[发明专利]基于业务指令模型的工控环境安全防御方法及系统

说明书

本发明提出基于业务指令模型的工控环境安全防御方法及系统，采集工控环境中过往日志，获取工控环境全局信息，根据工控环境全局信息得到工控环境中可执行指令的信息，并根据所述可执行指令的信息建立业务指令模型；当工控环境中有终端向工控设备下发指令时，先对指令进行拦截，根据业务指令模型判断被拦截指令的安全性，若安全则对指令进行放行，否则将指令上报至服务器由管理员进行确认；将被拦截指令的安全性判断结果及处理行为形成日志上报至服务器。本发明通过业务指令模型实现工控环境全局指令管控，能够有效阻止异常指令的执行，并快速对正常指令进行判定，不影响工控业务。

技术领域

本发明涉及工控安全技术领域，尤其涉及基于业务指令模型的工控环境安全防御方法及系统。

背景技术

工业控制系统广泛应用于我国电力、水利、污水处理、石油化工、冶金、汽车、航空航天等诸多现代工业，由于工控系统的重要性使其成为了很多不发分子的攻击目标。例如乌克兰电力事件，黑客获取了操作人员账号使用权限，通过合法方式远程关闭了供电系统，造成重大损失。

目前工控计算机终端安全面临的防御难点如下：

1.设备众多，型号复杂，很难统一安装反恶意代码软件；

2.传统的防病毒方式并不适合工控设备，容易造成误杀，影响业务稳定；

3.设备大多采用隔离网络，系统漏洞数量多；

4.黑客为了攻击工控系统，会采用持久战方式，即使防范再严密，也会有漏洞可能被黑客利用；

5.内部管理不严格，因操作人员操作不当或者恶意使用等会成为巨大安全隐患。

通常，黑客会通过向网内植入恶意文件，以此获得工控上位机的控制能力，然后向执行机下发恶意指令（例如关闭，高负荷运行等）以此破坏工控网络环境。而针对黑客下发的指令，虽然是恶意指令，但系统会认为是正常指令而予以执行，因此针对工控安全，需要一套能够对下发指令进行分析和判断的方法，防止恶意指令的下发。

发明内容

针对上述现有技术中存在的问题，本发明提出了基于业务指令模型的工控环境安全防御方法及系统，通过计算机自主学习和分析技术，在工控环境中建立只能判定和阻止恶意指令的方法和系统。

具体发明内容包括：

基于业务指令模型的工控环境安全防御方法，包括：

采集工控环境中过往日志，获取工控环境全局信息，根据工控环境全局信息得到工控环境中可执行指令的信息，并根据所述可执行指令的信息建立业务指令模型；

当工控环境中有终端向工控设备下发指令时，先对指令进行拦截，根据业务指令模型判断被拦截指令的安全性，若安全则对指令进行放行，否则将指令上报至服务器由管理员进行确认；

将被拦截指令的安全性判断结果及处理行为形成日志上报至服务器。

进一步地，所述工控环境全局信息包括：可发起指令的账号、各指令执行时间、各指令作用设备、各指令作用时间、各指令内容、各指令执行时工控环境中设备的状态。

进一步地，所述工控环境中可执行指令的信息包括：各账号可发布的指令、各可发布指令对应的触发条件、各可发布指令可作用的设备范围、各可发布指令的可下发时间；另，根据具体场景和业务需求，针对一些特殊指令的信息可由管理员进行添加。

进一步地，所述根据业务指令模型判断被拦截指令的安全性，其判断条件包括：被拦截指令的发布账号是否有异常、被拦截指令对应的触发条件是否完备、被拦截指令作用的设备是否在相应规定范围内。

进一步地，还包括：动态监控工控环境中的数据，并相应的对业务指令模型中的信息进行新增、修改或删除操作。