[发明专利]一种采用黑白名单进行分析的工控信息安全监控系统

说明书

本发明及工业控制系统信息安全领域，尤其涉及一种采用黑白名单进行分析的工控信息安全监控系统，由以下步骤组成：⑴初始样本库采集；⑵黑名单规则形成及报警产生；⑶白名单规则形成及报警产生；(4)通信白名单的智能生成；(5)协议规则形成及报警产生；(6)可视化报警以及报表展示。本发明有益效果为：对工控网络内资产进行可信监控，对工控网络内通信进行可信监控，对多种工业协议进行深度解析，对工控网络拓扑结构进行可视化展示，对工控网络内部威胁形式进行报表统计；有利于实现网络内部的异常监控，有利于实现对问题资产、问题通信行为的快速定位排查，有利于避免人为操作失误、提高白名单精确度减少漏报误报，构建易操作快速定位问题的监控体系。

技术领域

本发明及工业控制系统信息安全领域，尤其涉及一种采用黑白名单进行分析的工控信息安全监控系统。

背景技术

由DCS、PLC和SCADA等控制系统构成的控制网络，在过去几十年的发展中呈现出整体开放的趋势。随着信息技术在企业中的应用，工业控制网络中大量采用通用TCP/IP和OPC协议技术，ICS网络和企业管理网的联系越来越紧密。而传统工业控制系统采用专用的硬件、软件和通信协议，设计上基本没有考虑互联互通的通信安全问题。

一般的工业系统安全防护中，使用单一的黑名单或白名单机制，没有将二者结合作为防御体系，并且存在大量人工操作，费时费力。在使用单一黑名单的工业系统安全防护系统中，由于黑名单本身受到规则限制不能对新出现的攻击行为进行监控判断，另外黑名单机制存在许多误报的可能，为使用者判断是否真正的攻击带来不便。

在使用单一白名单的工业系统安全防护系统中，白名单机制不能给出具体的受到攻击的细节，从而无法有针对性地对网络中的安全隐患进行排查、清除。

工控信息安全领域急缺行之有效的安全理论体系和方法论，既能整合传统信息安全中的各种技术，又能适应工业控制系统，尽可能不因为系统的复杂度提高，引入新的问题。

因此,研发一种采用黑白名单进行分析的工控信息安全监控系统，对工业生产环境中所遇到的异常进行实时监控，将黑、白名单结合的信息流产生报警势在必行。

发明内容

本发明的目的在于提供一种采用黑白名单进行分析的工控信息安全监控系统，本发明系统拓展工控协议的相关研究，从黑、白名单分析着手，建立完整的工业控制网络监控体系，从而为工控方面信息流和指令流分析提供数据采集和分析方法，减少误报以及人工操作，有效提升本系统的报警准确性，为工控信息安全策略的制定提供基础和验证工具，是非常符合传统信息安全发展和工控领域对信息安全需要的解决思路。

为实现上述目的，本发明提供如下技术方案：

一种采用黑白名单进行分析的工控信息安全监控系统，所工控信息安全监控系统由以下步骤组成：

S1、初始样本库采集：监控装置采集现场监控网络上所有数据包，并分析该数据包获取七元组信息，可根据样本库设置白名单规则和资产列表；

S2、黑名单规则形成及报警产生：内置入侵检测规则库，当监控装置进行数据包解析时发生特征匹配时，会产生入侵检测的报警，用户能够查看每条规则的详细信息，包括行为、描述以及处理建议；

S3、白名单规则形成及报警产生：将样本库中的资产转成资产白名单，资产白名单就是合法资产的列表，没有列为白名单的资产就是非法资产，无论什么通信行为，都会立刻报警，报警的类别为未知设备，在已经配置资产白名单的基础上，可以将样本库中的通信行为转成通信白名单，通信白名单指将合法的通信行为添加到白名单规则，没有列为通信白名单的就是非法通信行为，可以通过智能学习方式，结合黑名单规则，自动分析生成通信白名单规则，当发生的通信行为不在白名单规则范围内，都会立刻报警，报警的类别为未知通信行为；