[發明專利]動態多模異構冗余的工控安全網關系統和入侵感知方法

有效

• 申請號: 201711337273.5
• 申請日: 2017-12-14
• 公開（公告）號: CN108322431B
• 公開（公告）日: 2021-01-19
• 發明（設計）人: 鄭秋華;晏培;姜偉;朱宏林;邵昱文;肖榮華;李成武;胡鵬飛
• 申請（專利權）人: 杭州電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/66
• 代理公司: 杭州君度專利代理事務所(特殊普通合伙) 33240
• 代理人: 黃前澤

1.動態多模異構冗余的工控安全網關系統，其特征在于包括數據包外部IO分發模塊、異構的工控安全網關策略池、異構的工控安全網關固件池、異構的工控安全網關硬件池、網關動態重組模塊、工控安全網關訪問陣列、流量記錄和輸出選擇模塊、流量日志庫、多模判決模塊和入侵響應模塊；其中：

數據包外部IO分發模塊，將收到的外部工業控制業務數據包分發到工控安全網關訪問陣列中的不同訪問路徑；同時接收和緩存工控安全網關各訪問路徑的響應輸出，按照最先到達原則選擇其中的一條訪問路徑數據流量輸出到外部網絡，并丟棄其余訪問路徑輸出的數據包；

工控安全網關訪問陣列由若干異構冗余的工控安全網關訪問路徑構成，其中每個異構冗余的工控安全網關訪問路徑是由若干網關訪問控制模塊按照不同網絡拓撲結構構建，每個網關訪問控制模塊通過調度策略、固件、硬件組合構建；其中調度策略來源于異構的工控安全網關策略池，該策略池由工控安全網關中訪問規則的多種異構實現實體組成；固件來源于異構的工控安全網關固件池，由工控安全網關中工業協議解析、網關引擎和操作系統的多種異構實現實體組成；硬件來源于異構的工控安全網關硬件池，由工控安全網關硬件的多種異構實現實體組成；

工控安全網關訪問陣列，接收數據包外部IO分發模塊輸入的數據包，分別按照傳統及工控協議的配置規則對數據包進行解析處理和轉換，然后將處理后的數據包發送到流量記錄和輸出選擇模塊；

網關動態重組模塊，依據功能一致原則，選取不同異構實現實體的固件、硬件、調度策略進行組合，構成網關訪問控制模塊；在系統運行時，網關動態重組模塊從網關訪問控制模塊池中隨機選擇的多個異構網關訪問控制模塊進行組合，確定這些網關訪問控制模塊之間的網絡拓撲連接，構建出異構冗余的工控安全網關訪問陣列；

流量記錄和輸出選擇模塊，接收各異構冗余的工控安全網關訪問路徑處理后的數據包，將所有訪問路徑輸出的流量數據記錄到流量日志庫，然后按照預先配置的選擇策略選擇其中一條訪問路徑的數據流量輸出到內部網絡，同時丟棄其余數據包；接收內部網絡的數據包，分發到工控安全網關訪問陣列中各訪問路徑；

流量日志庫，存放各異構冗余的工控安全網關訪問路徑處理后的數據包；

多模判決模塊，將流量日志庫中流量數據按多模優先原則進行比較，如發現不同訪問路徑處理的同一序號數據流量存在不一致時，觸發入侵響應模塊；

入侵響應模塊，采取入侵響應措施。

2.如權利要求1所述的動態多模異構冗余的工控安全網關系統，其特征在于所述的預先配置的選擇策略為最先到達原則或某一訪問路徑優先原則。

3.如權利要求1所述的動態多模異構冗余的工控安全網關系統，其特征在于所述的入侵響應措施是指代進行人工專家分析，同時進行異常網關訪問控制模塊清洗。

4.動態多模異構冗余的工控安全網關入侵感知方法，其特征在于包括動態重組、數據包并發處理、數據包多模判決和入侵響應；

其中動態重組處理流程包含如下步驟：

步驟1：按照異構度較大原則，從異構的固件池、硬件池、策略池中選擇若干固件、硬件、調度策略進行異構資源動態組合，構建出一個包含若干個異構工控安全網關訪問控制模塊的異構模塊池；

步驟2：隨機選擇步驟1中多個異構網關訪問控制模塊進行組合，確定這些網關訪問控制模塊之間的網絡拓撲連接，構建工控安全網關訪問陣列；

數據包并發處理流程包含如下步驟：

步驟1：數據包外部IO分發模塊接收外部網絡的輸入請求，將數據包分別發送到工控安全網關訪問陣列中各訪問路徑；

步驟2：工控安全網關訪問陣列中各訪問路徑接收到數據包外部IO分發模塊輸入的數據包后，分別按照設定的配置規則對數據包進行解析處理和轉換，將處理后的數據包發送到流量記錄和輸出選擇模塊；

步驟3：流量記錄和輸出選擇模塊接收工控安全網關訪問陣列中各訪問路徑輸出的數據包，流量日志庫記錄所有訪問路徑輸出的流量數據，然后按照預先配置的選擇策略選擇其中的一條訪問路徑數據流量輸出到內部網絡；

步驟4：流量記錄和輸出選擇模塊接收內部網絡的數據包，分發到工控安全網關訪問陣列中各訪問路徑，處理后將數據包發送數據包外部IO分發模塊；

步驟5：數據包外部IO分發模塊接收工控安全網關訪問陣列中各訪問路徑的輸出數據包，將不同訪問路徑輸出的數據包按同一序號輸出最先接收并丟棄其余訪問路徑的方法進行處理，將數據包發送到外部網絡；

數據包多模判決和入侵響應流程包含如下步驟：

步驟1：多模判決模塊根據訪問序號讀取流量日志庫中各訪問路徑的流量數據包日志；

步驟2：檢查同一訪問序號下各訪問路徑的流量數據包日志是否相同；

步驟3：若不一致，則進行入侵響應；

步驟4：若各訪問路徑中多數輸出數據包相同，僅部分訪問路徑不同，則下線輸出不一致的所述部分訪問路徑中的工控網關訪問控制模塊，進行人工專家分析，同時進行清洗，轉到步驟6；

步驟5：若各訪問路徑中輸出不同數據包的比例一致，則計算訪問路徑可信度，保留訪問路徑可信度高的訪問路徑，下線其他訪問路徑中的工控網關訪問模塊進行清洗，轉到步驟6；

步驟6：從異構的固件池、硬件池、策略池中隨機選擇多個與下線模塊異構的固件、硬件、策略進行異構資源動態組合，構建出一個包含若干個異構工控安全網關訪問控制模塊的異構模塊池，在該異構模塊池中選擇與下線模塊數目相同的工控網關訪問模塊，加入到工控安全網關訪問陣列，構建出新的工控安全網關訪問陣列。