[发明专利]双模异构冗余的工控安全网关系统及其入侵感知方法

说明书

本发明公开双模异构冗余的工控安全网关系统及其入侵感知方法。本发明系统包括数据包外部IO分发模块、两个异构的工控安全网关执行模块、数据包内部IO模块、入侵感知模块、故障响应处理模块和系统配置模块。本发明能在正常处理工控数据包转换同时，及时检测感知针对工控网关的入侵和防止利用系统设计或实现缺陷导致的攻击行为，并进行正常业务无扰的入侵响应处理。

技术领域

本发明属于工业信息安全技术领域，涉及一种双模异构冗余的工控安全网关系统及其入侵感知方法。

背景技术

随着信息技术和网络技术在工业系统中应用的普及，工业信息系统的安全问题是当前工业信息系统的面临的直接威胁。传统的工控安全网关作为安全保障体系的重要防线，通过访问控制，防御黑客攻击。但随着越来越多的操作系统本身漏洞以及应用系统的漏洞被发现，工控安全网关面临了两个问题：

(1)自身被攻破。很明显，当安全网关一旦被攻破，工业控制网络就失去了一道有力的防护墙。

(2)由于系统设计或系统平台的缺陷，而被攻击绕过。如何防止由于系统设计或实现存在缺陷而被攻击者利用一直是安全界研究的一个热点。

近些年，拟态防御作为一种新型主动防御技术迅速兴起，并得到学术界和相关行业的广泛关注，并已研制出数款不同类型的原理样机，测试实验证明了其技术的优越性。

发明内容

本发明的一个目的是为克服现有技术中的不足，利用拟态防御原理，提出一种双模异构冗余的工控安全网关系统，解决目前工控安全网关面临的上述两个问题。该系统通过检测工控业务数据包，及时检测感知针对工控网关的入侵和防止利用系统设计或实现缺陷导致的攻击行为。

本发明双模异构冗余的工控入侵感知系统，包括数据包外部IO分发模块、两个异构的工控安全网关执行模块、数据包内部IO模块、入侵感知模块、故障响应处理模块和系统配置模块；其中：

数据包外部IO分发模块，将收到的工业控制业务数据包分发到异构冗余的工控安全网关的主、辅执行模块，同时接收工控安全网关的主执行模块的输出，将其转发到外部网络，并丢弃工控安全网关的辅助执行模块的输出；

两个异构冗余的工控安全网关执行模块是功能一致的主执行体和辅助执行体，上述两执行体的主辅设定由系统配置模块设置；主、辅助执行体均接收数据包外部IO分发模块输入的数据包，并对其进行深度解析和入侵检测，若工控安全网关执行模块感知到异常后立即触发入侵响应模块，同时将检测结果详细记录检测日志文件，否则在数据包发检测安全后将其送到数据包内部IO模块；同时均接收数据包内部IO模块的输出，并发送到数据包外部IO分发模块。工控安全网关的异构冗余可在多层实现，包括系统硬件不同、操作系统不同、软件实现不同、配置文件格式不同和软件安装位置不同等。

数据包内部IO模块，将工控安全网关主执行体的输入发送至内部工控网络，丢弃工控安全网关辅助执行体的输入；

系统配置模块，通过数据包内部IO模块动态设置工控安全网关两个执行体的主辅；

入侵响应模块，采取入侵响应措施：执行体的清洗，及其通知系统配置模块进行主辅模块设置。

故障监测及响应模块，监测工控安全网关主、辅执行体的运行，当检测到工控安全网关执行体发生故障时，进行故障响应：人工调换出故障的执行体，通知系统配置模块进行执行体的主辅重新设置；

本发明的另一个目的是提供一种双模异构冗余的工控安全网关入侵感知方法，包括数据包过滤处理流程、入侵感知及响应流程、故障监测及响应处理三个部分；

数据包过滤处理流程包含如下步骤：

步骤1：数据包外部IO分发模块接收外部网络的输入请求，将数据包分别发送到异构冗余的工控安全网关的主、辅执行体；