CN114363026A - 一种基于白名单的工控网络智能控制管理方法及*** - Google Patents

Abstract

本申请提供一种基于白名单的工控网络智能控制管理方法及***，该方法包括：设置工控的学习管理任务；从管辖范围内所有的工控管理协议中解析出对应的学习任务工控管理协议；存入网络协议白名单中；判断工业访问申请数据是否在所述网络协议白名单中，若不在，且根据管理员的指示，执行工业访问申请数据，则记录对应的工业访问请求数据，同时生成访问日志。通过该方法和***，避免了传统管理***中手动输入管理协议数据所造成的时间和人力的浪费，同时记录了高危的网络协议访问数据，便于产生问题的后续直接追溯。

Description

一种基于白名单的工控网络智能控制管理方法及***

技术领域

本申请涉及工控安全技术领域，尤其涉及一种基于白名单的工控网络智能控制管理方法及***。

背景技术

现如今企业的经营方式随着互联网和其相关技术的出现和发展，已经被改变了很多，它使信息通信环绕在整个社会生活中，并在很大的范围内得以贯穿，世界上有文明的地方就有工业控制网络。在制造加工工业中，在互联网的基础上，开放式的、透明的商业运作是新技术的发展方向。在过去几十年的信息技术在企业中的应用发展中呈现出整体越来越快的趋势。工业控制网络中大量采用协议技术，网络和企业管理网的联系越来越紧密。

工控设备(如数控机床)广泛服务于工厂产品加工领域，其对安全性、稳定性要求较高，随着工控***管控一体化趋势逐渐加强，使得工控***与信息管理***与互联网相连通，同时工控***日益复杂化，已经开始大量采用通用软件、通用硬件及通用协议，这使得传统封闭的工控***逐步暴露出来，直接面对来自外界网络的各种威胁，增加了工控***的安全隐患。网络空间的安全威胁已从传统的互联网、计算机等虚拟空间迅速延伸扩展至物理世界的工业控制***。即“计算机病毒”可以在不破坏工控***本身的情况下，通过操控工业控制***，引发生产中断、管道泄漏、环境污染、装备损毁，甚至可以引发灾难事故，导致生产安全就会受到极大威胁。工控***已成为网络空间安全越来越重要的新战场。

工控控制场景下，各类工控协议种类繁多，每种协议标准不一，很难做到整体的安全防护。一般的工业***安全防护管理***中，为了保证安全性，并且存在大量人工去手动输入管理方法来操作，费时费力。

发明内容

本申请提供了一种基于白名单的工控网络智能控制管理方法及***，以解决现有技术中管理***中手动输入管理协议数据所造成的时间和人力的浪费的问题，同时记录了高危的网络协议访问数据，便于产生问题的后续直接追溯。

一方面，本申请提供一种基于白名单的工控网络智能控制管理方法，包括：

设置工控的学习管理任务；

根据所述学习管理任务，从管辖范围内所有的工控管理协议中解析出对应的学习任务工控管理协议；

将所述学习任务工控管理协议保存到网络协议白名单；

根据获取的工业访问请求数据，判断工业访问申请数据是否在所述网络协议白名单中；

若工业访问请求数据不在所述网络协议白名单，且根据管理员的指示，执行所述工业访问请求数据，则记录对应的工业访问请求数据，作为非网络协议白名单访问数据；

根据非网络协议白名单访问数据，生成访问日志。

可选的，所述方法还包括：

根据访问日志，通过汇聚方法，生成访问报告。

可选的，所述方法中的根据访问日志，通过汇聚方法，生成访问报告为：

创建三个数据链接，用于分别保存源IP、目的IP和协议；

在所述访问日志中找出在预设的时间的源IP、目的IP和协议；

分别将源IP、目的IP和协议进行排序，分别选取其中若干个排名靠前的源IP、目的IP和协议；

交叉对比若干个排名靠前的源IP、目的IP和协议，分析得到访问报告。

可选的，所述方法还包括：

根据所述访问报告，建立用户画像。

可选的，所述方法包括：

存储所述访问日志、所述访问报告和所述用户画像在本地局域网。

可选的，所述网络协议白名单至少包括：源IP、目的IP，功能码，起始地址，结束地址和协议。

另一方面，本申请还提供另一种基于白名单的工控网络智能控制管理***，所述方法包括：

学习管理任务模块，用于设置工控的学习管理任务；

搜索模块，根据所述学习管理任务，从管辖范围内所有的工控管理协议中解析出对应的学习任务工控管理协议；

建立白名单模块，将所述学习任务工控管理协议保存到所述网络协议白名单中；

判断访问数据模块，用于根据工业访问请求数据，判断工业访问申请数据是否在所述网络协议白名单中；

记录危险数据模块，若工业访问请求数据不在所述网络协议白名单，且根据管理员的指示，执行所述工业访问请求数据，则记录对应的工业访问请求数据，作为非网络协议白名单访问数据；

访问日志模块，用于根据非网络协议白名单访问数据，生成访问日志。

可选的，所述***还包括：

访问报告模块，用于根据访问日志，通过汇聚方法，生成访问报告。

可选的，所述***还包括：

用户画像模块，用于根据所述访问报告，建立用户画像。

可选的，所述***还包括：

离线模块，存储所述访问日志、所述访问报告和所述用户画像在本地局域网。

由以上技术方案可知，本申请提供一种基于白名单的工控网络智能控制管理方法及***，该方法包括：设置工控的学习管理任务；从管辖范围内所有的工控管理协议中解析出对应的学习任务工控管理协议；存入网络协议白名单中；判断工业访问申请数据是否在所述网络协议白名单中，若不在，且根据管理员的指示，执行工业访问申请数据，则记录对应的工业访问请求数据，同时生成访问日志。通过配置工控白名单学习任务，能够搜索解析出对应的管理协议，避免了传统工控管理***中，手动输入工控管理协议到网络协议白名单中，造成的大量时间和人力的浪费的问题；另外，在非网络协议白名单的网络请求被管理员允许时，会自动生成访问日志，直接集中锁定了高危的访问数据，以便于后续产生安全问题后可以追溯，提高了管辖区域的安全性。

附图说明

为了更清楚地说明本申请的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请提供的一种基于白名单的工控网络智能控制管理方法的流程图；

图2为本申请提供的一种基于白名单的工控网络智能控制管理***的结构图；

图3为本申请提供的另一种基于白名单的工控网络智能控制管理***的结构图；

图4为本申请提供的另一种基于白名单的工控网络智能控制管理***的结构图；

图5为本申请提供的另一种基于白名单的工控网络智能控制管理***的结构图。

具体实施方式

下面将详细地对实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下实施例中描述的实施方式并不代表与本申请相一致的所有实施方式。仅是与权利要求书中所详述的、本申请的一些方面相一致的***和方法的示例。

参见图1，图1是本申请提供的一种基于白名单的工控网络智能控制管理方法的流程图。如图1所示，包括以下步骤：

步骤10，设置工控的学习管理任务。

在步骤10中，管理员可以设置，指定学习某一种ip或者端口范围内的网络数据，设置所述学习管理任务可以包括学习的源、目的ip访问、学习的协议、学习的时间段等一系列参数。所述参数可以举例为，学习的协议可以是udp或者tcp，学习的时间段被设置成3600秒。需要说明的是，此步骤并不会对学习管理任务的数量进行限定，可以一次设定一组或者若干组参数作为所述学习管理任务，以此达到效率的最大化。

步骤20，根据所述学习管理任务，从管辖范围内所有的工控管理协议中解析出对应的学习任务工控管理协议。

在步骤20中，根据S10中设置的所述学习管理任务各种具体参数，解析满足条件的ip范围的所有工控管理的报文，也就是管辖范围内所有的工控管理协议进行搜索解析，获取到该工控网络协议中已经写好的网络管理数据。

步骤30，将所述学习任务工控管理协议保存到网络协议白名单。

在步骤30中，引入了白名单的概念，作为可以后续步骤中执行通过的基础。将步骤20中解析出来学习任务工控管理协议的数据放入白名单。需要说明的是，网络协议白名单可以预先设计好需要读写的结构体，即每一条白名单中需要填写的一组参数，如访问目的、功能码、操作的起始地址、作的结束地址、功能码和传输层协议。为了安全性，每一条网络协议白名单需要至少有六项内容，包括源ip、目的ip，功能码，起始地址，结束地址和协议。

另外，为了更好的管理网络协议白名单中，可以设置网络协议白名单的数量，例如，最大支持一万条白名单。通过设置白名单的上限，可以有利于精细化管理。

进一步的，所述网络协议白名单，也可以通过管理员手动配置的，以增加本方法的灵活性。

在步骤10到步骤30中，用于解决传统工控管理中，需要管理员消耗大量时间和大量经理用于输入管理规则的问题，做到了快速监管的作用。例如，某工业集团下属有子公司工厂A和子公司工厂B。在某种场景下，子公司工厂A和子公司工厂B需要访问交流互通。需要子公司工厂B允许子公司工厂A的工业访问请求数据，但是管理员并不很清楚子公司工厂A的具体的业务模型。在这种背景下，子公司工厂B的管理员可以快速配置网络协议白名单，学习子公司工厂A的流量，相当于子公司工厂B直接复制了已经被授权的每一条网络协议白名单，节约了大量的成本，极大地提高了效率。

步骤40，根据获取的工业访问请求数据，判断工业访问申请数据是否在所述网络协议白名单中。

在步骤40中，通过对比工业访问请求数据是否在所述网络协议白名单中，来判断是否可以执行所述工业访问请求数据。需要说明的是，当工业访问请求数据被判断与所述网络协议白名单匹配时，执行工业访问请求数据。

步骤50，若工业访问请求数据不在所述网络协议白名单，且根据管理员的指示，执行所述工业访问请求数据，则记录对应的工业访问请求数据，作为非网络协议白名单访问数据。

在步骤50，若工业访问请求数据不在所述网络协议白名单，需要管理员给予指示，若管理员给予的指示是不允许，则不执行该条工业访问请求数据；若管理员给予的指示是允许，则执行该条工业访问请求数据。此条工业访问请求数据由于不在预设的网络协议白名单，而被管理员手动允许了通过，即非网络协议白名单访问数据被允许执行，则被视为一条高危的访问，很有可能照成安全隐患，所以在后续步骤中对其进行重点分析。

步骤60，根据非网络协议白名单访问数据，生成访问日志。

在步骤60，生成针对非网络协议白名单访问数据的所述访问日志，也就是高危访问数据，为了后续出现安全问题的追溯。一种优化的实施例，预设一个时间段，作为一个周期。在一个周期后，自动生成一个访问日志，所述周期可以是一个小时、一天、一周或者一个月，已达到定期整理访问日志，防止所述访问日志过于凌乱，繁琐。具体的，日志中至少保存源IP、目的IP、协议和访问时间。

进一步的，还可以根据访问日志，通过汇聚方法，生成访问报告。具体的，创建三个数据链接，用于分别保存源IP、目的IP和协议；在所述访问日志中找出在预设的时间的源IP、目的IP和协议；分别将源IP、目的IP和协议进行排序，分别选取其中若干个排名靠前的源IP、目的IP和协议；交叉对比若干个排名靠前的源IP、目的IP和协议，分析得到访问报告。

通过掌握三种最关键的数据，即源IP、目的IP和协议，作为追溯的最基本信息。同时，利用排名的方式，可以将可疑的，高危的访问数据呈现出来。这些统计的出来排名，作为一种TOP表。统计每种源IP出现的次数，按照次数做一个TOP排名，一个IP对应着一个国家或者地区，那么就可以得到攻击源所属国家或者地区一个排名。统计每种IP出现的次数，按照次数做一个TOP排名，目的IP都属于生产管辖环境中，后面管理员拿着这个目的IP的TOP表，可以比较直观看出生产环境哪个区域或者局点遭受的攻击的可疑情况。统计每种协议出现的次数，按照次数做一个TOP排名，可以直观的展示出来，那类工业场景造受的攻击可疑最多。

进一步的，根据所述访问报告，建立用户画像。

具体的，所述访问报告至少提供了根据源ip、工业协议、访问时间和操作指令。这些关键要素能够有效呈现了相关信息。所述根据源ip可以识别出国家和地区；所述工业协议可以识别出主要的业务模型，通过访问时间可以获取攻击或者正常生产的时间；所述操作指令可以识别出区分控制类还是查询类。用户画像是大数据技术的重要应用，其目标是在很多的维度上建立针对用户的描述性标签属性，从而利用这些标签属性对用户多方面的真实个人特征进行勾勒。本申请将所述用户画像的概念引入工控管理中，通过以上要素刻画出一个用户画像作为重要线索，便出管理员直观分析正常生产或者攻击的每一种情况。将每个关键访问数据要素成标签，利用这些标签将高危的工业访问请求数据抽象形象具体化。

进一步的，存储所述访问日志、所述访问报告和所述用户画像在本地局域网。

储存在本地局域网中，可以在网络离线状态保持运行状态，同时也可以当网络传输不安全，保存可以追溯的所有数据。在复杂的工业控制场景，替换网络安全设备比较昂贵和繁琐，支持离线数据回放分析就解决这种问题，在不替换设备的情况下，也能对生产场景中的工控业务或者异常攻击。

一种具体的实施例为，首先，设置工控的学习管理任务，配置需要学习的源、目的ip访问、学习的协议、学习的时间段。

通过所述学习的源、所述目的ip访问、所述学习的协议、所述学习的时间段，在管辖范围内所有的工控管理协议中，解析满足学习条件中ip范围的报文，根据端口和其他一些特征来识别和解析modbus协议。

定义modbus白名单结构体，包括变量srcip、dstip、func_code、start_addr、end_addr和protocol，对应参数解释：modbus白名单源ip、modbus白名单目的ip、modbus的功能码、modbus操作的起始地址、modbus操作的结束地址、传输层协议。

在配置的学习的时间段结束后，停止解析报文，此时解析出若干个modbus白名单结构体。

将所述modbus白名单结构体保存在所述网络协议白名单中，是二叉树的结构保存。

获取工业访问请求数据，在进行判断所述工业访问申请数据是否在所述网络协议白名单中之前，同样需要解析出报文相关的字段信息：源、目的ip，功能码，起始地址，结束地址和协议。

将所述工业访问请求数据中解析出的源、目的ip，功能码，起始地址，结束地址和协议，需要遍历内存保存的所述网络协议白名单，按照匹配条件依次进行比对，必须满足源、目的ip、功能码、起始地址、结束地址和协议均满足，才认为匹配上该条策略在2的基础上，对数据报文进行控制。

如果匹配上了任何一条网络协议白名单，则所述工业访问请求数据被放通。

如果没有匹配上任何一条网络协议白名单，有两种处理模式，即根据管理员依照实际情况执行或者阻止该工业访问请求数据。

当管理员执行该工业访问请求数据时，写入数据到访问日志。

写入数据到访问日志的过程为：定义一个1024字节的log_buff，其类型为指针。

例如：char log_buff[1024]＝{0}

将原始报文数据中，源、目的ip、功能码、起始地址、结束地址和协议保存在定义的log_buff中，将日志存入数据库同时也支持外发。

然后，管理员设置访问日志记录的周期，可以是1个小时、1天、一周或者一月。

创建三个数据链接，分别保存源IP、目的IP和协议，具体结构定义如下：

分析出来该日志周期中所有的访问日志，统计出所有的源IP、所有的目的IP以及所有的协议。使用快速排序4中源IP、目的IP、协议的三个连接进行排序，记录每种的top10。交叉对比三种维度的top，结合实际的情况，输出一份报告，可以具体表现出实际的生成环境中，异常访问的种类和攻击源，管理员可再根据实际情况去做相应的处置。

参见图2，图2是本申请提供的一种基于白名单的工控网络智能控制管理***的结构图。如图2所示，所述***包括学习管理任务模块、搜索模块、建立白名单模块、判断访问数据和访问日志模块，其中：

学习管理任务模块，用于设置工控的学习管理任务；

搜索模块，根据所述学习管理任务，从管辖范围内所有的工控管理协议中解析出对应的学习任务工控管理协议；

建立白名单模块，将所述学习任务工控管理协议保存到所述网络协议白名单中；

判断访问数据模块，用于根据工业访问请求数据，判断所述工业访问申请数据是否在所述网络协议白名单中；

记录危险数据模块，若所述工业访问请求数据不在所述网络协议白名单，且根据管理员的指示，执行所述工业访问请求数据，则记录对应的所述工业访问请求数据，作为非网络协议白名单访问数据；

访问日志模块，用于根据非网络协议白名单访问数据，生成访问日志。

可选的，如图3所示，一种基于白名单的工控网络智能控制管理***还包括：

访问报告模块，用于根据访问日志，通过汇聚方法，生成访问报告。

可选的，如图4所示，一种基于白名单的工控网络智能控制管理***包括：

用户画像模块，用于根据所述访问报告，建立用户画像。

可选的，如图5所示，一种基于白名单的工控网络智能控制管理***还包括：

离线模块，存储所述访问日志、所述访问报告和所述用户画像在本地局域网。

本申请提供一种基于白名单的工控网络智能控制管理方法及***，该方法包括：设置工控的学习管理任务；从管辖范围内所有的工控管理协议中解析出对应的学习任务工控管理协议；存入网络协议白名单中；判断工业访问申请数据是否在所述网络协议白名单中，若不在，且根据管理员的指示，执行工业访问申请数据，则记录对应的工业访问请求数据，同时生成访问日志。通过配置工控白名单学习任务，能够搜索解析出对应的管理协议，避免了传统工控管理***中，手动输入工控管理协议到网络协议白名单中，造成的大量时间和人力的浪费的问题；另外，在非网络协议白名单的网络请求被管理员允许时，会自动生成访问日志，直接集中锁定了高危的访问数据，以便于后续产生安全问题后可以追溯，提高了管辖区域的安全性；将每个关键访问数据要素成标签，生成了用户画像，利用这些标签将高危的工业访问请求数据抽象形象具体化，便于管理员直观分析高危访问记录。

本申请提供的实施例之间的相似部分相互参见即可，以上提供的具体实施方式只是本申请总的构思下的几个示例，并不构成本申请保护范围的限定。对于本领域的技术人员而言，在不付出创造性劳动的前提下依据本申请方案所扩展出的任何其他实施方式都属于本申请的保护。

Claims (10)

1.一种基于白名单的工控网络智能控制管理方法，其特征在于，所述方法包括：

设置工控的学习管理任务；

根据所述学习管理任务，从管辖范围内所有的工控管理协议中解析出对应的学习任务工控管理协议；

将所述学习任务工控管理协议保存到网络协议白名单；

根据获取的工业访问请求数据，判断工业访问申请数据是否在所述网络协议白名单中；

若工业访问请求数据不在所述网络协议白名单，且根据管理员的指示，执行所述工业访问请求数据；记录对应的工业访问请求数据，作为非网络协议白名单访问数据；

根据非网络协议白名单访问数据，生成访问日志。

2.根据权利要求1中所述的一种基于白名单的工控网络智能控制管理方法，其特征在于，所述方法还包括：

根据访问日志，通过汇聚方法，生成访问报告。

3.根据权利要求2中所述的一种基于白名单的工控网络智能控制管理方法，其特征在于，所述方法中的根据访问日志，通过汇聚方法，生成访问报告为：

创建三个数据链接，用于分别保存源IP、目的IP和协议；

在所述访问日志中找出在预设的时间的源IP、目的IP和协议；

分别将源IP、目的IP和协议进行排序，分别选取其中若干个排名靠前的源IP、目的IP和协议；

交叉对比若干个排名靠前的源IP、目的IP和协议，分析得到访问报告。

4.根据权利要求2中所述的一种基于白名单的工控网络智能控制管理方法，其特征在于，所述方法还包括：

根据所述访问报告，建立用户画像。

5.根据权利要求4中所述的一种基于白名单的工控网络智能控制管理方法，其特征在于，所述方法包括：

存储所述访问日志、所述访问报告和所述用户画像在本地局域网。

6.根据权利要求1中所述的一种基于白名单的工控网络智能控制管理方法，其特征在于，所述网络协议白名单至少包括：源IP、目的IP，功能码，起始地址，结束地址和协议。

7.一种基于白名单的工控网络智能控制管理***，其特征在于，所述方法包括：

学习管理任务模块，用于设置工控的学习管理任务；

搜索模块，用于根据所述学习管理任务，从管辖范围内所有的工控管理协议中解析出对应的学习任务工控管理协议；

建立白名单模块，用于将所述学习任务工控管理协议保存到所述网络协议白名单中；

判断访问数据模块，用于根据工业访问请求数据，判断工业访问申请数据是否在所述网络协议白名单中；

记录危险数据模块，用于若工业访问请求数据不在所述网络协议白名单，且根据管理员的指示，执行所述工业访问请求数据，则记录对应的工业访问请求数据，作为非网络协议白名单访问数据；

访问日志模块，用于根据非网络协议白名单访问数据，生成访问日志。

8.根据权利要求1中所述的一种基于白名单的工控网络智能控制管理***，其特征在于，所述***还包括：

访问报告模块，用于根据访问日志，通过汇聚方法，生成访问报告。

9.根据权利要求8中所述的一种基于白名单的工控网络智能控制管理***，其特征在于，所述***还包括：

用户画像模块，用于根据所述访问报告，建立用户画像。

10.根据权利要求9中所述的一种基于白名单的工控网络智能控制管理***，其特征在于，所述***还包括：

离线模块，存储所述访问日志、所述访问报告和所述用户画像在本地局域网。

Images