11、工业控制系统入侵检测的创新方法

工业控制系统入侵检测的创新方法

在工业控制系统中，安全问题至关重要。传统的入侵检测系统（IDS）在面对复杂的工业攻击时往往表现不佳，因此需要一种新的方法来检测和防范这些攻击。

1. 背景知识

入侵检测是一个成熟的研究领域，其基本思想是在特定时间段内寻找恶意攻击正在进行的证据。IDS可以根据两个方面进行分类：
- 信息来源 ：
- 网络型IDS（NIDS） ：分析网络流量以查找恶意数据包。
- 主机型IDS ：分析主机行为以查找可疑活动。
- 辨别技术 ：
- 基于特征的IDS ：根据已知的攻击模式检测攻击。
- 基于异常的IDS ：根据系统正常行为的偏差检测攻击。

对于SCADA系统，NIDS必须能够理解和分析工业通信协议，如Modbus、DNP3或Profibus。然而，传统的NIDS无法理解这些“应用层”协议。此外，SCADA攻击通常非常复杂，很少涉及单一步骤，因此需要基于对不同低风险原子操作的分析来识别复杂和危险的攻击。

2. 事件关联与异常检测

传统的IDS在检测过程控制网络的复杂攻击时经常失败，大多数IDS无法分析SCADA通信协议并检测利用协议漏洞的攻击。经典的异常检测技术在工业控制环境中的有效性也有限。因此，需要为工业控制系统设计一种不同的入侵检测方法。

新方法的核心思想是监测SCADA系统的活动。具体步骤如下：