[发明专利]一种工控边界网络安全防护方法

说明书

本发明属于信息防护领域，具体涉及一种工控边界网络安全防护方法。现有技术工控边界防护过于单一，缺乏有效监测和审计，从管理大区到生产大区的安全威胁不可知不可控。本方法包括四个部分：在生产大区和管理大区之间接入安全区；建立四道安全防线；集中分析和监测；分级应急处置。本方法实现了对工控边界网络行为的监测，保障工控边界数据接入服务器(如PI服务器)的主机安全，同时在受到非法入侵时能够以逻辑链路和物理链路隔离方式阻断，全面提高工控系统的边界安全防护水平。

技术领域

本发明属于信息防护领域，具体涉及一种工控边界网络安全防护方法。

背景技术

当前各核电厂工控网络边界普遍采用了单向隔离装置进行安全防护，数据由生产控制大区经单向网闸直接传入管理信息大区，如图1所示。

这种防护措施并不安全，工控边界防护过于单一，缺乏有效监测和审计，从管理大区到生产大区的安全威胁不可知不可控，具体体现如下：

1)缺乏对工控边界网络行为的监测能力

工控网络在设计之初未考虑到边界网络的集中监测，缺乏边界网络流量、边界安全设备、交互主机等整体安全状况，无法对边界网络安全状况进行有效监测和预警，给电厂一线运维人员带来工作上的不便；

2)边界防护单一且不能实现真正的物理隔离

当前核电厂工控网络边界严重依赖网闸的安全防护，且无法做到真正的物理隔离，一旦网闸被攻破入侵者可直接从办公网抵达工控系统内部造成严重的破坏；

3)数据接入服务器(如PI服务器)未进行安全防护，存在安全隐患

数据接入服务器位于管理大区，其所处的网络环境复杂面临的威胁最大，在面对APT(高级持续性威胁)此类潜伏长久、攻击方式隐蔽的入侵往往无法有效感知和防护。

发明内容

1、目的：

针对工业互联网边界网络安全防护存在的防护单一、缺乏监测、异常状况下无法物理隔离等问题，提供一种核电工控边界网络安全防护方法。

2、技术方案：

一种工控边界网络安全防护方法，包括四个部分：在生产大区和管理大区之间接入安全区；建立四道安全防线；集中分析和监测；分级应急处置。

所述的在生产大区和管理大区之间接入安全区，具体包括：管理大区数据接口主机单独分区，以管理大区数据接口主机为边界，在生产大区和管理大区之间划分出管理-生产数据接入安全区。

所述的建立四道安全防线，具体包括：建立四道防线，第一道防线为管理大区数据接口主机，第二道防线为工控边界异构防护设备，第三道防线为单向隔离装置，第四道防线为生产大区数据接口主机。

所述的集中分析和监测，具体包括：对管理-生成数据接入区的流量数据、设备运行状态、设备日志以及生产大区数据接口主机的状态、日志进行统一收集和处理；对采集的数据多角度进行联动分析；将网络安全分析结果，从多个维度进行集中展示。

所述的分级应急处置，具体包括：根据检测到的工控边界网络安全异常状态和威胁程度，以逻辑链路阻断或物理链路隔离的方式进行工控边界网络安全分级处置。

所述的第一道防线管理大区数据接口主机，第四道防线生产大区数据接口主机，对所述的两类主机进行加固和安全防护。

所述的第二道防线工控边界异构防护设备，对边界流量进行访问控制和安全审计。

所述的分级应急处置，包括：当安全威胁处于探测阶段，影响范围在生产大区以外，对其进行逻辑阻断，防止探测进一步执行。