[发明专利]一种工业控制网多属性约束访问控制决策系统和方法

摘要

本发明公开了一种工业控制网多属性约束访问控制决策系统和方法，该策系统和方法属于工控安全领域。为解决关键设施工业控制网面临的控制信息完整性破坏和非法控制等问题，结合关键设施工业控制网具有承载业务确定、网络组件及其状态有限、可描述、可预期、可观测的特点，本方法采用控制业务中主体、客体及操作具有可描述的多属性约束条件来实现更细粒度的访问控制决策分析，能够有效防止控制软件或控制信息被篡改导致的系统或装置错误或损毁，为工控网络非法行为提供更细粒度的溯源取证信息。

主权项

1.一种工业控制网多属性约束访问控制决策方法，其特征在于，具体步骤如下：(1)用户信息单元管理用户信息，包括用户账号、ID信息，协同角色信息单元建立用户与角色间的映射关系，协同会话管理单元建立网络会话；(2)由权限集合单元主体对客体的所有操作权限集，包括权限和操作之间的映射集合和权限和客体之间的映射集合；(3)会话管理单元管理用户发起的会话信息，会话管理单元包括会话的建立、关闭，所述会话是用户为了获得其拥有的某些角色所对应的权限，去完成一个特定任务的特定场景和操作过程；(4)属性约束提取单元提取模型元素之间关系的限制条件，形成用户约束、终端约束、网络约束、业务约束的多维属性约束矩阵；(5)访问决策单元根据会话信息及属性约束提取单元采集的多维属性约束对信息交互请求进行决策分析；(6)允许或拒绝单元根据决策分析结果对信息交互请求进行处置，并进行详细日志记录。