[實用新型]一種工業(yè)控制系統(tǒng)主站安全防護裝置

有效

• 申請?zhí)枺?/td>: 201220435927.4
• 申請日: 2012-08-29
• 公開（公告）號: CN202856781U
• 公開（公告）日: 2013-04-03
• 發(fā)明（設計）人: 謝善益;梁智強;傅勇;胡朝輝;羅俊;梁志宏;胡川;周強峰;駱書劍;江澤鑫
• 申請（專利權）人: 廣東電網公司電力科學研究院;成都衛(wèi)士通信息產業(yè)股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州知友專利商標代理有限公司 44104
• 代理人: 周克佑

技術領域

本實用新型涉及一種可增強內外網隔離安全性的工業(yè)控制系統(tǒng)主站安全防護裝置。

背景技術

工業(yè)控制系統(tǒng)（ICS）是對SCADA、DCS、PCS、PLC等多種控制系統(tǒng)的總稱，廣泛運用于電力、石油化工、水利、工業(yè)制造、市政等行業(yè)。工業(yè)控制系統(tǒng)由主站、網絡和終端組成，其原理是終端采集工業(yè)過程數據，通過網絡將數據送至主站，主站分析后通過網絡向終端發(fā)送控制命令，終端執(zhí)行命令并向主站返回結果。

隨著計算機和網絡技術的發(fā)展，特別是信息化工業(yè)化深度融合以及物聯網的快速發(fā)展，工業(yè)控制系統(tǒng)產品越來越多地采用通用協議、通用硬件、通用軟件，以各種方式與互聯網等公共網絡連接，病毒、木馬、操作系統(tǒng)漏洞等威脅在工業(yè)控制系統(tǒng)擴散；另一方面，傳統(tǒng)的工業(yè)控制系統(tǒng)在設計上基本沒有考慮互聯互通所必須的通信安全問題，幾乎沒有隔離功能，在互聯網和企業(yè)管理網環(huán)境下的防護功能很弱。因此工業(yè)控制系統(tǒng)在實現系統(tǒng)開放性的同時，也降低了系統(tǒng)的安全性，而且主站與終端間的報文基本沒有考慮身份認證、數據完整性、數據加密及抗重放攻擊等安全內容。如果工業(yè)控制系統(tǒng)的任一點受到網絡攻擊，都極有可能造成巨大的損失，因此，工業(yè)控制系統(tǒng)的安全問題急需解決。

實用新型內容

本實用新型所要解決的技術問題，就是提供一種可增強內外網隔離安全性的工業(yè)控制系統(tǒng)主站安全防護裝置。

解決上述技術問題，本實用新型采用的技術方案是：

一種工業(yè)控制系統(tǒng)主站安全防護裝置，其特征是：所述的裝置設于工業(yè)控制主站系統(tǒng)邊界，該裝置包括外網主機、內網主機和非網絡隔離通道，外網主機與外網相連，內網主機與內網相連，外網主機與內網主機通過由自定義私有總線及隔離卡（PCIE總線及處理芯片）組成的非網絡隔離通道連接。

所述的外網主機通過網絡防火墻模塊，實現基于地址和端口的訪問控制功能，有效防止來自外網的各類網絡攻擊，阻斷黑客利用網絡協議漏洞和操作系統(tǒng)漏洞入侵，缺省情況下，外網主機不開放任何端口。

內網主機：與內網相連，負責IKE密鑰協商、對符合VPN安全策略的數據進行加解密處理，并利用L7層過濾模塊將非法的工業(yè)控制通信規(guī)約數據丟棄，然后將數據發(fā)送給內網的業(yè)務前置機或者通過非網絡隔離通道發(fā)送給外網主機。

采用本實用新型技術，密鑰協商及VPN處理符合國密辦IPSEC?VPN技術規(guī)范；支持128比特分組的SM1算法、256比特的SM2算法和256比特的SM3算法；支持ECC證書認證；安全策略及密鑰（裝置密鑰、會話密鑰、工作密鑰）存在于內網主機，受外網主機保護。

所述的非網絡隔離通道連接內、外網主機，由隔離卡驅動與隔離卡硬件（PCIE總線及處理芯片）組成，是內、外網主機之間交互數據的唯一途徑。

當內(外)網主機向外（內）網主機發(fā)送數據時，首先剝離以太網幀的頭部只剩下IP報文部分，通過自定義私有協議進行封裝，經PCIE總線傳輸至非網絡隔離通道進行特征信息審查，審查失敗則丟棄，審查通過則轉發(fā)給外（內）網主機，最后外（內）網主機根據自定義私有協議進行剝離，并重新組裝IP報文，從而有效隔離了內外網主機間非法數據包，實現了內外網主機的非網絡隔離。其中，非網絡隔離通道的特征信息審查是指對加密數據報文的協議報頭中的特征信息進行審查。

有益效果：本實用新型為主站與終端提供網絡通信認證與加密服務，實現數據傳輸的機密性、完整性、抗重放保護，同時該裝置采用非網絡隔離及內外雙主機系統(tǒng)技術方案，實現了主站內網與外網的安全隔離。

附圖說明

圖1為主站安全防護裝置系統(tǒng)組成及應用環(huán)境示意圖；

圖2為從內網主機到外網主機數據處理流程示意圖；

圖3為從外網主機到內網主機數據處理流程示意圖。

具體實施方式

以下結合附圖和具體實施方式，對本實用新型進行更全面的描述。

圖1顯示本實用新型的工業(yè)控制系統(tǒng)主站安全防護裝置組成及應用環(huán)境，主站安全防護裝置由內網主機、外網主機和非網絡隔離通道組成，外網主機與外部網絡相連，內網主機與內部網絡相連，內網主機與外網主機通過非網絡隔離通道相連。其中內網主機是主站安全防護裝置的核心，主要有配置管理、L7層過濾、VPN處理及IKE密鑰協商等重要模塊，安全策略及密鑰（裝置密鑰、會話密鑰、工作密鑰）等存在于內網主機，并通過外部主機及非網絡隔離通道進行保護，防止來自外部的各類網絡攻擊，阻斷黑客利用網絡協議漏洞和操作系統(tǒng)漏洞的入侵。