[發明專利]基于工業協議OPC Classic的無IP分布式工業防火墻深度檢查算法

無效

• 申請號: 201210413478.8
• 申請日: 2012-10-26
• 公開（公告）號: CN103036870A
• 公開（公告）日: 2013-04-10
• 發明（設計）人: 仇亞仁;劉安正;樊慶欣;溫克強;彭亮;武曉芳;劉文娟;劉成梅;張娟娟;寧春龍;李濤
• 申請（專利權）人: 青島海天煒業自動化控制系統有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.基于工業協議OPC?Classic的無IP分布式工業防火墻深度檢查算法，其特征是：所述算法利用工業防火墻和管理服務器進行工作，所述工業防火墻設置在工業網絡和被保護設備網段之間，管理服務器通過向被保護設備發送特殊的網絡包，網絡包被工業防火墻截獲，嵌入在防火墻設備內的深度檢查算法處理所述網絡包并且回送響應給管理服務器，實現工業防火墻的集中管理與配置，深度檢查算法包括了防火墻無IP集中管理模塊算法、防火墻自動配置算法、基于配置的深度檢查算法；防火墻無IP集中管理模塊算法為：

第1步，啟動防火墻捕獲每一個經過它的網絡包；

第2步，根據網絡包端口號，網絡包格式符合一定條件，過濾出管理包；

第3步，檢查此管理包是否是針對自身的；

第4步，針對管理包的內容，進行防火墻自動配置；防火墻自動配置算法為：

1)防火墻判斷下游設備類型；

2)根據設備類型向管理服務器發送配置請求，其中配置請求包括被保護設備的IP和被保護設備的類型；

3)管理服務器處理此消息，將配置下載到防火墻中；

第5步，基于配置的深度檢查算法根據控制端口連接請求動態打開數據端口，并對控制端口的各種通信進行深度檢查，拒絕所有不符合OPC協議的包，具體算法為：

1)是否符合DCE/RPC協議格式，如果否，拒絕此包；

2)是否進行了分片，如果是，拒絕此包；

3)是否是未請求的響應，如果是，拒絕此包；

4)是否為響應包，如果是，到5步，如果否，結束；

5)將此端口作為通信目的端口，建立一條防火墻規則，允許目的端口數據通過，啟動超時定時器；

6)是否有超時發生，如果是，刪掉對應的那條動態規則，如果否，返回。

2.根據權利要求1所述的深度檢查算法，其特征是：工業防火墻的設備接口連接設備網絡，網絡接口連接上游工業網絡，網絡包處理模塊負責截獲數據包，并針對網絡流量類型分別將流量發送給管理模塊，防火墻模塊和工業協議檢查模塊。

3.根據權利要求1所述的深度檢查算法，其特征是：管理服務器的通信模塊負責與多個防火墻設備通信，管理配置模塊根據防火墻規則數據庫，工業協議檢查數據庫對每個防火墻進行配置，生成的配置放在防火墻設備配置數據庫中。