获取与提升、 篡 改、 拒绝服务、 软件模块伪造； 分析软件结构树上根结点的敏感性， 分析根结点面临的设备 伪造威胁； 将威胁分析结果列在软件结构树的旁边， 并针对叶子结点和 根结点的面临的威 胁， 分析可利用的漏洞和攻击手段。 2.根据权利要求1所述的一种工控系统面向设备的攻击建模方法， 其特征在于， 所述数 值数据流的流 转过程分析为： （1） 数据 产生： 该设备的某个软件是 数据的源头； （2） 数据输入： 该设备的某个软件负责接收数据， 需分析数据输入的上一个设备和数据 源头； （3） 数据流经： 该设备 上某个软件负责接收并转发数据； （4） 数据输出： 该设备的某个软件会将设备上产生或存储的数据发送给另一设备， 需分 析数据输出的下一个设备。 3.根据权利要求1所述的一种工控系统面向设备的攻击建模方法， 其特征在于， 所述指 令数据流的流转过程采用所述数值数据流的流转过程同样方式进 行分析； 使用黑色普通带权　利　要　求　书 1/2 页 2 CN 114338101 A 2方向的线 条表示数值数据流的流转， 使用黑色加粗带方向的线条表示含有指令数据流的流 转。 4.根据权利要求1所述的一种工控系统面向设备的攻击建模方法， 其特征在于， 所述信 息泄露包括数值泄 露和指令泄 露。 5.根据权利要求1所述的一种工控系统面向设备的攻击建模方法， 其特征在于， 所述篡 改包括数值 拦截与篡改、 指令拦截与篡改。权　利　要　求　书 2/2 页 3 CN 114338101 A 3