[发明专利]一种基于数据白名单的信息安全网关

说明书

本发明提供了一种基于数据白名单的信息安全网关，该装置包括数据采集模块、数据缓存模块、数据提取模块、数据传输模块以及数据发布模块，采用基于“白名单”的数据摆渡方式，实现网络边界防护功能，即只允许指定的标签点数据通过，而阻断任何方式的网络连接，其网络隔离能力显著高于基于协议的过滤方式，大幅降低了使用合法的通讯协议传输非法数据的风险。

技术领域

本发明涉及石油、化工等流程工业领域的数据安全采集，具体涉及一种基于数据白名单的信息安全网关。

背景技术

OPC(OLE for Process Control)即OLE(Object Linking and Embedding)用于工业控制领域的一个通讯接口标准，它为过程控制提供了一套标准的接口、属性和方法。

工业化与信息化的发展实现了传统计算机网络与工业控制网络的紧密融合，越来越多的企业管理信息系统，如石油、化工等典型流程工业的生产执行系统(MES)，利用多种数据交互设备从集散控制系统(DCS)采集实时数据，进而完成优化控制。特别是物联网、大数据等新技术的逐步深化应用，管理网与工控网的联系日趋紧密，但同时大大增加了安全风险。

为了将DCS的生产数据采集到MES中，现有网关一般采用防火墙技术。虽然增加了防火墙，但由于工业控制中广泛应用OPC通讯协议，而OPC协议无法使用固定的网络端口进行通讯，使得基于网络端口防护的普通IT防火墙束手无策。

目前防火墙技术普遍采用协议白名单机制，尽管可以根据协议白名单设置固定的网络端口号，进而过滤数据包，但仍然无法降低使用合法的通讯协议传输非法数据的风险。

发明内容

为解决现有技术存在的问题，本发明提供了一种基于数据白名单的信息安全网关。采用基于“白名单”的数据摆渡方式，实现网络边界防护功能，即只允许指定的标签点数据通过，而阻断任何方式的网络连接，其网络隔离能力显著高于基于协议的过滤方式，大幅降低了使用合法的通讯协议传输非法数据的风险。

通过以下技术方案实现，一种基于数据白名单的信息安全网关，所述信息安全网关包括顺次连接的数据采集模块、数据缓存模块、数据提取模块、数据传输模块以及数据发布模块；

所述数据提取模块从数据缓存模块中读取数据包，并动态根据传输协议解析数据包，解析出纯数据，再根据数据白名单中的标签点进行匹配，进而提取出合法的实时数据；所述信息安全网关只允许白名单数据交互，阻断任何方式的网络连接。

优选的，所述数据采集模块从工业控制现场采集实时数据，包括不限于温度、液位以及压力的纯数据量；所述数据发布模块在外部请求数据时，将匹配的标签点对外发布。

优选的，所述数据提取模块支持通讯协议的数据检查，包括OPC、TCP/IP以及Modbus。

优选的，所述数据提取模块支持远程配置数据白名单中的标签点。

优选的，所述数据提取模块支持点对点配置标签点。

优选的，所述数据采集模块、数据发布模块均同时支持OPC、TCP/IP以及Modbus通讯协议。

优选的，该装置工作流程如下：

(1)启动数据采集模块；

(2)数据提取模块检测数据包的传输协议；

(3)解析报文；

(4)数据提取模块根据数据白名单中的标签点，提取报文数据段中标签点数据，同时丢弃不在标签点的数据；

(5)判断提取的数据是否合法；

(6)如果合法，则将提取的数据重新打包；如果不合法，则跳转到步骤(9)；

(7)数据发布模块更新数据；