一种基于信任链的白名单执行系统及执行方法技术方案

本发明专利技术提供一种基于信任链的白名单执行系统，包括：与电力监控主机进行通信连接的白名单授权服务器，设置在电力监控主机内的可信程序执行模块；白名单授权服务器用于对电力监控主机构建可信程序执行模块，通过可信程序执行模块执行对电力监控主机应用程序的启动、执行进行保护，同时利用可信程序执行模块进行策略配置、安全管理、安全审计，确保每次执行的程序都是在白名单中注册过的程序，实现电力监控主机程序的启动、加载和运行的安全可信。以白名单授权服务器为服务中心，对大量电力监控主机应用执行可信启动、可信执行、可信管理和安全审计等功能，确保只有可信的软件应用能在主机上运行。

【技术实现步骤摘要】

本专利技术涉及信息安全和电力自动化领域，一种基于信任链的白名单执行系统及执行方法。
技术介绍
近年来，黑客活动日益猖獗，特别近年来针对工业控制系统的信息安全攻击事件不断增加，电力监控系统作为电力调度控制的大脑中枢，为变配电系统的实时数据采集、开关状态检测及远程控制提供了基础平台，其安全性决定整个电力生产和服务的安全可靠性。随着电力监控系统的快速发展，其面临的恶意代码问题也越发严峻。2008年震网病毒给以电力监控系统为代表的工控系统敲响了警钟，2015年乌克兰停电事件则是第一起对电力基础设施具有针对性的恶意软件攻击事件，这些事件调查结果表明均是黑客利用病毒、木马等恶意代码攻击控制系统造成系统工作时常且难以恢复，给电力基础设备带来极大的安全生产危害。针对当前电力监控系统遭受恶意代码攻击的现状，目前常用基于黑名单的技术方案，具体是在场站侧的服务器和工作站安装杀毒软件，同时在电力监控系统边界处安装防火墙、加密网关和防病毒网关设备等。但是这些方法存在如下先天的不足：1)采用黑名单的方法，黑名单容易将“好”的软件杀掉或者是限制其正常运行。严重影响电力监控系统的可靠性和功能连续性2)杀毒软件采用黑名单的方法对匹配病毒特征值，对新病毒(利用0day漏洞的病毒)无能为力，无法应对类似“震网事件”、“乌克兰停电事件”的APT攻击。
技术实现思路
为了克服上述现有技术中的不足，本专利技术的目的在于，提供一种基于信任链的白名单执行系统，包括：与电力监控主机进行通信连接的白名单授权服务器，设置在电力监控主机内的可信程序执行模块；白名单授权服务器用于对电力监控主机构建可信程序执行模块，通过可信程序执行模块执行对电力监控主机应用程序的启动、执行进行保护，同时利用可信程序执行模块进行策略配置、安全管理、安全审计，确保每次执行的程序都是在白名单中注册过的程序，实现电力监控主机程序的启动、加载和运行的安全可信。优选地，白名单授权服务器包括：可信软件管理模块、白名单生成模块、白名单维护模块、白名单下发模块、白名单撤销管理模块、执行日志管理模块以及数据库；所述可信软件管理模块用于通过可信程序执行模块获取电力监控主机内部的软件、脚本、程序，并对软件、脚本、程序进行版本、权限、可信性进行认证，确保在电力监控主机上运行的软件、脚本、程序来源于可信的软件厂商，还用于设置使用者使用电力监控主机内部软件、程序的权限；所述白名单生成模块用于对电力监控主机的可信软件、可信脚本、可信程序生成白名单；所述白名单维护模块用于对白名单进行增加，修改；所述白名单下发模块用于将白名单提供给电力监控主机的可信程序执行模块储存；所述白名单撤销管理模块用于当电力监控主机的可信软件、可信脚本及可信程序失效或者过期时，白名单撤销管理模块将白名单中过期的可信软件、可信脚本及可信程序进行撤销管理；所述执行日志管理模块用于当可信程序执行模块无法在电力监控主机匹配到白名单时，可信程序执行模块通过访问白名单授权服务器获取白名单；白名单授权服务器接收到访问消息，将相关操作记录在日志以供后续审计；所述数据库用于储存白名单授权服务器的数据信息。优选地，可信程序执行模块包括：应用配置层、通信层、功能模块层、底层数据层；所述应用配置层包括：配置管理程序、审计告警程序、扫描程序、白名单处理程序；所述功能模块层包括：审计模块、告警模块、配置管理模块；所述底层数据层包括：白名单缓存模块、证书处理模块和白名单匹配模块；所述通信层用于使应用配置层与功能模块层进行数据交互连通；扫描程序用于扫描电力监控主机内部的软件、脚本、程序；所述配置管理程序通过通信层与配置管理模块进行数据交互连通，配置管理程序根据配置管理模块的控制，获取电力监控主机内部的软件、脚本、程序，并将所述软件、脚本、程序上传至白名单授权服务器；所述审计告警程序通过通信层分别与审计模块和告警模块进行数据交互连通，审计告警程序分别根据审计模块和告警模块的控制，当审计告警程序无法在电力监控主机匹配到白名单时，通过访问白名单授权服务器获取白名单，同时发出告警信息；所述白名单处理程序用于在电力监控主机提供白名单的查询，增加，修改；所述白名单缓存模块用于储存白名单；白名单匹配模块用于将电力监控主机上运行的软件、脚本、程序与白名单进行匹配，当电力监控主机上运行的软件、脚本、程序与白名单匹配时，执行该软件、脚本、程序；当运行的软件、脚本、程序不与白名单匹配时，审计告警程序发出警告，同时上报白名单授权服务器。优选地，所述白名单生成模块生成的白名单为一个N元组(N>＝5)，WHITELIST:{ID,name,version,hash,softsize,authority,description本文档来自技高网...

【技术保护点】
一种基于信任链的白名单执行系统，其特征在于，包括：与电力监控主机进行通信连接的白名单授权服务器，设置在电力监控主机内的可信程序执行模块；白名单授权服务器用于对电力监控主机构建可信程序执行模块，通过可信程序执行模块执行对电力监控主机应用程序的启动、执行进行保护，同时利用可信程序执行模块进行策略配置、安全管理、安全审计，确保每次执行的程序都是在白名单中注册过的程序，实现电力监控主机程序的启动、加载和运行的安全可信。

【技术特征摘要】
1.一种基于信任链的白名单执行系统，其特征在于，包括：与电力监控主机进行通信连接的白名单授权服务器，设置在电力监控主机内的可信程序执行模块；白名单授权服务器用于对电力监控主机构建可信程序执行模块，通过可信程序执行模块执行对电力监控主机应用程序的启动、执行进行保护，同时利用可信程序执行模块进行策略配置、安全管理、安全审计，确保每次执行的程序都是在白名单中注册过的程序，实现电力监控主机程序的启动、加载和运行的安全可信。2.根据权利要求1所述的基于信任链的白名单执行系统，其特征在于，白名单授权服务器包括：可信软件管理模块、白名单生成模块、白名单维护模块、白名单下发模块、白名单撤销管理模块、执行日志管理模块以及数据库；所述可信软件管理模块用于通过可信程序执行模块获取电力监控主机内部的软件、脚本、程序，并对软件、脚本、程序进行版本、权限、可信性进行认证，确保在电力监控主机上运行的软件、脚本、程序来源于可信的软件厂商，还用于设置使用者使用电力监控主机内部软件、程序的权限；所述白名单生成模块用于对电力监控主机的可信软件、可信脚本、可信程序生成白名单；所述白名单维护模块用于对白名单进行增加，修改；所述白名单下发模块用于将白名单提供给电力监控主机的可信程序执行模块储存；所述白名单撤销管理模块用于当电力监控主机的可信软件、可信脚本及可信程序失效或者过期时，白名单撤销管理模块将白名单中过期的可信软件、可信脚本及可信程序进行撤销管理；所述执行日志管理模块用于当可信程序执行模块无法在电力监控主机匹配到白名单时，可信程序执行模块通过访问白名单授权服务器获取白名单；白名单授权服务器接收到访问消息，将相关操作记录在日志以供后续审计；所述数据库用于储存白名...

【专利技术属性】
技术研发人员：胡海生，梁智强，胡朝辉，
申请(专利权)人：广东电网有限责任公司电力科学研究院，
类型：发明
国别省市：广东;44