[发明专利]基于验证分离的PLC防护系统、方法及介质

说明书

本发明公开了基于验证分离的PLC防护系统、方法及介质，系统包括监视器、监控站和高速无线网络：监视器，用于获取待传输到PLC中的命令和代码，将获取到的所述命令和所述代码通过所述高速无线网络传输至监控站；监控站，用于向所述监视器中添加合法用户或者删除合法用户，并对所述监视器发送的命令和代码进行合法性分析，将合法性分析的结果通过所述高速无线网络发送至所述监视器；高速无线网络，用于实现所述监视器与所述监控站之间的数据通信。本发明实现了对现有的工业控制系统的兼容，另一方面由于监控站禁止除经过验证的外接设备和远程连接的可信环境，保证了验证的可信性，可广泛应用于工业控制技术领域。

技术领域

本发明涉及工业控制技术领域，尤其是基于验证分离的PLC防护系统、方法及介质。

背景技术

典型的工业控制系统架构是由工程师站、人机界面HMI、历史数据服务器、PLC和现场工业设备和企业信息网络组成，其中HMI是允许操作人员监视和控制过程的系统；历史数据服务器是一个记录过程控制系统状态历史的数据库服务器；PLC是一种现场设备，可以直接连接到传感器和执行器或其他现场设备，可以通过工业通信协议从HMI中接受控制命令；工程师站是供工程师使用的，对计算机系统进行组态、编程、修改等的工作站。

因为HMI和工程师站对PLC有控制作用，而现在工业控制系统中，企业信息网和现场控制网络仅仅依靠网络防护强进行隔离，导致从企业信息网渗透到现代控制网络中，对现场的PLC设备进行攻击。并且APT攻击也是一种持续性的高威胁攻击，黑客组织通过一系列手段渗透进现场控制网络中，然后进一步控制HMI和工程师站来控制现场设备，例如震网病毒通过买通现场人员，携带带有病毒的U盘在内网中进行渗透，然后利用HMI中的监控软件wincc的漏洞，实现对wincc的控制，对PLC拦截和发送恶意命令。

由上可以知道，一旦黑客控制了HMI和工程师站，那么对现场的PLC就有了绝对的支配权，可能会造成重大的生产事故和经济损失，并且由于工业控制系统中的使用的控制协议没有加密和身份验证等功能，更加剧了这种危险。因此，相关技术希望能够对工业控制协议流量进行分析和代码安全分析。

但是，现有的对工业控制协议流量进行分析和代码安全分析的缺点主要在以下三个方面：

(1)无法解决HMI和工程师站不可信问题

现有的安全流量分析方法，都是针对工业控制网络中的流量进行分析，判断流量是否存在安全问题，但是一旦HMI和工程师站被攻击者所控制，那么其发送的命令，例如停止命令和重启命令很难判断出其是否输入正常命令。

对于工程师向PLC中传输代码，现有的方法一是利用符号执行等方法分析代码中可能存在的安全隐患问题，但是这种存在效率底下，对工程师传输的正常代码可能存在误判的可能，另一种是利用安全设备，拦截PLC代码，并将需要传输的PLC代码进行还原，让工程师自己判断是否正常，然后利用设备物理按钮进行允许下载，但是这种方法一方面需要将PLC二进制代码转为ST等语言，效率低下；另一方面工程师需要对PLC代码进行重新审核，存在人为出错问题。

(2)无法解决工程师可信和命令溯源问题

现在针对工业控制系统采用的APT攻击居高不下，这种APT攻击可以通过收买相关人员对现场设备进行破坏，一旦这种被收买的工程师或者相关人员对现场设备发送恶意命令，由于现场设备对这些指令等没有进行记录，存在溯源和取证难的问题。

(3)无法解决通过其他方式连接到PLC中

由于现有的工业控制协议没有身份认证的功能，一旦攻击者渗透进行了工业控制网络中，那么其可以尝试对PLC进行直接控制，现有的基于协议流量分析，黑白名单策略存在被绕过风险，不能完全避免PLC被控制问题。