一种基于零信任架构的工业控制系统访问控制方法技术方案

本发明专利技术涉及一种基于零信任架构的工业控制系统访问控制方法，包括：在每个预设的周期时长内，SDP控制器执行权限更新操作；权限更新操作包括：A10、接收终端设备发送的安全环境信息；A20、基于安全环境信息和本地存储的设备基本信息，确定在该终端设备上已登录的账户的访问权限；A30、生成与已登录的账户对应的唯一识别码；A40、将唯一识别码发送至该终端设备和配对的SDP网关，用于在该终端设备上已登录的账户，基于所述唯一识别码和所述唯一识别码包含的访问权限，与该SDP网关在有效期内进行数据交互。本发明专利技术根据网络环境对已登录账户的访问权限进行调整，保证工业控制系统与外部网络通信时的安全性，降低工业控制系统暴露的风险。降低工业控制系统暴露的风险。降低工业控制系统暴露的风险。

【技术实现步骤摘要】
一种基于零信任架构的工业控制系统访问控制方法


[0001]本专利技术涉及工业控制系统访问控制
，尤其涉及一种基于零信任架构的工业控制系统访问控制方法。

技术介绍

[0002]工业控制系统是由各种自动化控制组件以及对实时数据进行采集、监测的过程控制组件共同构成的，确保工业基础设施自动化运行、过程控制与监控的业务流程管控系统，随着工业控制系统网络化浪潮的推进，又将诸如嵌入式技术、多标准工业控制网络互联、无线技术等多种当今流行技术融合进来，从而拓展了工业控制领域的发展空间，带来新的发展机遇。随着计算机技术、通信技术和控制技术的发展，传统的控制领域正经历着一场前所未有的变革，开始向网络化方向发展，向数字化方向转型。另一方面，随着5G网络、云计算、大数据、物联网等技术的兴起和引入，工业控制系统的网络环境随之发生变化，高级威胁攻击频发，工业控制系统的系统数据因暴露面增加和信任策略缺失而遭受的安全冲击成倍增长，传统网络的物理边界已经被彻底打破，传统的仅部署在边界的静态安全防御与物联网云平台数据监控场景安全需求的矛盾日益深化。
[0003]现有的工业控制系统安全防御手段在处理终端设备的通信请求时，通常只在用户通过终端设备登录时，根据当前的已知信息评估当前网络环境的安全性，授予该用户相应的访问权限，并在之后的通信过程中对该登录用户保持信任。但实际网络环境随时都会发生改变，降低终端设备与工业控制网络通信过程的安全性，增加工业控制系统暴露的风险。

技术实现思路

[0004]（一）要解决的技术问题鉴于现有技术的上述缺点、不足，本专利技术提供一种基于零信任架构的工业控制系统访问控制方法，其解决了现有的工业控制系统安全防御手段不能适应随时变化的网络环境，使工业控制系统与终端设备通信的安全性降低的技术问题。
[0005]（二）技术方案为了达到上述目的，本专利技术采用的主要技术方案包括：第一方面，本专利技术实施例提供一种基于零信任架构的工业控制系统访问控制方法，所述零信任架构包括SDP（Software
‑
Defined Perimeter，软件定义边界）控制器、SDP网关、工业控制系统和多个终端设备，所述终端设备上部署有零信任客户端；所述SDP控制器通过公网连接多个终端设备，SDP网关通过公网连接多个终端设备，所述SDP控制器通过私网与配对的SDP网关连接，所述SDP网关通过私网与工业控制系统连接；所述访问控制方法包括：在每个预设的周期时长内，SDP控制器执行权限更新操作；所述权限更新操作包括：A10、SDP控制器接收终端设备发送的关于该终端设备的安全环境信息；A20、SDP控制器基于所述安全环境信息和本地存储的与该终端设备对应的设备基
本信息，确定在该终端设备上已登录的账户的访问权限；A30、SDP控制器基于所述设备基本信息和所述访问权限，生成与已登录的账户对应的唯一识别码；其中，所述唯一识别码包括所述终端设备的地址信息、账户信息、访问权限和该唯一识别码的有效期的起始时间；其中，所述地址信息包括该终端设备的MAC地址，所述账户信息包括该账户的账号；A40、SDP控制器将所述唯一识别码发送至该终端设备，以及发送至配对的SDP网关，用于在该终端设备上已登录的账户，基于所述唯一识别码和所述唯一识别码包含的访问权限，与该SDP网关在有效期内进行数据交互，使该SDP网关将工业控制系统的数据传输至终端设备。
[0006]本专利技术实施例提出的访问控制方法，在每个预设的周期时长内，SDP控制器根据终端设备发送的安全环境信息，定期更新该终端设备上已登录的账户的访问权限，并将该已登录的账户更新的访问权限信息分发给该已登录的账户对应的终端设备和SDP网关，使该已登录的账户基于更新的访问权限访问工业控制系统，从而能够在用户登录期间，持续根据终端设备的安全环境信息动态调整用户的访问权限，从而保证在终端设备的安全环境信息发生变化时，已登录的账户的访问权限也得到相应调整，保证工业控制系统与终端设备通信时的安全性，降低工业控制系统暴露的风险。
[0007]此外，本专利技术实施例提出的访问控制方法，还将访问权限的更新与唯一识别码结合，将账户的访问权限、有效期、对应的终端设备信息等零散的信息统一融入到和该账户对应的唯一识别码中，从而缩减零信任架构内部通信的数据量，提高通信效率。
[0008]可选地，在A30和A40中，所述唯一识别码为UUID(Universally Unique Identifier，通用唯一识别码)，所述唯一识别码的有效期的起始时间为生成UUID的时间，所述唯一识别码的有效期时长是预设的周期时长的1~2倍。
[0009]可选地，在A10中，所述终端设备发送的关于该终端设备的安全环境信息，为终端设备基于零信任客户端每隔一个预设的周期时长发送的；所述关于该终端设备的安全环境信息包括：该终端设备的IP地址、MAC地址、时间信息；所述时间信息为该终端设备发送安全环境信息时的本地时间。
[0010]可选地，在A20中，所述与该终端设备对应的设备基本信息包括：该终端设备的IP地址、MAC地址、安全等级、身份认证类型，以及授权在该终端设备上登录的一个或多个用户的用户基本信息；所述身份认证类型包括口令认证、数字证书认证或UKEY（USB Key，电子钥匙）认证中的至少一种；所述用户基本信息包括账户名称、账号、账户密码、账户类型、用户登录状态信息和用户安全状态信息；所述用户登录状态信息包括：已登录状态和离线状态；所述用户安全状态信息包括：危险状态、警告状态和正常状态。
[0011]可选地，所述A20包括：A201、SDP控制器基于所述安全环境信息和设备基本信息，执行对该终端设备的安全等级判定进程，得到该终端设备的新的安全等级；
A202、基于所述新的安全等级，更新与该终端设备对应的设备基本信息中包含的安全等级；S203、基于所述新的安全等级，以及该终端设备对应的设备基本信息中处于已登录状态的账户的账户类型，根据预先建立的权限管理规则，确定已登录账户的访问权限；其中，所述预先建立的权限管理规则包括至少一个账户类型，以及每个账户类型在每个安全等级下的访问权限；所述账户类型包括：观察员、操作员和管理员；所述访问权限包括：无权限、只读权限、读写权限。
[0012]可选地，在A201中，所述对该终端设备的安全等级判定进程包括：S1、基于所述安全环境信息中包含的该终端设备的IP地址、MAC地址，与设备基本信息中包含的该终端设备的IP地址、MAC地址进行地址比对，判断地址比对结果是否一致；以及，基于所述安全环境信息中包含的该终端设备的时间信息，与SDP控制器本地的当前时间进行时间比对，判断误差是否在预设时长范围内；基于地址比对和时间比对的结果进行判断，若地址比对和时间比对的任意一项结果为否，则将该终端设备的安全等级判定为低，并结束安全等级判定进程；否则跳转至S2；S2、基于设备基本信息中包含的用户在线状态信息，判定终端设备的安全等级，若所有账户的用户在线状态信息均为离线状态，则将终端设备的安全等级判定为低，并结束安全等本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于零信任架构的工业控制系统访问控制方法，其特征在于，所述零信任架构包括SDP控制器、SDP网关、工业控制系统和多个终端设备，所述终端设备上部署有零信任客户端；所述SDP控制器通过公网连接多个终端设备，SDP网关通过公网连接多个终端设备，所述SDP控制器通过私网与配对的SDP网关连接，所述SDP网关通过私网与工业控制系统连接；所述访问控制方法包括：在每个预设的周期时长内，SDP控制器执行权限更新操作；所述权限更新操作包括：A10、SDP控制器接收终端设备发送的关于该终端设备的安全环境信息；A20、SDP控制器基于所述安全环境信息和本地存储的与该终端设备对应的设备基本信息，确定在该终端设备上已登录的账户的访问权限；A30、SDP控制器基于所述设备基本信息和所述访问权限，生成与已登录的账户对应的唯一识别码；其中，所述唯一识别码包括所述终端设备的地址信息、账户信息、访问权限和该唯一识别码的有效期的起始时间；其中，所述地址信息包括该终端设备的MAC地址，所述账户信息包括该账户的账号；A40、SDP控制器将所述唯一识别码发送至该终端设备，以及发送至配对的SDP网关，用于在该终端设备上已登录的账户，基于所述唯一识别码和所述唯一识别码包含的访问权限，与该SDP网关在有效期内进行数据交互，使该SDP网关将工业控制系统的数据传输至终端设备。2.根据权利要求1所述的访问控制方法，其特征在于，在A30和A40中，所述唯一识别码为UUID，所述唯一识别码的有效期的起始时间为生成UUID的时间，所述唯一识别码的有效期时长是预设的周期时长的1~2倍。3.根据权利要求1所述的访问控制方法，其特征在于，在A10中，所述终端设备发送的关于该终端设备的安全环境信息，为终端设备基于零信任客户端每隔一个预设的周期时长发送的；所述关于该终端设备的安全环境信息包括：该终端设备的IP地址、MAC地址、时间信息；所述时间信息为该终端设备发送安全环境信息时的本地时间。4.根据权利要求3所述的访问控制方法，其特征在于，在A20中，所述与该终端设备对应的设备基本信息包括：该终端设备的IP地址、MAC地址、安全等级、身份认证类型，以及授权在该终端设备上登录的一个或多个用户的用户基本信息；所述身份认证类型包括口令认证、数字证书认证或UKEY认证中的至少一种；所述用户基本信息包括账户名称、账号、账户密码、账户类型、用户登录状态信息和用户安全状态信息；所述用户登录状态信息包括：已登录状态和离线状态；所述用户安全状态信息包括：危险状态、警告状态和正常状态。5.根据权利要求4所述的访问控制方法，其特征在于，所述A20包括：A201、SDP控制器基于所述安全环境信息和设备基本信息，执行对该终端设备的安全等级判定进程，得到该终端设备的新的安全等级；A202、基于所述新的安全等级，更新与该终端设备对应的设备基本信息中包含的安全等级；
S203、基于所述新的安全等级，以及该终端设备对应的设备基本信息中处于已登录状态的账户的账户类型，根据预先建立的权限管理规则，确定已登录账户的访问权限；其中，所述预先建立的权限管理规则包括至少一个账户类型，以及每个账户类型在每个安全等级下的访问权限；所述账户类型包括：观察员、操作员和管理员；所述访问权限包括：无权限、只读权限、读写权限。6.根据权利要求5所述的访问控制方法，其特征在于，在A201中，所述对该终端设备的安全等级判定进程包括：S1、基于所述安全环境信息中包含的该终端设备的IP地址、MAC地址，与设备基本信息中包含的该终端设备的IP地址、MAC地址进行地址比对，判断地址比对结果是否一致；以及，基于所述安全环境信息中包含的该终端设备的时间信息，与SDP控制器本地的当前时间进行时间比对，判断误差是否在预设时长范围内；基于地址比对和时间比对的结果进行判断，若地址比对和时间比对的任意一项结果为否，则将该终端设备的安全等级判定为低，并结束安全等级判定进程；否则跳转至S2；S2、基于设备基本...

【专利技术属性】
技术研发人员：褚健，鲁沈婷，陈银桃，罗冰，孙杭，
申请(专利权)人：浙江中控技术股份有限公司，
类型：发明
国别省市：