[发明专利]一种基于漏斗式白名单的工控网络信息安全监控方法

说明书

本发明涉及一种基于漏斗式白名单的工控网络信息安全监控方法，由以下步骤组成：⑴深度解析工业通信数据；⑵针对工控网络中合法操作建立可信架构；⑶基于可信架构建立白名单漏斗。本发明有益效果为：对多种工业通信协议进行还原分析，有利于实现对生产控制行为的异常监测；结合工控网络环境建立可信架构，生成具有工业特色的白名单漏斗，高过滤精度实时监控工控网中通信行为，提高对未知威胁感知的预警时间，以稳固工控信息系统环境为核心指导思想，构建监控体系。

技术领域

本发明涉及工业控制网络信息安全领域，尤其涉及一种基于漏斗式白名单的工控网络信息安全监控方法。

背景技术

随着信息化的推动和工业化进程的加速，越来越多的计算机和网络技术应用于工业控制系统，使得工业控制系统与传统企业网络高度一体化，在为工业生产带来极大推动作用的同时也带来了诸如木马、病毒、网络攻击等安全问题。

根据工业安全事件信息库RISI的统计，截止2011年，全球已经发生200余起针对工业控制系统的重大攻击事件，尤其在2000年之后，随着通用协议、通用硬件、通用软件在工业控制系统中的应用，对过程控制和数据采集监控系统的攻击增长了近10倍。因此，加深企业工控安全意识，打造一个高安全性的工控网络环境是我国信息化建设中一个亟需解决的问题。虽然现在的网络监控产品很多，但由于这些产品的局限性，他们面向的多是传统信息网络，还不能彻底解决广泛存在的以太网监听和管理问题，特别是工控领域中大部分的工业协议尚未开始进行解析，同时很多系统供应商大量采用私有协议，因此，针对工控领域的具有工控特色的网络信息安全技术正在逐步深化。

本发明针对现有网络监控产品的不足，进一步结合工控网络特色，拓展工业通信协议的相关研究，形成漏斗式白名单的工控网络信息安全监控方法，建立基于白名单漏斗的完整工控网络监控体系，为工控领域信息流和指令流分析提供数据分析方法，为工控信息安全策略的制定提供基础和验证工具，是非常符合传统信息安全发展和工控领域对信息安全需要的解决思路，从而进行进一步的创新。

发明内容

针对以上缺陷，本发明针对工控网络提供一种基于漏斗式白名单的信息安全监控方法。

为实现上述目的，本发明采用以下技术方案：

一种基于漏斗式白名单的工控网络信息安全监控方法，其原理如下：

⑴深度解析工业通信数据：掌握工业通信协议还原能力，在此能力的基础上，建立数据解析列表，包含源IP、目的IP、源MAC、目的MAC、源端口、目的端口、通用协议类型、工控协议类型等元素，通过某个时间段的学习，将获得的样本信息贮存在列表中，在网络流的基础上构造指令流、信息流时序模型。

⑵针对工控网络中合法操作建立可信架构：工控网络中用户资产需可信，体现在接入网络中的设备可信；工控网络中通信行为需可信，体现在运行在控制网中的应用程序可信；工控网络中通信信令需可信，体现在上位机下发的操作指令可信、下位机上传的阈值参数可信。

⑶基于可信架构建立漏斗式白名单：将可信行为贮存在数据解析列表中，通过匹配IP、MAC，监控控制网中设备；通过匹配通用协议类型及端口，监控控制网中通信行为；通过匹配工控协议类型及端口，监控控制网中协议指令。基于此生成一个漏斗式的白名单库，所有工控网络中的数据必须经过白名单漏斗的过滤，无法通过的数据为可疑数据，产生报警，通知管理人员干预。

本发明所述的基于漏斗式白名单的工控网络信息安全监控方法的有益效果为：

⑴基于工业通信协议的深度解析实现对生产控制行为异常监测：解决了传统信息安全领域无法实现的对工业通信协议的识别与解析。实现了对Modbus协议、S7协议、OPC协议、IEC104协议、DNP3.0协议、61850协议等主流工业通信协议的功能码及相关指令的解析，让工控设备之间的通信语言透明化，打破传统控制系统的黑匣子。