[發(fā)明專利]一種OPC通訊的安全防護(hù)方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201810916163.2
• 申請(qǐng)日: 2018-08-13
• 公開(kāi)（公告）號(hào): CN109104424B
• 公開(kāi)（公告）日: 2021-03-23
• 發(fā)明（設(shè)計(jì)）人: 馬納;章維;羅冰;陸衛(wèi)軍
• 申請(qǐng)（專利權(quán)）人: 浙江中控技術(shù)股份有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 北京集佳知識(shí)產(chǎn)權(quán)代理有限公司 11227
• 代理人: 王寶筠

1.一種OPC通訊的安全防護(hù)方法，其特征在于，應(yīng)用于OPC防火墻，所述OPC防火墻部署于OPC客戶端與OPC服務(wù)器之間的通訊鏈路上，所述方法包括：

當(dāng)接收到OPC通訊數(shù)據(jù)包時(shí)，對(duì)所述OPC通訊數(shù)據(jù)包的預(yù)設(shè)多個(gè)元組信息的合法性進(jìn)行檢測(cè)；

當(dāng)所述OPC通訊數(shù)據(jù)包的預(yù)設(shè)多個(gè)元組信息合法時(shí)，根據(jù)DEC/RPC協(xié)議規(guī)范對(duì)所述OPC通訊數(shù)據(jù)包的DEC/RPC數(shù)據(jù)格式的合法性進(jìn)行檢測(cè)；

當(dāng)所述OPC通訊數(shù)據(jù)包的DEC/RPC數(shù)據(jù)格式合法時(shí)，且OPC通訊數(shù)據(jù)包的目的端口為OPC動(dòng)態(tài)端口時(shí)，判斷OPC通訊數(shù)據(jù)包是否為Request數(shù)據(jù)包；

當(dāng)所述OPC通訊數(shù)據(jù)包的目的端口為OPC動(dòng)態(tài)端口，且所述OPC通訊數(shù)據(jù)包為Request數(shù)據(jù)包時(shí)，對(duì)Request數(shù)據(jù)包的有效性進(jìn)行檢測(cè)；

當(dāng)所述OPC通訊數(shù)據(jù)包具備有效性時(shí)，對(duì)Request數(shù)據(jù)包的OPC指令的合法性進(jìn)行檢測(cè)；

當(dāng)Request數(shù)據(jù)包的OPC指令的合法時(shí)，對(duì)所述OPC通訊數(shù)據(jù)包進(jìn)行轉(zhuǎn)發(fā)；

其中，所述對(duì)Request數(shù)據(jù)包的有效性進(jìn)行檢測(cè)，包括：

當(dāng)OPC客戶端向OPC服務(wù)器發(fā)送包含有所述OPC動(dòng)態(tài)端口的Bind數(shù)據(jù)包，且接收到OPC服務(wù)器反饋的Bind_ack數(shù)據(jù)包時(shí)，判定OPC客戶端可以訪問(wèn)所述OPC動(dòng)態(tài)端口，Request數(shù)據(jù)包具有有效性，所述Bind數(shù)據(jù)包用于詢問(wèn)OPC服務(wù)器是否支持相應(yīng)的OPC動(dòng)態(tài)端口的訪問(wèn)；

或當(dāng)OPC客戶端向OPC服務(wù)器發(fā)送包含有所述OPC動(dòng)態(tài)端口的Alter_context數(shù)據(jù)包，且接收到OPC服務(wù)器反饋的Alter_context_response數(shù)據(jù)包時(shí)，判定OPC客戶端可以訪問(wèn)所述OPC動(dòng)態(tài)端口，Request數(shù)據(jù)包具有有效性，所述Alter_context數(shù)據(jù)包用于詢問(wèn)OPC服務(wù)器是否支持相應(yīng)的OPC動(dòng)態(tài)端口的訪問(wèn)。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述OPC通訊數(shù)據(jù)包的預(yù)設(shè)多個(gè)元組信息包括：目的MAC地址、源MAC地址、目的IP地址、源IP地址、目的端口、源端口和傳輸層協(xié)議；所述對(duì)所述OPC通訊數(shù)據(jù)包的預(yù)設(shè)多個(gè)元組信息的合法性進(jìn)行檢測(cè)，包括：

根據(jù)預(yù)先建立的IP-MAC地址綁定列表，檢測(cè)所述OPC通訊數(shù)據(jù)包中的目的IP地址與目的MAC地址的對(duì)應(yīng)關(guān)系是否合法，并檢測(cè)所述OPC通訊數(shù)據(jù)包中的源IP地址與源MAC地址的對(duì)應(yīng)關(guān)系是否合法；

根據(jù)預(yù)先建立的安全策略表，判斷所述OPC通訊數(shù)據(jù)包中的目的IP地址、源IP地址、目的端口、源端口和傳輸層協(xié)議的類型是否符合所述安全策略表的ACL訪問(wèn)規(guī)則，若是，所述OPC通訊數(shù)據(jù)包的預(yù)設(shè)多個(gè)元組信息合法。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述根據(jù)DEC/RPC協(xié)議規(guī)范對(duì)所述OPC通訊數(shù)據(jù)包的DEC/RPC數(shù)據(jù)格式的合法性進(jìn)行檢測(cè)，包括：

從所述OPC通訊數(shù)據(jù)包中提取DEC/RPC協(xié)議應(yīng)用層數(shù)據(jù)；

檢測(cè)所述DEC/RPC協(xié)議應(yīng)用層數(shù)據(jù)的格式是否合法；

當(dāng)所述OPC通訊數(shù)據(jù)包是由OPC客戶端發(fā)出的，判斷所述OPC通訊數(shù)據(jù)包的類型是否為Bind數(shù)據(jù)包、Alter_context數(shù)據(jù)包、Request數(shù)據(jù)包、Shutdown數(shù)據(jù)包和Cancel數(shù)據(jù)包中的任意一種；

當(dāng)所述OPC通訊數(shù)據(jù)包是由OPC服務(wù)器發(fā)出的，判斷所述OPC通訊數(shù)據(jù)包的類型是否為Response數(shù)據(jù)包、Alter_context_response數(shù)據(jù)包、Fault數(shù)據(jù)包、Bind_ack數(shù)據(jù)包、Bind_nak數(shù)據(jù)包和Orphaned數(shù)據(jù)包中的任意一種。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，當(dāng)所述DEC/RPC協(xié)議應(yīng)用層數(shù)據(jù)中存在數(shù)據(jù)包認(rèn)證信息時(shí)，所述根據(jù)DEC/RPC協(xié)議規(guī)范對(duì)所述OPC通訊數(shù)據(jù)包的DEC/RPC數(shù)據(jù)格式的合法性進(jìn)行檢測(cè)，還包括：

對(duì)所述DEC/RPC協(xié)議應(yīng)用層數(shù)據(jù)中的數(shù)據(jù)包認(rèn)證信息的合法性進(jìn)行檢測(cè)。