[发明专利]AFDX安全网关系统及其传输方法

权利要求书

1.一种AFDX安全网关系统，其特征在于：

所述的AFDX安全网关系统，安装有两个网卡：非AFDX以太网卡和AFDX网卡，分别用于收发企业信息网和AFDX网络的数据包，并采用不同的收发机制；

当ASGS的非AFDX以太网卡驱动程序接收到MAC帧后，将MAC帧传递给用户态下的数据包解析功能模块，提取出封装在MAC帧中的字段，只允许用户使用OPC/HTTP协议来访问AFDX网络中的服务器，而其它协议被视为非法操作，并提交数据包给安全检查功能模块，数据包依次进行如下四个方面的安全检查：用户访问可信性、数据包合规性、数据包内容安全性以及通信行为日志记录；安全检查后，调用AFDX网卡提供的API函数，将MAC帧提交给AFDX网卡内置的UDP协议，封装成UDP包后发送给AFDX网络中的OPC/Web服务器；

在OPC/Web服务器上配置两个网卡，一个是AFDX网卡，用于连接AFDX网络；另一个是非AFDX以太网卡，处于空闲状态，当协议转换功能模块接收到ASGS的UDP包后，解封成原始的MAC帧，传递给内核态下的以太网卡驱动程序，由非AFDX以太网卡驱动程序提交给TCP/IP协议栈解封成OPC/HTTP请求包，提交给服务器处理；

对于OPC/Web服务器返回的OPC/HTTP应答包，服务器端和ASGS均只做协议转换处理，不再做任何的安全检查，OPC/HTTP应答包经过TCP/IP协议栈封装成MAC帧，然后传递给用户态下的服务器协议转换功能模块，服务器协议转换功能模块调用AFDX网卡提供的API函数，通过AFDX网卡内置的UDP协议，封装成UDP包发送给ASGS；ASGS从AFDX网卡内置的UDP协议接收到UDP包后，解封成原始的MAC帧，然后传递给内核态下的非AFDX以太网卡驱动程序发送给OPC/Web客户端，完成对OPC/Web客户端请求的应答。

2.一种利用权利要求1所述的AFDX安全网关系统的传输方法，其特征在于包括下述步骤：

步骤1：一种AFDX安全网关系统安装有两个网卡：非AFDX以太网卡和AFDX网卡，分别用于收发企业信息网和AFDX网络的数据包，并采用不同的收发机制；对于非AFDX以太网卡，采用通过操作系统内核态的以太网卡驱动程序收发MAC帧，并通过对MAC帧的层层解析，提取相关协议字段，实现对数据包的安全检查；对于AFDX网卡，采用AFDX网卡提供的API函数，调用AFDX网卡内部的UDP协议收发数据包，数据包的载荷便是通过安全检查的MAC帧；面向AFDX网卡的数据包收发程序工作在操作系统的用户态，因此需要利用操作系统提供的API函数在用户态和内核态之间建立数据通信管道，用于接收或发送MAC帧；

步骤2：数据包深度解析

当ASGS的非AFDX以太网卡驱动程序接收到MAC帧后，将MAC帧传递给用户态下的数据包解析功能模块，提取出封装在MAC帧中的字段，所述字段包括但不限于源IP地址、目的IP地址、目的TCP端口号、协议类型以及TCP数据包载荷，然后根据协议类型字段判断是否为TCP协议，否则丢弃该MAC帧；再根据TCP数据包载荷中的应用层协议头字段判断是否为OPC协议或HTTP协议，否则丢弃该MAC帧，即只允许用户使用OPC/HTTP协议来访问AFDX网络中的服务器，而其它协议被视为非法操作，如判断是OPC协议，则提交OPC数据包给OPC协议安全检查功能模块，并转步骤3；如果是HTTP协议，则提交HTTP协议数据包给HTTP协议安全检查功能模块，并转步骤3；

步骤3：数据包安全检查

数据包依次进行如下四个安全检查：用户访问可信性、数据包合规性、数据包内容安全性以及通信行为日志记录；

(1)用户访问可信性检查

在预先建立的白名单中，可信用户使用源IP地址标识，目标服务器使用目地IP地址标识，目标服务器上运行的服务程序使用目的TCP端口号标识；如果从MAC帧中提取出的源IP地址、目的IP地址、目的TCP端口号出现在白名单中，则认为是可信的用户访问，并进入步骤(2)；否则认为是不可信的用户访问，丢弃该MAC帧，中止后续处理；

(2)OPC协议安全检查

OPC协议安全检查包括OPC客户端安全认证和OPC数据包合规性检查，OPC客户端安全认证采用白名单策略，预先将允许与OPC服务器通信的OPC客户端及用户名列入白名单中，通过解析当前OPC数据包，提取出OPC数据包中所包含的OPC客户端及用户信息，然后依据白名单进行检查，禁止任何未列入白名单中的OPC客户端及用户名与OPC服务器进行通信，防止非法用户入侵工业控制系统；OPC数据包合规性检查也是采用白名单策略，预先将OPC协议规范与通信规则列入白名单中，通过解析当前OPC数据包，提取出OPC数据包类型及格式等特征信息，然后依据白名单中的OPC协议规范与通信规则进行检查，丢弃任何违反OPC协议规范与通信规则的异常或变异OPC数据包，防止AFDX网络中的OPC服务器受到攻击；

(3)HTTP协议安全检查

HTTP协议安全检查为检查HTTP数据包中是否包含URL字符串，如果有URL字符串，检查是否存在有可能形成SQL注入和XSS攻击的可疑URL字符串；本发明采用基于逻辑回归算法的机器学习方法，即通过学习机器算法提取出异常的URL字符串模式，存储在黑名单中；如果检测到当前HTTP数据包中存在黑名单中异常URL字符串模式，说明当前HTTP数据包中可能存在SQL注入或XSS攻击，则丢弃该HTTP数据包，防止AFDX网络中的Web服务器受到攻击；

(4)通信行为日志记录

通过检查和未通过安全检查的所有通信行为都被记录的系统的日志文件中，供管理员日后查询、审计和追溯；同时，对于未通过安全检查的异常通信行为，通过邮件、短信的方式向管理员发出报警信息；

通过上述安全检查的OPC/HTTP数据包被认为是可信、安全的，将当前MAC帧提交给数据包转发功能模块，转发给AFDX网络中的OPC/Web服务器；

步骤4：数据包转发

调用AFDX网卡提供的API函数，将MAC帧提交给AFDX网卡内置的UDP协议，封装成UDP包后发送给AFDX网络中的OPC/Web服务器；

步骤5：服务器端协议转换

服务器端协议转换作为ASGS的配套功能模块，运行在OPC/Web服务器系统上，在OPC/Web服务器上配置两个网卡，一个是AFDX网卡，用于连接AFDX网络；另一个是非AFDX以太网卡，处于空闲状态，但需要安装网卡驱动程序和TCP/IP协议栈，OPC/Web服务器建立在该网卡驱动程序和TCP/IP协议栈上，网卡驱动程序和TCP/IP协议栈运行在系统的内核态，而协议转换功能模块则运行在系统的用户态，当协议转换功能模块接收到ASGS的UDP包后，解封成原始的MAC帧，传递给内核态下的非AFDX以太网卡驱动程序，由非AFDX以太网卡驱动程序提交给TCP/IP协议栈解封成OPC/HTTP请求包，提交给相应的服务器处理；

步骤6：OPC/HTTP应答包处理

对于OPC/Web服务器返回的OPC/HTTP应答包，服务器端和ASGS均只做协议转换处理，不再做任何的安全检查；首先服务器发送的OPC/HTTP应答包经过TCP/IP协议栈封装成MAC帧，然后传递给用户态下的服务器协议转换功能模块，协议转换功能模块调用AFDX网卡提供的API函数，通过AFDX网卡内置的UDP协议，封装成UDP包发送给ASGS；ASGS从AFDX网卡内置的UDP协议接收到UDP包后，解封成原始的MAC帧，然后传递给内核态下的非AFDX以太网卡驱动程序发送给OPC/Web客户端，完成对OPC/Web客户端请求的应答，即完成一次OPC/HTTP“请求-应答”通信的全过程。