[發明專利]一種工控網絡安全檢測系統

在審

• 申請號: 202011570146.1
• 申請日: 2020-12-26
• 公開（公告）號: CN112738077A
• 公開（公告）日: 2021-04-30
• 發明（設計）人: 王永峰;關勇;張向華
• 申請（專利權）人: 北京珞安科技有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京中政聯科專利代理事務所(普通合伙) 11489
• 代理人: 張春慧

1.一種工控網絡安全檢測系統，其特征在于，包括管理信息網和工業生產網，管理信息網和工業生產網之間設置安全緩沖區，安全緩沖區內設有第一防火墻和入侵檢測模塊；第一防火墻和入侵檢測模塊用來阻擋外網用戶對系統的入侵；

工業生產網中設置蜜罐、第二防火墻、生產設備識別模塊、生產設備行為監控模塊、生產設備行為分析模塊和異常停機模塊；

蜜罐內設有入侵檢測單元、行為記錄單元和報警單元，入侵檢測單元用來識別對蜜罐進行的掃描行為，行為記錄單元用來記錄入侵者在蜜罐內的行為，報警單元用來通知網絡管理員；蜜罐在正常網絡流量下不會被訪問，所有對其鏈接的嘗試均被視為可疑操作；

第二防火墻用來阻擋外網用戶對工業生產網的入侵；

生產設備識別模塊內設有生產設備搜索單元、生產設備識別單元和生產設備信息記錄單元；生產設備搜索單元用來對工業生產網中的所有節點設備進行搜索，生產設備識別單元用來識別具體的生產設備，識別的信息包括設備類型、廠商型號、設備功能和設備理論運行行為，生產設備信息記錄單元用來記錄生產設備識別單元識別到的設備信息；生產設備識別模塊建立與設備對應的理論運行行為庫；

生產設備行為監控模塊用來監控并記錄生產設備發生的所有實際運行行為；

生產設備行為分析模塊用來將實際運行行為與理論運行行為庫進行比對，當實際運行行為不在理論運行行為庫中時，判定為異常行為，同時通知管理人員；

異常停機模塊與生產設備行為分析模塊連接，異常停機模塊用來停止生產設備的運行，當某一生產設備產生兩次同種或不同種的異常行為時，異常停機模塊啟動將對應的生產設備緊急停機。

2.根據權利要求1所述的工控網絡安全檢測系統，其特征在于，設定蜜罐外發流量上限值，當蜜罐外發的數量達到預先設定的上限時，第二防火墻阻塞后續蜜罐向外發出的所有信息包。

3.根據權利要求1所述的工控網絡安全檢測系統，其特征在于，蜜罐內的漏洞數量多于正常的工業生產網中的漏洞數量。

4.根據權利要求1-3任一所述的工控網絡安全檢測系統，提出工控網絡安全檢測方法，其特征在于，包括以下步驟：

S1、生產設備識別模塊識別設備類型，建立理論運行行為庫；

S2、第一防火墻和入侵檢測模塊檢測和阻擋外網入侵行為；

S3、蜜罐檢測對工業生產網的掃描行為，判定可疑操作；

S4、蜜罐甄別可疑操作，確認入侵行為，發送警報信息至管理員；

S5、生產設備識別模塊加快工作頻率，識別某一生產設備產生兩次同種或不同種的異常行為時，異常停機模塊啟動將對應的生產設備緊急停機；

S6、蜜罐外發流量達到設定上限后，第二防火墻阻塞后續蜜罐向外發出的所有信息包。

5.根據權利要求1所述的工控網絡安全檢測系統，其特征在于，蜜罐設置多組。

6.根據權利要求1所述的工控網絡安全檢測系統，其特征在于，異常停機模塊內設有存儲單元，存儲單元記錄歷史設備停機情況，并按照停機時間進行降序排列。

7.根據權利要求1所述的工控網絡安全檢測系統，其特征在于，生產設備識別模塊對每個設備進行編號，理論運行行為庫與對應編號的設備匹配對應關系。

8.根據權利要求1所述的工控網絡安全檢測系統，其特征在于，第一防火墻包括鏈路數據過濾模塊、攻擊檢測模塊、深度協議過濾模塊和日志審計模塊；鏈路數據過濾模塊能對IP、TCP、UDP和ICMP三層協議過濾，對ARP和802.1q等二層協議過濾；攻擊檢測模塊能對ICMPFlood、Ping of Deat、UDP Flood、Land、Tear Drop和SYN攻擊進行檢測；深度協議過濾模塊支持OPC、Modbus、IEC 60870-5-104、IEC 61850MMS、IEC 61850GOOSE、DNP3、EnIP、CIP、Profinet、Siemens S7和OMRON FIN協議的深度分析；日志審計模塊可與遠程管理終端互動即時上傳日志信息。