一種保障工業(yè)控制系統(tǒng)信息安全的方法及系統(tǒng)的制作方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及信息安全技術(shù)領(lǐng)域，尤其涉及一種保障工業(yè)控制系統(tǒng)信息安全的方法及系統(tǒng)。
【背景技術(shù)】
[0002]工業(yè)控制系統(tǒng)是由各種自動(dòng)化控制組件以及對(duì)實(shí)時(shí)數(shù)據(jù)進(jìn)行采集、監(jiān)測(cè)的過(guò)程控制組件共同構(gòu)成的確保工業(yè)基礎(chǔ)設(shè)施自動(dòng)化運(yùn)行、過(guò)程控制與監(jiān)控的業(yè)務(wù)流程管控系統(tǒng)。目前，工業(yè)控制系統(tǒng)廣泛應(yīng)用于我國(guó)電力、水利、污水處理、石油天然氣、化工、交通運(yùn)輸、制藥以及大型制造行業(yè)。工業(yè)控制系統(tǒng)中的安全防護(hù)目前主要有安全管理，IT安全防護(hù)技術(shù)和工業(yè)防火墻等。
[0003]1.安全管理:
[0004]布署縱深防御體系，保證工業(yè)控制系統(tǒng)的物理安全，建立安全策略與流程，適當(dāng)采取隔離、漏洞檢查、威脅檢測(cè)等保護(hù)措施。例如，進(jìn)行網(wǎng)絡(luò)分區(qū)與邊界保護(hù)，建立安全的單元間通信，系統(tǒng)加固與補(bǔ)丁管理，惡意軟件的檢測(cè)與防護(hù)，訪問(wèn)控制與賬號(hào)管理，記錄設(shè)備訪問(wèn)日志并進(jìn)行必要的審計(jì)等。確保只有絕對(duì)必要的人員才能在物理層面接觸到工業(yè)控制設(shè)備。
[0005]2.1T安全防護(hù)技術(shù):
[0006]通過(guò)對(duì)控制網(wǎng)絡(luò)的防護(hù)，大部分采用的是常規(guī)網(wǎng)絡(luò)安全技術(shù)，主要包括防火墻、IDS、VPN、防病毒等。主要針對(duì)三級(jí)以上的網(wǎng)絡(luò)防護(hù)。
[0007]3.工業(yè)防火墻:
[0008]防火墻產(chǎn)品，目前基本是以包過(guò)濾技術(shù)為基礎(chǔ)的，它最大的局限性在于不能保證準(zhǔn)許放行的數(shù)據(jù)的安全性。防火墻通過(guò)拒絕放行并丟棄數(shù)據(jù)包來(lái)實(shí)現(xiàn)自已的安全機(jī)制。但防火墻無(wú)法保證準(zhǔn)許放行數(shù)據(jù)的安全性。
[0009]工業(yè)防火墻內(nèi)置各種主流自動(dòng)化產(chǎn)品制造商的私有通信協(xié)議，可實(shí)現(xiàn)與各主流自動(dòng)化產(chǎn)品如 Honeywe IlDCS 系統(tǒng)、Yokogawa DCS 系統(tǒng)、INVENSYS DCS 等系統(tǒng)，OPC SERVER、IP21/PHD/PI等服務(wù)器或數(shù)據(jù)庫(kù)無(wú)擾動(dòng)接入。與常規(guī)防火墻不同的是，工業(yè)防火墻是基于內(nèi)置工業(yè)通訊協(xié)議的防護(hù)模式，由于工業(yè)通訊協(xié)議通常是基于常規(guī)TCP/IP在應(yīng)用層的高級(jí)開(kāi)發(fā)，工業(yè)防火墻不僅是在端口上的防護(hù)，更重要的是基于應(yīng)用層上數(shù)據(jù)包的深度檢查、協(xié)議分析，屬于新一代工業(yè)通訊協(xié)議防火墻。
[0010]目前主有的工業(yè)控制網(wǎng)絡(luò)中的解決方案都有一定的缺點(diǎn)，安全管理只能減少感染病毒的機(jī)會(huì)，而不能完全杜絕從網(wǎng)絡(luò)上惡意的攻擊，IT全防護(hù)技術(shù)用于工業(yè)控制領(lǐng)域的三級(jí)以上的網(wǎng)絡(luò)有一定效果，而對(duì)一二級(jí)網(wǎng)絡(luò)無(wú)法阻止相關(guān)的安全問(wèn)題，工業(yè)防火墻加入工業(yè)協(xié)議分析可以阻止一些非法的信息攻擊，但不能不能阻止通過(guò)合法協(xié)議執(zhí)行的非正常命令從而對(duì)系統(tǒng)造成損害。

【發(fā)明內(nèi)容】

[0011]本發(fā)明所要解決的技術(shù)問(wèn)題是，提供一種保障工業(yè)控制系統(tǒng)信息安全的系統(tǒng)及方法，以解決現(xiàn)有技術(shù)所采用的信息安全保障手段所存在的只能減少病毒感染機(jī)會(huì)而不能杜絕病毒攻擊，以及不能阻止通過(guò)合法協(xié)議執(zhí)行的非正常命令從而對(duì)系統(tǒng)造成損害的不足。本發(fā)明是這樣實(shí)現(xiàn)的:
[0012]一種保障工業(yè)控制系統(tǒng)信息安全的方法，包括如下步驟:
[0013]步驟A:檢測(cè)所述工業(yè)控制系統(tǒng)的輸入數(shù)據(jù)及輸出數(shù)據(jù)，并根據(jù)所述輸入數(shù)據(jù)與輸出數(shù)據(jù)的邏輯關(guān)系判斷所述工業(yè)控制系統(tǒng)的輸出數(shù)據(jù)的正確性；
[0014]步驟B:檢測(cè)所述工業(yè)控制系統(tǒng)的輸出數(shù)據(jù)，并將其與預(yù)設(shè)的安全值范圍比對(duì)，并根據(jù)比對(duì)結(jié)果判斷所述輸出數(shù)據(jù)的合法性；
[0015]步驟C:檢測(cè)所述工業(yè)控制系統(tǒng)的通訊協(xié)議，并據(jù)此建立通訊協(xié)議自名單，并據(jù)此判斷所述工業(yè)控制系統(tǒng)中命令的正常性；
[0016]步驟D:對(duì)上述三個(gè)步驟檢測(cè)到的錯(cuò)誤的輸出數(shù)據(jù)、非法的輸出數(shù)據(jù)、非正常命令進(jìn)行上報(bào)。
[0017]進(jìn)一步地，所述輸入數(shù)據(jù)包括:數(shù)字量輸入數(shù)據(jù)及模擬量輸入數(shù)據(jù)；所述輸出數(shù)據(jù)包括:數(shù)字量輸出數(shù)據(jù)輸出模擬量輸出數(shù)據(jù)，以及所述工業(yè)控制系統(tǒng)中各執(zhí)行機(jī)構(gòu)輸出值；
[0018]進(jìn)一步地，所述步驟A中，當(dāng)所述輸入數(shù)據(jù)與所述輸出數(shù)據(jù)符合所述邏輯關(guān)系時(shí)，判定所述輸出數(shù)據(jù)屬于正確的輸出數(shù)據(jù)，否則判定所述輸出數(shù)據(jù)屬于錯(cuò)誤的輸出數(shù)據(jù)。
[0019]進(jìn)一步地，所述步驟B中，當(dāng)所述輸出數(shù)據(jù)處于所述安全值范圍內(nèi)時(shí)，判定所述輸出數(shù)據(jù)為合法的輸出數(shù)據(jù)，否則判定所述輸出數(shù)據(jù)為非法的輸出數(shù)據(jù)。
[0020]進(jìn)一步地，所述步驟C中，當(dāng)所述命令符合所述白名單中的通訊協(xié)議時(shí)，判定所述命令為正常命令，否則判定所述命令為非正常命令。
[0021]一種保障工業(yè)控制系統(tǒng)信息安全的系統(tǒng)，包括:
[0022]檢測(cè)模塊，用于檢測(cè)所述工業(yè)控制系統(tǒng)的輸入數(shù)據(jù)、輸出數(shù)據(jù)以及輸入數(shù)據(jù)與輸出數(shù)據(jù)的邏輯關(guān)系；
[0023]一致性智能分析模塊，用于根據(jù)所述輸入數(shù)據(jù)與輸出數(shù)據(jù)的邏輯關(guān)系判斷所述工業(yè)控制系統(tǒng)的輸出數(shù)據(jù)的正確性，將所述輸出數(shù)據(jù)與預(yù)設(shè)的安全值范圍比對(duì)并根據(jù)比對(duì)結(jié)果判斷所述輸出數(shù)據(jù)的合法性，根據(jù)預(yù)設(shè)的通訊協(xié)議白名單判斷所述工業(yè)控制系統(tǒng)中命令的正常性；
[0024]報(bào)警模塊，用于接收并分類檢測(cè)到的錯(cuò)誤的輸出數(shù)據(jù)、非法的輸出數(shù)據(jù)、非正常命令；
[0025]數(shù)據(jù)上傳模塊，用于對(duì)分類后的錯(cuò)誤的輸出數(shù)據(jù)、非法的輸出數(shù)據(jù)、非正常命令進(jìn)行上報(bào)。
[0026]進(jìn)一步地，所述檢測(cè)模塊包括:
[0027]用于檢測(cè)邏輯信號(hào)的邏輯接口信號(hào)檢測(cè)模塊；
[0028]用于檢測(cè)數(shù)字開(kāi)關(guān)量信號(hào)的數(shù)字量輸入及輸出檢測(cè)模塊；
[0029]用于檢測(cè)模擬量信號(hào)的模擬量輸入及輸出接口模塊。
[0030]進(jìn)一步地，所述邏輯接口信號(hào)檢測(cè)模塊通過(guò)檢測(cè)通訊端口的通訊信號(hào)，并獲取其波形，然后對(duì)其波形進(jìn)行邏輯分析或編程以獲取該通訊端口的邏輯信號(hào)。
[0031]進(jìn)一步地，所述保障工業(yè)控制系統(tǒng)信息安全的系統(tǒng)還包括參數(shù)配置模塊，與所述一致性智能分析模塊連接，用于設(shè)置所述一致性智能分析模塊的分析依據(jù)，并將其發(fā)送到所述一致性智能分析模塊。
[0032]進(jìn)一步地，所述分析依據(jù)包括:各輸入數(shù)據(jù)與輸出數(shù)據(jù)的邏輯關(guān)系、各輸出數(shù)據(jù)的安全值范圍、通訊協(xié)議白名單。
[0033]與現(xiàn)有技術(shù)相比，本發(fā)明從擬保障信息安全的工業(yè)控制系統(tǒng)的最終輸出數(shù)據(jù)的檢測(cè)出發(fā)，預(yù)設(shè)相關(guān)安全值范圍及過(guò)濾系統(tǒng)中的非正常命令，對(duì)被檢測(cè)的工業(yè)控制系統(tǒng)的輸出和預(yù)設(shè)進(jìn)行可信的一致性對(duì)比，及時(shí)發(fā)現(xiàn)由信息安全引起的系統(tǒng)入侵和故障，從根本上解決工業(yè)控制系統(tǒng)的信息安全問(wèn)題。
【附圖說(shuō)明】
[0034]圖1:本發(fā)明實(shí)施例提供的保障工業(yè)控制系統(tǒng)信息安全的方法組成示意圖；
[0035]圖2:本發(fā)明實(shí)施例提供的保障工業(yè)控制系統(tǒng)信息安全的系統(tǒng)組成示意圖；
[0036]圖3:上述保障工業(yè)控制系統(tǒng)信息安全的系統(tǒng)中檢測(cè)模塊的組成示意圖。
【具體實(shí)施方式】
[0037]為了使本發(fā)明的目的、技術(shù)方案及優(yōu)點(diǎn)更加清楚明白，以下結(jié)合附圖及實(shí)施例，對(duì)本發(fā)明進(jìn)行進(jìn)一步詳細(xì)說(shuō)明。
[0038]如圖1所示，本發(fā)明提供了一種保障工業(yè)控制系統(tǒng)信息安全的方法，包括如下步驟:
[0039]步驟A:檢測(cè)所述工業(yè)控制系統(tǒng)的輸入數(shù)據(jù)及輸出數(shù)據(jù)，并根據(jù)所述輸入數(shù)據(jù)與輸出數(shù)據(jù)的邏輯關(guān)系判斷所述工業(yè)控制系統(tǒng)的輸出數(shù)據(jù)的正確性；
[0040]步驟B:檢測(cè)所述工業(yè)控制系統(tǒng)的輸出數(shù)據(jù)，并將其與預(yù)設(shè)的安全值范圍比對(duì)，并根據(jù)比對(duì)結(jié)果判斷所述輸出數(shù)據(jù)的合法性；
[0041]步驟C:檢測(cè)所述工業(yè)控制系統(tǒng)的通訊協(xié)議，并據(jù)此建立通訊協(xié)議白名單，并據(jù)此判斷所述工業(yè)控制系統(tǒng)中命令的正常性；
[0042]步驟D:對(duì)上述三個(gè)步驟檢測(cè)到的錯(cuò)誤的輸出數(shù)據(jù)、非法的輸出數(shù)據(jù)、非正常命令進(jìn)行上報(bào)。
[0043]其中，輸入數(shù)據(jù)包括:數(shù)字量輸入數(shù)據(jù)及模擬量輸入數(shù)據(jù)；所述輸出數(shù)據(jù)包括:數(shù)字量輸出數(shù)據(jù)輸出模擬量輸出數(shù)據(jù)，以及所述工業(yè)控制系統(tǒng)中各執(zhí)行機(jī)構(gòu)輸出值；
[0044]步驟A中，當(dāng)所述輸入數(shù)據(jù)與所述輸出數(shù)據(jù)符合所述邏輯關(guān)系時(shí)，判定所述輸出數(shù)據(jù)屬于正確的輸出數(shù)據(jù)，否則判定所述