[发明专利]一种访问控制设备、方法、计算机程序产品和计算机可读介质

权利要求书

1.访问控制设备(50)，用于在一个系统(10)被远程访问时，为所述系统(10)提供安全访问控制机制，其特征在于，包括：

一个前端防火墙(501)，提供一个第一网络端口(51)，所述第一网络端口(51)用于连接一台欲远程访问所述系统(10)的计算机(20)；

一个堡垒机(502)，与所述前端防火墙(501)连接；

一个后端防火墙(503)，与所述堡垒机(502)连接，提供一个第二网络端口(52)，所述第二网络端口(52)用于连接所述系统(10)，所述后端防火墙(503)用于通过所述第二网络端口(52)确定所述系统(10)中允许远程访问的资源，并按照预先配置的远程访问控制策略从所述系统(10)可被远程访问的资源中确定所述计算机(20)可远程访问的资源；

所述堡垒机(502)，用于通过所述前端防火墙(501)，经由所述第一网络端口(51)向所述计算机(20)提供所述后端防火墙(503)提供的所述计算机(20)可远程访问的资源的信息，以供所述计算机(20)进行远程访问。

2.如权利要求1所述的访问控制设备(50)，其特征在于，所述访问控制设备(50)还包括一个管理模块(504)，与所述后端防火墙(503)连接，其中，

所述管理模块(504)提供一个第三网络端口(53)，所述第三网络端口(53)用于与所述系统(10)的管理人员交互，所述管理模块(504)用于：

通过所述第三网络端口(53)向所述系统(10)的管理人员提供所述系统(10)中允许远程访问的资源的信息；以及

通过所述第三网络端口(53)接收来自所述系统(10)的管理人员的配置命令，所述配置命令用于配置所述系统(10)中允许远程访问的资源的远程访问控制策略；

按照收到的配置命令配置所述系统(10)中允许远程访问的资源的远程访问控制策略；或者

所述管理模块(504)，用于按照预先设置的配置规则配置所述系统(10)中允许远程访问的资源的远程访问控制策略。

3.如权利要求1或2所述的访问控制设备(50)，其特征在于，所述系统(10)为一个OT系统(10)，所述后端防火墙(503)具体用于：

通过所述第二网络端口(52)接收所述系统(10)中传输的工业协议报文，并按照不同的工业协议，从接收到的工业协议报文中获取所述系统(10)中允许远程访问的资源的信息。

4.如权利要求3所述的访问控制设备(50)，其特征在于，

所述后端防火墙(503)还用于，通过所述第二网络端口(52)向所述系统(10)发送不同工业协议的探测报文；

所述后端防火墙(503)在接收所述系统(10)中传输的工业协议报文时，具体用于：接收所述系统(10)响应于所述后端防火墙503发送的探测报文而回复的报文。

5.如权利要求1或2所述的访问控制设备(50)，其特征在于，所述前端防火墙(501)，具体用于：

限定仅由具有特定IP地址和/或特定端口的所述计算机(20)访问所述系统(10)；和/或

通过所述第一网络端口(51)提供所述访问控制设备(50)与所述计算机(20)之间的安全连接。

6.如权利要求1或2所述的访问控制设备(50)，其特征在于，所述堡垒机(502)，用于实现下列功能中的至少一个：

对所述计算机(20)进行用户鉴权；和/或

提供所述计算机(20)远程访问所述系统(10)的远程桌面。

7.如权利要求1或2所述的访问控制设备(50)，其特征在于，还包括一个审计模块(505)，分别与所述前端防火墙(501)、所述后端防火墙(503)和所述堡垒机(502)连接，用于审计下列信息中的至少一项：

所述前端防火墙(501)的安全日志；

所述后端防火墙(503)的安全日志；

所述堡垒机(502)的安全日志；

所述前端防火墙(501)与所述堡垒机(502)之间的网络流和/或网络流量；

所述堡垒机(502)和所述后端防火墙(503)之间的网络流和/或网络流量。