[发明专利]基于虚拟运行和状态转换的工控系统网络攻击应对方法

摘要

本发明提供了基于虚拟运行和状态转换的工控系统网络攻击应对方法，该方法在工控系统异常状态下，提出了一种基于状态转换的恢复机制，用于工控系统遭受攻击后及时恢复现场设备的正常运转；同时提出了一种基于虚拟运行的隔离机制，用于工控系统遭受攻击后隔离现场设备，避免遭受进一步恶意控制，这两种机制通过工控系统的内部数据交换中心和外部数据交换中心完成配合与触发。所述恢复机制保证了工控系统不会在发生异常后失去运行能力或是造成严重后果；所述隔离机制保证了工控系统的外部控制中心遭到网络入侵并被控制后，现场设备不会受到持续下达的错误指令的进一步影响，提高了工控系统的网络攻击应对能力。

主权项

1.一种基于虚拟运行和状态转换的工控系统网络攻击应对方法，其特征在于：实现该网络攻击应对方法的所述工控系统主要包括以下组件：现场设备、外部控制中心、外部数据交换中心、内部数据交换中心、虚拟化设备、隔离监测器、恢复控制器和异常监测器；其中，上述所有组件都位于现场，所述外部数据交换中心直接与所述虚拟化设备、所述隔离监测器以及所述内部数据交换中心相连接；所述内部数据交换中心与所述外部数据交换中心、所述恢复控制器、所述异常监测器以及所述现场设备相连接，并且所述内部数据交换中心直接采集现场设备运转产生的数字信号或模拟信号，并传递给与之相连接的其他组件；而外部控制中心是远程系统控制中心，使用RJ45或RS232网络总线与外部数据交换中心连接，获取所述现场设备运行产生的数据并下达控制指令给所述现场设备；/n所述工控系统共有两种运行状态：所述现场设备正常运行的正常状态和所述现场设备发生异常的异常状态；/n所述异常监测器具备状态转换功能，未发现所述现场设备发生异常时处于正常状态，一旦通过对所述现场设备运行产生的数据进行分析发现异常，立即切换为对应的现场设备发生异常的异常状态：/n正常状态下，所述现场设备与所述内部数据中心联通，把所述现场设备运行产生的数据送到所述内部数据交换中心，所述内部数据交换中心收集到所述现场设备运行产生的数据后将所述现场设备运行产生的数据同时交给所述异常监测器和所述外部数据中心，其中，所述异常监测器分析所述现场设备运行产生的数据，判断是否存在异常，同时所述外部数据中心收到所述现场设备运行产生的数据后，使用Modbus/TCP网络通信协议传输给远程的外部控制中心，所述外部控制中心收到并分析所述现场设备运行产生的数据后，按照预设策略将相应的控制指令经所述外部数据交换中心和所述内部数据交换中心传递到所述现场设备完成对所述现场设备的控制，正常状态下，所述虚拟化设备和所述隔离监测器以及所述恢复控制器均不参与所述工控系统的运转；/n异常状态下，主要通过恢复机制和隔离机制这两种机制对所述工控系统进行复原和保护，其中，所述恢复机制由所述恢复控制器和所述异常监测器这两个功能组件相互配合实现；所述隔离机制由所述虚拟化设备和所述隔离监测器这两个功能组件相互配合实现；两种机制的配合与触发依赖所述内部数据交换中心和所述外部数据交换中心两个数据交换中心的相互配合，具体包括如下步骤：/nS1)所述异常监测器在送来的所述现场设备运行产生的数据中发现异常，立刻通知所述恢复控制器接管所述现场设备，触发恢复机制；同时通知所述隔离监测器异常情况，触发隔离机制，然后所述隔离监测器通过预设算法分析异常原因，提取出异常的特征，并转换到相应的异常状态，所述内部数据交换中心切断所述外部数据交换中心与所述现场设备的连接，将所述恢复控制器与所述现场设备联通并通知所述外部数据交换中心改变数据流向；接着复原操作指令经过所述内部数据交换中心被送到所述恢复控制器；/nS2)所述恢复控制器收到所述复原操作指令后依据所述复原操作指令执行相应操作，控制所述现场设备处理异常情况，完成所述现场设备的复原，所述异常监测器持续监测所述恢复控制器的执行情况，如果异常情况没有解决，则所述异常监测器指挥所述恢复控制器采取进一步措施，执行更强的恢复策略，直到异常不再存在，结束恢复机制，所述恢复控制器不再控制现场设备，所述异常监测器回到正常状态；/n执行上述步骤S2)的同时，执行下述步骤S3)-S5)：/nS3)所述外部数据交换中心切断与所述内部数据交换中心的数据交换，唤醒所述虚拟化设备，完成所述虚拟化设备的初始化，并将所述外部控制中心的控制指令送到所述虚拟化设备虚拟执行，将所述虚拟化设备的输出回送给所述外部控制中心，同时联通所述虚拟化设备与所述隔离监测器；/nS4)所述隔离监测器在一个预设隔离周期内持续监测所述虚拟化设备的运行情况，并分析异常是否再次出现；/nS5)如果一个预设隔离周期后，所述虚拟化设备保持正常运行，说明网络攻击已经停止，所述外部控制中心可以信任，所述隔离监测器将通知所述外部数据中心恢复所述外部控制中心与所述现场设备的连接，结束隔离机制，使所述工控系统回到正常状态；如果一个所述预设隔离周期后，所述虚拟化设备模拟运行得到的输出异常，说明网络攻击未结束，所述隔离监测器将重启所述虚拟化设备，并重复步骤S4)和步骤S5)；/n所述恢复机制负责在所述现场设备发生异常后分析异常状态并针对所述异常状态执行相应的恢复机制，完成对所述现场设备的复原；所述隔离机制负责隔离所述现场设备与所述外部控制中心，采用所述虚拟化设备替代所述现场设备对所述外部控制中心的控制指令进行测试和分析，判断所述控制指令是否存在问题；所述恢复机制保证了所述工控系统不会在发生异常后失去运行能力或是造成严重后果；所述隔离机制保证了所述外部控制中心遭到网络入侵并被控制后，所述现场设备不会受到持续下达的错误指令的进一步影响。/n