面向工业控制系统的入侵检测技术综述*

刘 睿 ，洪 晟 ，李 伟 ，王 欣

(1.北京京航计算通讯研究所，北京100073；2.北京市涉密信息载体安全管理工程技术研究中心，北京100073；3.北京航天航空大学 网络空间安全学院，北京100083)

0 引言

5G 网络和工业互联网的发展，促进工业向智能化转变，即工业控制系统(Industrial Control System，ICS)正朝着复杂、精密、智能和自动化的方向进步。设备功能、规模以及网络环境的改变，致使ICS 固有的安全漏洞不断被利用，安全威胁显著增加[1]。若不能及时检测并发现安全隐患，潜在入侵可能会造成系统停止工作、数据泄露等，轻则影响ICS 稳定运行，重则对国家利益、公共安全造成严重破坏。2020 年新冠肺炎疫情突然爆发，企业数字化转型更为迫切， 导致网络安全攻击事件频发， 如2020 年以色列供水部门设备遭黑客攻击事件、巴西电力公司受Sodinokibi 勒索软件攻击事件、印度新冠疫苗制造厂受黑客攻击致使数据泄露[2]。 同年，我国的工控漏洞也持有上升趋势。 ICS 网络安全风险分外部非法目的攻击和 ICS 正常运转威胁[3]，有意无意地对系统造成影响；同时，由于ICS 自身存在历时性的先天脆弱性[4]，通信、终端、设备均易受到入侵。因此，如何更有效地监控和维护ICS 信息安全在工业信息化转型中成为重大课题。

对 ICS 的安全防护技术研究表明，ICS 的安全防护机制有三种，即防火墙、入侵检测技术和加密技术[5]。 随着 ICS 环境复杂度增加，绕过防火墙攻击、系统内部攻击和密码爆破攻击技术也迅速发展，基本的防火墙和加密技术无法满足当前ICS 的安防需求。 与其他安全防护机制不同的是，入侵检测技术是对系统的流量、协议、主机采取的主动防御技术[6]，实时监控系统工作并感知系统的异常行为，具有数据分析和告警的功能。……