[发明专利]一种控制设备的在线安全检测实现方法

说明书

技术领域

本发明涉及控制领域安全检测技术领域，特别涉及一种控制网络中在线检测控制器入侵检测的方法。

背景技术

由于工业控制系统设计之初是一个与外界物理隔离的系统，因此传统的工业控制协议没有考虑信息安全和网络安全的问题。随着标准网络和互联网技术在工业控制系统的广泛应用，工业控制系统的安全威胁正日益加剧，尽管各种安全检测和管理手段不断完善，仍然不能完全覆盖所有的恶意攻击场景。

目前的对控制系统的安全监测方法一般是通过对控制网络流量的监视、破解、和分析来判断控制网络中的控制器等设备是否受到攻击，这解决了攻击通过网络进行的情况，但是如果攻击没有经过网络，而是直接将攻击电脑与被攻击设备直接连接或其它非网络连接方式，现有的方法不能解决问题。攻击者就可能直接植入经过修改的固件、应用程序和配置参数的代码到被攻击的设备上，被修改的固件、应用程序和配置参数可能会发送欺骗信息致使对网络信息的拦截、破解和分析不能了解设备运行的真实情况。在各种对工业控制系统的攻击实例来看，内部人员由于各种原因的破坏、有意或无意的错误都会造成对工业控制系统造成极大的损害，本发明就是针对这个问题提出解决方法。

发明内容

为此，本发明提供了一种基于预装可信基准代码的异常监测方法，用于周期性或按需监测控制网络中控制设备是否出现异常包括但不限于固件改变、应用程序改变和配置参数改变。

为达到上述目的，本发明的技术方案是这样实现的：

一种控制器安全检测的方法，其特征在于：预装可信基准代码；请求工业控制网络中控制现场设备的控制器报告当前使用的代码；将控制器报告的代码与之前存储的可信基准代码比较；如果比较结果不一致，生成告警信息。

优选的，所述请求控制器报告代码的方法包括模拟配置控制器的工程交互协议来实现。

优选的，所述控制器报告的代码与之前存储的可信基准代码的比较方法包括全文比较和摘要比较；所述控制器报告的代码类型包括控制器的固件、控制器应用程序和控制器配置参数。

优选的，所述控制器报告的代码包括控制器的固件、控制器应用程序和控制器配置参数的数字摘要信息。

优选的，还包括通过拦截所述控制器相关的代码更新网络交易数据来验证存储基准代码的版本；当确定拦截到的代码更新交易是非法时，生成告警信息；当确定拦截到的代码更新交易是合法的，利用拦截到的代码更新交易信息更新基准版本。

另外，本发明还提供了一种安全监测装置。

一个安全检测装置，包括，

处理器，用于负责所有设备的计算和管理，包括请求控制网络中的控制器报告当前使用的代码；

存储器，用于存储控制器的基准代码；

网络通信接口，负责安全监测装置与控制网络之间的通信；

数据匹配模块，用于比较接收到的所述控制器报告的代码与所述存储器内的基准代码；

异常处理模块，负责检测到代码不匹配异常状况的后处理工作。

优选的，所述请求控制器报告代码的方法包括处理器通过模拟配置控制器的工程交互协议来实现。

优选的，所述控制器报告的代码类型包括控制器的固件、控制器应用程序和控制器配置参数；所述控制器报告的代码包括控制器的固件、控制器应用程序和控制器配置参数的数字摘要信息；所述安全检测装置的数据匹配模块对控制器报告的代码与所述安全检测装置的存储器中的可信基准代码的进行比较，比较过程包括全文比较和摘要比较。

优选的，还包括所述安全检测装置的处理器通过与网络交换机的连接拦截所述控制器相关代码更新的网络交易数据来验证所述控制器的基准代码版本。

优选的，所述的验证已存储的基准版本的方法，当所述安全检测装置的处理器确定拦截到的代码更新交易是非法时，由所述安全检测装置的异常处理模块生成告警信息；当所述安全检测装置的处理器确定拦截到的代码更新交易是合法时，利用拦截到的代码更新的交易信息更新安全检测装置的基准版本，并存储在所述安全检测装置的存储器中。