[发明专利]针对IEC60870-5-101协议的安全防护方法及系统

摘要

本发明提供一种针对IEC60870‑5‑101协议的安全防护方法，包括：对接收到的外部访问请求进行组包；检测所述外部访问请求组成的帧的完整性；根据第一预设白名单确定所述外部访问请求的合法性，并确定所述外部访问请求的帧类型；当所述外部访问请求为固定格式帧或单字符帧时，允许所述外部访问请求通过并将所述外部访问请求转发至内部通讯端口；当所述外部访问请求为可变格式帧时，根据第二预设白名单确定所述外部访问请求的合法性。本发明还提供了相应的安全防护系统。本发明在链路层和应用层进行了多级安全防护，可以有效地抵御针对采用该协议的工控设备或系统的各种攻击，有效地避免了现有技术中不具备安全防范机制导致的安全风险。

主权项

1.一种基于IEC60870‑5‑101协议的安全防护方法，包括：对接收到的外部访问请求进行组包；检测所述外部访问请求组成的帧的完整性；根据第一预设白名单确定所述外部访问请求的合法性，并确定所述外部访问请求的帧类型，所述帧类型包括可变格式帧、固定格式帧和单字符帧，所述第一预设白名单为链路地址白名单；当所述外部访问请求为固定格式帧或单字符帧时，允许所述外部访问请求通过，并将所述外部访问请求转发至内部通讯端口；当所述外部访问请求为可变格式帧时，根据第二预设白名单确定所述外部访问请求的合法性，所述第二预设白名单包括应用功能白名单，所述应用功能白名单包括允许访问的应用功能对应的ASDU类型标识、传输原因码及信息对象地址范围。