基于IEC608705系列协议工控系统的网络数据异检测技术.docx

分类号密级UDC注1硕士专业学位论文基于IEC60870-5系列协议工控系统的网络数据异常检测技术（题名和副题名）（作者姓名）学位类别工程硕士专业名称控制工程研究方向网络信息安全论文提交时间2016年01月注1：注明《国际十进分类法UDC》的类号。摘要随着工业化和信息化的融合，工业控制系统的开放性与复杂性逐步增强，所面临的网络安全风险和入侵威胁不断加深。论文为提高工控系统对网络异常数据的检测能力，研究了基于IEC60870-5系列协议工控系统的网络数据异常检测技术，设计了IEC60870-5网络通信数据异常检测系统。论文所做的主要工作如下：（1）通过与传统信息系统作比较，分析工控系统的主要特点。结合实例阐述目前工控系统所受到的安全威胁，介绍当前国内外在工控系统网络安全领域的研究现状。研究工业控制系统中广泛应用的IEC60870-5-104协议和IEC60870-5-103协议，并分析两种协议的脆弱性。（2）根据IEC60870-5-104协议和IEC60870-5-103协议的脆弱性分析结论，设计两种异常数据检测方法，基于异常数据分类的异常检测方法和基于报文结构的异常检测方法。将常见的异常行为进行总结归纳，并设计相应的异常检测模型。（3）以异常检测模型为核心结合数据传输时包含的关键信息，建立一套异常检测规则，内容简洁且规则编写灵活。设计基于LAMP架构的网络通信数据异常检测系统，包括原始数据捕获模块、数据包解析模块、异常数据检测模块、数据库模块以及检测系统服务器端模块。（4）基于TcpReplay网络数据回放工具设计网络通信仿真软件，针对IEC60870-5-104协议和IEC60870-5-103协议中常见的异常行为，编写异常检测规则，设置数据包捕获模式。最后搭建仿真测试平台，利用网络通信仿真软件向异常检测系统所在的目的主机发送异常数据包，验证测试异常检测系统的有效性。论文最后对全文所做的工作进行总结，并对未来值得进一步研究的问题进行展望。关键词：工控网络安全、IEC60870-5系列协议、网络数据异常检测、异常数据分类、报文结构AbstractWith the integration of industrialization and informatization,the openness and complexity of industrial control system (ICS) gradually increased, deepening facing network security risks and threats of invasion. In order to improve the industrial control system on network anomaly data detection capability, the network data anomaly detection technology based on IEC60870-5 series protocol industrial control system is studied, IEC60870-5 network communication data anomaly detection system is designed. The main work of this paper is as follows.(1) Through comparison with the traditional information system, the main characteristics of the industrial control system are analyzed. This paper expounds the security threat of the current industrial control system, and the present research status at home and abroad is introduced. IEC60870-5-104 protocol and IEC60870-5-103 protocol in industrial control system are introduced, and the vulnerability of the two protocolsare analyzed.(2) Twoanomalydetection methods are designed according to IEC60870-5-103 protocol and IEC60870-5-104 protocol vulnerability analys