[发明专利]工控运维行为审计方法、装置及系统

权利要求书

1.一种工控运维行为审计方法，其特征在于，方法应用于审计终端，所述审计终端以旁路部署的方式和工业交换机连接，所述工业交换机分别与工控运维终端和服务器连接，方法包括：

接收所述工控运维终端通过所述工业交换机发送的访问信息，所述访问信息中包括：所述工控运维终端的待运维资源的资源标识和登录所述工控运维终端的用户名；

判断所述资源标识是否位于与所述用户名对应的授权访问标识集合中；

若所述资源标识位于与所述用户名对应的授权访问标识集合中，判断所述工控运维终端是否满足预设的设备运维条件；

若所述工控运维终端满足所述设备运维条件，则允许所述工控运维终端运维所述服务器中的所述待运维资源；

其中，所述访问信息中还包括所述工控运维终端的IP地址，所述判断所述工控运维终端是否满足预设的设备运维条件，包括：

判断所述IP地址是否位于预设的允许运维所述待运维资源的设备IP地址集合中；

若所述IP地址位于允许运维所述待运维资源的所述设备IP地址集合中，则确定所述工控运维终端满足所述设备运维条件。

2.根据权利要求1所述的工控运维行为审计方法，其特征在于，所述访问信息中还包括所述工控运维终端的MAC地址，所述判断所述工控运维终端是否满足预设的设备运维条件，包括：

判断所述MAC地址是否位于预设的允许运维所述待运维资源的设备MAC地址集合中；

若所述MAC地址位于允许运维所述待运维资源的所述设备MAC地址集合中，则确定所述工控运维终端满足所述设备运维条件。

3.根据权利要求1所述的工控运维行为审计方法，其特征在于，所述访问信息中还包括所述工控运维终端的访问时间，所述判断所述工控运维终端是否满足预设的设备运维条件，包括：

判断所述访问时间是否位于预设的允许运维所述待运维资源的设备访问时间段中；

若所述访问时间位于允许运维所述待运维资源的所述设备访问时间段中，则确定所述工控运维终端满足所述设备运维条件。

4.根据权利要求1-3任一所述的工控运维行为审计方法，其特征在于，还包括：

获取所述工控运维终端发送的运维记录文件；

检测所述运维记录文件中是否存在敏感操作；

当所述运维记录文件中存在敏感操作时，向所述工控运维终端发送中断指令，以使所述工控运维终端中断运维所述待运维资源。

5.根据权利要求4所述的工控运维行为审计方法，其特征在于，所述检测所述运维记录文件中是否存在敏感操作，包括：

提取所述运维记录文件中的关键字信息；

当所述关键字信息和预设的敏感关键字信息集中的任一敏感关键字信息相同时，则确定所述运维记录文件中存在敏感操作。

6.根据权利要求5所述的工控运维行为审计方法，其特征在于，还包括：

接收审计人员输入的定位回放时刻；

回放所述运维记录文件中所述定位回放时刻之后的文件内容。

7.一种工控运维行为审计装置，其特征在于，包括：接收模块、第一判断模块、第二判断模块和运维模块；

所述接收模块，用于接收工控运维终端通过工业交换机发送的访问信息，所述访问信息中包括：所述工控运维终端的待运维资源的资源标识和登录所述工控运维终端的用户名；

所述第一判断模块，用于判断所述资源标识是否位于与所述用户名对应的授权访问标识集合中；

所述第二判断模块，用于若所述资源标识位于与所述用户名对应的授权访问标识集合中，判断所述工控运维终端是否满足预设的设备运维条件；

所述运维模块，用于若所述工控运维终端满足所述设备运维条件，则允许所述工控运维终端运维服务器中的所述待运维资源；

其中，所述访问信息中还包括所述工控运维终端的IP地址，所述判断所述工控运维终端是否满足预设的设备运维条件，包括：

判断所述IP地址是否位于预设的允许运维所述待运维资源的设备IP地址集合中；

若所述IP地址位于允许运维所述待运维资源的所述设备IP地址集合中，则确定所述工控运维终端满足所述设备运维条件。