[发明专利]一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统与方法

说明书

本发明公开了一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统，包括监测模块、信任评估模块、动态访问控制模块和网络控制模块；所述监测模块，通过环境感知、多因子认证、安全审计、流量监测的方式持续对“访问者”的身份、访问环境、访问内容和访问行为数据进行监测和收集；所述信任评估模块，用于接收监测模块收集的数据，进行处理和信任评分；所述动态访问控制模块，用于根据信任评分生成相关的访问策略；所述网络控制模块，用于负责根据访问策略转发流量，进行流量控制。本发明解决车间工控系统身份认证与访问管理问题，实现基于身份的、细粒度的动态访问控制机制，增强工控系统的安全性。

技术领域

本发明涉及烟草行业工控系统安全领域，尤其是一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统与方法。

背景技术

随着新一代信息技术的快速演进，网络安全威胁和风险不断涌现、基于传统边界安全模型的解决方案难以应对。

通过近年来国家局每年针对烟草行业的检查结果分析，工控系统身份认证管理存在重大缺失，不满足国家、行业相关安全要求。为了烟草行业支撑数字化业务，工业控制系统需要将业务和数据开放，这种大量的、复杂的访问需求导致物理边界在某种程度上已经失去了既有的安全边界的属性。在无边界化趋势下，安全风险的产生主要来自于身份、权限、业务。现有的安全机制都是基于边界安全体系进行构建的，对身份、权限和业务暴露面方面缺乏针对性的、细粒度的控制措施，难以应对这些威胁，安全架构亟需升级。

烟草工控系统在使用过程中，存在弱密码、账号共用、密码轮换周期太长等身份安全问题，一旦这种安全风险发生，会极大影响业务生产过程中的操作审计、责任界定等生产风险。如图1所示，现有的车间身份认证与访问管理方案：“访问者”直接通过身份认证、权限分配来访问应用(WINCC、PMS等)数据库，只要“访问者”获得访问身份，就可以通过该身份来访问应用数据库，不会在访问中持续对该身份进行验证，导致当别人获取到访问身份信息就可以登陆访问数据库，存在安全风险。

因此，迫切需要深入研究烟草行业工控系统身份认证与访问管理的安全问题，实现和工控场景紧密结合的身份认证与访问管理解决方案。

发明内容

本发明的发明目的在于：针对上述存在的问题，提出一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统与方法，采用零信任架构，整合车间现有安全资源、信息化资源，把网络作为环境的一部分，将车间的人员、应用和设备等全面身份化，再基于不同类别的身份和访问环境从信任评估模块获取信任评分，根据信任评分控制访问，有效的增强烟草行业车间工控系统的安全性。

本发明采用的技术方案如下：

本发明一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统，包括设置在访问者和应用数据库之间的监测模块、信任评估模块、动态访问控制模块和网络控制模块；

所述监测模块，通过环境感知、多因子认证、安全审计、流量监测的方式持续对“访问者”的身份、访问环境、访问内容和访问行为数据进行监测和收集；

所述信任评估模块，用于接收监测模块收集的数据，对数据进行处理和信任评分，并将评分发送到动态访问控制模块；

所述动态访问控制模块，用于根据信任评分生成相关的访问策略作用于网络控制模块；

所述网络控制模块，用于负责根据访问策略转发流量，进行流量控制。

以上系统，解决了烟草行业工业控制系统大量的、复杂的访问需求导致传统的基于物理边界的安全防护机制在某种程度上失去了既有的安全边界的属性，边界防护失效的问题，通过将安全措施从网络转移到具体的人员、设备和业务资产，在网络边界之上叠加基于身份的逻辑边界，实现基于身份的、细粒度的动态访问控制机制，以增加工控系统的安全性。