[发明专利]工控系统终端安全防护方法

说明书

本发明属于工业控制系统终端安全防护技术领域，具体涉及一种工控系统终端安全防护方法。所述方法基于工控系统终端安全防护系统来实施，所述系统包括：终端安全防护设备、终端安全集中管理系统；该方案综合运用强身份鉴别、双重访问控制、接口防护策略、文件深度解析、安全审计和设备集中管理一系列技术手段，有效阻断工控系统设备运行中的网络攻击和非法接入等恶意行为，并同时实现对多台相同类型或不同类型工控系统设备终端安全防护策略进行集中的配置与管理。本方案具有工控设备终端安全防护等级高，支持多台设备集中统一管理，且集中管理平台适用多种应用环境、多种工业协议、兼容性好、防护策略配置灵活、告警上报与设备管理高效等优点。

技术领域

本发明属于工业控制系统终端安全防护技术领域，具体涉及一种工控系统终端安全防护方法。

背景技术

工业控制系统广泛应用于电力、石化、交通、市政、新型智能制造等涉及国家安全的重要领域，一旦出现安全问题，受到影响的将不仅是企业经济损失，甚至会危害国家安全及社会公众利益，其重要性不言而喻。自从2010年“震网”事件之后，世界各国对工控系统安全问题的关注被提升到一个前所未有的高度，世界各国都在加紧制定政策、标准、技术和防护方案，其中工业控制系统终端安全更成为工业和信息安全领域研究机构及企业关注的焦点。目前，我国也已将工控系统安全上升到国家安全战略高度，相关政策、标准也在逐步制定、实施的过程中。虽然我国在工控系统终端安全防护技术领域仍处在刚刚起步、培育市场的早期阶段，但由于其涉及国家安全且未来市场潜力巨大，因此，面向工控系统终端安全防护的方法研究、系统研发以及产业化应用便成为一个亟待解决的问题。

目前，国内外市场上的工控系统终端安全防护产品主要有两类，一类是工控主机软件，以软件程序的方式安装在工控主机上；另一类是接口保护类硬件，对设备USB等接口进行硬件防护。然而，以上两类工控系统终端安全防护产品主要存在以下问题：第一，由于工业控制网络中的软硬件平台环境较为复杂，很多CNC、PLC、DCS、SCADA等系统主要依赖于国外软硬件厂商，存在设计后门、接口不适用或应用场景不符等情形难以避免；第二，工控系统普遍采用嵌入式或精简操作系统，这些系统一般无法更新操作系统补丁、安装查杀病毒软件和信息安全产品，缺少作为一台网络终端设备所必需的安全防护措施，使得工控系统存在严重的安全隐患；第三，恶意网络攻击行为容易利用暴露在网络上工控系统的漏洞窃取超级用户权限，肆意破坏系统或窃取机密数据；第四，工控系统设备本身一般未采用双重强身份鉴别手段实现访问控制，工控设备中存储的数据以及设备上各类接口(串口、网口、USB接口等)存在未授权用户非法接入的风险；第五，工控系统运维如需要依靠外部运维人员，缺乏对外部运维人员违规操作进行监管及事后追溯的技术手段。第六，缺少能够同时对多台相同类型或不同类型工控系统设备终端安全防护策略进行配置与管理的集中统一管理平台。

从以上分析可知，现阶段工业控制系统终端安全防护的不足主要是：无法对工控系统设备上各类接口通过综合运用双重访问控制、强身份鉴别、接口防护策略、文件深度解析、安全审计和设备集中管理一系列技术手段加以全面监控与防护；无法有效阻断工控系统设备运行中的网络攻击和非法接入等恶意行为；无法同时实现多台相同或不同类型工控系统设备终端安全防护的集中统一管理。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是：针对工业控制系统终端安全防护技术领域，如何克服现有技术不足，提供一种工控系统终端安全防护方法。

(二)技术方案

为解决上述技术问题，本发明提供一种工控系统终端安全防护方法，所述工控系统终端安全防护方法基于工控系统终端安全防护系统来实施，所述系统包括：终端安全防护设备、终端安全集中管理系统；