[发明专利]工业网络内生安全边界防护方法、设备及架构

权利要求书

1.一种工业网络内生安全边界防护方法，其特征在于，包含如下内容：

通过网卡监听收集生产管理网络数据流量，将数据流量进行缓存并分发至若干异构过滤审查执行体；

利用过滤审查执行体对数据流量中地址、协议、工业控制协议及控制参数进行过滤审查，并输出审查结果；

对若干异构过滤审查执行体输出的审查结果进行拟态裁决，基于拟态裁决结果确定是否向现场控制网络转发数据流量并甄别异常执行体来动态调度对数据流量进行过滤审查的执行体上下线。

2.根据权利要求1所述的工业网络内生安全边界防护方法，其特征在于，若干异构过滤审查执行体相互隔离，独立执行对接收到的数据流量的过滤审查。

3.根据权利要求1所述的工业网络内生安全边界防护方法，其特征在于，过滤审查执行体对数据流量进行过滤审查中，首先采用哈希算法对数据流量进行预处理，然后对数据流量中源目的IP、端口号、MAC地址、通用协议解析、工业控制协议识别及控制参数进行检查。

4.根据权利要求1或3所述的工业网络内生安全边界防护方法，其特征在于，过滤审查还包含：针对检查通过的数据流量，根据当前网络情况选择是否进行数据包重构，以实现与现场控制网络之间的数据传输。

5.根据权利要求4所述的工业网络内生安全边界防护方法，其特征在于，数据包重构包含：修改数据流量中TCP协议握手包的协商MTU，重新计算校验和并填充数据。

6.根据权利要求4所述的工业网络内生安全边界防护方法，其特征在于，对过滤审查执行体输出的审查结果，首先进行归一化处理，获取格式一致的审查结果数据；然后，采用大数则多判决或动态权重方式对一致审查结果数据进行拟态裁决，确定是否向现场控制网络转发数据的最终表决结果并甄别异常执行体。

7.根据权利要求1所述的工业网络内生安全边界防护方法，其特征在于，利用不同版本物理机及不同操作系统构成多个功能等价的异构过滤审查执行体，将该多个功能等价的异构过滤审查执行体放置于异构执行体池中；从异构执行体池中动态选取若干用于在线对数据流量进行过滤审查的异构过滤审查执行体，并将下线的异常执行体清洗后重新防御异构执行体池中。

8.一种工业网络内生安全边界防护设备，其特征在于，包含：数据收集模块、过滤审查模块和拟态裁决模块，其中，

数据收集模块，用于通过网卡监听收集生产管理网络数据流量，将数据流量进行缓存并分发至若干异构过滤审查执行体；

过滤审查模块，用于利用过滤审查执行体对数据流量中地址、协议、工业控制协议及控制参数进行过滤审查，并输出审查结果；

拟态裁决模块，用于对若干异构过滤审查执行体输出的审查结果进行拟态裁决，基于拟态裁决结果确定是否向现场控制网络转发数据流量并甄别异常执行体来动态调度对数据流量进行过滤审查的执行体上下线。

9.一种工业网络内生安全边界防护架构，其特征在于，包含：设置于操作系统和上层应用之间的拟态插件层，该拟态插件层包括：代理插件单元、拟态表决单元、动态调度单元及感知决策单元，其中，

代理插件单元，作为数据流量出入的第一关口，将接收到的外部数据包分发给若干异构过滤审查执行体，将若干异构过滤审查执行体输出反馈给拟态表决单元；并将拟态表决单元判定的数据流量对外输出；

拟态表决单元，通过对比若干异构过滤审查执行体输出结果进行拟态裁决，并将裁决结果反馈给代理插件单元和感知决策单元；

动态调度单元，通过预先设置的执行体调度策略来动态管理异构执行池中在线过滤审查的执行体；

感知决策单元，通过收集运行过程中异常状态信息进行环境感知并依据裁决结果甄别异常执行体，通过负反馈机制将异常执行体数据反馈给动态调度单元。

10.根据权利要求9所述的工业网络内生安全边界防护架构，其特征在于，所述动态调度单元包含与代理插件单元和拟态表决单元连接的控制器，及与控制器连接的调度器；所述控制器依据反馈数据选取相应执行体调度策略并通过调度器对在线过滤审查执行体进行动态调度操作，其中，执行体调度策略至少包含：依据生命周期对执行体重新初始化策略及异常执行体离线清洗策略。