基于Snort的工控网络靶场入侵感知模型研究
摘要
随着科技的快速进步，工业信息化的不断发展推动着工业控制系统的转型，将工业
互联网、人工智能和云计算等前沿技术整合到不同的工业流程中，使得生产环境相对闭
塞的工业控制网络开放了互联的大门。这为整个工业生产体系带来巨大变化与动力的同
时，也使工控网络面临着外界入侵的风险。由于工业控制系统自身的易损性与封闭性，
市面上工业控制相关的软硬件平台难以寻得，使得我国工控系统的安全研究难以开展；
也因我国在工控安全研究的起步稍晚，致使相关技术人员稀缺。为了推动我国工控安全
领域的研究发展，本文研究工作主要包括以下两部分：
工控网络入侵感知靶场架构：通过对现今工控网络架构与可能面临的安全威胁的研
究与分析，设计应用于入侵与感知的工控网络拓扑架构；通过常见网络入侵行为的模拟，
设计工控网络靶场入侵模块，并且通过对Snort入侵检测的机制研究，设计基于Snort
入侵检测系统的靶场感知模块；采用Openstack开源云平台与Ceph分布式存储系统构
成靶场架构的平台基础，融入西门子、ScadaBR、OpenPLC等工控仿真软件作为靶场感
知模块的工控网络仿真部件，为工控安全研究提供技术支撑；通过相关功能与性能测试
来验证该架构应用于工控安全研究的可行性。
基于神经网络的Snort入侵感知模型：通过对入侵检测技术的相关研究，将Snort
开源入侵检测系统作为本靶场网络攻防的设计核心，并通过对Snort检测机制研究与工
控网络协议的数据包分析，进行数据包检测模块的拓展；引入机器学习相关知识，对
CNN-BiLSTM神经网络模型中学习率与网络维度等参数进行了优化，使用网络流量数
CNNLSTM
据集进行了该模型与、等神经网络模型的对比实验，验证了本模型的检测性
能得到了提升。并且该模型对于新型网络攻击的检测率近63%，提高了对于未知网络风
险的应对能力；将Snort原模式匹配算法与其他算法进行对比分析，根据其不足之处提
出了新型优化算法，旨在增加模式匹配中的移动步长和降低匹配次数来改善原有算法的
检测质量。通过字符串匹配相关对比实验，验证了新算法的匹配效率提升了60%左右。
之后将优化算法与神经网络模型融入Snort系统中形成工控网络靶场入侵感知模型，并
在网络靶场中对该感知模型开展了入侵感知测试，验证了新模型具备在工控场景数据包
的入侵感知与分析功能。
SnortBoyer-MooreCNN-BiLSTM
关键词：工控网络靶场；；入侵检测；；
基于Snort的工控网络靶场入侵感知模型研究
Abstract
Withtherapidadvancementoftechnology,theongoingdevelopmentofindustrial
informatizationisdrivingthetransformationofindustrialcontrolsystemsbyintegrating
cutting-edgetechnologiessuchasindustrialinternet,artificialintelligence,andcloud
computingintovariousindustrialprocesses,openingthedoorsofinterconnectedin
productionenvironmentsthatwererelativelyclosed-offinindustrialcontrolnetwork.Asa
result,theindustrialcontrolnetworkwithrelativelyblockedproductionenvironmentopensup
theinterconnecteddoor,whichbringsgreatchangesandpowertotheentireindustrial
pro