[发明专利]基于OPC服务的工控网络安全防护方法和装置

说明书

本发明提供了基于OPC服务的工控网络安全防护方法和装置，包括：通过白名单机制验证OPC客户端的数据连接请求报文和OPC服务器的应答数据报文，防止非授权的设备进行数据传输，保护网络的安全性；在OPC客户端，将数据连接请求报文转换成专有的TCP端口，以及进行加密，再将加密的数据连接请求报文经过防火墙防护后，将加密的数据连接请求报文进行解密，得到数据连接请求报文，并发送给OPC服务器；在OPC服务器，将应答数据报文转换成专有的TCP端口，以及进行加密和解密，发送给OPC客户端后，通过解密技术发送给OPC客户端使用，解决了OPC服务无法使用固定端口的问题，并进一步提高了网络传输OPC服务的安全性。

技术领域

本发明涉及网络安全技术领域，尤其是涉及基于OPC服务的工控网络安全防护方法和装置。

背景技术

目前工控网络的数据都需要使用OPC(OLE for Process Control，用于过程控制的OLE)服务上传到信息网络中，由于OPC服务是基于微软DCOM协议的，建立OPC连接需要以下过程：客户端通过135端口查询服务器以获取通讯所需的TCP(Transmission ControlProtocol，传输控制协议)端口号；客户端使用TCP端口号连接到服务器，访问目标数据。然而，实际数据连接的过程中，客户端使用的TCP端口号是由OPC服务器以一个虚拟随机序列动态分配的，并不能预先获取服务器返回给客户端的端口号(OPC服务随机分配的端口范围为1024-65535)，因此，传统的防火墙在保护OPC服务器时，不得不开放大范围的端口号，这样防火墙的作用行同虚设，给工控网络安全带来巨大安全隐患。

发明内容

有鉴于此，本发明的目的在于提供基于OPC服务的工控网络安全防护方法和装置，解决了OPC服务无法使用固定端口的问题，并进一步提高了网络传输OPC服务的安全性。

第一方面，本发明实施例提供了基于OPC服务的工控网络安全防护方法，应用于OPC客户端，所述方法包括：

获取数据连接请求报文；

将所述数据连接请求报文与预设防护规则库进行比对；

如果所述数据连接请求报文与所述预设防护规则库一致，则将所述数据连接请求报文对应的端口转换为传输控制协议TCP端口；

将包括所述TCP端口的数据连接请求报文进行加密，得到加密的数据连接请求报文；

将所述加密的数据连接请求报文发送给防火墙；

在所述防火墙对所述加密的数据连接请求报文验证通过的情况下，将所述加密的数据连接请求报文进行解密，得到所述数据连接请求报文，并发送给OPC服务器。

进一步的，数据连接请求报文包括网络协议IP地址、媒体访问控制MAC地址和报文类型，所述将所述数据连接请求报文与预设防护规则库进行比对，包括：

将所述IP地址、所述MAC地址和所述报文类型与所述预设防护规则库进行比对。

进一步的，所述方法还包括：

如果所述防火墙的端口与所述加密的数据连接请求报文的端口一致，则验证通过。

进一步的，所述将包括所述TCP端口的数据连接请求报文进行加密，得到加密的数据连接请求报文，包括：

将包括所述TCP端口的数据连接请求报文通过MD5加密算法进行加密，得到所述加密的数据连接请求报文。

第二方面，本发明实施例提供了基于OPC服务的工控网络安全防护方法，应用于OPC服务器，所述方法包括：

接收OPC客户端发送的数据连接请求报文，根据所述数据连接请求报文进行响应，得到应答数据报文；

将所述应答数据报文与预设防护规则库进行比对；