CN119449475A 基于框架的工控入侵检测方法及系统 （中能电力科技开发有限公司）

基于ATT&CK框架的工控入侵检测方法及系统本发明实施例提供一种基于ATT&CK框架的2基于ATT&CK框架选取攻击技术，收集并标准化所需的相关数据实时收集攻击事件信息，并将所述攻击事件信息与初始攻击检基于优化攻击行为集和对应的攻击事件信息构建知识图谱，并基于决定的数据组件的数据源，执行对应的数据组件和数据源提基于预确定的数据格式进行数据组件集和数据源集标准化处理基于标准格式下的数据组件集和数据源集进行相关的数据采集，遍历所有选取的攻击技术，基于预构建的脚本或攻击工具进行各攻击技术复基于所述过程数据和对应的复现结果信息，构建对应攻击技术的进行标准化的攻击事件信息和初始攻击检测规则之间的对比，判断是3S1)对于各优化攻击行为目标，基于统计和/或机基于优化攻击行为集中各攻击行为的攻击事件信息和初始攻击检测规则构建攻击行8.根据权利要求1所述的方法，其特征在于，所述基于所述知识图谱执行入侵实时监识别单元，用于实时收集攻击事件信息，并将所述攻击事件信息与初始监测单元，用于基于优化攻击行为集和对应的攻击事件信息构建知在计算机上运行时使得计算机执行权利要求1_8中任一项权利要求所述的基于ATT&CK框架4[0004]2)ATT&CK框架中采用的中抽象层次模型虽然能够有效联[0007]本发明实施方式的目的是提供一种基于ATT&CK框架的工以至少解决目前缺乏的更为全面的攻击行为知识库导致的工控入侵检测精准性和全面性5技术的初始攻击检测规则。更新，并基于更新的检测规则重新建信对应优化攻击行为目标检测；重复步骤S1)一步骤于优化攻击行为集中各攻击行为的攻击事件信息和初始攻击检测规则构建攻击行为攻击[0016]本发明第二方面提供一种基于ATT&CK框架的工控入6有指令，其在计算机上运行时使得计算机执行上述的基于ATT&CK框架的工控入侵检测方案实现了自动化的攻击行为检测与优化，大大提升了对工业控制系统入侵攻击的防御能下面的具体实施方式一起用于解释本发明实施方式，但并不构成对本发明实施方式的限[0021]图1是本发明一种实施方式提供的基于ATT&CK框架的工控入侵检测方法的步骤流[0024]图4是本发明一种实施方式提供的基于ATT&CK框架的工控入侵检测系统的系统结[0026]图1是本发明一种实施方式提供的基于ATT&CK框架的工控入侵检测方法的方法流7操作环境下都能够获取到全面的支持数据，为后续的攻击行为检测提供了坚实的数据基技术的初始攻击检测规则。8[0039]进一步的，将标准化后的攻击事件信息与预先设定的初始攻击检测规则进行对9更新，并基于更新的检测规则重新建信对应优化攻击行为目标检测；重复步骤S1)一步骤于优化攻击行为集中各攻击行为的攻击事件信息和初始攻击检测规则构建攻击行为攻击[0051]进一步的，基于优化后的攻击行为集中的各个攻击行为及其关联的攻击事件信者是如何利用特定漏洞或技术手段渗透单个目标的。通过这种针对单台主机的深度分析，全方位理解和防御策略的优化。攻击知识图谱能够帮助识别和记录单台主机的攻击过程，[0057]图4是本发明一种实施方式提供的基于ATT&CK框架的工控入侵检测系统的系统结各优化攻击行为目标执行迭代地优化攻击检测规则，直到不存在误报和/或漏报的攻击行有指令，其在计算机上运行时使得计算机执行上述的基于ATT&CK框架的工控入侵检测方[0059]本领域技术人员可以理解实现上述实施方式的方法中的全部或部分步骤是可以得单片机、芯片或处理器(pr