[發(fā)明專利]一種保障工業(yè)控制系統(tǒng)信息安全的方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201410724971.0
• 申請日: 2014-12-04
• 公開（公告）號: CN104615096A
• 公開（公告）日: 2015-05-13
• 發(fā)明（設(shè)計(jì)）人: 戚建淮;方方;趙海陽
• 申請（專利權(quán)）人: 深圳市永達(dá)電子股份有限公司
• 主分類號: G05B19/418
• 分類號: G05B19/418
• 代理公司: 暫無信息
• 代理人: 暫無信息

技術(shù)領(lǐng)域

本發(fā)明涉及信息安全技術(shù)領(lǐng)域，尤其涉及一種保障工業(yè)控制系統(tǒng)信息安全的方法及系統(tǒng)。

背景技術(shù)

工業(yè)控制系統(tǒng)是由各種自動化控制組件以及對實(shí)時數(shù)據(jù)進(jìn)行采集、監(jiān)測的過程控制組件共同構(gòu)成的確保工業(yè)基礎(chǔ)設(shè)施自動化運(yùn)行、過程控制與監(jiān)控的業(yè)務(wù)流程管控系統(tǒng)。目前，工業(yè)控制系統(tǒng)廣泛應(yīng)用于我國電力、水利、污水處理、石油天然氣、化工、交通運(yùn)輸、制藥以及大型制造行業(yè)。工業(yè)控制系統(tǒng)中的安全防護(hù)目前主要有安全管理，IT安全防護(hù)技術(shù)和工業(yè)防火墻等。

1.安全管理：

布署縱深防御體系，保證工業(yè)控制系統(tǒng)的物理安全，建立安全策略與流程，適當(dāng)采取隔離、漏洞檢查、威脅檢測等保護(hù)措施。例如，進(jìn)行網(wǎng)絡(luò)分區(qū)與邊界保護(hù)，建立安全的單元間通信，系統(tǒng)加固與補(bǔ)丁管理，惡意軟件的檢測與防護(hù)，訪問控制與賬號管理，記錄設(shè)備訪問日志并進(jìn)行必要的審計(jì)等。確保只有絕對必要的人員才能在物理層面接觸到工業(yè)控制設(shè)備。

2.IT安全防護(hù)技術(shù)：

通過對控制網(wǎng)絡(luò)的防護(hù)，大部分采用的是常規(guī)網(wǎng)絡(luò)安全技術(shù)，主要包括防火墻、IDS、VPN、防病毒等。主要針對三級以上的網(wǎng)絡(luò)防護(hù)。

3.工業(yè)防火墻：

防火墻產(chǎn)品，目前基本是以包過濾技術(shù)為基礎(chǔ)的，它最大的局限性在于不能保證準(zhǔn)許放行的數(shù)據(jù)的安全性。防火墻通過拒絕放行并丟棄數(shù)據(jù)包來實(shí)現(xiàn)自已的安全機(jī)制。但防火墻無法保證準(zhǔn)許放行數(shù)據(jù)的安全性。

工業(yè)防火墻內(nèi)置各種主流自動化產(chǎn)品制造商的私有通信協(xié)議，可實(shí)現(xiàn)與各主流自動化產(chǎn)品如Honeywe?11DCS系統(tǒng)、Yokogawa?DCS系統(tǒng)、INVENSYS?DCS等系統(tǒng)，OPC?SERVER、IP21/PHD/PI等服務(wù)器或數(shù)據(jù)庫無擾動接入。與常規(guī)防火墻不同的是，工業(yè)防火墻是基于內(nèi)置工業(yè)通訊協(xié)議的防護(hù)模式，由于工業(yè)通訊協(xié)議通常是基于常規(guī)TCP/IP在應(yīng)用層的高級開發(fā)，工業(yè)防火墻不僅是在端口上的防護(hù)，更重要的是基于應(yīng)用層上數(shù)據(jù)包的深度檢查、協(xié)議分析，屬于新一代工業(yè)通訊協(xié)議防火墻。

目前主有的工業(yè)控制網(wǎng)絡(luò)中的解決方案都有一定的缺點(diǎn)，安全管理只能減少感染病毒的機(jī)會，而不能完全杜絕從網(wǎng)絡(luò)上惡意的攻擊，IT全防護(hù)技術(shù)用于工業(yè)控制領(lǐng)域的三級以上的網(wǎng)絡(luò)有一定效果，而對一二級網(wǎng)絡(luò)無法阻止相關(guān)的安全問題，工業(yè)防火墻加入工業(yè)協(xié)議分析可以阻止一些非法的信息攻擊，但不能不能阻止通過合法協(xié)議執(zhí)行的非正常命令從而對系統(tǒng)造成損害。

發(fā)明內(nèi)容

本發(fā)明所要解決的技術(shù)問題是，提供一種保障工業(yè)控制系統(tǒng)信息安全的系統(tǒng)及方法，以解決現(xiàn)有技術(shù)所采用的信息安全保障手段所存在的只能減少病毒感染機(jī)會而不能杜絕病毒攻擊，以及不能阻止通過合法協(xié)議執(zhí)行的非正常命令從而對系統(tǒng)造成損害的不足。本發(fā)明是這樣實(shí)現(xiàn)的：

一種保障工業(yè)控制系統(tǒng)信息安全的方法，包括如下步驟：

步驟A：檢測所述工業(yè)控制系統(tǒng)的輸入數(shù)據(jù)及輸出數(shù)據(jù)，并根據(jù)所述輸入數(shù)據(jù)與輸出數(shù)據(jù)的邏輯關(guān)系判斷所述工業(yè)控制系統(tǒng)的輸出數(shù)據(jù)的正確性；

步驟B：檢測所述工業(yè)控制系統(tǒng)的輸出數(shù)據(jù)，并將其與預(yù)設(shè)的安全值范圍比對，并根據(jù)比對結(jié)果判斷所述輸出數(shù)據(jù)的合法性；

步驟C：檢測所述工業(yè)控制系統(tǒng)的通訊協(xié)議，并據(jù)此建立通訊協(xié)議自名單，并據(jù)此判斷所述工業(yè)控制系統(tǒng)中命令的正常性；

步驟D：對上述三個步驟檢測到的錯誤的輸出數(shù)據(jù)、非法的輸出數(shù)據(jù)、非正常命令進(jìn)行上報(bào)。

進(jìn)一步地，所述輸入數(shù)據(jù)包括：數(shù)字量輸入數(shù)據(jù)及模擬量輸入數(shù)據(jù)；所述輸出數(shù)據(jù)包括：數(shù)字量輸出數(shù)據(jù)輸出模擬量輸出數(shù)據(jù)，以及所述工業(yè)控制系統(tǒng)中各執(zhí)行機(jī)構(gòu)輸出值；

進(jìn)一步地，所述步驟A中，當(dāng)所述輸入數(shù)據(jù)與所述輸出數(shù)據(jù)符合所述邏輯關(guān)系時，判定所述輸出數(shù)據(jù)屬于正確的輸出數(shù)據(jù)，否則判定所述輸出數(shù)據(jù)屬于錯誤的輸出數(shù)據(jù)。

進(jìn)一步地，所述步驟B中，當(dāng)所述輸出數(shù)據(jù)處于所述安全值范圍內(nèi)時，判定所述輸出數(shù)據(jù)為合法的輸出數(shù)據(jù)，否則判定所述輸出數(shù)據(jù)為非法的輸出數(shù)據(jù)。

進(jìn)一步地，所述步驟C中，當(dāng)所述命令符合所述白名單中的通訊協(xié)議時，判定所述命令為正常命令，否則判定所述命令為非正常命令。

一種保障工業(yè)控制系統(tǒng)信息安全的系統(tǒng)，包括：

檢測模塊，用于檢測所述工業(yè)控制系統(tǒng)的輸入數(shù)據(jù)、輸出數(shù)據(jù)以及輸入數(shù)據(jù)與輸出數(shù)據(jù)的邏輯關(guān)系；

一致性智能分析模塊，用于根據(jù)所述輸入數(shù)據(jù)與輸出數(shù)據(jù)的邏輯關(guān)系判斷所述工業(yè)控制系統(tǒng)的輸出數(shù)據(jù)的正確性，將所述輸出數(shù)據(jù)與預(yù)設(shè)的安全值范圍比對并根據(jù)比對結(jié)果判斷所述輸出數(shù)據(jù)的合法性，根據(jù)預(yù)設(shè)的通訊協(xié)議白名單判斷所述工業(yè)控制系統(tǒng)中命令的正常性；