基于SVM的工控系統安全等級評估方法研究

蘇雪峰　郭燕萍

摘 要： 針對傳統的工控系統安全等級評估方法過多依賴專家經驗的不足，文章將安全等級評估問題看作是機器學習中的分類問題，提出了面向工業控制系統的安全等級評估要素體系、評估要素量化方法，并將評估要素作為分類特征在訓練數據集上訓練分類模型，使用分類模型實現安全等級的自動評估。實驗表明，所提出的方法體系可行有效，使用支持向量機算法訓練的模型在山西省工業企業工控系統安全等級評估中的分類準確率達到了90%，較好地解決了傳統方法過多依賴專家的問題。

關鍵詞： 安全等級評估； 評估要素； 支持向量機； 機器學習； 評估模型

中圖分類號：TP393.0 文獻標志碼：A 文章編號：1006-8228（2017）12-46-04

Research on security-level evaluation method of industrial control system based on SVM

Su Xuefeng， Guo Yanping

（Department of Electronic Business， Business college of ShanXi university， Taiyuan， Shanxi 030031， China）

Abstract： Due to the deficiency of traditional security-level evaluation methods of industrial control system relying too much on the experience of experts. This paper puts forward the evaluation factor system and evaluation factor quantitative methods for industrial control system， which regards the security-level evaluation as a classification problem in machine learning field. The classification model is trained on the training data set of taking the evaluation factors as the classification features， and the security level is automatically evaluated by using the classification model. The experiment shows that the precision of the classification model based on support vector machine reaches 90% in security-level evaluation of industrial control system of ShanXi province. The deficiency of traditional methods relying too much on the experience of experts is solved by the method mentioned above.

Key words： security-level evaluation； evaluation factor； support vector machine； machine learning； evaluation model

0 引言

隨著工業控制網絡與企業信息網絡的不斷融合，工業控制系統的安全管理受到了重大的挑戰[1-2]。工控系統安全等級評估是安全管理的重要內容，傳統的安全等級評估方法主要有故障樹分析法、層次分析法、模糊綜合評判法、基于D-S證據理論的評估方法。傳統的評估方法過多地依賴專家的經驗，根據專家的經驗確定評估模型的相關參數，模型的性能較差。

近幾年基于大規模數據分析的機器學習評估方法受到眾多學者的關注，黨德鵬教授提出了一種基于支持向量機的信息安全等級評估方法[3]；張利研究員提出了一種基于決策樹的評估方法[4]；趙冬梅副教授提出了一種基于BP神經網絡的評估方法[5-6]。這些方法從理論上證明了機器學習方法在工業控制系統安全等級評估中的可行性，但這些研究的實驗數據都是模擬數據，缺乏有效的實踐檢驗。

本文針對山西省工業企業工控系統的安全等級評估問題，按照機器學習的思路，研究評估要素體系構建、評估要素量化、評估模型訓練等內容，構建基于支持向量機（Support Vector Machines，SVM）的面向工控系統的安全等級評估模型。一方面從實踐的角度進一步研究基于機器學習思路的工控系統安全等級評估方法，另一方面切實解決山西省工業企業工控系統的安全評估問題，同時為其他省份或其他領域的安全等級評估提供一定的借鑒。

1 工控系統安全等級評估

1.1 問題描述

工控系統信息安全等級評估即根據影響企業工控系統信息安全的要素，分析各要素與安全等級之間的關系，建立統一評估模型，由評估模型預測企業的安全等級。其形式化描述為：設為影響工控系統安全的要素值，評估結果Y是關于X的函數，Y的取值可以是連續值也可以是離散值，即Y，建立評估模型就是要確定函數的函數類型及其參數W的值，模型確定之后就能夠根據某企業的各項安全要素值算出企業信息系統的安全等級。建立評估模型是安全等級評估的核心。

1.2 評估流程

工業控制系統安全等級評估的一般流程流程如圖1所示。

確定評估要素就是根據信息系統自身的特點確定影響信息安全的要素，一般從資產及其價值、系統脆弱性、面臨的風險三個方面確定影響因素。評估要素賦值就是利用定量的方法量化每一影響因素。選擇評估方法就是根據要素值的分布特征選擇與之相適應的評估方法，生成相應的模型參數，從而確定評估模型，最后使用模型進行評估。評估模型的生成往往需要經過多次迭代，對于評估效果較差的模型還需要進行調整，甚至需要更換評估方法。

1.3 評估方法

傳統的評估方法（如層次分析方法和模糊層次分析法）認為，評估模型是關于評估要素的線性函數，函數的參數一般由專家確定。基于機器學習的評估方法認為，評估模型是關于評估要素的線性或非線性函數，函數的參數通過學習訓練樣本而得到。傳統的評估方法過渡依賴于專家的經驗，線性函數在某些情況下不能準確地反映評估要素與評估結果之間的關系；基于機器學習的方法克服了過渡依賴專家經驗的不足，只需要專家確定部分樣本的評估結果，機器學習算法根據樣本選擇合適的模型，并能學習到各要素的權值，模型可能是線性的也可能是非線性的。

2 工控系統安全等級評估要素

2.1 評估要素

信息系統的不安全，既有內部因素，也有外部因素，內因就是信息資源本身具有一定的價值以及系統自身的脆弱性，外因就是信息系統面臨外部的威脅如自然災害、病毒、黑客等。內因是最根本的因素，價值越大的資產越容易受到來自外部的威脅，同樣越脆弱的資產越容易受到來自外部的威脅。

根據《工業控制系統信息安全 評估規范 驗收規范》（GB/T3097）以及IEC62443-1標準可將工業控制系統安全風險評估要素分為資產、威脅和脆弱性三個方面，每一個因素又細分成若干個子因素[7]。工控系統安全等級評估要素體系如圖2所示。

資產具有不同的安全屬性，一般包括機密性、完整性、可用性三個方面。資產的安全屬性要求越高，表明資產受到安全威脅的可能性越大。

威脅主要是由于系統在權限控制、防病毒、網絡攻擊防護等方面措施的不足不能防范和抵御來自系統外部的攻擊，從而導致系統的安全受到威脅。根據IEC62443-1標準，引起工業控制系統威脅主要因素有非法設備的物理接入、訪問權限非法獲取、控制信息被篡改、未授權的網絡接入等九個方面。每一方面的威脅與系統內部所采取的安全措施有著密切的聯系，如非法設備的物理接入與USB端口是否禁用、交換機有無身份認證、監控系統是否到位等因素有密切的關系，換句話說，有一系列完整的安全措施，來自非法設備的物理接入的威脅就會減小。

脆弱性本身不會造成損失，它只是一種條件或環境，可能導致被威脅利用而造成資產損失[8]。脆弱性的出現有各種原因，有管理的原因、有軟件的原因、也有硬件的原因。根據《工業控制系統信息安全 評估規范 驗收規范》脆弱性共分為安全管理、系統運行維護、網絡等八個方面。每一方面又與當前系統的運行狀態和管理措施密切相關，如安全管理脆弱性與組織機構是否健全、制度是否完善、是否有應急機制等具體的措施有關。

2.2 評估要素賦值

2.2.1 資產賦值

資產就是在工業控制系統中需要保護的資源，資產可分為有形資產和無形資產，主要有數據、主機、網絡、虛擬資產四種具體形式。資產的價值反映了該資產對整個工業控制系統的重要性或該資產受到破壞時對系統影響的大小，其值是一個相對值。一般將資產的安全屬性分為五個等級[9]，每一等級賦值如表1所示。

2.2.2 威脅因素賦值

威脅的發生主要取決于系統所采取的措施是否完善，措施越完善，受到威脅的可能性越小，損失越小。某一威脅的賦值公式為：

其中Mi=0或1，1表示系統采取了與該威脅相關的第i項措施，0表示系統未采取第i項措施。n表示與該威脅相關的措施數。

2.2.3 脆弱性因素賦值

脆弱性賦值采取與威脅賦值同樣的思路，某一方面脆弱性的賦值公式為：

其中，Mi=0或1，1表示導致該脆弱性存在的因素是積極狀態或采取了某種措施，0表示導致該脆弱性存在的第i個處理消極狀態或未采取相關措施，n表示與該脆弱相關的措施和系統狀態數。

3 基于SVM的評估模型

基于機器學習的安全等級評估方法把安全等級評估模型看作是一類分類模型，通過訓練大量帶標簽的樣本數據使用機器學習算法學習得到模型，與傳統的靠專家經驗指定參數差別較大。支持向量機（Support Vector Machines， SVM）是一種通用的機器學習算法，它的一個顯著特點是用滿足Mercer條件的核函數代替原模式空間的矢量數積運算實現非線性變換，它的實質是將原模式空間變換至一個高維空間，使模式在高維空間中線性可分。

在安全等級是二類的情況下，工業控制系統作為訓練樣本集記為：{（xi，yi），i=1，2，…，m}，其中Xi為第i個訓練樣本的評估要素向量Xi=（x1，x2，…，xn）T；yi={1，-1}，當Xi為正類時，yi=1，當為負類時，yi=-1。使用SVM進行評估的目標就是通過對訓練樣本的學習，求得評估函數f（x），該函數能在測試集上盡可能正確分類，從而實現對工業控制系統安全等級的分類預測。

4 實驗

4.1 實驗數據

本實驗數據來源于山西省2016年工業控制系統安全調查數據，從中抽取了100個企業的調查數據作為訓練數據集，50個企業的調查數據作為測試數據集；兩類數據集的安全級別由專家進行評定，安全級別為兩級。實驗首先根據本文的評估要素體系，從統計數據中抽取了與威脅因素和脆弱性因素相關的措施和系統運行狀態的調查結果，然后根據因素的賦值方法對各類因素進行賦值。要素抽取情況如表1所示。

4.2 實驗結果

安全等級使用二級評估，評估結果為1表示相對安全，評估結果為-1表示不安全。評估指標使用分類模型評價廣泛使用的查準率（Precision）、查全率（Recall）和F值（F-Measure）。

實驗使用LIBSVM工具包進行了模型訓練，通過5折交叉驗證，最終選取線性核函數作為SVM分類器的核函數，其他參數使用LIBSVM工具包默認參數。為了驗證SVM算法與工業系統安全等級評估中使用比較廣泛的決策樹算法的性能，實驗還使用C5.0算法訓練了決策樹分類模型，兩個模型的分類性能如表2所示。

實驗結果表明，在現有數據環境下使用SVM算法訓練的分類器比C5.0算法訓練的分類器更具有優勢，分類準確率達到了90%。實驗也初步表明使用分類的方法進行安全等級評估是可行的，評估準確率較高，可以實現對企業工控系統安全狀態的評估。

5 結論

本文將機器學習中的SVM分類方法應用到了工業系統安全等級評估中，將安全等級評估模型的確定看作是一個分類模型訓練問題，通過樣本數據由機器學習算法自動確定各個評估要素的權重，克服了依賴專家確定評估要素權重的不足。實驗表明，本文提出的要素抽取、賦值、建模方法等可行有效，在山西省工業控制系統調查數據上訓練的模型具有較好的性能，從實踐應用的角度證明了將機器學習方法應用到工控系統安全等級評估中的可行性。本文使用的實驗數據是一組調查數據，由企業相關負責人填寫上報，部分數據不夠客觀，甚至存在虛假的情況，對評估模型的性能和推廣應用有一定的影響。在今后的研究或應用中，研究和開發自動化收集工具，在更大范圍內使用自動化工具收集相關數據，提高訓練數據的質量，進而進一步提高模型的性能。

參考文獻（References）：

[1] Valenzano A，Durante L， Cheminod M. Review of security

issues in industrial networks[J].IEEE Transactions on Industrial Informatics，2013.9（1）：277-293

[2] ISA99， IEC 62443 Industrial control network&system

security standardization[S].ISA，2011.

[3] 黨德鵬，孟真.基于支持向量機的信息安全風險評估[J].華中

科技大學學報（自然科學版），2010.38（3）：46-39

[4]張利，姚軼嶄，彭建芬等.基于決策樹的智能信息安全風險評

估方法[J].清華大學學報（自然科學版），2011.51（10）：1236-1239

[5] 趙冬梅，劉海峰，劉晨光.基于BP神經網絡的信息安全風險評

估[J].計算機工程與應用，2007.43（1）：139-141

[6]趙冬梅.信息安全風險評估量化方法研究[D].西安電子科技

大學碩士學位論文，2007.

[7] 盧慧康，陳冬青.工業控制系統信息安全風險評估量化研究[J].

自動化儀表，2014，35（10）：21-25

[8] 李航，朱廣宇.建立健全我國工業控制系統信息安全體系[J].

智能工業與信息安全，2015.34（1）：13-16

[9] 桂若柏.信息安全風險評估模型的研究及其應用[D].重慶大

學碩士學位論文，2014.