[发明专利]一种基于最优通信路径的工业网络防御方法和系统

说明书

本发明公开了一种基于最优通信路径的工业网络防御方法，其首先获取当前工业控制网络所处局域网的网络拓扑图和开机状态的设备信息；从网络拓扑图提取终端设备节点，使用PIEU法评估终端设备的关键程度，并按照统一的标准给节点的关键程度配上对应的指标值，将终端节点两两组合，按两节点的指标值之和降序排列；按排列顺序，使用SPFA算法对关键程度高的两个终端节点先寻找最优通信路径，找到后将最优通信路径存入网络，最终得到整个工业网络的最优通信路径；终端节点只接收网络数据包源IP从最优通信路径发来的包，其他路径发来的包均视为异常网络数据包。本发明能够充分利用工控系统自身较好的稳定性，结合网络的最优通信路径，保证网络良好的通信链路。

技术领域

本发明属于工业网络安全技术领域，更具体地，涉及一种基于最优通信路径的工业网络防御方法和系统。

背景技术

近年来，工控系统逐渐向信息化发展，其不断引入互联网中多样化方法，然而许多工控系统在设计之初并未充分考虑可能面临的信息安全问题，导致其存在许多潜在的信息安全漏洞，在满足各种工控系统更丰富的应用需求的同时，伴随着多方面的运作风险。随着黑客攻击工控系统的事件频繁发生，许多厂家都开始重视工业网络安全性问题，促使市面上许多技术人员针对工控环境进行多样的工控通信安全保护产品的投入和研发。

当前针对工业网络的安全维护方式，除了使用网络防火墙系统和入侵检测系统，还会使用应用在接口等处的异常流量检测系统。

异常流量检测模型相比网络防火墙系统、入侵检测系统有着更高更准确的识别率，然而，其在实际应用中存在一些不可忽略的缺陷：第一，其模型建立的工作量大、成本高,需要对大量的网络数据包进行特征提取；第二、其模型复杂，检测时运算量大，面对网络中实时大量的网络数据包，检测负担重；第三、其后期的更新需要继续对大量新的网络数据包进行特征提取，更新速度慢，灵活性低；而实际上，许多工业环境(如纺织、物料、服化等工厂)对安全性要求并非十分严格，且可以承受一定程度的异常干扰并最终恢复原来的稳定生产。

发明内容

针对现有技术的以上缺陷或改进需求，本发明提供了一种基于最优通信路径的工业网络防御方法和系统，其目的在于，使具备较好稳定性的工控系统，在不使用高成本的异常流量检测系统时，通信仍能具有较高的综合防御性，避免为网络安全承担过高的成本、过重的检测负担，并保障工厂生产的高效。

为实现上述目的，按照本发明的一个方面，提供了一种基于最优通信路径的工业网络防御方法，包括如下步骤：

步骤S1：获取当前工控系统的网络拓扑图；

步骤S2：从步骤S1获取的网络拓扑图中提取所有的终端设备节点，使用设备关键性评估方法PIEU获取所提取的终端设备节点的关键程度，并为终端设备节点的关键程度分配对应的指标值，将所有终端设备节点两两组合成节点对，并按节点对中两个终端设备节点的指标值之和大小，对节点对进行降序排列；

步骤S3：按步骤S2得到的排列顺序，重复使用最短路径查找算法SPFA获取每个节点对通信时的最优通信路径。

优选地，步骤S1包括以下子步骤：

S101：获取工业网络所处局域网的网段号，并向该网段号内的所有设备节点发送状态确认请求，并根据所有设备节点收到该状态确认请求后返回的响应信息，确定该网段号内所有处于开机状态的设备节点，并获取所有处于开机状态的设备节点的IP地址；

S102：获取步骤S101中确定的所有处于开机状态的设备节点的基本信息；

S103：根据步骤S101得到的所有处于开机状态的设备节点的IP地址对每个设备节点进行路由追踪操作，以获得到达所有处于开机状态的设备节点的完整路径信息；