[发明专利]一种工控系统安全防护方法及装置

说明书

本发明公开了一种工控系统安全防护方法及装置，其中，所述工控系统安全防护方法包括：实时监测并获取工控系统网络信息，并根据工控安全基线识别安全风险；其中，所述工控安全基线在终端层安全基线、网络层安全基线的基础上结合漏洞数据库、威胁情报数据库建立。本发明通过采用上述方法建立工控安全基线，并根据工控安全基线对工控系统进行安全风险识别、预测、处置、转移等，实现了工控系统的安全防护，大大提高了工控系统的安全级别。

技术领域

本发明涉及网络安全领域，具体而言，涉及一种工控系统安全防护方法及装置。

背景技术

作为现代工业基础设施的神经系统，工业控制系统(简称“工控系统”)的安全性受到人们的广泛重视。然而，目前的工控系统仅单一地实现了终端安装agent或通信报文主动采集和全流量数据包解析技术，并没有构造属于基于智慧能源网络流量的安全基线。

而当利用某些技术不能帮助解决工控网络流量的安全性问题时，工控网络流量系统安全往往需要在安全所需付出成本与所能够承受的安全风险之间平衡，而现在并不存在工控网络流量的安全基线这个平衡的合理分界线，所以目前存在并不能满足非基本安全需求的问题。

针对上述问题，亟需提供一种安全系数较高且成本较低的基于智慧能源网络流量安全基线的工控系统安全防护方法及装置，以满足工控系统非基本安全的需求。

发明内容

本发明实施例提供了一种工控系统安全防护方法及装置，以至少解决现有技术安全系数较低，不能满足非基本安全需求等技术问题。

根据本发明实施例的一个方面，提供了一种工控系统安全防护方法，包括：实时监测并获取工控系统网络信息，并根据工控安全基线识别安全风险；其中，所述工控安全基线在终端层安全基线、网络层安全基线的基础上结合漏洞数据库、威胁情报数据库建立。

可选地，所述网络信息包括终端信息、通信信息，所述终端信息包括终端登录信息、终端操作信息、终端运行状态、移动存储信息、设备接入信息中的一项或多项；所述通信信息包括网络外联信息、通信协议信息、流量信息、网络操作信息中的一项或多项。

可选地，所述工控安全基线的建立方法包括：根据所述终端层安全基线建立终端层异常行为知识库、终端层合法行为知识库；根据所述网络层安全基线建立网络层异常通信/流量知识库、网络层合法通信/流量知识库；根据所述终端层异常行为知识库、所述终端层合法行为知识库、所述网络层异常通信/流量知识库、所述网络层合法通信/流量知识库、所述漏洞数据库、所述威胁情报数据库建立所述工控安全基线。

可选地，根据所述终端层异常行为知识库和所述网络层异常通信/流量知识库建立黑名单，根据所述终端层合法行为知识库和所述网络层合法通信/流量知识库建立白名单。

可选地，所述漏洞知识库包括常见漏洞和第三方应用中的未知漏洞，所述威胁情报数据库包括互联网威胁情报及工控行业威胁情报。

可选地，所述工控安全基线定期或不定期进行自动更新，所述自动更新的方法包括：获取未知网络信息，并提取其中的网络行为特征；采用强化学习方法识别所述网络行为特征，并更新所述终端层异常行为知识库、所述终端层合法行为知识库、所述网络层异常通信/流量知识库或所述网络层合法通信/流量知识库。

可选地，所述终端层安全基线的建立方法包括：采集终端指纹数据，所述终端指纹数据包括操作系统版本、开放端口、Web开发框架；根据终端历史通信特征建立终端通信行为模型，所述终端通信行为模型至少包括时间、账号、操作、访问对象四个维度的信息；根据所述终端指纹数据及所述终端通信行为模型，建立所述终端层安全基线。

可选地，针对不同的终端建立不同的终端层安全基线。

可选地，所述网络层安全基线的建立方法包括：对异常协议、流量威胁进行检测；对异常通信、攻击进行检测；根据检测结果建立所述网络层安全基线。