[发明专利]一种工控设备访问控制方法、装置及电子设备

说明书

本发明提供一种工控设备访问控制方法、装置及电子设备，其中，方法包括：当接收到上位机对目标工控设备的访问请求，向所述上位机发送目标信息获取指令；接收所述上位机的目标信息响应数据包，所述目标信息响应数据包包括所述上位机的硬件标识性信息或者身份证书信息；根据所述上位机的目标信息响应数据包，验证所述上位机的身份信息；根据所述上位机的身份信息验证结果，确定是否将访问请求发送至所述目标工控设备。通过防火墙对上位机的硬件标识性信息或者身份证书信息进行身份验证，防止非法上位机通过篡改IP/MAC地址，达到伪装合法上位机的目的，实现对工控设备的非法控制，从而提高了工业控制设备的安全性。

技术领域

本发明涉及工控安全技术领域，具体涉及一种工控设备访问控制方法、装置及电子设备。

背景技术

随着信息化和工业化融合的不断深化，传统IT网络中的不安全因素大量涌入工业控制系统，使原本脆弱的工业控制系统雪上加霜，涉及国计民生的工业、能源、交通、水利等关键基础设施面临较大安全风险，一旦遭到破坏，可能造成整个城市的供电中断、饮用水污染、交通瘫痪等，影响公众生活甚至是国家安全。因此，加强工业控制系统的安全建设工作显得尤为迫切。

相关技术中，通过在工业控制设备与上位机之间安装部署工业防火墙，工业防火墙内置预先存储的黑/白名单，黑/白名单中记录的是基于IP/MAC地址的控制权限，比如，某一源IP地址对某一目标IP地址具有访问权限。工业防火墙根据上位机发送的数据帧(包含源IP地址和目标IP地址)，判断上位机是否具有该工业控制设备的访问权限。但实际上，IP/MAC地址很容易被篡改，若要非法访问工业控制设备，只需要将非法上位机的IP/MAC地址更改为记录在白名单中上位机的IP/MAC地址，导致工业控制设备的安全性低。

发明内容

有鉴于此，本发明实施例提供了一种工控设备访问控制方法、装置及电子设备，以解决现有技术中工业控制设备的安全性低的缺陷。

根据第一方面，本发明实施例提供一种工控设备访问控制方法，应用于防火墙，包括如下步骤：当接收到上位机对目标工控设备的访问请求，向所述上位机发送目标信息获取指令；接收所述上位机的目标信息响应数据包，所述目标信息响应数据包包括所述上位机的硬件标识性信息或者身份证书信息；根据所述上位机的目标信息响应数据包，验证所述上位机的身份信息；根据所述上位机的身份信息验证结果，确定是否将访问请求发送至所述目标工控设备。

可选地，所述目标信息响应数据包还包括所述上位机的安全防护信息；根据所述上位机的身份信息验证结果，确定是否将访问请求发送至所述目标工控设备包括：根据所述上位机的身份信息验证结果以及所述上位机的安全防护信息，判断所述上位机是否满足安全访问条件；当上位机满足安全访问条件，则将访问请求发送至所述目标工控设备。

可选地，当接收到上位机对目标工控设备的访问请求，向所述上位机发送目标信息获取指令，包括：当接收到上位机对目标工控设备的访问请求，识别所述访问请求中是否存在对目标工控设备的数据更改请求和/或状态更改请求；当存在数据更改请求和/或状态更改请求，向所述上位机发送目标信息获取指令。

可选地，工控设备访问控制方法还包括：接收所述目标工控设备的访问请求执行结果；将所述访问请求执行结果发送至上位机。

根据第二方面，本发明实施例提供一种工控设备访问控制方法，应用于上位机，包括如下步骤：对目标信息获取指令接收端口进行监听；当接收到目标信息获取指令，根据所述目标信息获取指令构建目标信息响应数据包，所述目标信息响应数据包包括硬件标识性信息或者身份证书信息；发送所述目标信息响应数据包。

可选地，根据所述目标信息获取指令构建目标信息响应数据包，包括：获取身份信息以及安全防护信息；根据所述身份信息以及安全防护信息，构建目标信息响应数据包。