[發(fā)明專利]基于工控終端設(shè)備接口HOOK的安全防護方法

有效

• 申請?zhí)枺?/td>: 201711487186.8
• 申請日: 2017-12-29
• 公開（公告）號: CN108259478B
• 公開（公告）日: 2021-10-01
• 發(fā)明（設(shè)計）人: 余文豪;朱朝陽;李夢濤;韓麗芳;周亮;邱意民;應(yīng)歡;繆思薇;龐鋮
• 申請（專利權(quán)）人: 中國電力科學(xué)研究院有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/56
• 代理公司: 北京工信聯(lián)合知識產(chǎn)權(quán)代理有限公司 11266
• 代理人: 郭一斐

1.一種基于工控終端設(shè)備接口HOOK的安全防護方法，其特征在于，包括如下步驟：

步驟S1：將工控設(shè)備通過外部接口以HOOK的方式與工控終端設(shè)備相連，通過所述外部接口對接入所述工控終端設(shè)備的外接設(shè)備進(jìn)行身份認(rèn)證；

步驟S2：對需要連接的外接設(shè)備進(jìn)行注冊、登記和認(rèn)證，驗證其身份的合法性，對接入認(rèn)證通過的外接設(shè)備發(fā)放數(shù)字證書，并根據(jù)安全級別給予其對應(yīng)的針對所述工控終端設(shè)備的操作權(quán)限，允許外接設(shè)備與所述工控終端設(shè)備進(jìn)行數(shù)據(jù)傳輸和控制指令交互，對接入認(rèn)證失敗的外接設(shè)備則斷開連接；

步驟S3：依次對接入認(rèn)證通過的外接設(shè)備的流量進(jìn)行審計、對漏洞攻擊流量、病毒木馬流量、工控協(xié)議接入以及固件更新請求合法性進(jìn)行檢測，對檢測合格的外接設(shè)備的所有操作請求和操作行為進(jìn)行記錄，并對合法請求進(jìn)行轉(zhuǎn)發(fā)，對檢測不合格的外接設(shè)備的所有操作請求和操作行為進(jìn)行攔截和阻斷；對接入認(rèn)證通過的外接設(shè)備的工控協(xié)議接入進(jìn)行檢測時，包括工控協(xié)議接入檢測以及工控協(xié)議關(guān)鍵功能碼合法性檢測，對所述工控協(xié)議接入檢測時，檢測外接設(shè)備發(fā)起的工控協(xié)議連接，操作請求是否在所述外接設(shè)備注冊登錄時分配的權(quán)限之內(nèi)；對工控協(xié)議關(guān)鍵功能碼合法性檢測時，當(dāng)檢測到外接設(shè)備發(fā)送reset、poweroff影響電力工控終端設(shè)備正常使用的關(guān)鍵敏感性功能碼時，檢測所述外接設(shè)備是否有相應(yīng)的操作權(quán)限；對接入認(rèn)證通過的外接設(shè)備的固件更新請求合法性進(jìn)行檢測時，當(dāng)檢測到外接設(shè)備發(fā)送固件更新請求時，檢測其注冊登記時分發(fā)的權(quán)限中是否存在修改固件、更新固件的權(quán)限。

2.根據(jù)權(quán)利要求1所述基于工控終端設(shè)備接口HOOK的安全防護方法，其特征在于：對接入認(rèn)證通過的外接設(shè)備的流量進(jìn)行審計時，過濾存在安全威脅的協(xié)議端口。

3.根據(jù)權(quán)利要求1所述基于工控終端設(shè)備接口HOOK的安全防護方法，其特征在于：對接入認(rèn)證通過的外接設(shè)備的漏洞攻擊流量進(jìn)行檢測時，通過流量黑白名單、特征值手段二次檢測接入認(rèn)證通過的外接設(shè)備是否存在可疑的攻擊行為，同時對漏洞攻擊行為進(jìn)行及時阻斷。

4.根據(jù)權(quán)利要求1所述基于工控終端設(shè)備接口HOOK的安全防護方法，其特征在于：對接入認(rèn)證通過的外接設(shè)備的病毒木馬流量進(jìn)行檢測時，通過檢測接入設(shè)備的流量中是否存在病毒木馬的流量特征，來再次確認(rèn)接入的外接設(shè)備中是否存在rootkit病毒木馬。