一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统与方法技术方案

本发明专利技术公开了一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统，包括监测模块、信任评估模块、动态访问控制模块和网络控制模块；所述监测模块，通过环境感知、多因子认证、安全审计、流量监测的方式持续对“访问者”的身份、访问环境、访问内容和访问行为数据进行监测和收集；所述信任评估模块，用于接收监测模块收集的数据，进行处理和信任评分；所述动态访问控制模块，用于根据信任评分生成相关的访问策略；所述网络控制模块，用于负责根据访问策略转发流量，进行流量控制。本发明专利技术解决车间工控系统身份认证与访问管理问题，实现基于身份的、细粒度的动态访问控制机制，增强工控系统的安全性。工控系统的安全性。工控系统的安全性。

【技术实现步骤摘要】
一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统与方法


[0001]本专利技术涉及烟草行业工控系统安全领域，尤其是一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统与方法。

技术介绍

[0002]随着新一代信息技术的快速演进，网络安全威胁和风险不断涌现、基于传统边界安全模型的解决方案难以应对。
[0003]通过近年来国家局每年针对烟草行业的检查结果分析，工控系统身份认证管理存在重大缺失，不满足国家、行业相关安全要求。为了烟草行业支撑数字化业务，工业控制系统需要将业务和数据开放，这种大量的、复杂的访问需求导致物理边界在某种程度上已经失去了既有的安全边界的属性。在无边界化趋势下，安全风险的产生主要来自于身份、权限、业务。现有的安全机制都是基于边界安全体系进行构建的，对身份、权限和业务暴露面方面缺乏针对性的、细粒度的控制措施，难以应对这些威胁，安全架构亟需升级。
[0004]烟草工控系统在使用过程中，存在弱密码、账号共用、密码轮换周期太长等身份安全问题，一旦这种安全风险发生，会极大影响业务生产过程中的操作审计、责任界定等生产风险。如图1所示，现有的车间身份认证与访问管理方案：“访问者”直接通过身份认证、权限分配来访问应用(WINCC、PMS等)数据库，只要“访问者”获得访问身份，就可以通过该身份来访问应用数据库，不会在访问中持续对该身份进行验证，导致当别人获取到访问身份信息就可以登陆访问数据库，存在安全风险。
[0005]因此，迫切需要深入研究烟草行业工控系统身份认证与访问管理的安全问题，实现和工控场景紧密结合的身份认证与访问管理解决方案。

技术实现思路

[0006]本专利技术的专利技术目的在于：针对上述存在的问题，提出一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统与方法，采用零信任架构，整合车间现有安全资源、信息化资源，把网络作为环境的一部分，将车间的人员、应用和设备等全面身份化，再基于不同类别的身份和访问环境从信任评估模块获取信任评分，根据信任评分控制访问，有效的增强烟草行业车间工控系统的安全性。
[0007]本专利技术采用的技术方案如下：
[0008]本专利技术一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统，包括设置在访问者和应用数据库之间的监测模块、信任评估模块、动态访问控制模块和网络控制模块；
[0009]所述监测模块，通过环境感知、多因子认证、安全审计、流量监测的方式持续对“访问者”的身份、访问环境、访问内容和访问行为数据进行监测和收集；
[0010]所述信任评估模块，用于接收监测模块收集的数据，对数据进行处理和信任评分，
并将评分发送到动态访问控制模块；
[0011]所述动态访问控制模块，用于根据信任评分生成相关的访问策略作用于网络控制模块；
[0012]所述网络控制模块，用于负责根据访问策略转发流量，进行流量控制。
[0013]以上系统，解决了烟草行业工业控制系统大量的、复杂的访问需求导致传统的基于物理边界的安全防护机制在某种程度上失去了既有的安全边界的属性，边界防护失效的问题，通过将安全措施从网络转移到具体的人员、设备和业务资产，在网络边界之上叠加基于身份的逻辑边界，实现基于身份的、细粒度的动态访问控制机制，以增加工控系统的安全性。
[0014]作为优选，所述监测模块包括环境感知系统、多因子认证系统、安全审计系统和流量监测系统；所述环境感知系统，用于检查“访问者”的访问环境；所述多因子认证系统，用于对用户的身份进行认证；所述安全审计系统，用于对数据库和被访问资源进行安全审计，对用户的访问行为进行审计；所述流量监测系统，用于对系统中所有的流量进行检测。
[0015]作为优选，系统中的流量传输进行加密。
[0016]本专利技术一种用于实现烟草行业车间级工控系统身份认证与访问管理的方法，包括以下步骤：
[0017]步骤一：将车间的人员、应用和设备全面身份化，建立初始信任；
[0018]步骤二：通过环境感知、多因子认证、安全审计、流量监测的方式对“访问者”的身份、访问环境、访问内容和访问行为数据进行采集和监测；
[0019]步骤三：对采集的数据进行处理和信任评分；
[0020]步骤四：根据信任评分设置访问策略和权限；
[0021]步骤五：根据访问策略进行流量控制。
[0022]作为优选，通过环境感知、多因子认证、安全审计、流量监测的方式持续对“访问者”进行数据采集和评估，从而控制流量。
[0023]作为优选，所述步骤四中，手动设置访问策略和权限。
[0024]作为优选，所述步骤一中，将车间的人员、应用和设备全面身份化的方法：建立统一的身份认证机制，给人员、应用和设备分配相应的身份编码。
[0025]作为优选，所述步骤三具体包括：
[0026]S1：接收从访问端的环境感知、多因子认证、安全审计、流量监测获取的用户身份认证数据和行为监测数据；
[0027]S2：对接收到的数据进行数据清洗，保留IP地址、证书、用户指纹关键信息作为下一步的计算输入；
[0028]S3：使用贝叶斯网络进行系统威胁概率P计算；
[0029]S4：将评估分数基数J设置为0至100分，使用系统威胁概率P乘以评估分数基数J得到评估分数F＝J*P。
[0030]作为优选，在用户第一次进行访问时，不产生行为监测数据，行为监测数据置初始值。
[0031]作为优选，所述步骤四具体包括：
[0032]S10：接收信任评分；
[0033]S20：设定阈值Wr、Ww、Wx
…
(Wr<Ww<Wx
…
)；
[0034]S30：将信任分和Wx比较；如果信任分>Wx，则将被访问内容的权限全部赋予“访问者”；否则将信任分和Ww比较；如果信任分>Ww，则将被访问内容的部分权限赋予“访问者”；否则将信任分和Wr比较；如果信任分>Wr，则将被访问内容的部分权限赋予“访问者”；否则将触发终止访问条件，生产终止访问策略；
[0035]S40：根据信任评分和分配的权限进行访问策略配置，并将策略发送到网络控制模块。
[0036]综上所述，由于采用了上述技术方案，本专利技术的有益效果是：
[0037]1、本专利技术解决现有的车间身份认证与访问管理方案存在边界防护失效、访问有安全风险的问题，设计了一种解决车间工控系统身份认证与访问管理的系统与方法，有效的增强烟草行业车间工控系统的安全性。
[0038]2、本专利技术结合零信任技术，通过将安全措施从网络转移到具体的人员、设备和业务资产，在网络边界之上叠加基于身份的逻辑边界，实现基于身份的、细粒度的动态访问控制机制，以增加工控系统的安全性。
附图说明
[0039]本专利技术将通过例子并参照附图的方式说明，其中：
[0040]图1是现有的车间身份认本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统，其特征在于，包括设置在访问者和应用数据库之间的监测模块、信任评估模块、动态访问控制模块和网络控制模块；所述监测模块，通过环境感知、多因子认证、安全审计、流量监测的方式持续对“访问者”的身份、访问环境、访问内容和访问行为数据进行监测和收集；所述信任评估模块，用于接收监测模块收集的数据，对数据进行处理和信任评分，并将评分发送到动态访问控制模块；所述动态访问控制模块，用于根据信任评分生成相关的访问策略作用于网络控制模块；所述网络控制模块，用于负责根据访问策略转发流量，进行流量控制。2.根据权利要求1所述的用于实现烟草行业车间级工控系统身份认证与访问管理的系统，其特征在于，所述监测模块包括环境感知系统、多因子认证系统、安全审计系统和流量监测系统；所述环境感知系统，用于检查“访问者”的访问环境；所述多因子认证系统，用于对用户的身份进行认证；所述安全审计系统，用于对数据库和被访问资源进行安全审计，对用户的访问行为进行审计；所述流量监测系统，用于对系统中所有的流量进行检测。3.根据权利要求1所述的用于实现烟草行业车间级工控系统身份认证与访问管理的系统，其特征在于，系统中的流量传输进行加密。4.一种用于实现烟草行业车间级工控系统身份认证与访问管理的方法，其特征在于，包括以下步骤：步骤一：将车间的人员、应用和设备全面身份化，建立初始信任；步骤二：通过环境感知、多因子认证、安全审计、流量监测的方式对“访问者”的身份、访问环境、访问内容和访问行为数据进行采集和监测；步骤三：对采集的数据进行处理和信任评分；步骤四：根据信任评分设置访问策略和权限；步骤五：根据访问策略进行流量控制。5.据权利要求4所述的用于实现烟草行业车间级工控系统身份认证与访问管理的方法，其特征在于，通过环境感知、多因子认证、安全审计、流量监测的方式持续对“访问者”进行数据采集和评估，从而控制流量。6.据权利要求...

【专利技术属性】
技术研发人员：李民程，胥强，高进舟，张真恺，茅琰璘，张慧嫔，
申请(专利权)人：云南昆船设计研究院有限公司，
类型：发明
国别省市：