一种多融合联动响应的动态安全方法与系统技术方案

本发明专利技术涉及一种基于多融合联动响应的动态安全方法与系统，方法为现场控制设备通过身份认证、密钥管理进行主动响应与被动响应，对异常行为进行报警。系统包括接入认证主动响应模块，访问控制主动响应模块，访问控制被动响应模块，异常冒充被动响应模块，密钥弱点被动响应模块和异常状态被动响应机制模块。本发明专利技术在保证终端设备安全的正确性及可行性的基础上，能够构建安全可信的工控系统运行环境。

【技术实现步骤摘要】
一种多融合联动响应的动态安全方法与系统
本专利技术涉及一种基于多融合联动响应的动态安全方法与系统，其能够使工业测控网络控制设备安全构造一个动态、安全和可信的环境，属于工业控制网络安全领域。
技术介绍
卡巴斯基工控系统病毒研究室指出构造安全可靠的终端设备，是构造一个安全可靠的整体系统的基础。在国际上，可信计算技术的理论体系基本建立，当前研究重点主要集中在虚拟技术、安全启动、远程证明、可信计算应用和测评等领域。可信芯片和可信操作系统等关键技术已实现产品化，并在重要保护领域有所应用。AB、Tofino等公司加入TCG(可信计算组织)。国际知名工业控制系统设备公司开始在PLC等产品设计时考虑加强可靠性和安全性。工业控制系统安全领域知名公司也着手在采用可信计算技术来加强终端的安全防护能力。现有工控系统中无法将数字证书、访问控制、异常检测进行有效融合，不能实现动态调整，对网络攻击往往处理比较被动，本专利技术提供一种有效的动态处理机制，使工控系统具有主动安全状态调整能力。
技术实现思路
针对上述技术不足，本专利技术的目的提供一种基于多融合联动响应的可信PLC动态安全方法与系统。本专利技术解决其技术问题所采用的技术方案是：基于一种多融合联动响应的动态安全方法，现场控制设备通过身份认证、密钥管理进行主动响应与被动响应，对异常行为进行报警，包括以下步骤：接入认证主动响应模块，对于认证数据流，现场控制设备通过自己的数字证书B与其他通信节点进行身份合法性认证；通过认证后允许通信；访问控制主动响应模块，对于非认证数据流，检测到非法访问时，立即阻断数据通信并进行报警；访问控制被动响应模块，当访问控制主动响应模块检测到异常行为时被触发，由管理员确认该异常行为是否合法；异常冒充被动响应模块，对于非认证数据流，检测到异常冒充行为，由管理员确认是否需要对证书进行处理；密钥弱点被动响应模块，对于非认证数据流，检测到密钥脆弱性或过期的事件，由管理员确认是否需要对密钥进行处理；若是，则进行会话秘钥的协商；异常状态被动响应机制模块，对于非认证的数据流，检测到其他异常行为，通过通信模型的建立对所有违反通信模型的行为进行报警。所述现场控制设备通过身份认证、密钥管理进行主动响应与被动响应之前：预先配置代表身份的数字证书A，然后现场控制设备在实际环境中对数字证书A进行现场更新，并获取数字证书B。所述现场控制设备通过自己的数字证书B与其他通信节点进行身份合法性认证包括以下步骤：i)发起方发起身份认证请求，建立TCP握手链接；j)发起方发送身份认证请求；k)接收方确认身份请求；l)发起方发送签名证书A；m)发起方发送加密证书B；n)接收方确认发起方发送的签名证书A和加密证书B，进行签名验签；o)接收方发送签名证书C；p)接收方发送加密证书D；i)发送方确认接收方发送的签名证书和加密证书，进行签名验签，完成认证。所述访问控制主动响应模块，对于非认证的数据流，检测包括以下步骤：e)首先，通过网卡的混杂模式对数据流进行捕获；f)对捕获的数据进行协议分析；g)对协议的应用层协议进行解析；h)匹配数据流中的协议解析内容与设定的匹配规则内容是否相符；若相符，则进行日志设置或直接放行数据流；否则对数据流进行阻拦并报警；默认情况下阻止一切数据流的通过。所述访问控制被动响应模块，由管理员确认该异常行为是合法时，将该行为加入到匹配规则中。所述进行会话秘钥的协商包括以下步骤：f)发起方发送数字证书B和签名数据；g)接收方验证发起方的签名数据，认证通过，则继续进行通信；接收方发送自己的数字证书B和签名数据；h)发起方验证接收方的签名数据，认证通过，则继续进行通信；发起方发送基于接收方公钥进行加密的对称秘钥对信息n，并附带随机数；i)接收方发送基于发起方公钥进行加密的对称秘钥对信息m，并附带随机数；j)发起方和接收方对n、m信息进行处理，生成对称密钥对；发起方用对称密钥对加密一个随机数+时间标签，进行应答；f)接收方解密发起方发送的数据，并对随机数+1；接收方用对称密钥对加密随机数+1的信息以及时间标签。基于一种多融合联动响应的动态安全系统，包括：接入认证主动响应模块，用于对于认证数据流，现场控制设备通过自己的数字证书B与其他通信节点进行身份合法性认证；通过认证后允许通信；访问控制主动响应模块，用于对于非认证数据流，检测到非法访问时，立即阻断数据通信并进行报警；访问控制被动响应模块，用于当访问控制主动响应模块检测到异常行为时被触发，由管理员确认该异常行为是否合法；异常冒充被动响应模块，用于对于非认证数据流，检测到异常冒充行为，由管理员确认是否需要对证书进行处理；密钥弱点被动响应模块，用于对于非认证数据流，检测到密钥脆弱性或过期的事件，由管理员确认是否需要对密钥进行处理；若是，则进行会话秘钥的协商；异常状态被动响应机制模块，用于对于非认证的数据流，检测到其他异常行为，通过通信模型的建立对所有违反通信模型的行为进行报警。本专利技术具有以下有益效果及优点：1.本专利技术在保证终端设备安全的正确性及可行性的基础上，能够构建安全可信的工控系统运行环境。2.本专利技术将数字证书、访问控制、异常检测进行有效融合。3.本专利技术提供了一种工控系统动态处理安全威胁的能力。附图说明图1是可信PLC环境架构示意图；图2是多融合联动响应响应机制处理流程图；图3是本方法实现时可信PLC的功能架构图。图4是管控平台与NGU的身份认证过程流程图；图5是秘钥协商流程图；图6是访问控制流程图。具体实施方式下面结合实施例对本专利技术做进一步的详细说明。如图2所示，一种基于多融合联动响应的动态安全方法，基于策略、防御、检测与响应(P2DR—Policy、Protection、Detection、Response)的多融合联动响应模型以工业测控系统可用性优先为原则，并考虑工业应用的实时性，对工业测控系统的可信计算环境以访问控制技术为核心，身份认证、密钥管理为手段，进行主动响应与被动响应，最终实现工业测控系统可信计算环境的安全动态调整，该方法主要包括以下几个部分：本专利技术适用于工业测控系统中具有可信功能的现场控制设备，本文的实施例是以PLC(可编程逻辑控制器)为特定说明对象，如图3为本实施例的可信PLC功能架构图，但不限于应用于PLC上。以下方法过程参考了基于可信PLC的一种环境架构(其中双网口NGU+传统控制器构成可信PLC)，如图1所示。(1)现场控制设备(如可信PLC)数字证书更新：为了现场维护方便考虑，通过调试串口预先配置一个由数字化证书系统签发的代表身份的数字证书A(出厂证书)，之后，在实际部署环境中，现场配置人员对证书进行现场更新，可信PLC基于数字证书A更新获取自身在此环境中应用的数字证书B(运行证书)，数字证书B符合现场网络拓扑结构的证书格式。(2)接入认证主动响应机制：通过身份认证确定合法的终端接入，自动生成相应的访问控制规则策略，并实现实时配置与生效。可信PLC通过自己的数字证书B来与其他通信端点进行身份合法性认证，认证过程可以参考如图4管控平台与NGU(网络安全单元)的身份认证过程。一旦通过认证，则可信PLC的NGU模块添加接入认证许可规则，即允许终端与管控平台间通信，格式如下：源IP地址源MAC地址目的IP地址目的MAC地址方本文档来自技高网...

【技术保护点】
1.基于一种多融合联动响应的动态安全方法，其特征在于，现场控制设备通过身份认证、密钥管理进行主动响应与被动响应，对异常行为进行报警，包括以下步骤：接入认证主动响应模块，对于认证数据流，现场控制设备通过自己的数字证书B与其他通信节点进行身份合法性认证；通过认证后允许通信；访问控制主动响应模块，对于非认证数据流，检测到非法访问时，立即阻断数据通信并进行报警；访问控制被动响应模块，当访问控制主动响应模块检测到异常行为时被触发，由管理员确认该异常行为是否合法；异常冒充被动响应模块，对于非认证数据流，检测到异常冒充行为，由管理员确认是否需要对证书进行处理；密钥弱点被动响应模块，对于非认证数据流，检测到密钥脆弱性或过期的事件，由管理员确认是否需要对密钥进行处理；若是，则进行会话秘钥的协商；异常状态被动响应机制模块，对于非认证的数据流，检测到其他异常行为，通过通信模型的建立对所有违反通信模型的行为进行报警。

【技术特征摘要】
1.基于一种多融合联动响应的动态安全方法，其特征在于，现场控制设备通过身份认证、密钥管理进行主动响应与被动响应，对异常行为进行报警，包括以下步骤：接入认证主动响应模块，对于认证数据流，现场控制设备通过自己的数字证书B与其他通信节点进行身份合法性认证；通过认证后允许通信；访问控制主动响应模块，对于非认证数据流，检测到非法访问时，立即阻断数据通信并进行报警；访问控制被动响应模块，当访问控制主动响应模块检测到异常行为时被触发，由管理员确认该异常行为是否合法；异常冒充被动响应模块，对于非认证数据流，检测到异常冒充行为，由管理员确认是否需要对证书进行处理；密钥弱点被动响应模块，对于非认证数据流，检测到密钥脆弱性或过期的事件，由管理员确认是否需要对密钥进行处理；若是，则进行会话秘钥的协商；异常状态被动响应机制模块，对于非认证的数据流，检测到其他异常行为，通过通信模型的建立对所有违反通信模型的行为进行报警。2.根据权利要求1所述的一种多融合联动响应的动态安全方法，其特征在于所述现场控制设备通过身份认证、密钥管理进行主动响应与被动响应之前：预先配置代表身份的数字证书A，然后现场控制设备在实际环境中对数字证书A进行现场更新，并获取数字证书B。3.根据权利要求1所述的一种多融合联动响应的动态安全方法，其特征在于所述现场控制设备通过自己的数字证书B与其他通信节点进行身份合法性认证包括以下步骤：a)发起方发起身份认证请求，建立TCP握手链接；b)发起方发送身份认证请求；c)接收方确认身份请求；d)发起方发送签名证书A；e)发起方发送加密证书B；f)接收方确认发起方发送的签名证书A和加密证书B，进行签名验签；g)接收方发送签名证书C；h)接收方发送加密证书D；i)发送方确认接收方发送的签名证书和加密证书，进行签名验签，完成认证。4.根据权利要求1所述的一种多融合联动响应的动态安全方法，其特征在于所述访问控制主动响应模块，对于非认证的数据流，检测包括以下步骤：a)首先，通过网卡的混杂模式对数据流进行捕获；b)对捕获的数据进行协议...

【专利技术属性】
技术研发人员：尚文利，赵剑明，万明，刘贤达，尹隆，曾鹏，于海斌，
申请(专利权)人：中国科学院沈阳自动化研究所，
类型：发明
国别省市：辽宁,21