[发明专利]一种工业防火墙固件安全动态清洗方法

说明书

本发明涉及一种工业防火墙固件安全动态清洗方法。本发明为工业防火墙增加冗余模块，使各模块间的拓扑能够动态变化；在需要动态更新防火墙固件时，通过拓扑调整使当前需更新固件模块处于空闲状态，将新固件写入该模块；然后再变化模块间拓扑，使该模块进入工作状态。本发明引入了多模块结构，合理的布局模块间连接关系，使防火墙运行时动态调整拓扑结构，从而支持防火墙在不停机的情况下清洗原有固件，更新防御策略，增强防御能力。通过对多个主控模块发送的固件版本进行则多判断，增加了对主控模块是否被劫持的判别能力，增强了固件更新过程的安全性。提出的基于Hash链的新版固件加解密方法，对窃听类攻击有很好的防御作用。

技术领域

本发明属于工业网络安全技术领域，涉及一种工业防火墙固件动态清洗方法。

背景技术

工业防火墙在工业网络安全领域具有非常重要的防护作用，目前的工业防火墙技术主要采用Internet网中传统的防火墙架构，加上针对工业协议专有的包过滤策略组合而成。一般工业防火墙会采用一些白名单策略对流经的工业协议数据流进行合规性检测。工业防火墙使用白名单策略的优点是：相较黑名单策略对异常数据流有更好的访控能力，但缺点是灵活性较低，工业协议种类众多，统一的白名单策略不容易设定，如果对流经数据流限制过严，会导致某些正常数据流也无法通过检测，最终只能放松白名单限制要求，从而降低了工业防火墙的实际防护能力。另外，工业防火墙自身容易成为攻击者攻击的目标，攻击者往往通过向防火墙软件中注入自身的木马程序而控制防火墙、修改防护策略，使得工业防火墙丧失实际防护能力。

发明内容

本发明的目的就是提供一种工业防火墙固件安全动态清洗方法。

本发明为工业防火墙增加冗余模块，使各模块间的拓扑能够动态变化；在需要动态更新防火墙固件时，通过拓扑调整使当前需更新固件模块处于空闲状态，将新固件写入该模块；然后再变化模块间拓扑，使该模块进入工作状态。

包括如下步骤：

(1)扩展单模块工业防火墙为多模块架构：

一般单模块工业防火墙为一块工业PC主板，内嵌基本运算与存储模组，组成工业防火墙模块硬件部分，在硬件基础之上加入防火墙专用软件形成工业防火墙；扩展单模块工业防火墙为多模块架构，将单模块硬件拷贝多份；增加多块单模块硬件拷贝作为主控模块硬件，主控模块负责管理多个单模块协同工作，负责向单模块发送拓扑变换命令、新版本防火墙固件；

(2)实现多模块架构工业防火墙动态拓扑可变：

工业防火墙多模块架构的各单模块间拓扑关系为串联、并联或串并联混合，在并联和串并联混合的拓扑结构中，单模块处于工作和闲置两种状态中，主控模块只负责管理单模块，不参与多模块架构构建；实现工业防火墙多模块的串并联动态拓扑可变的技术，每个单模块安排n个以上的网口，n为单模块的数量；每个单模块的一个网口为单模块的管理端口与主控模块连接，其余n-1个端口为数据流通过端口；用网线将各模块网口连接，连接时将每个模块的一个数据流通过端口与其余模块的一个数据流通过端口相连，该连接方法可保证每个模块在物理上两两互连；

防火墙主控模块通过向各单模块管理端口发送命令，控制数据流在模块内的流向，即n-1个数据流端口中，哪几个端口的数据流通道彼此打通；该控制过程为普通防火墙的通用操作；通过调整端口间的数据联通关系，实现多模块架构动态拓扑可变；

(3)实现工业防火墙固件安全动态清洗：

当需要对工业防火墙的某模块固件进行动态清洗时，通过防火墙主控单元向各模块管理端口发送命令，调整多模块间拓扑关系，将需要清洗的模块置闲，然后对该模块固件进行动态更新，即清洗，用新的固件覆盖旧的固件；

固件动态更新过程完成后，再次动态调整模块间拓扑关系，使更新固件后的模块进入工作状态，至此某模块固件动态清洗过程完成；多模块防火墙的所有模块按此方法逐一更新各个模块，直至所有模块更新完毕。