[发明专利]针对IEC60870-5-101协议的安全防护方法及系统

权利要求书

1.一种基于IEC60870-5-101协议的安全防护方法，包括：

对接收到的外部访问请求进行组包；

检测所述外部访问请求组成的帧的完整性；

根据第一预设白名单确定所述外部访问请求的合法性，并确定所述外部访问请求的帧类型，所述帧类型包括可变格式帧、固定格式帧和单字符帧，所述第一预设白名单为链路地址白名单；

当所述外部访问请求为固定格式帧或单字符帧时，允许所述外部访问请求通过，并将所述外部访问请求转发至内部通讯端口；

当所述外部访问请求为可变格式帧时，根据第二预设白名单确定所述外部访问请求的合法性，所述第二预设白名单包括应用功能白名单，所述应用功能白名单包括允许访问的应用功能对应的ASDU类型标识、传输原因码及信息对象地址范围。

2.根据权利要求1所述的安全防护方法，其中，检测所述外部访问请求组成的帧的完整性包括：

当所述外部访问请求不是完整的帧时，阻断所述外部访问请求；

所述根据第一预设白名单确定所述外部访问请求的合法性，并确定所述外部访问请求的帧类型包括：

当所述外部访问请求为完整的帧时，提取所述外部访问请求包含的链路地址，根据所述链路地址白名单判断所述链路地址是否为允许访问的链路地址；

-若所述链路地址为允许访问的链路地址，确定所述外部访问请求的帧类型；否则

-阻断所述外部访问请求。

3.根据权利要求2所述的安全防护方法，其中，

当所述外部访问请求为可变格式帧时，根据第二预设白名单确定所述外部访问请求的合法性包括：

提取所述外部访问请求的ASDU类型标识、传输原因码和信息对象地址，根据所述应用功能白名单确定所述外部访问请求的应用功能是否为允许访问的应用功能；

若所述外部访问请求的应用功能不在所述应用功能白名单定义的范围内，阻断所述外部访问请求；否则

判断所述外部访问请求的应用功能是否为控制功能。

4.根据权利要求3所述的安全防护方法，其中所述第二预设白名单还包括数据访问范围白名单和控制对象白名单，所述判断所述外部访问请求的应用功能是否为控制功能包括：

当所述外部访问请求的ASDU所属的应用功能是控制功能时，提取所述外部访问请求的控制功能对应的信息对象地址及控制值，根据所述控制对象白名单确定所述控制值是否在允许范围内：

-若所述控制值在允许范围内，将所述外部访问请求转发至到内部通讯端口；否则

-阻断所述外部访问请求；

当所述外部访问请求的ASDU所属的应用功能不是控制功能时，根据所述数据访问范围白名单确定所述外部访问请求的ASDU的信息对象地址是否在允许访问的范围内：

-若所述信息对象地址在允许访问的范围内，将所述外部访问请求转发至到内部通讯端口；否则

-阻断所述外部访问请求。

5.根据权利要求1-4中任一项所述的安全防护方法，在阻断所述外部访问请求后，生成系统日志记录和告警输出信号。

6.一种针对IEC60870-5-101协议的安全防护系统，所述系统包括：

访问请求接收端口，配置以接收外部访问请求；

组包模块，配置以对所述外部访问请求进行组包；

检测模块，配置以检测所述外部访问请求组成的帧的完整性；

访问类型确定模块，配置以根据第一预设白名单确定所述外部访问请求的合法性，并确定所述外部访问请求的帧类型，所述帧类型包括可变格式帧、固定格式帧和单字符帧，所述第一预设白名单为链路地址白名单；

发送模块，配置以当所述外部访问请求为固定格式帧或单字符帧时，允许所述外部访问请求通过并将所述外部访问请求转发至内部通讯端口；

应用层确定模块，配置以当所述外部访问请求为可变格式帧时，根据第二预设白名单确定所述外部访问请求的合法性，所述第二预设白名单包括应用功能白名单，所述应用功能白名单包括允许访问的应用功能对应的ASDU类型标识、传输原因码及信息对象地址范围。