ACE:高级CIP评估

一、摘要

本文介绍了一种工具，高级CIP评估器（ACE），它被动地处理CIP通信层，并从观察到的网络流量中自动提取设备、通信和系统信息。由于ACE是被动运行的，不会产生自己的任何网络流量，因此系统运行不会受到干扰。ACE揭示了有关ICS的信息，如其网络设备、通信模式和系统操作，而其他工具无法从CIP层获取这些信息。这种从ICS网络流量中提取和处理质量信息的能力使ACE成为ICS系统发现和安全应用的实用工具。该工具具有很高的可扩展性，可以应用于各种类型的集成电路。ACE使用具有代表性的ICS发电试验台进行了测试和验证。
本文中使用了几个关键术语，定义如下：
系统：ICS运行期间所有可观察和不可观察的网络、过程和物理方面。
设备信息：设备的所有静态详细信息，例如名称、供应商、类型和固件。
通信信息：表示系统设备随时间的行为的静态信息，例如通信的设备组、使用的协议和涉及的CIP对象。
系统信息：不依赖于ICS成功运行的静态数据。系统信息包括设备信息和通信信息。

二、介绍

（一）CIP结构

CIP使用对象建模、引用和通信过程在网络上的设备之间传输信息。网络上的每个设备都可以表示为对象的集合，每个对象都是单个设备功能的抽象。例如，有一个通信对象，它使用CIP在网络上实现设备通信。任何未表示为对象的设备元件或功能都无法通过CIP通信访问。这些对象被构造成类和实例，每个对象都拥有属性。
类被定义为具有相同功能的一组对象。例如，通过网络生成和使用CIP消息的一组对象将构成一个通信类。实例是类中的单个对象，例如，由五个对象组成的通信类因此有五个通信对象实例。一个类的每个实例对象都拥有相同的属性，尽管这些属性的值在实例之间可能不同。除了实例属性外，对象类还具有描述整个类的属性。类属性的一个例子是类中存在多少实例。最后，服务是作用于对象的类和实例的操作。CIP通信结构由在目标设备的特定CIP类上执行操作的CIP服务组成。然后，目标设备用适当的服务响应响应请求设备。通过检查工业网络上设备通信中涉及的CIP对象的服务和交互，可以建立有关网络设备和整个ICS的信