基于软件定义网络的工业控制系统信息安全防护设计及实现

发布时间：2021-01-14 00:36

　　随着两化融合的不断深入,信息技术全面升级我国工业控制系统的同时,也引入了安全问题。与IT系统不同,针对工业控制系统的攻击往往会造成更加严重的后果。然而,现有的安全防护技术在工业控制系统中存在着数据难获取、防护加固难执行等问题。软件定义网络技术实现了转发和控制的分离,并支持通过编程的方式对网络进行控制,为解决工业控制系统信息安全问题提供了新的思路。本文针对工业控制系统信息安全需求,从静态评估加固和动态安全防护两个角度出发,基于软件定义网络设计工业控制信息安全防护系统。针对工业控制系统的静态评估加固,通过设备发现、漏洞扫描、隐患分析和加固策略,从整个系统的角度评估系统存在问题并生成最优加固策略,在此基础上,利用软件定义网络实现虚拟补丁和安全区域划分对工业控制系统进行安全加固;针对工业控制系统的动态安全防护,利用软件定义网络镜像获取工业控制系统现场数据,基于LSTM和Snort对工业控制系统进行实时入侵检测,发现异常后通过软件定义网络实现隔离、重定向等安全响应手段,形成检测响应的安全闭环,阻止攻击对系统造成破坏。与此同时,将移动防御技术引入工业控制系统,基于软件定义网络实现工业控制系统的拓扑... 

【文章来源】：华中科技大学湖北省 211工程院校 985工程院校 教育部直属院校

【文章页数】：78 页

【学位级别】：硕士

【部分图文】：

无损漏洞扫描原理示意图

在多条冗余路径中进行选择和切换，使网络结构呈现随机的变化成、方案选取、路径切换三个步骤，如图 4-12 所示。路径生成。由于 SDN 的全局视角，可以获取整个网络的拓扑结构的深度优先算法计算所有路径两个之间的所有路径。方案选取。从生成的路径中，从转发跳数和路径的差异程度两个跳变的状态。如图 4-12 中的路径 1，路径 2，路径 3，并生成对路径切换。跳变的执行一方面可以通过应用层对流表进行修改实可以将在生成流表的时候，对不同路径所对应的流表项设置不同项过期后，下一个流表项发挥作用，从而实现路径的跳变。验证系统在拓扑变换以及对工业控制系统通信的影响，在 Minin13 所示的网络结构，实现主机1h 和2h 通信链路的切换，验证拓扑变

$ curl -X POST -d '{"dpid": 1,"table_id": 0,"priority": 1,"match":{"dl_dst": "00:00:00:00:00:02",},"actions":[{"type":"OUTPUT","port": 3}]}' http://localhost:8080/stats/flowentry/modify通过抓包验证了变换的有效性，1h 和2h 在变换的时候能够正常通信，并对变换过程中的通信的时延进行了统计，如图 4-14 所示。经过实验发现拓扑变换过程中对于通信系统的时效性影响较小，没有发生丢包现象。系统延时由 0.04ms 变为0.131ms 后，又变回 0.04ms。能够满足工业控制系统通信时效性的要求。


本文编号：2975850