◆何 钢 周安民



西门子SCADA网络场景指纹自提取及异常检测

◆何 钢 周安民

（四川大学电子信息学院 四川 610065）

本文针对Supervisory Control And Data Acquisition（SCADA）系统中广泛使用的S7协议 ，在有限状态机（DFA）模型的基础上提出了SCADA网络场景指纹的方法，结合图论的中邻接矩阵的概念，实现了SCADA网络场景指纹的自提取，并利用该方法对工控系统SCADA网络实时数据进行监测，该方法减少了大量的人工分析并有效的提升了SCADA系统的安全性。

S7协议；场景指纹；自提取；安全

0 引言

SCADA系统，即数据采集与监视控制系统。广泛应用于工业生产的各个领域，例如电力、冶金、石油、水利、化工、燃气、铁路等，对现代工业的生产起着至关重要的作用。SCADA系统主要包括HMI（人机界面）、PLC（可编程逻辑控制器组成）和RTU（远程控制终端）。其中，数据采集由RTU或PLC负责，包括读取感测器数据、根据SCADA系统需求发送设备的状态报告。控制室中的操作员采用HMI了解系统状态，并决定是否要对PLC或RTU进行控制。

很多SCADA系统存在安全性方面的不足，如没有针对恶意攻击的检测、网络没有认证机制、所有数据传输都是明文。目前，对SCADA系统网络进行异常检测是非常必要的。西门子的SCADA系统作为全球应用最广泛的SCADA系统之一，对其进行异常检测的研究也是众多研究热点之一。

SCADA系统网络是由多个HMI-PLC网络组成的。Goldenberg[1-3]和Wool[1-3]在2013年和2015年针对Modbus和S7 SCADA网络分别提出了基于DFA的入侵检测模型。但是其模型基于的是Modbus和S7协议的高度周期特性。本文通过对S7 SCADA网络进行分析，发现在HMI与PLC通信中，S7协议并没有保持高度周期特性，因此，针对S7协议应用层数据，在DFA模型的基础上提出场景指纹的概念，为每一个HMI-PLC的数据交互建立场景指纹，实现了场景指纹的自提取，并利用场景指纹成功检测出SCADA网络异常。……