一種將工業(yè)控制系統(tǒng)與管理網(wǎng)絡進行隔離的系統(tǒng)的制作方法
【專利摘要】本發(fā)明涉及一種將工業(yè)控制系統(tǒng)與管理網(wǎng)絡進行隔離的系統(tǒng)。本發(fā)明能在通過數(shù)據(jù)擺渡模塊隔離的方式，保護工業(yè)控制系統(tǒng)和管理網(wǎng)格兩個模塊安全的情況下，保證兩個模塊之間的數(shù)據(jù)擺渡的快速性及穩(wěn)定性，快速性主要保證兩模塊數(shù)據(jù)的最小時間延遲，穩(wěn)定性主要保證數(shù)據(jù)擺渡的最低誤碼率及丟包率。
【專利說明】
一種將工業(yè)控制系統(tǒng)與管理網(wǎng)絡進行隔離的系統(tǒng)
技術(shù)領(lǐng)域
[0001]本發(fā)明涉及工業(yè)通信安全領(lǐng)域，具體涉及一種將工業(yè)控制系統(tǒng)與管理網(wǎng)絡進行隔離的系統(tǒng)。
【背景技術(shù)】
[0002]目前，工業(yè)控制系統(tǒng)企業(yè)管理網(wǎng)絡互連，暴露于公共網(wǎng)絡之中，面臨更多的攻擊。為了保證工業(yè)控制系統(tǒng)的安全性，必須要網(wǎng)絡邊界防護，以降低由管理網(wǎng)引入的威脅風險。

【發(fā)明內(nèi)容】

[0003]針對上述問題，本發(fā)明提供了一種將工業(yè)控制系統(tǒng)與管理網(wǎng)絡進行隔離的系統(tǒng)，包括工業(yè)控制系統(tǒng)安全模塊、管理網(wǎng)絡安全模塊、數(shù)據(jù)擺渡模塊；
[0004]工業(yè)控制系統(tǒng)安全模塊為工業(yè)控制系統(tǒng)網(wǎng)絡提供邊界防護及協(xié)議安全防護;工業(yè)控制系統(tǒng)安全模塊對工業(yè)設(shè)備進行判斷，若在系統(tǒng)白名單內(nèi)則允許通信，并對數(shù)據(jù)包進行校驗，進入系統(tǒng)后，進行相關(guān)協(xié)議的過濾，將符合已配置協(xié)議的數(shù)據(jù)執(zhí)行通過，不符合已配置協(xié)議的數(shù)據(jù)執(zhí)行丟棄，形成的日志審計數(shù)據(jù)與管理網(wǎng)絡安全模塊通過數(shù)據(jù)擺渡模塊進行連接。
[0005]工業(yè)控制系統(tǒng)安全模塊主要保證工業(yè)控制網(wǎng)一側(cè)不受病毒、非法操作等攻擊，保護工業(yè)控制網(wǎng)絡的邊界安全。并對工業(yè)控制網(wǎng)絡上的通信數(shù)據(jù)進行數(shù)據(jù)包畸形、數(shù)據(jù)包篡改、數(shù)據(jù)包丟失、敏感數(shù)據(jù)等協(xié)議數(shù)據(jù)包進行在網(wǎng)絡層及應用層的檢查過濾，并根據(jù)檢查情況決定數(shù)據(jù)包的阻止還是轉(zhuǎn)發(fā)操作，保護工業(yè)控制網(wǎng)絡的協(xié)議安全。
[0006]管理網(wǎng)絡安全模塊為管理網(wǎng)絡提供邊界防護及協(xié)議安全防護；
[0007]數(shù)據(jù)擺渡模塊包括協(xié)議轉(zhuǎn)換機、擺渡監(jiān)控及管理、內(nèi)網(wǎng)擺渡機、網(wǎng)間擺渡機。
[0008]管理網(wǎng)絡安全模塊對接收到的數(shù)據(jù)利用安全域安全防護模塊進行VPN解密，若VPN數(shù)據(jù)包被破壞則數(shù)據(jù)阻止，并進行安全審計，記錄數(shù)據(jù)被阻止的時間、源地址、目標地址、阻止原因信息，形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫；否則從遠程密鑰服務器獲取密鑰，并利用密鑰對應用數(shù)據(jù)進行數(shù)據(jù)解密;判定密鑰加密數(shù)據(jù)是否被破壞，若被破壞，則數(shù)據(jù)阻止并進行安全審計，記錄數(shù)據(jù)被阻止的時間、源地址、目標地址、阻止原因信息，形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫，否則判定是否為系統(tǒng)配置數(shù)據(jù)，進入系統(tǒng)配置登錄鑒別系統(tǒng)進行鑒別，鑒別成功后設(shè)置系統(tǒng)參數(shù)并進行安全審計，記錄鑒別時間、源地址、鑒別用戶、鑒別結(jié)果信息，形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫;鑒別不成功則進行鑒別失敗處理;若判定數(shù)據(jù)為通信業(yè)務數(shù)據(jù)，通過安全策略獲得工業(yè)控制協(xié)議的類型，并檢查協(xié)議的格式及協(xié)議校驗，協(xié)議檢查合格進入?yún)f(xié)議過濾步驟，否則數(shù)據(jù)阻止并進行安全審計，記錄事件時間、源地址、目的地址、檢查結(jié)果信息，形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫;協(xié)議過濾功能獲取安全策略得到白名單，并對協(xié)議數(shù)據(jù)進行過濾，數(shù)據(jù)合格進行數(shù)據(jù)轉(zhuǎn)發(fā)，否則進行數(shù)據(jù)阻止并安全審計，記錄事件時間、源地址、目的地址、過濾結(jié)果信息，形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫;進一步，所述的鑒別失敗處理為鑒別失敗后中止服務程序，如果同一賬戶短時間內(nèi)超過3次登錄失敗則將登錄地址與該賬戶加入黑名單禁止再次訪問，并進行安全審計，記錄鑒別時間、源地址、鑒別用戶、鑒別結(jié)果等信息，形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫。
[0009]數(shù)據(jù)擺渡模塊進行數(shù)據(jù)擺渡的步驟如下:(I)工業(yè)控制系統(tǒng)與管理網(wǎng)絡中一方設(shè)備提出擺渡申請；(2)檢測該設(shè)備是否在安全域內(nèi)，若是，則檢測是否經(jīng)過加密認證;若否，擺渡申請被駁回并生成日志信息；(3))檢測該設(shè)備是否經(jīng)過加密認證，若是，則擺渡申請成功轉(zhuǎn)入(4);若否，擺渡申請被駁回并生成日志信息；(4)設(shè)備數(shù)據(jù)經(jīng)網(wǎng)間擺渡機、協(xié)議轉(zhuǎn)換機、內(nèi)網(wǎng)擺渡機后到達另一方，并通過擺渡監(jiān)控及管理生成日志信息。
[0010]數(shù)據(jù)擺渡模塊對工業(yè)控制系統(tǒng)和管理網(wǎng)絡模塊進行隔離。數(shù)據(jù)擺渡模塊還要保證兩個模塊之間的數(shù)據(jù)擺渡的快速性及穩(wěn)定性，快速性主要保證兩模塊數(shù)據(jù)的最小時間延遲，穩(wěn)定性主要保證數(shù)據(jù)擺渡的最低誤碼率及丟包率。本系統(tǒng)的數(shù)據(jù)擺渡包括兩個網(wǎng)絡經(jīng)過協(xié)議安全檢查后的合格數(shù)據(jù)，根據(jù)其目的地址可以決定是在內(nèi)網(wǎng)擺渡還是在網(wǎng)間擺渡，所謂內(nèi)網(wǎng)擺渡就是數(shù)據(jù)在控制網(wǎng)絡或管理網(wǎng)絡內(nèi)部擺渡，所謂網(wǎng)間擺渡就是將數(shù)據(jù)通過私有協(xié)議將數(shù)據(jù)在控制網(wǎng)絡與管理網(wǎng)絡之間進行跨網(wǎng)擺渡。協(xié)議轉(zhuǎn)換機主要職能一方面將本地網(wǎng)絡的安全數(shù)據(jù)轉(zhuǎn)換成擺渡私有協(xié)議，并對數(shù)據(jù)進行加密。另一方面對接收數(shù)據(jù)進行接收、解析、校驗，將校驗合格的數(shù)據(jù)封包成本網(wǎng)絡標準協(xié)議。擺渡監(jiān)控及管理一是監(jiān)控數(shù)據(jù)擺渡模塊的軟硬件性能，比如隔離總線帶寬占比、系統(tǒng)CPU的占用率、系統(tǒng)內(nèi)存的占比、協(xié)議轉(zhuǎn)換機及擺渡機的數(shù)據(jù)棧占有情況等。二是集中調(diào)度內(nèi)網(wǎng)擺渡機及網(wǎng)間擺渡機的擺渡工作，決定數(shù)據(jù)包的擺渡方向，安排擺渡數(shù)據(jù)的優(yōu)先級，確定數(shù)據(jù)包的擺渡順序以及數(shù)據(jù)擺渡故障的應急處理等。三是集中管理數(shù)據(jù)擺渡中的心跳、握手、應答、重發(fā)等機制的通信，使數(shù)據(jù)擺渡形成閉環(huán)收發(fā)機制，防止數(shù)據(jù)的丟包及出現(xiàn)誤碼。內(nèi)網(wǎng)擺渡機主要管理內(nèi)網(wǎng)擺渡數(shù)據(jù)包出入棧操作、擺渡數(shù)據(jù)的接收，外網(wǎng)擺渡機主要承擔網(wǎng)間擺渡數(shù)據(jù)包的出入棧操作、擺渡數(shù)據(jù)包的接收以及提供隔離總線時序時鐘。
[0011]本發(fā)明能在通過數(shù)據(jù)擺渡模塊隔離的方式，保護工業(yè)控制系統(tǒng)和管理網(wǎng)格兩個模塊安全的情況下，保證兩個模塊之間的數(shù)據(jù)擺渡的快速性及穩(wěn)定性，快速性主要保證兩模塊數(shù)據(jù)的最小時間延遲，穩(wěn)定性主要保證數(shù)據(jù)擺渡的最低誤碼率及丟包率。
【附圖說明】
[0012]附圖1系統(tǒng)模塊圖；
[0013]附圖2系統(tǒng)工業(yè)控制安全模塊流程圖；
[0014]附圖3系統(tǒng)管理網(wǎng)絡安全模塊流程圖；
[0015]附圖4系統(tǒng)擺渡模塊流程圖。
【具體實施方式】
[0016]一種將工業(yè)控制系統(tǒng)與管理網(wǎng)絡進行隔離的系統(tǒng)，如圖1所示，包括工業(yè)控制系統(tǒng)安全模塊、管理網(wǎng)絡安全模塊、數(shù)據(jù)擺渡模塊；
[0017]工業(yè)控制系統(tǒng)安全模塊為工業(yè)控制系統(tǒng)網(wǎng)絡提供邊界防護及協(xié)議安全防護；
[0018]管理網(wǎng)絡安全模塊為管理網(wǎng)絡提供邊界防護及協(xié)議安全防護；
[0019]數(shù)據(jù)擺渡模塊包括協(xié)議轉(zhuǎn)換機、擺渡監(jiān)控及管理、內(nèi)網(wǎng)擺渡機、網(wǎng)間擺渡機。
[0020]所述的邊界防護采用身份認證、訪問控制、審計與核查、系統(tǒng)與通信保護;所述的協(xié)議安全防護包括協(xié)議的解析、檢查、阻止、轉(zhuǎn)發(fā)。
[0021]系統(tǒng)對工業(yè)控制系統(tǒng)進行保護。如圖2，對工業(yè)設(shè)備進行判斷，若在系統(tǒng)白名單內(nèi)則允許通信，并對數(shù)據(jù)包進行校驗，進入系統(tǒng)后，進行相關(guān)協(xié)議的過濾，將符合已配置協(xié)議的數(shù)據(jù)執(zhí)行通過，不符合已配置協(xié)議的數(shù)據(jù)執(zhí)行丟棄，形成的日志審計數(shù)據(jù)與管理網(wǎng)絡安全模塊通過數(shù)據(jù)擺渡模塊進行連接。
[0022]系統(tǒng)對管理網(wǎng)絡進行保護。如圖3，對接收到的數(shù)據(jù)利用安全域安全防護模塊進行VPN解密，若VPN數(shù)據(jù)包被破壞則數(shù)據(jù)阻止，并進行安全審計，記錄數(shù)據(jù)被阻止的時間、源地址、目標地址、阻止原因信息，形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫；否則從遠程密鑰服務器獲取密鑰，并利用密鑰對應用數(shù)據(jù)進行數(shù)據(jù)解密;判定密鑰加密數(shù)據(jù)是否被破壞，若被破壞，則數(shù)據(jù)阻止并進行安全審計，記錄數(shù)據(jù)被阻止的時間、源地址、目標地址、阻止原因信息，形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫，否則判定是否為系統(tǒng)配置數(shù)據(jù)，進入系統(tǒng)配置登錄鑒別系統(tǒng)進行鑒別，鑒別成功后設(shè)置系統(tǒng)參數(shù)并進行安全審計，記錄鑒別時間、源地址、鑒別用戶、鑒別結(jié)果信息，形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫;鑒別不成功則進行鑒別失敗處理;若判定數(shù)據(jù)為通信業(yè)務數(shù)據(jù)，通過安全策略獲得工業(yè)控制協(xié)議的類型，并檢查協(xié)議的格式及協(xié)議校驗，協(xié)議檢查合格進入?yún)f(xié)議過濾步驟，否則數(shù)據(jù)阻止并進行安全審計，記錄事件時間、源地址、目的地址、檢查結(jié)果信息，形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫;協(xié)議過濾功能獲取安全策略得到白名單，并對協(xié)議數(shù)據(jù)進行過濾，數(shù)據(jù)合格進行數(shù)據(jù)轉(zhuǎn)發(fā)，否則進行數(shù)據(jù)阻止并安全審計，記錄事件時間、源地址、目的地址、過濾結(jié)果信息，形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫。進一步，所述的鑒別失敗處理為鑒別失敗后中止服務程序，如果同一賬戶短時間內(nèi)超過3次登錄失敗則將登錄地址與該賬戶加入黑名單禁止再次訪問，并進行安全審計，記錄鑒別時間、源地址、鑒別用戶、鑒別結(jié)果等信息，形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫。
[0023]同時，為了保證安全，如圖4，數(shù)據(jù)擺渡模塊進行數(shù)據(jù)擺渡的步驟如下:(I)工業(yè)控制系統(tǒng)與管理網(wǎng)絡中一方設(shè)備提出擺渡申請；(2)檢測該設(shè)備是否在安全域內(nèi)，若是，則檢測是否經(jīng)過加密認證;若否，擺渡申請被駁回并生成日志信息；(3))檢測該設(shè)備是否經(jīng)過加密認證，若是，則擺渡申請成功轉(zhuǎn)入(4);若否，擺渡申請被駁回并生成日志信息；(4)設(shè)備數(shù)據(jù)經(jīng)網(wǎng)間擺渡機、協(xié)議轉(zhuǎn)換機、內(nèi)網(wǎng)擺渡機后到達另一方，并通過擺渡監(jiān)控及管理生成日志?目息ο
【主權(quán)項】
1.一種將工業(yè)控制系統(tǒng)與管理網(wǎng)絡進行隔離的系統(tǒng)，其特征在于:包括工業(yè)控制系統(tǒng)安全模塊、管理網(wǎng)絡安全模塊、數(shù)據(jù)擺渡模塊； 工業(yè)控制系統(tǒng)安全模塊為工業(yè)控制系統(tǒng)網(wǎng)絡提供邊界防護及協(xié)議安全防護;工業(yè)控制系統(tǒng)安全模塊對工業(yè)設(shè)備進行判斷，若在系統(tǒng)白名單內(nèi)則允許通信，并對數(shù)據(jù)包進行校驗，進入系統(tǒng)后，進行相關(guān)協(xié)議的過濾，將符合已配置協(xié)議的數(shù)據(jù)執(zhí)行通過，不符合已配置協(xié)議的數(shù)據(jù)執(zhí)行丟棄，形成的日志審計數(shù)據(jù)與管理網(wǎng)絡安全模塊通過數(shù)據(jù)擺渡模塊進行連接； 管理網(wǎng)絡安全模塊為管理網(wǎng)絡提供邊界防護及協(xié)議安全防護； 數(shù)據(jù)擺渡模塊包括協(xié)議轉(zhuǎn)換機、擺渡監(jiān)控及管理、內(nèi)網(wǎng)擺渡機、網(wǎng)間擺渡機。2.根據(jù)權(quán)利要求1所述的將工業(yè)控制系統(tǒng)與管理網(wǎng)絡進行隔離的系統(tǒng)，其特征在于:管理網(wǎng)絡安全模塊對接收到的數(shù)據(jù)利用安全域安全防護模塊進行VPN解密，若VPN數(shù)據(jù)包被破壞則數(shù)據(jù)阻止，并進行安全審計;否則從遠程密鑰服務器獲取密鑰，并利用密鑰對應用數(shù)據(jù)進行數(shù)據(jù)解密;判定密鑰加密數(shù)據(jù)是否被破壞，若被破壞，則數(shù)據(jù)阻止并進行安全審計，否則判定是否為系統(tǒng)配置數(shù)據(jù)，進入系統(tǒng)配置登錄鑒別系統(tǒng)進行鑒別，鑒別成功后設(shè)置系統(tǒng)參數(shù)并進行安全審計;鑒別不成功則進行鑒別失敗處理;若判定數(shù)據(jù)為通信業(yè)務數(shù)據(jù)，通過安全策略獲得工業(yè)控制協(xié)議的類型，并檢查協(xié)議的格式及協(xié)議校驗，協(xié)議檢查合格進入?yún)f(xié)議過濾步驟，否則數(shù)據(jù)阻止并進行安全審計;協(xié)議過濾功能獲取安全策略得到白名單，并對協(xié)議數(shù)據(jù)進行過濾，數(shù)據(jù)合格進行數(shù)據(jù)轉(zhuǎn)發(fā)，否則進行數(shù)據(jù)阻止并安全審計。3.根據(jù)權(quán)利要求1所述的將工業(yè)控制系統(tǒng)與管理網(wǎng)絡進行隔離的系統(tǒng)，其特征在于:數(shù)據(jù)擺渡模塊進行數(shù)據(jù)擺渡的步驟如下:(I)工業(yè)控制系統(tǒng)與管理網(wǎng)絡中一方設(shè)備提出擺渡申請；(2)檢測該設(shè)備是否在安全域內(nèi)，若是，則檢測是否經(jīng)過加密認證;若否，擺渡申請被駁回并生成日志信息；(3)檢測該設(shè)備是否經(jīng)過加密認證，若是，則擺渡申請成功轉(zhuǎn)入(4);若否，擺渡申請被駁回并生成日志信息；(4)設(shè)備數(shù)據(jù)經(jīng)網(wǎng)間擺渡機、協(xié)議轉(zhuǎn)換機、內(nèi)網(wǎng)擺渡機后到達另一方，并通過擺渡監(jiān)控及管理生成日志信息。
【文檔編號】H04L29/06GK105897711SQ201610213513
【公開日】2016年8月24日
【申請日】2016年4月7日
【發(fā)明人】周文奇
【申請人】周文奇