公开(公告)号：CN114785589B

公开(公告)日：2023-11-14

申请号：CN202210416199.0

申请日：2022-04-20

Applicant: 浙江大学

Inventor： 程鹏 ,  余华 ,  杨泽域 ,  陈积明

IPC: H04L9/40 ,  H04L67/12

Abstract: 本发明公开了一种基于控制不变量建模的入侵检测与定位方法及系统，本发明利用工业控制系统中数据采集与监视系统历史记录值，辨识工业控制系统中设定值变量、传感器值变量与控制命令值变量作为控制变量关系图节点，在此基础上对于节点间连接关系进行辨识，计算连接边权重，自动构建控制变量关系图。进一步地，将控制变量关系图拓扑及其连接边权重作为工业控制系统的控制不变量进行在线的入侵检测和攻击定位。本发明在针对目标工业控制系统的历史数据获取、控制不变量构建和在线入侵检测与定位等阶段都是非侵入式的，不影响工业控制系统正常平稳运行。

公开(公告)号：CN116975867A

公开(公告)日：2023-10-31

申请号：CN202311098027.4

申请日：2023-08-29

Applicant: 浙江大学

Inventor： 陈积明 ,  胡玉娇 ,  程鹏 ,  杨泽域 ,  余华

IPC: G06F21/56 ,  G06F18/25

Abstract: 本发明公开了一种基于代码数据融合的攻击检测与溯源方法及系统。本发明基于工业控制系统中的SCADA系统获取历史变量记录，通过定义系统状态、状态转移、以及状态转移周期，构建正常工况的工业控制系统有限状态机；通过校验实时变量记录与有限状态机，实时检测PLC异常状态。基于PLC指令表语言构建控制程序变量依赖路径；设计PLC程序变量的可疑攻击权重，并基于SCADA变量记录与PLC程序变量之间的映射关系，构建溯源路径。本发明在各个阶段都是非侵入式的；在数据采集及检测溯源时间满足工业控制系统的实时性要求，且相比于各类检测系统，能够与系统物理语义进行紧密结合，每个状态和转移都客观映射了系统的物理语义。

公开(公告)号：CN114785589A

公开(公告)日：2022-07-22

申请号：CN202210416199.0

申请日：2022-04-20

Applicant: 浙江大学

Inventor： 程鹏 ,  余华 ,  杨泽域 ,  陈积明

IPC: H04L9/40 ,  H04L67/12

Abstract: 本发明公开了一种基于控制不变量建模的入侵检测与定位方法及系统，本发明利用工业控制系统中数据采集与监视系统历史记录值，辨识工业控制系统中设定值变量、传感器值变量与控制命令值变量作为控制变量关系图节点，在此基础上对于节点间连接关系进行辨识，计算连接边权重，自动构建控制变量关系图。进一步地，将控制变量关系图拓扑及其连接边权重作为工业控制系统的控制不变量进行在线的入侵检测和攻击定位。本发明在针对目标工业控制系统的历史数据获取、控制不变量构建和在线入侵检测与定位等阶段都是非侵入式的，不影响工业控制系统正常平稳运行。

公开(公告)号：CN113194010A

公开(公告)日：2021-07-30

申请号：CN202110469305.7

申请日：2021-04-28

Applicant: 浙江大学 ,  北京天地和兴科技有限公司

Inventor： 汪慕峰 ,  车欣 ,  余华 ,  程鹏 ,  王文海 ,  杨小帅

IPC: H04L12/26 ,  H04L12/24 ,  H04L29/08 ,  G06F40/30 ,  G06F8/41

Abstract: 本发明公开了一种非公开工业通信协议的字段语义分析方法，包括对于非公开工业通信协议常见字段的语义分类，基于语义分类的各语义字段识别。对于报文固定字段、地址字段和序号字段进行网络流分析；对于工业通信协议的可执行程序进行污点分析；基于污点分析得到的日志文件，进行类型字段、长度字段、大小字段和校验字段的判定。本方法能够基于非公开工业通信协议的已知字段边界对各边界内字段语义进行自动识别，并且无需获取程序源代码，避免了传统人工分析的繁琐过程，提高了对于非公开工业通信协议的逆向效率。在具体应用方面，本方法有助于进一步构建工业控制系统的入侵检测系统，有助于工业控制系统的通信程序漏洞发现等功能实现。