[發明專利]一種工控系統安全防護方法及裝置

有效

• 申請號: 202011568117.1
• 申請日: 2020-12-25
• 公開（公告）號: CN112637220B
• 公開（公告）日: 2023-01-31
• 發明（設計）人: 張金山;徐浩然;曹洋
• 申請（專利權）人: 中能融合智慧科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京正和明知識產權代理事務所(普通合伙) 11845
• 代理人: 馮志慧

1.一種工控系統安全防護方法，其特征在于，包括：

實時監測并獲取工控系統網絡信息，并根據工控安全基線識別安全風險；其中，所述工控安全基線在終端層安全基線、網絡層安全基線的基礎上結合漏洞數據庫、威脅情報數據庫建立；

其中，

所述工控安全基線的建立方法包括：根據所述終端層安全基線建立終端層異常行為知識庫、終端層合法行為知識庫；根據所述網絡層安全基線建立網絡層異常通信/流量知識庫、網絡層合法通信/流量知識庫；根據所述終端層異常行為知識庫、所述終端層合法行為知識庫、所述網絡層異常通信/流量知識庫、所述網絡層合法通信/流量知識庫、所述漏洞數據庫、所述威脅情報數據庫建立所述工控安全基線；

所述終端層安全基線的建立方法包括：采集終端指紋數據，所述終端指紋數據包括操作系統版本、開放端口Web開發框架；根據終端歷史通信特征建立終端通信行為模型，所述終端通信行為模型至少包括時間、賬號、操作、訪問對象四個維度的信息，所述終端通信行為模型用于判斷終端的類型，并結合終端加全流量分析系統邊緣計算方法，實現終端安全畫像的低時延與低能耗的建模；根據所述終端指紋數據及所述終端通信行為模型，建立所述終端層安全基線；

所述網絡層安全基線的建立方法包括：

對異常工控協議、流量威脅進行檢測，包括：對工控協議、常規TCP/IP協議棧報文進行監測，及時發現惡意偽造的異常畸形報文，獲知入侵行為；對重要系統的網絡流量進行持續性的監測，采用全文檢索、應用目錄枚舉、圖片文件檢查手段對重要系統進行敏感信息檢測，并定位敏感信息所在系統；對終端通信面臨的典型攻擊類型、漏洞方式和攻擊路徑進行分析和梳理，并結合網絡拓撲結構，對原始數據連接進行跟蹤和預處理，利用聚類方法對不同業務指令行為進行識別，實現對異常流量的威脅檢測；

對異常通信、攻擊進行檢測，包括：通過從網絡、終端、應用、數據不同層次特征進行攻擊檢測并引導流量，實現對攻擊者的精確引導和捕獲；

根據檢測結果建立所述網絡層安全基線。

2.根據權利要求1所述的工控系統安全防護方法，其特征在于，所述工控安全基線定期或不定期進行自動更新，所述自動更新的方法包括：

獲取未知網絡信息，并提取其中的網絡行為特征；

采用強化學習方法識別所述網絡行為特征，并更新所述終端層異常行為知識庫、所述終端層合法行為知識庫、所述網絡層異常通信/流量知識庫或所述網絡層合法通信/流量知識庫。

3.根據權利要求1所述的工控系統安全防護方法，其特征在于，還包括：

根據所述安全風險的識別結果及安全策略數據庫發送安全策略至相應終端。

4.根據權利要求3所述的工控系統安全防護方法，其特征在于，所述安全策略數據庫的建立方法包括：

對工控系統資產進行分析，獲取資產信息，建立資產信息數據庫；

根據所述資產信息及所述工控安全基線對威脅事件進行分析判斷；

根據所述資產信息和所述威脅事件建立所述安全策略數據庫。

5.根據權利要求1所述的工控系統安全防護方法，其特征在于，還包括：

根據所述安全風險的識別結果及所述威脅情報數據庫、漏洞數據庫，流量溯源取證，并結合攻擊者信息庫識別攻擊者畫像。

6.根據權利要求5所述的工控系統安全防護方法，其特征在于，所述攻擊者信息庫的建立方法包括：

通過對網絡流量進行深度解析，獲取攻擊流量的通信特征，并使用可擴展的多分類模型建立所述攻擊者信息庫；所述通信特征包括攻擊工具、攻擊模式。

7.一種工控系統安全防護裝置，用于執行權利要求1至6任一項所述的工控系統安全防護方法，其特征在于，包括：

安全監測單元，用于實時監測并獲取工控系統網絡信息；

安全識別單元，用于根據工控安全基線識別安全風險；

安全基線管理單元，用于建立并更新所述工控安全基線；

存儲單元，用于存儲所述工控系統網絡信息、漏洞數據庫、威脅情報數據庫；

其中，所述工控安全基線在終端層安全基線、網絡層安全基線的基礎上結合漏洞數據庫、威脅情報數據庫建立。