《工业控制系统应用与安全防护技术（微课版）》-教案 曹鹏飞- 第5-7章 部件制造安全技术-态势感知与安全审计技术

教学内容（板书）教学步骤、方法及学生活动时间安排第5章部件制造安全技术5.1可信计算5.1.1可信计算概述可信计算是为了解决计算机和网络结构上的不安全，从根本上提高安全性的技术方法，可信计算是从逻辑正确验证、计算体系结构和计算模式等方面的技术创新，以解决逻辑缺陷不被攻击者所利用的问题，形成攻防矛盾的统一体，确保完成计算任务的逻辑组合不被篡改和破坏，实现正确计算。我国沈昌祥院士认为：可信计算系统是能够提供系统的可靠性、可用性、信息和行为安全性的计算机系统。系统的可靠性和安全性是现阶段可信计算最重要的两个属性。5.1.2可信计算平台可信计算平台通用架构可分为3个层次，包括基础硬件层、可信服务层和安全应用层。5.1.3可信平台模块TPMTPM是具有密钥存储、管理和签名认证的小型系统芯片，作为可信平台的核心部件，通过TPM芯片的可信度量机制实现从硬件到操作系统到应用的过渡，生成平台配置信息并保存到平台配置寄存器中，通过平台配置寄存器的扩展机制实现平台配置信息的动态存储，同时通过TPM对平台配置信息进行承诺计算以及签名，并提供密钥存储、可信报告和可信认证等诸多功能特性。5.1.4可信计算涉及的关键技术可信计算技术包括多个方面，其研究对象也覆盖了涉及计算机技术中的绝大多数领域。计算机软硬件、网络通信、虚拟网络中的用户行为等都在可信计算技术的研究层次中。其中涉及到的主要可信计算技术包括以下几个方面：（1）信任链传递。（2）可信BIOS。（3）可信安全芯片。（4）可信计算软件栈。（5）可信网络连接。5.2加解密技术密码技术是网络信息保密与安全的核心和关键。它提供了许多有效的核心技术来确保信息的安全问题，在保证信息的机密性、认证性方面发挥着重要的作用。加解密技术的主要任务是解决信息的保密性和可认证性问题，也就是保证在生成、传递、处理、保存信息的过程中不被非法授权者更改或者伪造等。5.2.1数据加解密算法概述5.2.2数据加解密技术的常用术语数据加密技术是当今信息安全的主流技术同时也是信息安全的核心技术。它主要用来保护关键信息的安全传输与存储。信息发送者将关键数据使用加密密钥进行加密，将所得到的密文传送给接收方，信息接收者则使用解密密钥将传输的密文数据解密后恢复出数据原文。5.2.3对称与非对称加密算法的区别不论是在日常生活、金融活动、军事应用或者工业控制系统应用当中，针对加解密技术的算法分为两个大类，分别是对称密码算法和非对称密码算法，非对称密码很多时候也叫做公开密钥算法。5.2.4加解密算法在工业控制系统中的应用对于工业控制系统，可以从技术层面构建工控领域行业密码保障体系，实现工控行业信息系统的安全防护，综合保障工控行业业务应用的安全。大力发展密码基础设备支撑，其中包括服务器密码机、PLC密码模块、工业主机密码卡、安全网关，对工控行业密码应用提供基础的设备支撑环境。引言多媒体演示讲授法PPT演示讲授法PPT演示讲授法PPT演示讲授法PPT演示讲授法多媒体演示讲授法PPT演示讲授法多媒体演示讲授法多媒体演示讲授法第次课程教学方案备课时间备课教师教学时间教学地点周次课时数教学内容（章、节）模块/单元第5章5.3芯片与硬件安全5.4安全数据库技术教学目标和要求1.了解芯片安全问题的产生；2.掌握硬件木马基本原理；3掌握硬件木马检测技术；4.掌握数据库安全管理技术。教学重点1.硬件木马基本原理分析。教学难点硬件木马检测技术的使用。教学方法讲授法，演示法，小组讨论法使用媒体资源□纸质材料多媒体课件网络资源□其他资源：使用教具、设备、设施等多媒体教室作业练习课后作业课后记教学内容（板书）教学步骤、方法及学生活动时间安排第5章部件制造安全技术5.3芯片与硬件安全作为现代信息系统硬件设备的“灵魂”部件，芯片在从个人PC到大型智能工业控制系统设备的运转过程中，发挥了关键性的作用。芯片安全是网络安全产业链上极为重要的一环，芯片技术的自主可控，成为整个硬件自主可控的关键所在。5.3.1芯片安全问题的产生随着集成电路的发展，集成电路的规模已经步入超大规模，工艺尺寸也越来越低，设计与制造分工越来越细化，并且IC的制造成本也越来越高。在高利润的诱惑下，越来越多第三方厂商也参与到IC的设计与制造中，因此导致了芯片在最终制作完成前的每个阶段都面临着风险。5.3.2硬件木马基本原理1.硬件木马特征硬件木马是指攻击者通过一定手段在原始电路中植入的特殊功能模块。由于大多数硬件木马模块占有较小的集成电路的面积且需要在特定的情形下才会触发，其余时间不会对电路的功能造成任何的影响，所以硬件木马能够在电路中隐藏而不被发现。随着半导体工艺精细化程度的提高，电路的集成度也随之变高了，硬件木马的侦测也变得更为困难。2.硬件木马结构硬件木马电路一般是由触发电路以及有效载荷电路组成，图5-8是硬件木马电路的基本结构。攻击者一般通过监听输入、监测原始电路状态来实现其需要的功能。触发逻辑一般是通过外部输入的结合或是芯片内部逻辑的产生来实现，并且用于控制有效载荷是否开启。3.硬件木马分类考虑到硬件木马对电路结构以及功能造成的多种影响，如图5-9所示为硬件木马基本分类。尽管单个木马电路可能包含多种分类特征，但该分类方法依旧可以体现出木马的基本特性。5.3.3硬件木马检测技术按照硬件木马检测方法占比大小排序，可用于硬件木马检测的方法包括侧信道分析法、网表级硬件木马检测方法、逆向工程分析法等。在大数据广泛应用的时代下，对基于机器学习的硬件木马检测技术的研究也成为热点之一。1.基于侧信道的硬件木马检测方法侧信道信息又被称之为旁路信号，是由于电路运转而出现的外部物理特性。常见的旁路信号有电磁信息、功耗信息以及耗时信息等。在同一实验环境下，原始电路在运行时会生成一组固有的物理特征信息。同样，硬件木马在电路中的运转时也会产生相应的物理信息。由硬件木马模块所产生的额外的物理信息，会造成植入硬件木马的电路与原始电路的侧信道信息的不同。通过这种差异比较，就可以区分出电路中是否含有硬件木马。此种硬件木马检测方式一般都是应用在前端设计完成之后，最基本的侧信道信息检测技术流程如图5-10所示。该检测方法主要是对原始电路在同一实验环境下输入相同激励，并选择合适的侧信道信息进行分析。根据硬件木马反映出的侧信道信息设置正确的判决阈值，最终判断出待测电路中是否含有硬件木马。2.基于网表的硬件木马检测技术在集成电路的整个设计过程中，主要由逻辑设计阶段以及后端布局设计阶段组成，而逻辑设计阶段包括规格制定、RTL设计、RTL仿真、综合、静态分析以及形式验证。综合过程即实现RTL设计与门级网表之间的转换。网表文件中共包含8个设计对象，分别是元件库、设计、单元、例化、端口、引脚、节点和时钟。攻击方通过插入冗余电路来实现硬件木马的相应功能。当门级网表被植入硬件木马，门级网表的内部结构与单元会发生改变。具体表现为硬件木马通过节点信号连接到原始电路，通过节点将木马电路实现的恶意信息传递到原始电路中。此硬件木马的相关节点具有隐蔽性高且检测困难的特点，只要硬件木马电路未被激活，其可测试性极低。3.逆向工程检测法逆向工程法是指采取现有的集成电路逆向工程技术来检测硬件木马的存在，又被称作基于失效性分析硬件木马检测方法。此方法属于暴力不可逆的物理检测方法。通过抽样检测同一批次的部分芯片产品，自底向上对抽样出的产品进行分层解剖。解剖的目的是为了获得具体的版图信息，从而分析出电路的逻辑结构。将样本解剖后得到的电路设计结构与原始设计文件进行对比，并且判断两者存在的差异。4.基于机器学习的硬件木马检测技术硬件木马的检测与识别，不仅需要考虑到检测结果的正确率，还要综合考虑检测时检测电路所需的占用面积、测试时间以及检测所花费用的总和。寻找一个合适的满足以上条件的检测方案，是检测技术研究上的一个重大的挑战。机器学习算法在一定程度上提供了新的思路，它的出现大大提升了硬件木马检测的准确度和效率。机器学习的概念就是通过使用计算机算法以及数学，让计算机从过去的经验和数据中学习。只需要收集相关内容的数据，利用计算机编程就可以让其进行自学。机器学习的目标是从数据中发现出平时观察不到的规律信息。5.4安全数据库技术5.4.1数据库安全的定义数据库安全可以分为数据库运行的系统安全与数据库内的信息安全两种。数据库的系统安全主要指攻击者对数据库运行的系统环境进行攻击，使系统无法正常运行，从而导致数据库无法运行。数据库的信息安全主要指数据被破坏和泄露的威胁，例如攻击者侵入数据库获取数据，或者由于内部人员可以直接接触敏感数据导致的数据泄露问题，后者逐渐成为了数据泄露的主要原因之一。5.4.2数据库系统面临的安全威胁随着攻击者的技术水平不断提升，数据泄露事件频繁发生，给数据库带来了越来越多的安全问题，数据库面临的威胁主要包括以下几种：１）外部攻击２）权限滥用３）内部人员窃取数据5.4.3数据库安全管理技术用户通常通过Web应用来对数据库进行访问，在访问过程中，需要经过防火墙，通过身份认证技术、权限管理技术与数据管理技术共同保护数据库中数据的安全性。数据库安全管理如图5-13所示，主要包括身份认证、权限管理和数据管理。1.身份认证2.权限管理3.数据管理多媒体演示讲授法多媒体演示讲授法多媒体演示讲授法多媒体演示讲授法多媒体演示讲授法多媒体演示讲授法多媒体演示讲授法第次课程教学方案备课时间备课教师教学时间教学地点周次课时数教学内容（章、节）模块/单元第7章 态势感知与安全审计技术7.1态势感知概述7.2态势感知相关技术7.3安全审计概述教学目标和要求1.了解网络安全态势感知的作用；2.掌握态势感知相关技术；3.掌握安全审计系统模型的工作原理。教学重点1.态势感知相关技术的应用。教学难点安全审计系统组成与设计。教学方法讲授法，演示法，小组讨论法使用媒体资源□纸质材料多媒体课件网络资源□其他资源：使用教具、设备、设施等多媒体教室作业练习课后作业课后记教学内容（板书）教学步骤、方法及学生活动时间安排第7章态势感知与安全审计技术7.1态势感知概述随着计算机和网络技术的不断发展，为了满足新的需求需要对网络安全的防御提出更高的要求，必须借助更加先进的技术才能够抵御技术水平越来越高、攻击形式越来越多样的黑客攻击。传统的网络安全防护产品只能防御某一个方面的入侵，如果想对网络系统进行全方面的防护，就需要购买各种各样的安全产品，这样虽然也可以起到防御作用，但这些产品之间缺乏联动，只能反映出网络中部分层面或区域的安全状况，不能体现网络整体的安全性，而且在技术方面也有一定的局限性。7.1.1网络安全态势感知的定义态势感知是指在一定的时空条件下，对环境的获取、理解和对未来的预测。上世纪90年代以来，各个领域都逐渐引入态势感知的概念，其中网络安全领域出现了“网络态势感知（CSA）”这个概念，它是指在大规模网络环境中对能够引起网络态势发生变化的安全要素进行获取、理解、显示以及对最近发展趋势的预测，其中对环境要素的预测包括依据感知和理解获得的知识进行预测的能力，从而为安全管理员的决策提供可靠的支持。7.1.2网络安全态势感知模型根据网络安全态势感知技术的主要相关内容以及网络的实际运行状况，选择合适的态势感知模型，对于网络安全管理、资源分配以及网络防御至关重要。目前在此领域构建出的模型种类繁多，其中使用最广泛的包括Endsely模型、JDL模型、TimBass模型。1.Endsely模型Endsley提出的态势感知模型主要是由环境或系统状态部分和影响态势感知的其他要素所组成的。2.JDL模型态势感知与数据融合的研究有很多相似点，数据融合是将多个来自不同信息源的数据进行收集，并对它们进行关联和整合，从而达到提升数据准确度和有效性的效果。其中JDL（JointDirectorsofLaboratories）态势感知模型就是根据数据融合模型衍生而来的。3.TimBass模型TimBass等人参考了JDL数据融合模型，提出了一种多传感器数据融合的态势感知模型，主要包括数据提取、攻击对象识别、态势提取、威胁评估以及资源管理五部分，如图7-3所示。7.1.3工业控制系统态势感知模型空间分布式的工业控制系统模型，其中，被控过程的运行由控制器进行控制，控制器能够接收分布在不同地域的传感器测量值，并利用通信网络将控制信号传输至空间分布的执行器中，但系统在网络通信过程中可能会遭受到攻击。7.2态势感知相关技术7.2.1数据采集技术数据采集是指从传感器或其它数据采集装置收集所需数据信息的过程。对于态势感知来说，数据采集为态势感知提供数据来源，是整个流程需要完成的第一步。工业控制系统中，需要采集的数据一般包括系统网络拓扑结构、主机运行状态信息、网络通信协议特征、通信流量信息以及网络资源配置等。目前较为常用的数据采集方式包括两种，分别是Syslog采集方式和Snmp采集方式，其中Snmp方式是最常用的系统拓扑信息和主机状态信息采集方式，大部分主机和工业网关之中都内置了此项功能。1.Syslog采集技术 Syslog数据采集主要有三种方式，设备—接收服务器模式、设备—中继器—接收服务器模式、设备—接收服务器—中继器—接收服务器模式，其中设备—中继器—接收服务器模式是通过中继器代理完成数据采集工作，服务器只需要进行数据的整理，能够有效减轻系统服务器压力。2.Snmp采集技术 Snmp是一种位于应用层的简单网络管理协议，主要用于网络设备的管理，也可用于下层数据的收集。该协议简单可靠、应用方便，是目前使用最为广泛的网络管理协议。Snmp协议主要由Snmp管理站和Snmp代理两部分组成。Snmp管理站处于中心位置，负责接收各个Snmp代理所上传的数据信息，并对数据进行分析与处理。Snmp代理分布在下层节点处，负责收集节点处的各类状态信息，如网络拓扑信息、设备运行参数、系统日志信息等，并将这些数据发送给Snmp管理站。7.2.2态势评估技术态势评估指对提取的态势要素进行处理和分析后，对网络的整体运行状况进行评估的过程，主要分为数据融合和态势值计算两个阶段。由于态势要素是从多源异构的分布式传感器收集到的数据，会存在噪声和冗余性，因此需要利用数据融合的方法对数据进行处理，以得到更加准确