[发明专利]一种OPC通讯的安全防护方法及装置

权利要求书

1.一种OPC通讯的安全防护方法，其特征在于，应用于OPC防火墙，所述OPC防火墙部署于OPC客户端与OPC服务器之间的通讯链路上，所述方法包括：

当接收到OPC通讯数据包时，对所述OPC通讯数据包的预设多个元组信息的合法性进行检测；

当所述OPC通讯数据包的预设多个元组信息合法时，根据DEC/RPC协议规范对所述OPC通讯数据包的DEC/RPC数据格式的合法性进行检测；

当所述OPC通讯数据包的DEC/RPC数据格式合法时，且OPC通讯数据包的目的端口为OPC动态端口时，判断OPC通讯数据包是否为Request数据包；

当所述OPC通讯数据包的目的端口为OPC动态端口，且所述OPC通讯数据包为Request数据包时，对Request数据包的有效性进行检测；

当所述OPC通讯数据包具备有效性时，对Request数据包的OPC指令的合法性进行检测；

当Request数据包的OPC指令的合法时，对所述OPC通讯数据包进行转发；

其中，所述对Request数据包的有效性进行检测，包括：

当OPC客户端向OPC服务器发送包含有所述OPC动态端口的Bind数据包，且接收到OPC服务器反馈的Bind_ack数据包时，判定OPC客户端可以访问所述OPC动态端口，Request数据包具有有效性，所述Bind数据包用于询问OPC服务器是否支持相应的OPC动态端口的访问；

或当OPC客户端向OPC服务器发送包含有所述OPC动态端口的Alter_context数据包，且接收到OPC服务器反馈的Alter_context_response数据包时，判定OPC客户端可以访问所述OPC动态端口，Request数据包具有有效性，所述Alter_context数据包用于询问OPC服务器是否支持相应的OPC动态端口的访问。

2.根据权利要求1所述的方法，其特征在于，所述OPC通讯数据包的预设多个元组信息包括：目的MAC地址、源MAC地址、目的IP地址、源IP地址、目的端口、源端口和传输层协议；所述对所述OPC通讯数据包的预设多个元组信息的合法性进行检测，包括：

根据预先建立的IP-MAC地址绑定列表，检测所述OPC通讯数据包中的目的IP地址与目的MAC地址的对应关系是否合法，并检测所述OPC通讯数据包中的源IP地址与源MAC地址的对应关系是否合法；

根据预先建立的安全策略表，判断所述OPC通讯数据包中的目的IP地址、源IP地址、目的端口、源端口和传输层协议的类型是否符合所述安全策略表的ACL访问规则，若是，所述OPC通讯数据包的预设多个元组信息合法。

3.根据权利要求1所述的方法，其特征在于，所述根据DEC/RPC协议规范对所述OPC通讯数据包的DEC/RPC数据格式的合法性进行检测，包括：

从所述OPC通讯数据包中提取DEC/RPC协议应用层数据；

检测所述DEC/RPC协议应用层数据的格式是否合法；

当所述OPC通讯数据包是由OPC客户端发出的，判断所述OPC通讯数据包的类型是否为Bind数据包、Alter_context数据包、Request数据包、Shutdown数据包和Cancel数据包中的任意一种；

当所述OPC通讯数据包是由OPC服务器发出的，判断所述OPC通讯数据包的类型是否为Response数据包、Alter_context_response数据包、Fault数据包、Bind_ack数据包、Bind_nak数据包和Orphaned数据包中的任意一种。

4.根据权利要求3所述的方法，其特征在于，当所述DEC/RPC协议应用层数据中存在数据包认证信息时，所述根据DEC/RPC协议规范对所述OPC通讯数据包的DEC/RPC数据格式的合法性进行检测，还包括：

对所述DEC/RPC协议应用层数据中的数据包认证信息的合法性进行检测。