[发明专利]基于协议解析的电网工控安全检测系统

说明书

技术领域

本发明涉及一种监测系统，尤其涉及一种用于电网工业控制系统安全威胁监测系统。

背景技术

现代工业基础设施包括电力、石油与天然气、化工、水利、工业制造及交通控制等重点行业，构成了我国国民经济、现代社会以及国家安全的重要基础。工业基础设施中关键应用、系统的故障可能导致人员伤亡、严重的经济损失、基础设施被破坏、环境灾难、危及公众生活及国家安全等。工业控制系统(ICS-Industrial Control System)构成了现代工业基础设施的神经系统。传统上，工业控制系统多为采用专用技术的封闭网络，对外没有互联互通，其面临的信息安全威胁不突出。相应地，各种工业控制设备、应用、系统、通信协议都主要针对专有的封闭环境而设计。由于没有现实的信息安全威胁，工业自动化控制系统在设计、实现与部署过程中，其主要指标是可用性、功能、性能、(物理)安全性、实时性等，而无须过多考虑网络攻击、信息安全等问题。

近几十年来，各种工业控制系统正快速地从封闭、孤立的系统走向开放、互联(包括与传统IT系统互联)，日益广泛地采用以太网/IP/TCP网络作为通信基础设施，将工业控制协议迁移到TCP/IP协议栈的应用层；采用包括IWLAN、GPRS等在内的各种无线网络；广泛采用标准的Windows等商用操作系统、设备、软件、中间件与各种通用技术。典型的工业自动化控制系统，包括SCADA(Supervisory Control And Data Acquisition，数据采集与监控系统)、DCS(Distributed Control System，分布式控制系统)、PLC(Programmable LogicController，可编程逻辑控制器)等，正日益变得开放、通用和标准化。

工业控制系统在享受开放、互联技术带来的进步、效率与利益的同时，也面临着日益严重的安全威胁。由于长期缺乏安全需求的推动，对(采用TCP/IP等通用技术的)网络环境下广泛存在的安全威胁缺乏充分认识，现有工业控制系统过去在设计、研发中几乎完全没有考虑信息安全的问题，都无法抵御黑客入侵、恶意代码感染、APT(Advanced Persistent Threat，高级持续性威胁)攻击等安全威胁，加之在部署和运维中又缺乏必要的安全意识、管理、流程、策略与相关专业技术的支撑，导致许多工业控制系统中存在着这样或那样的安全问题，一旦被无意或恶意利用，就会造成各种严重的安全事件。

电网工业控制系统作为自动化水平、联网程度最高的ICS系统，其安全性近年来在学术研究及工业领域受到了高度的重视。

2005年，John Robert Hughes在其发明专利“基于规则的可扩展认证(Rule Based Extensible Authentication)”(US8418233B1)中提出了一种采用基于规则的深度报文解析用于提取凭证，并进一步用于对资源的访问进行管理的方法。在该发明中，在客户端设备与服务器设备之间部署一台网络设备。当客户的设备发送报文，请求资源时，网络设备拦截该请求，并对其进行多层次的深度报文解析，提取出请求中的凭证。随后，网络设备将利用该凭证判断该请求是否能够访问所请求的资源。在一种实施例中，网络设备可以接受来自另一设备的规则，该规则指导网络设备请求其他的凭证。尽管该发明涉及将DPI用于访问控制，但该发明的目的在于代替服务器设备执行安全功能，从而减少服务器设备的非业务负荷。并且该发明只适用于客户端设备的请求中已经包含了安全凭证的应用场景(如采用SSL、TLS通信)。

2006年，阿尔卡特公司的Z.克尔斯图里奇在发明专利“用于优先化通过因特网接入网络的业务的系统和方法”(CN101005454A)中提出了一种方法，“用于即使在公共分组通信网络被严重拥塞时也确保特定业务流量在该网络中被充分优先化。每个流的QoS能力被添加到VPN隧道。连接请求通过接入提供商的网络中的特定端口路由到指定的VPN网关。对通过该端口的业务执行深度分组检查，试图确定该连接请求是否被接受。如果该连接请求被接受，则当与该会话相关的业务流量经过分组接入网络时其被给予特定的QoS级别的优先级。”该发明将深度分组检查用于识别接入分组的特点，以便用于确定该业务流量的QoS的优先级，并未涉及对业务访问进行身份识别(Identification)、认证(Authentication)和授权(Authorization)。