[發明專利]工業控制網絡安全防護方法

有效

• 申請號: 201210553196.8
• 申請日: 2012-12-19
• 公開（公告）號: CN103036886A
• 公開（公告）日: 2013-04-10
• 發明（設計）人: 劉智勇;陳良漢
• 申請（專利權）人: 珠海市鴻瑞軟件技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州市紅荔專利代理有限公司 44214
• 代理人: 王賢義

1.一種工業控制網絡安全防護方法，其特征在于:所述工業控制網絡安全防護方法包括以下步驟：

（1）根據工業控制系統信息安全的技術要求，對工業企業信息系統進行分層處理，所述工業企業信息系統分為三個安全工作層次，即工業控制層、生產執行層和經營管理層，對所述工業控制層的數據交換采取安全防護策略措施；

（2）根據所述工業控制系統的功能特點和控制范圍，將所述工業控制層分為多個不同的自動化單元區域并采用防火墻進行區域隔離，實現報文過濾以及訪問控制，對工業通信協議進行檢查分析，實現對非法通信的實時報警、來源確認、歷史記錄，保證控制網絡的實時診斷；

（3）采用網絡隔離模塊實現所述工業控制層與所述生產執行層之間的非網絡方式的安全的數據交換，并且保證安全隔離模塊內外兩個處理系統不同時連通，結合防穿透性TCP聯接與訪問控制技術，阻斷所述生產執行層對所述工業控制層的潛在通信途徑，從而實現所述工業控制層與所述生產執行層之間的單向隔離；

（4）采用工業安全管理平臺模塊建立所述工業控制層網絡的配置、管理、分析、告警及審計中心，對防火墻及網絡隔離裝置進行配置和管理，采集網絡事件報警信息并存儲、檢索及劃分等級進行報警，對定義在白名單范圍內的終端應用允許通信，對工業控制協議的深度分析并捕獲網絡異常行為，分析潛在風險，準確捕獲現場所的病毒、蠕蟲及非法入侵，為工業控制系統網絡故障的排查、分析及安全審計提供可靠依據。

2.根據權利要求1所述的工業控制網絡安全防護方法，其特征在于:在所述步驟（1）中，所述工業控制層與所述生產執行層之間的兩端通信網絡系統通過有線或無線網絡方式連接。

3.根據權利要求1所述的工業控制網絡安全防護方法，其特征在于:在所述步驟（2）中，所述檢查分析的方式為綜合使用狀態檢測和應用層協議檢測，對報文進行多級過濾，形成全面的訪問控制機制和自動化單元區域的保護屏障，杜絕非授權者使用。

4.根據權利要求1或3所述的工業控制網絡安全防護方法，其特征在于:在所述步驟（2）中，對通信的報文過濾是基于工業控制網絡的流量收集識別，對通信進行的訪問控制是基于白名單的終端應用控制。

5.根據權利要求1所述的工業控制網絡安全防護方法，其特征在于:在所述步驟（3）中，所述網絡隔離模塊采用安全隔離技術將數據通信的反向控制協議取消，反向既沒有數據通道也沒有控制通道，正向完全處于盲狀態，實現信息流單向傳輸。