随着全球工业系统加速网络化,制造业不断智能化,工控系统与产品安全问题日益凸显,全球范围内工控安全事件接连爆发,工控系统安全形势不容乐观。为了有效改善工控系统安全防护能力,推进工控系统安全态势的监测预警工作极其关键。然而现有信息安全产品无法满足需要,本文以快速全面掌握工控系统安全态势为出发点,通过研究基于多协议的网络拓扑发现算法以及设备端口服务探测,设计开发了一种全面反映工控系统安全态势的感知系统。本文的主要工作内容如下:(1)研究设计了基于多协议融合的跨层次网络拓扑发现算法。研究分析了多种网络拓扑发现方法的优缺点,通过融合SNMP、OSPF和LLDP等协议拓扑发现优点,设计了兼顾网络层和链路层的多协议融合网络拓扑发现算法,以提高针对系统间设备连接关系发现的准确性以及对于复杂网络系统的适应性。(2)设计实现了针对工控网络系统中设备端口以及操作系统类型的探测。使用全连接、半连接相结合的扫描方式探测目标系统中设备端口开关情况,利用TCP/IP协议栈指纹探测技术进行对目标系统中设备所运行操作系统类型的探测,并通过解析Nmap指纹信息以及广泛搜集,构建了专有设备TCP/IP协议栈指纹信息库,支持9620种设备的指纹信息探测。(3)设计构建了工控设备专有漏洞信息库。通过构建网络爬虫,爬取来自NVD、CNNVD和ICS-CERT等知名信息安全漏洞网站的漏洞信息作为组建漏洞库的原始数据。依照CWE体系,参考“本体”设计思想,对原始漏洞数据进行统一分类和筛选,得到多源融合的设备漏洞数据库,以有效支持针对系统设备进行潜在漏洞搜索和匹配。(4)设计实现了功能完整的工控安全态势感知系统。该系统主要包含系统网络拓扑发现、设备端口服务及操作系统探测和潜在漏洞搜索匹配功能。本文给出了详细的系统构建方案,并针对实际系统进行了网络拓扑发现、设备端口及操作系统探测和漏洞匹配的实验验证及分析。实验结果证明,多协议融合网络拓扑发现功能在不影响性能的情况下提高了拓扑发现的正确率,系统能够通过端口服务及操作系统探测较好地发现设备信息并进行潜在漏洞匹配,从而全方位地反映工控系统安全态势。