[发明专利]一种工业控制网络中生成安全策略的系统和方法

权利要求书

1.一种工业控制网络中生成安全策略的系统，其特征是系统包括：一个安全策略配置 模块、一个网络环境发现模块、一个网络环境监测模块和一个基础模块；安全策略配置模块，用于安全策略的定义和安全策略的修改；网络环境发现模块，用于发现网络中的访问关系，它根据 IP 地址、Mac 地址及 ID 号, 按照一定格式存储在系统中；网络环境监测模块，用于网络实时监测，它通过实时监测网络环境来监测已定义的安全策略，并将安全策略的不足主动提供给安全策略配置模块； 安全策略配置模块包括： 一个安全策略修改模块：负责修改已经定义的安全策略和删除无效的安全策略，并将 修改后的安全策略存储在系统中；一个安全策略定义模块：负责定义新的安全策略，并将修改后的安全策略存储在系统中；网络环境发现模块包括： 一个数据包重组模块 ：负责数据包解析，抽取对应分析字段提供给数据分析模块；一个数据分析模块：负责分析字段，掌握网络环境访问关系信息，并完成去重、归并和存储 ； 网络环境监测模块包括： 一个实时监测模块：负责网络环境的实时监测 ；它监测网络环境的实时流量，并完成已定义安全策略的检查；一个监测日志模块 ：详细记录实时监测的完整信息； 基础模块包括： 一个网络 IO 模块：负责系统中IO 数据交换； 一个信息存储模块：负责系统信息的格式化存储；系统信息主要包含：网络环境中的访问关系信息；网络环境监测日志信息 ；网络环境监测告警信息；安全策略信息。

2.根据权利要求 1 所述的系统生成安全策略的方法，其特征是步骤为：

步骤 1）：完成网络环境的发现 ；通过对网络环境中数据流的分析，掌握网络中负责的访 问关系 ；具体包括 ：

1A ：网络 IO 模块接收网络数据包，并传递给数据包重组模块；

1B ：数据包重组模块完成分析数据的重组和预处理，组成预分析数据，并将预分析数据传递给数据分析模块；

1C ：数据分析模块完成数据分析、去重和归并工作，生成的网络访问关系信息表并传递 给信息存储模块；

1D ：信息存储模块完成访问关系信息表的本地存储；

步骤 2）：完成初步安全策略的定义 ；根据上述工业控制网络中业务情况分析掌握的网 络访问关系，制订工业控制网络的安全策略；具体包括：

2A ：逐条分析信息存储模块存储的网络访问关系信息表 ；

2B ：将符合工业控制网络业务流程的访问关系，制订为安全策略 ；

2C ：通过安全策略定义模块将 2B 制订的一条安全策略输入系统；此步操作能通过拖拽访问关系或手动输入完成 ；

2D ：用户针对每一条网络访问关系进行步骤2B和2C ；最终完成对网络访问关系信息表的处理，形成安全策略信息集 ；

2E ：安全策略信息集通过信息存储模块完成本地存储；

步骤 3）：在工业网络环境中验证安全策略信息集，实际考查安全策略信息集的准确性 和有效性 ；具体包括：

3A ：实时监测模块处理工业网络中每一条访问关系，按安全策略信息集要求执行应的静默或告警动作；

3B ：实时监测模块将每一次操作情况提交给监测日志模块 ；

3C ：监测日志模块根据操作情况产生各种类型日志，告警信息；

3D ：监测日志模块将各种类型的告警信息传递给网络 IO 模块；

3E ：监测日志模块将各种类型的日志信息传递给信息存储模块 ；

步骤 4）：网络安全策略的调整 ；针对告警信息提示，修改网络安全策略信息集 ；主要操 作有 ：删除、修改、合并；

步骤 4）具体为：

4A ：逐条分析网络环境监测告警信息；

4B ：根据网络环境监测告警信息，查询网络访问关系信息表；

4C：定位需要修改的一条网络安全策略信息或一组网络安全策略信息；

4D：通过安全策略修改模块完成网络安全策略信息的更新；

4E ：用户针对每一条网络环境监测告警信息进行步骤 4B、4C 和 4D ；

4F ：最终生成工业控制网络安全策略。