[发明专利]一种针对工业控制通用协议的处理系统、方法及终端

说明书

本发明属于计算机技术领域，具体涉及一种针对工业控制通用协议的处理系统、方法及终端，本系统包括管理单元和数据单元；所述管理单元，用于在用户态层配置工控通用协议数据，并将工控通用协议数据下发至内核层；所述数据单元，用于在内核层接收工业控制数据，并根据工控通用协议数据对工业控制数据进行检查过滤，并将检查过滤后的工业控制数据发送出去。本发明既能对工业控制通用协议进行有效的过滤和防护，同时也能满足工业控制系统对数据实时性的要求。

技术领域

本发明属于计算机技术领域，具体涉及一种针对工业控制通用协议的处理系统、方法及终端。

背景技术

随着计算机和网络技术的发展，尤其是信息化与工业化的深入融合，工业控制系统越来越多的采用通用硬软件和通用协议，通过互联网连接的业务系统越来越多。这使得针对工业控制系统的攻击行为大幅度的增加，同时也使得工业控制系统自身的脆弱性逐渐的暴露出来，面临的工业控制系统信息安全问题日益突出。

传统IT防火墙可以对互联网协议进行有效的过滤和防护。但工业控制系统有其自身的通信协议和对数据实时性的要求。工业控制系统通常使用modbus、OPC、DNP3、IEC104、Ehternet/IP、S7、MMS等专门针对工业控制系统的通用协议，这些协议与传统IT协议不同。工业控制系统对工业数据实时性要求非常高，而传统IT防火墙对数据的带宽和并发连接数有非常好的优化，但是对数据实时性上没有做专门的优化。

发明内容

针对工业控制系统使用的通用协议和工业控制系统对工业数据实时性的要求，针对现有技术的缺陷，本发明提供了一种针对工业控制通用协议的处理系统、方法及终端，既能对工业控制通用协议进行有效的过滤和防护，同时也能满足工业控制系统对数据实时性的要求。

第一方面，本发明提供了一种针对工业控制通用协议的处理系统，包括管理单元和数据单元；

所述管理单元，用于在用户态层配置工控通用协议数据，并将工控通用协议数据下发至内核层；

所述数据单元，用于在内核层接收工业控制数据，并根据工控通用协议数据对工业控制数据进行检查过滤，并将检查过滤后的工业控制数据发送出去。

优选地，所述工控通用协议数据包括工控元数据和工控白名单数据；

所述管理单元包括元数据配置模块和白名单配置模块；

所述元数据配置模块，用于配置工控元数据，并将工控元数据下发到内核层；

所述白名单配置模块，用于配置工控白名单数据，并将工控白名单数据下发到内核层。

优选地，所述数据单元包括数据接收模块、数据整合模块、session建立模块、元数据过滤模块、白名单过滤模块和数据发送模块；

所述数据接收模块，用于从网卡上接收工业控制数据，并对工业控制数据进行二层头数据检查，将检查通过的工业控制数据发送给数据整合模块；

所述数据整合模块，用于对工业控制数据进行整合，并将整合后的工业控制数据发送给session建立模块；

所述session建立模块，用于对工业控制数据进行三层头数据检查，检查通过后，记录并更新工业控制数据的五元组数据，将更新后的工业控制数据发送给元数据过滤模块；

所述元数据过滤模块，用于根据匹配过滤条件Ⅰ，将工业控制数据与用户态层下发的工控元数据进行匹配，并将匹配成功的工业控制数据发送白名单过滤模块；

所述白名单过滤模块，用于根据匹配过滤条件Ⅱ，将工业控制数据与用户态层下发的工控白名单数据进行匹配，并将匹配成功的工业控制数据发送给数据发送模块；

所述数据发送模块，用于将检查过滤后的工业控制数据发送给网卡。