[发明专利]工业控制系统和工业控制系统中的安全审计方法

权利要求书

1.一种工业控制系统ICS，其特征在于，所述ICS包括：控制设备、上位机、交换机和审计主机；

所述交换机，用于将所述控制设备与所述上位机之间传输的工业协议数据镜像至所述审计主机；

所述审计主机，用于对所述工业协议数据进行解析，获得所述控制设备与所述上位机之间的请求指令和应答指令；根据工业协议规约，对所述请求指令和所述应答指令进行解析，获得控制命令、控制参数和所述上位机的地址；根据所述上位机的地址，向所述上位机发送审计查询请求，所述审计查询请求中包括所述控制命令和所述控制参数；

所述上位机，用于根据所述审计查询请求对所述控制命令和所述控制参数进行校验，生成校验结果；向所述审计主机发送携带有所述校验结果的审计查询应答；

所述审计主机，还用于根据所述审计查询应答，生成审计记录。

2.根据权利要求1所述的ICS，其特征在于，所述审计主机，具体用于：

分析所述审计查询应答，将所述上位机的地址与合法上位机白名单中的地址进行对比审计，以及将所述控制命令与所述控制参数与所述合法上位机白名单中的合法控制命令和合法控制参数进行对比审计，生成所述审计记录；其中，所述审计记录包括所述控制命令对应的发生时间、所述控制命令对应的行为信息、所述控制参数对应的操作对象的地址、所述控制参数对应的操作对象的数量以及审计结果。

3.根据权利要求1所述的ICS，其特征在于，所述上位机，具体用于：

将所述上位机向所述控制设备发送的历史控制命令和历史控制参数，与所述审计查询请求中包括的所述控制命令和所述控制参数分别进行字节校验，获得所述校验结果。

4.根据权利要求1所述的ICS，其特征在于，所述交换机，具体用于：

镜像所述控制设备与所述上位机之间传输的数据；

从所述数据中抓取所述工业协议数据；

将所述工业协议数据发送给所述审计主机。

5.根据权利要求1至4任一项所述的ICS，其特征在于，所述审计主机包括第一网卡和第二网卡；

所述第一网卡用于接入包括所述控制设备、上位机和交换机的控制网络；

所述第二网卡用于接入包括所述ICS内各个所述交换机的审计网络。

6.一种工业控制系统ICS中的安全审计方法，其特征在于，所述方法包括：

交换机将控制设备与上位机之间传输的工业协议数据镜像至审计主机；

所述审计主机对所述工业协议数据进行解析，获得所述控制设备与所述上位机之间的请求指令和应答指令；根据工业协议规约，对所述请求指令和所述应答指令进行解析，获得控制命令、控制参数和所述上位机的地址；根据所述上位机的地址，向所述上位机发送审计查询请求，所述审计查询请求中包括所述控制命令和所述控制参数；

所述上位机根据所述审计查询请求对所述控制命令和所述控制参数进行校验，生成校验结果；向所述审计主机发送携带有所述校验结果的审计查询应答；

所述审计主机根据所述审计查询应答，生成审计记录。

7.根据权利要求6所述的方法，其特征在于，所述审计主机根据所述审计查询应答，生成审计记录，包括：

分析所述审计查询应答，将所述上位机的地址与合法上位机白名单中的地址进行对比审计，以及将所述控制命令与所述控制参数与所述合法上位机白名单中的合法控制命令和合法控制参数进行对比审计，生成所述审计记录；其中，所述审计记录包括所述控制命令对应的发生时间、所述控制命令对应的行为信息、所述控制参数对应的操作对象的地址、所述控制参数对应的操作对象的数量以及审计结果。

8.根据权利要求6所述的方法，其特征在于，所述根据所述审计查询请求对所述控制命令和所述控制参数进行校验，生成校验结果，包括：

将所述上位机向所述控制设备发送的历史控制命令和历史控制参数，与所述审计查询请求中包括的所述控制命令和所述控制参数分别进行字节校验，获得所述校验结果。