亚洲狠狠干,亚洲国产福利精品一区二区,国产八区,激情文学亚洲色图

多協(xié)議工業(yè)通信安全網(wǎng)關(guān)及應(yīng)用該網(wǎng)關(guān)的通信方法

文檔序號:7819446閱讀:348來源:國知局
多協(xié)議工業(yè)通信安全網(wǎng)關(guān)及應(yīng)用該網(wǎng)關(guān)的通信方法
【專利摘要】本發(fā)明涉及一種多協(xié)議工業(yè)通信安全網(wǎng)關(guān)及應(yīng)用該網(wǎng)關(guān)的通信方法。在數(shù)據(jù)通信時,源網(wǎng)關(guān)利用密鑰管理機(jī)制模塊和VPN加解密模塊對數(shù)據(jù)進(jìn)行加密后,發(fā)送給目標(biāo)網(wǎng)關(guān)。目標(biāo)網(wǎng)關(guān)通過VPN加解密模塊進(jìn)行解密,然后利用安全域安全防護(hù)模塊,對數(shù)據(jù)通信提供安全檢測及控制服務(wù);如果數(shù)據(jù)安全,則對應(yīng)用層數(shù)據(jù)進(jìn)行密鑰解密;判斷應(yīng)用層數(shù)據(jù)類型,如果是應(yīng)用管理數(shù)據(jù)則利用應(yīng)用管理安全模塊進(jìn)行管理,如果是應(yīng)用層報文則調(diào)用應(yīng)用層報文檢測和過濾模塊對報文進(jìn)行檢測過濾管理。本發(fā)明采用VPN加解密、密鑰加解密、應(yīng)用層報文檢測及過濾等3種措施相結(jié)合的方式進(jìn)行通信安全保證;采用安全域安全防護(hù)和應(yīng)用安全管理兩種措施進(jìn)行網(wǎng)關(guān)應(yīng)用安全保證。
【專利說明】多協(xié)議工業(yè)通信安全網(wǎng)關(guān)及應(yīng)用該網(wǎng)關(guān)的通信方法

【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及一種安全網(wǎng)關(guān)產(chǎn)品,尤其涉及一種多協(xié)議工業(yè)通信安全網(wǎng)關(guān)及應(yīng)用該網(wǎng)關(guān)的通信方法。

【背景技術(shù)】
[0002]一般工業(yè)控制網(wǎng)絡(luò)之間的數(shù)據(jù)交換需要工業(yè)通信網(wǎng)關(guān)進(jìn)行轉(zhuǎn)換,由于工業(yè)控制網(wǎng)絡(luò)數(shù)據(jù)通信涉及多種工業(yè)通信協(xié)議,工業(yè)控制網(wǎng)關(guān)比較注重協(xié)議數(shù)據(jù)轉(zhuǎn)換,現(xiàn)有的通用網(wǎng)關(guān)大都只針對一種協(xié)議,因此無法直接應(yīng)用到工業(yè)控制網(wǎng)絡(luò)中。而且現(xiàn)有網(wǎng)關(guān)的安全防護(hù)比較薄弱,無法保障工業(yè)控制網(wǎng)絡(luò)的通信安全。


【發(fā)明內(nèi)容】

[0003]為解決上述問題,本發(fā)明提供了一種可支持多種工業(yè)控制通信協(xié)議的通信安全網(wǎng)關(guān),能保證數(shù)據(jù)通信安全和網(wǎng)關(guān)應(yīng)用安全。
[0004]本發(fā)明所述的多協(xié)議工業(yè)通信安全網(wǎng)關(guān),包括:
密鑰管理機(jī)制模塊,用于采用非對稱算法密鑰管理的數(shù)字信封技術(shù)對密鑰的管理和獲取過程進(jìn)行加解密管理以及對應(yīng)用層數(shù)據(jù)的加密和解密;應(yīng)用層數(shù)據(jù)是指到達(dá)或經(jīng)過安全網(wǎng)關(guān)的管理數(shù)據(jù)、工業(yè)通信協(xié)議數(shù)據(jù)以及網(wǎng)關(guān)日志的遠(yuǎn)程備份數(shù)據(jù);
VPN加解密模塊,用于對訪問數(shù)據(jù)進(jìn)行VPN加密和解密;訪問數(shù)據(jù)是指所有到達(dá)或經(jīng)過網(wǎng)關(guān)的數(shù)據(jù),包括密鑰加密的數(shù)據(jù),這樣可以對重要通信數(shù)據(jù)進(jìn)行雙重加密,最大程度保證通信數(shù)據(jù)的安全;
安全域安全防護(hù)模塊,用于對數(shù)據(jù)通信提供病毒防御、入侵防御、應(yīng)用識別、流量控制、NAT處理安全檢測及控制服務(wù);
應(yīng)用層報文檢測和過濾模塊,用于對應(yīng)用層管理數(shù)據(jù)報文和日志遠(yuǎn)程備份數(shù)據(jù)報文進(jìn)行報文格式檢測及基于白名單的IP地址過濾,并對應(yīng)用層工業(yè)通信數(shù)據(jù)報文進(jìn)行報文格式檢測及基于白名單的IP地址、指令、敏感數(shù)據(jù)的過濾;
應(yīng)用管理安全模塊用于對數(shù)據(jù)通信進(jìn)行登錄管理、權(quán)限管理和安全審計。
[0005]本發(fā)明所述網(wǎng)關(guān)既可作為源網(wǎng)關(guān),也可作為目標(biāo)網(wǎng)關(guān)。在數(shù)據(jù)通信時,源網(wǎng)關(guān)利用密鑰管理機(jī)制模塊和VPN加解密模塊對數(shù)據(jù)進(jìn)行加密后,發(fā)送給目標(biāo)網(wǎng)關(guān)。目標(biāo)網(wǎng)關(guān)通過VPN加解密模塊進(jìn)行解密,然后利用安全域安全防護(hù)模塊,對數(shù)據(jù)通信提供安全檢測及控制服務(wù);如果數(shù)據(jù)安全,則對應(yīng)用層數(shù)據(jù)進(jìn)行密鑰解密;判斷應(yīng)用層數(shù)據(jù)類型,如果是應(yīng)用管理數(shù)據(jù)則利用應(yīng)用管理安全模塊進(jìn)行管理,如果是應(yīng)用層報文則調(diào)用應(yīng)用層報文檢測和過濾模塊對報文進(jìn)行檢測過濾管理。
[0006]本發(fā)明采用VPN加密與密鑰加密相結(jié)合方式,可保障系統(tǒng)通信數(shù)據(jù)的高度安全。VPN代理對數(shù)據(jù)包進(jìn)行安全性的封裝并同時進(jìn)行加密處理,經(jīng)過內(nèi)置壓縮算法對數(shù)據(jù)流進(jìn)行壓縮后再傳輸,所需的帶寬比實際互聯(lián)網(wǎng)接入的帶寬要低很多,無形中極大地節(jié)省了帶寬并提高了數(shù)據(jù)流的轉(zhuǎn)發(fā)速度,并保證了數(shù)據(jù)在網(wǎng)絡(luò)傳輸中的安全性。密鑰加密針對應(yīng)用層數(shù)據(jù)進(jìn)行加密,保證了應(yīng)用層數(shù)據(jù)的安全。兩種加密相互配合既保障了數(shù)據(jù)輸出過程中的安全,特別是應(yīng)用層數(shù)據(jù)的安全性達(dá)到高安全強(qiáng)度等級。
[0007]進(jìn)一步,VPN加密和解密方式為IPSec、GRE、SSL、L2TP中的一種。
[0008]進(jìn)一步,所述的應(yīng)用層報文檢測和過濾模塊包括白名單管理、安全策略管理、協(xié)議檢測、協(xié)議過濾。網(wǎng)關(guān)基于白名單方式設(shè)計安全功能,白名單既包含IP地址及端口號的白名單,還包含協(xié)議的指令及寄存器地址訪問的白名單。網(wǎng)關(guān)針對所有管理用戶提供安全策略,系統(tǒng)提供1000種安全管理策略,網(wǎng)關(guān)根據(jù)提供的安全策略及通信協(xié)議本身對通信數(shù)據(jù)進(jìn)行協(xié)議檢測及過濾,經(jīng)過協(xié)議檢測及過濾通過的數(shù)據(jù)經(jīng)密鑰加密、VPN加密后轉(zhuǎn)發(fā)出去。
[0009]進(jìn)一步,所述的登錄管理包括身份鑒別、多重鑒別、鑒別失敗處理、登錄超時管理。網(wǎng)關(guān)具有系統(tǒng)管理員、安全管理員、審計管理員3種管理員角色,每個角色具有不同的權(quán)限,必須在具備的權(quán)限內(nèi)進(jìn)行訪問和操作。
[0010]進(jìn)一步,所述的安全審計是指系統(tǒng)對VPN加解密、密鑰加解密、安全域安全防護(hù)、應(yīng)用管理、報文檢測與過濾行為進(jìn)行安全審計,形成審計日志,并提供日志的分類查詢及存儲管理。
[0011]進(jìn)一步,所述的應(yīng)用安全管理模塊同時采取用戶名密碼和數(shù)字證書兩種方式進(jìn)行身份鑒別。網(wǎng)關(guān)采用遠(yuǎn)程WEB方式對網(wǎng)關(guān)進(jìn)行管理配置,因此具有應(yīng)用安全管理模塊為網(wǎng)關(guān)提供安全防護(hù)。應(yīng)用安全管理模塊提供了兩種身份鑒別,只有兩種方式都鑒別成功后才可以登錄系統(tǒng)配置,當(dāng)發(fā)生多次鑒別失敗后系統(tǒng)將中止服務(wù)并將登錄的用戶IP及用戶列入黑名單。用戶登錄后根據(jù)身份分配權(quán)限,對系統(tǒng)進(jìn)行參數(shù)設(shè)置等操作。安全審計功能將記錄所有經(jīng)過網(wǎng)關(guān)的參數(shù)管理、安全檢查、協(xié)議過濾等業(yè)務(wù)數(shù)據(jù)進(jìn)行跟蹤審計,保證網(wǎng)關(guān)的運行全方位審計控制。
[0012]該網(wǎng)關(guān)支持基于工業(yè)以太網(wǎng)的協(xié)議和基于RS485總線的工業(yè)協(xié)議?;诠I(yè)以太網(wǎng)的協(xié)議有BACNet/IP、Ethnet/IP、DNP3、Modbus/TCP等,基于RS485總線的工業(yè)協(xié)議有Modbus-RTU,DLT645-2007、CJ/T188-1999 等。
[0013]應(yīng)用所述多協(xié)議工業(yè)通信安全網(wǎng)關(guān)的通信方法,包括源網(wǎng)關(guān)和目標(biāo)網(wǎng)關(guān),源網(wǎng)關(guān)與目標(biāo)網(wǎng)關(guān)分布在工業(yè)控制網(wǎng)絡(luò)的管理網(wǎng)絡(luò)與控制網(wǎng)絡(luò)之間,包括以下步驟:
51、源網(wǎng)關(guān)對待發(fā)送的合格數(shù)據(jù)先進(jìn)行密鑰加密,再進(jìn)行VPN加密后發(fā)送到目標(biāo)網(wǎng)關(guān);
52、目標(biāo)網(wǎng)關(guān)將接收到的數(shù)據(jù)進(jìn)行VPN解密和密鑰解密,同時對數(shù)據(jù)通信進(jìn)行安全域安全防護(hù)和應(yīng)用安全管理,將解密后的應(yīng)用層數(shù)據(jù)經(jīng)應(yīng)用層報文檢測和過濾模塊檢測和過濾后,將合格數(shù)據(jù)進(jìn)行轉(zhuǎn)發(fā)。安全域安全防護(hù)為網(wǎng)關(guān)提供防病毒、入侵攻擊、流控、應(yīng)用識另|J、NAT服務(wù)等系統(tǒng)安全保證,應(yīng)用安全管理為網(wǎng)關(guān)提供配置登錄管理、權(quán)限分配管理、安全審計管理等應(yīng)用安全保證。
[0014]S2步驟的具體步驟如下:
S2-1、對接收到的數(shù)據(jù)利用安全域安全防護(hù)模塊進(jìn)行VPN解密,若VPN數(shù)據(jù)包被破壞則數(shù)據(jù)阻止,并進(jìn)行安全審計,記錄數(shù)據(jù)被阻止的時間、源地址、目標(biāo)地址、阻止原因信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫;否則從遠(yuǎn)程密鑰服務(wù)器獲取密鑰,并利用密鑰對應(yīng)用數(shù)據(jù)進(jìn)行數(shù)據(jù)解密;
S2-2、判定密鑰加密數(shù)據(jù)是否被破壞,若被破壞,則數(shù)據(jù)阻止并進(jìn)行安全審計,記錄數(shù)據(jù)被阻止的時間、源地址、目標(biāo)地址、阻止原因信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫,否則判定是否為系統(tǒng)配置數(shù)據(jù),若是,則進(jìn)入S2-3步驟;若不是,則進(jìn)入S2-4步驟;
S2-3、進(jìn)入系統(tǒng)配置登錄鑒別系統(tǒng)進(jìn)行鑒別,鑒別成功后設(shè)置系統(tǒng)參數(shù)并進(jìn)行安全審計,記錄鑒別時間、源地址、鑒別用戶、鑒別結(jié)果信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫;鑒別不成功則進(jìn)行鑒別失敗處理;
S2-4、判定數(shù)據(jù)為通信業(yè)務(wù)數(shù)據(jù),通過安全策略獲得工業(yè)控制協(xié)議的類型,并檢查協(xié)議的格式及協(xié)議校驗,協(xié)議檢查合格進(jìn)入S2-5協(xié)議過濾步驟,否則數(shù)據(jù)阻止并進(jìn)行安全審計,記錄事件時間、源地址、目的地址、檢查結(jié)果信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫;S2-5、協(xié)議過濾功能獲取安全策略得到白名單,并對協(xié)議數(shù)據(jù)進(jìn)行過濾,數(shù)據(jù)合格進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā),否則進(jìn)行數(shù)據(jù)阻止并安全審計,記錄事件時間、源地址、目的地址、過濾結(jié)果信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫。
[0015]進(jìn)一步,所述的鑒別失敗處理為鑒別失敗后中止服務(wù)程序,如果同一賬戶短時間內(nèi)超過3次登錄失敗則將登錄地址與該賬戶加入黑名單禁止再次訪問,并進(jìn)行安全審計,記錄鑒別時間、源地址、鑒別用戶、鑒別結(jié)果等信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫。
[0016]本發(fā)明的有益效果:
1、采用VPN加解密、密鑰加解密、應(yīng)用層報文檢測及過濾等3種措施相結(jié)合的方式進(jìn)行通信安全保證。三種通信安全保證措施將確保工業(yè)控制網(wǎng)絡(luò)數(shù)據(jù)通信的高安全強(qiáng)度,特別是應(yīng)用報文的檢測及過濾可以有效阻止誤操作或人為破壞,保證工業(yè)設(shè)備及設(shè)備使用、維修人員的安全。
[0017]2、采用安全域安全防護(hù)和應(yīng)用安全管理兩種措施進(jìn)行網(wǎng)關(guān)應(yīng)用安全保證。安全域安全防護(hù)主要提供對外部網(wǎng)關(guān)底層支撐系統(tǒng)比如Linux操作系統(tǒng)的防護(hù),比如病毒防御、入侵防御、流量控制、應(yīng)用識別、NAT處理等。應(yīng)用安全管理主要通過用戶登錄、用戶權(quán)限等措施保證網(wǎng)關(guān)的參數(shù)設(shè)置等設(shè)置項的安全。并對網(wǎng)關(guān)的所有行為進(jìn)行安全審計形成審計日志,這樣可以追溯網(wǎng)關(guān)的行為記錄,并分析潛在的威脅或侵害。
[0018]3、網(wǎng)關(guān)支持多種協(xié)議,可適用于樓宇自控、SCADA及其他工業(yè)DCS系統(tǒng)。

【專利附圖】

【附圖說明】
[0019]圖1是本發(fā)明所述安全網(wǎng)關(guān)的系統(tǒng)部署圖;
圖2是本發(fā)明所述安全網(wǎng)關(guān)的工作原理圖;
圖3是本發(fā)明通信方法的流程圖。

【具體實施方式】
[0020]一種多協(xié)議工業(yè)通信安全網(wǎng)關(guān),包括:
密鑰管理機(jī)制模塊,用于采用非對稱算法密鑰管理的數(shù)字信封技術(shù)對密鑰的管理和獲取過程進(jìn)行加解密管理以及對應(yīng)用層數(shù)據(jù)的加密和解密;應(yīng)用層數(shù)據(jù)是指到達(dá)或經(jīng)過安全網(wǎng)關(guān)的管理數(shù)據(jù)、工業(yè)通信協(xié)議數(shù)據(jù)以及網(wǎng)關(guān)日志的遠(yuǎn)程備份數(shù)據(jù);
VPN加解密模塊,用于對訪問數(shù)據(jù)進(jìn)行VPN加密和解密;訪問數(shù)據(jù)是指所有到達(dá)或經(jīng)過網(wǎng)關(guān)的數(shù)據(jù),包括密鑰加密的數(shù)據(jù),這樣可以對重要通信數(shù)據(jù)進(jìn)行雙重加密,最大程度保證通信數(shù)據(jù)的安全;VPN加密和解密方式為IPSec、GRE、SSL、L2TP中的一種。
[0021]安全域安全防護(hù)模塊,用于對數(shù)據(jù)通信提供病毒防御、入侵防御、應(yīng)用識別、流量控制、NAT處理安全檢測及控制服務(wù);
應(yīng)用層報文檢測和過濾模塊,用于對應(yīng)用層管理數(shù)據(jù)報文和日志遠(yuǎn)程備份數(shù)據(jù)報文進(jìn)行報文格式檢測及基于白名單的IP地址過濾,并對應(yīng)用層工業(yè)通信數(shù)據(jù)報文進(jìn)行報文格式檢測及基于白名單的IP地址、指令、敏感數(shù)據(jù)的過濾;
應(yīng)用管理安全模塊用于對數(shù)據(jù)通信進(jìn)行登錄管理、權(quán)限管理和安全審計。其中,登錄管理包括身份鑒別、多重鑒別、鑒別失敗處理、登錄超時管理。網(wǎng)關(guān)具有系統(tǒng)管理員、安全管理員、審計管理員3種管理員角色,每個角色具有不同的權(quán)限,必須在具備的權(quán)限內(nèi)進(jìn)行訪問和操作。安全審計是指系統(tǒng)對VPN加解密、密鑰加解密、安全域安全防護(hù)、應(yīng)用管理、報文檢測與過濾行為進(jìn)行安全審計,形成審計日志,并提供日志的分類查詢及存儲管理。應(yīng)用安全管理模塊同時采取用戶名密碼和數(shù)字證書兩種方式進(jìn)行身份鑒別。只有兩種方式都鑒別成功后才可以登錄系統(tǒng)配置,當(dāng)發(fā)生多次鑒別失敗后系統(tǒng)將中止服務(wù)并將登錄的用戶IP及用戶列入黑名單。
[0022]該網(wǎng)關(guān)支持基于工業(yè)以太網(wǎng)的協(xié)議和基于RS485總線的工業(yè)協(xié)議?;诠I(yè)以太網(wǎng)的協(xié)議有BACNet/IP、Ethnet/IP、DNP3、Modbus/TCP等,基于RS485總線的工業(yè)協(xié)議有Modbus-RTU,DLT645-2007、CJ/T188-1999 等。
[0023]圖1為安全網(wǎng)關(guān)的系統(tǒng)部署圖。將網(wǎng)關(guān)部署在工業(yè)控制網(wǎng)絡(luò)的管理網(wǎng)絡(luò)和控制網(wǎng)絡(luò)之間,在管理網(wǎng)絡(luò)部署管理網(wǎng)關(guān),控制網(wǎng)絡(luò)部署控制網(wǎng)關(guān),管理網(wǎng)關(guān)與控制網(wǎng)關(guān)經(jīng)過工業(yè)局域網(wǎng)進(jìn)行數(shù)據(jù)交換,管理網(wǎng)關(guān)及控制網(wǎng)關(guān)都可以作為源網(wǎng)關(guān)或目標(biāo)網(wǎng)關(guān)。
[0024]圖2主要說明安全網(wǎng)關(guān)的工作原理圖。源網(wǎng)關(guān)將合格的發(fā)送數(shù)據(jù)經(jīng)過密鑰加密及VPN加密后發(fā)送到目標(biāo)網(wǎng)關(guān),目標(biāo)網(wǎng)關(guān)接收到數(shù)據(jù)經(jīng)過VPN解密及密鑰解密后將解密后的應(yīng)用層數(shù)據(jù)經(jīng)應(yīng)用層報文檢測和過濾模塊檢測和過濾后,將合格數(shù)據(jù)進(jìn)行轉(zhuǎn)發(fā)。安全域安全防護(hù)為網(wǎng)關(guān)提供防病毒、入侵攻擊、流量控制、應(yīng)用識別、NAT服務(wù)等系統(tǒng)安全保證,應(yīng)用安全管理為網(wǎng)關(guān)提供配置登錄管理、權(quán)限分配管理、安全審計管理等應(yīng)用安全保證。
[0025]圖3為利用本發(fā)明所述安全網(wǎng)關(guān)進(jìn)行安全通信的方法流程圖,圖中主要展示的是目標(biāo)網(wǎng)關(guān)對數(shù)據(jù)的處理流程,源網(wǎng)關(guān)只是對數(shù)據(jù)進(jìn)行加密,具體過程未在圖中展示。該通信方法包括以下步驟:
S1、源網(wǎng)關(guān)對待發(fā)送的合格數(shù)據(jù)先進(jìn)行密鑰加密,再進(jìn)行VPN加密后發(fā)送到目標(biāo)網(wǎng)關(guān)。
[0026]S2、目標(biāo)網(wǎng)關(guān)對接收到的數(shù)據(jù)進(jìn)行解密及檢測和過濾處理:
S2-1、對接收到的數(shù)據(jù)利用安全域安全防護(hù)模塊進(jìn)行VPN解密,若VPN數(shù)據(jù)包被破壞則數(shù)據(jù)阻止,并進(jìn)行安全審計,記錄數(shù)據(jù)被阻止的時間、源地址、目標(biāo)地址、阻止原因信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫;否則從遠(yuǎn)程密鑰服務(wù)器獲取密鑰,并利用密鑰對應(yīng)用數(shù)據(jù)進(jìn)行數(shù)據(jù)解密。
[0027]S2-2、判定密鑰加密數(shù)據(jù)是否被破壞,若被破壞,則數(shù)據(jù)阻止并進(jìn)行安全審計,記錄數(shù)據(jù)被阻止的時間、源地址、目標(biāo)地址、阻止原因信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫,否則判定是否為系統(tǒng)配置數(shù)據(jù)(是否是符合https數(shù)據(jù)),若是,則進(jìn)入S2-3步驟;若不是,則進(jìn)入S2-4步驟。
[0028]S2-3、進(jìn)入系統(tǒng)配置登錄鑒別系統(tǒng)進(jìn)行鑒別,鑒別系統(tǒng)利用用戶名密碼及數(shù)字證書多重鑒別方式,鑒別成功進(jìn)行權(quán)限管理對管理員賦予權(quán)限,并檢測用戶登錄是否超時,如果超時需要重新登錄,否則進(jìn)入系統(tǒng)參數(shù)設(shè)置,設(shè)置完成后進(jìn)行安全審計,記錄鑒別時間、源地址、鑒別用戶、鑒別結(jié)果信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫。鑒別不成功則進(jìn)行鑒別失敗處理,鑒別失敗后中止服務(wù)程序,如果同一賬戶短時間內(nèi)超過3次登錄失敗則將登錄地址與該賬戶加入黑名單禁止再次訪問,并進(jìn)行安全審計,記錄鑒別時間、源地址、鑒別用戶、鑒別結(jié)果等信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫。
[0029]S2-4、若系統(tǒng)數(shù)據(jù)不是系統(tǒng)配置數(shù)據(jù),而是通信業(yè)務(wù)數(shù)據(jù),通過安全策略獲得工業(yè)控制協(xié)議的類型,并檢查協(xié)議的格式及協(xié)議校驗,協(xié)議檢查合格進(jìn)入S2-5協(xié)議過濾步驟,否則數(shù)據(jù)阻止并進(jìn)行安全審計,記錄事件時間、源地址、目的地址、檢查結(jié)果信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫;
S2-5、協(xié)議過濾功能獲取安全策略得到白名單,并對協(xié)議數(shù)據(jù)進(jìn)行過濾,數(shù)據(jù)合格進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā),否則進(jìn)行數(shù)據(jù)阻止并安全審計,記錄事件時間、源地址、目的地址、過濾結(jié)果信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫。
【權(quán)利要求】
1.一種多協(xié)議工業(yè)通信安全網(wǎng)關(guān),其特征在于包括: 密鑰管理機(jī)制模塊,用于采用非對稱算法密鑰管理的數(shù)字信封技術(shù)對密鑰的管理和獲取過程進(jìn)行加解密管理以及對應(yīng)用層數(shù)據(jù)的加密和解密; VPN加解密模塊,用于對訪問數(shù)據(jù)進(jìn)行VPN加密和解密; 安全域安全防護(hù)模塊,用于對數(shù)據(jù)通信提供病毒防御、入侵防御、應(yīng)用識別、流量控制、NAT處理安全檢測及控制服務(wù); 應(yīng)用層報文檢測和過濾模塊,用于對應(yīng)用層管理數(shù)據(jù)報文和日志遠(yuǎn)程備份數(shù)據(jù)報文進(jìn)行報文格式檢測及基于白名單的IP地址過濾,并對應(yīng)用層工業(yè)通信數(shù)據(jù)報文進(jìn)行報文格式檢測及基于白名單的IP地址、指令、敏感數(shù)據(jù)的過濾; 應(yīng)用管理安全模塊用于對數(shù)據(jù)通信進(jìn)行登錄管理、權(quán)限管理和安全審計。
2.根據(jù)權(quán)利要求1所述的多協(xié)議工業(yè)通信安全網(wǎng)關(guān),其特征在于:VPN加密和解密方式為 IPSec、GRE、SSL、L2TP 中的一種。
3.根據(jù)權(quán)利要求1所述的多協(xié)議工業(yè)通信安全網(wǎng)關(guān),其特征在于:所述的應(yīng)用層報文檢測和過濾模塊包括白名單管理、安全策略管理、協(xié)議檢測、協(xié)議過濾。
4.根據(jù)權(quán)利要求1所述的多協(xié)議工業(yè)通信安全網(wǎng)關(guān),其特征在于:所述的登錄管理包括身份鑒別、多重鑒別、鑒別失敗處理、登錄超時管理。
5.根據(jù)權(quán)利要求1所述的多協(xié)議工業(yè)通信安全網(wǎng)關(guān),其特征在于:所述的安全審計是指系統(tǒng)對VPN加解密、密鑰加解密、安全域安全防護(hù)、應(yīng)用管理、報文檢測與過濾行為進(jìn)行安全審計,形成審計日志,并提供日志的分類查詢及存儲管理。
6.根據(jù)權(quán)利要求1所述的多協(xié)議工業(yè)通信安全網(wǎng)關(guān),其特征在于:所述的應(yīng)用安全管理模塊同時采取用戶名密碼和數(shù)字證書兩種方式進(jìn)行身份鑒別。
7.根據(jù)權(quán)利要求1-6任一項所述的多協(xié)議工業(yè)通信安全網(wǎng)關(guān),其特征在于:該網(wǎng)關(guān)支持基于工業(yè)以太網(wǎng)的協(xié)議和基于RS485總線的工業(yè)協(xié)議。
8.應(yīng)用權(quán)7所述多協(xié)議工業(yè)通信安全網(wǎng)關(guān)的通信方法,包括源網(wǎng)關(guān)和目標(biāo)網(wǎng)關(guān),源網(wǎng)關(guān)與目標(biāo)網(wǎng)關(guān)分布在工業(yè)控制網(wǎng)絡(luò)的管理網(wǎng)絡(luò)與控制網(wǎng)絡(luò)之間,其特征在于:包括以下步驟: 51、源網(wǎng)關(guān)對待發(fā)送的合格數(shù)據(jù)先進(jìn)行密鑰加密,再進(jìn)行VPN加密后發(fā)送到目標(biāo)網(wǎng)關(guān); 52、目標(biāo)網(wǎng)關(guān)將接收到的數(shù)據(jù)進(jìn)行VPN解密和密鑰解密,同時對數(shù)據(jù)通信進(jìn)行安全域安全防護(hù)和應(yīng)用安全管理,將解密后的應(yīng)用層數(shù)據(jù)經(jīng)應(yīng)用層報文檢測和過濾模塊檢測和過濾后,將合格數(shù)據(jù)進(jìn)行轉(zhuǎn)發(fā)。
9.根據(jù)權(quán)利要求8所述的通信方法,其特征在于:S2步驟的具體步驟如下: S2-1、對接收到的數(shù)據(jù)利用安全域安全防護(hù)模塊進(jìn)行VPN解密,若VPN數(shù)據(jù)包被破壞則數(shù)據(jù)阻止,并進(jìn)行安全審計,記錄數(shù)據(jù)被阻止的時間、源地址、目標(biāo)地址、阻止原因信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫;否則從遠(yuǎn)程密鑰服務(wù)器獲取密鑰,并利用密鑰對應(yīng)用數(shù)據(jù)進(jìn)行數(shù)據(jù)解密; S2-2、判定密鑰加密數(shù)據(jù)是否被破壞,若被破壞,則數(shù)據(jù)阻止并進(jìn)行安全審計,記錄數(shù)據(jù)被阻止的時間、源地址、目標(biāo)地址、阻止原因信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫,否則判定是否為系統(tǒng)配置數(shù)據(jù),若是,則進(jìn)入S2-3步驟;若不是,則進(jìn)入S2-4步驟; S2-3、進(jìn)入系統(tǒng)配置登錄鑒別系統(tǒng)進(jìn)行鑒別,鑒別成功后設(shè)置系統(tǒng)參數(shù)并進(jìn)行安全審計,記錄鑒別時間、源地址、鑒別用戶、鑒別結(jié)果信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫;鑒別不成功則進(jìn)行鑒別失敗處理; S2-4、判定數(shù)據(jù)為通信業(yè)務(wù)數(shù)據(jù),通過安全策略獲得工業(yè)控制協(xié)議的類型,并檢查協(xié)議的格式及協(xié)議校驗,協(xié)議檢查合格進(jìn)入S2-5協(xié)議過濾步驟,否則數(shù)據(jù)阻止并進(jìn)行安全審計,記錄事件時間、源地址、目的地址、檢查結(jié)果信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫;S2-5、協(xié)議過濾功能獲取安全策略得到白名單,并對協(xié)議數(shù)據(jù)進(jìn)行過濾,數(shù)據(jù)合格進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā),否則進(jìn)行數(shù)據(jù)阻止并安全審計,記錄事件時間、源地址、目的地址、過濾結(jié)果信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫。
10.根據(jù)權(quán)利要求9所述的通信方法,其特征在于:所述的鑒別失敗處理為鑒別失敗后中止服務(wù)程序,如果同一賬戶短時間內(nèi)超過3次登錄失敗則將登錄地址與該賬戶加入黑名單禁止再次訪問,并進(jìn)行安全審計,記錄鑒別時間、源地址、鑒別用戶、鑒別結(jié)果等信息,形成審計日志并存儲到網(wǎng)關(guān)數(shù)據(jù)庫。
【文檔編號】H04L29/06GK104320332SQ201410638244
【公開日】2015年1月28日 申請日期:2014年11月13日 優(yōu)先權(quán)日:2014年11月13日
【發(fā)明者】周文奇, 李因東, 唐華, 丁英峰, 王德宣, 黃彩琳 申請人:濟(jì)南華漢電氣科技有限公司
網(wǎng)友詢問留言 已有0條留言
  • 還沒有人留言評論。精彩留言會獲得點贊!
1