[发明专利]一种基于工业控制系统的安全事件告警装置和方法

说明书

本发明涉及一种基于工业控制系统的安全事件告警装置和方法，告警方法包括：步骤1：采集模块采集工控子网中的数据信息并预处理；步骤2：检测引擎基于黑白名单比对的检测方法将预处理后的数据信息与从已知攻击中提取出来的黑白名单规则进行数据对比，得到分析结果；步骤3：将分析结果提交到消息中间件；步骤4：数据处理引擎读取并消费消息中间件中的数据，消费步骤为：将日志数据入库持久化；存在安全事件时发送告警信息给用户系统。本发明实时发送告警提醒用户系统发生的安全事件，为用户的系统安全提供极大的便利和强有力的保障。

技术领域

本发明涉及工业控制系统领域，尤其涉及一种基于工业控制系统的安全事件告警装置和方法。

背景技术

工业控制系统是由各种自控设备以及对工业数据进行采集、监测的过程控制设备组成的系统；随着科学技术的高速发展，工业化与信息化的不断融合，工业控制系统越来越多采用标准、通用的通信协议和软硬件系统，并且以各种方式接入互联网，从而打破了这些系统原有的封闭性和专用性，造成病毒、木马等安全威胁向工控领域迅速扩散。工业控制系统所面临的信息安全问题日益严重，而且呈现出诸多与传统IT系统不同的特点。工控系统的安全问题已直接关系到国家关键基础设施的安危。

发明内容

本发明的目的是为了提供一种基于工业控制系统的安全事件告警装置和方法，在工业控制系统中发生安全事件时，实时发送告警提醒用户系统发生的安全事件，为用户的系统安全提供极大的便利和强有力的保障。

为解决以上技术问题，本发明的技术方案为：一种基于工业控制系统的安全事件告警装置，包括采集模块、检测引擎、消息中间件和数据处理引擎；

采集模块，用于采集工控子网中的数据信息并预处理；

检测引擎，用于基于黑白名单比对的检测方法将预处理后的数据信息与从已知攻击中提取出来的黑白名单规则进行数据对比，得到分析结果；用于将分析结果提交到消息中间件；

数据处理引擎，用于读取并消费消息中间件中的数据，数据处理引擎通过数据持久化模块和告警信息发送模块消费消息中间件中的数据，数据持久化模块用于将日志数据入库持久化，告警信息发送模块用于存在安全事件时发送告警信息给用户系统。

进一步的，采集模块通过部署在工控子网内的网络探针进行信息采集，实现侦听、捕获并解析网络数据包功能；网络探针部署在子网控制层中，通过工业交换机镜像流量实现对工控流量的捕获，网络探针在网络或区域的边界，通过监听的方式捕获网络中的数据包。

进一步的，预处理步骤包括会话解析和工控协议识别；会话解析为根据TCP/IP协议的头部格式从数据包中提取源IP、源端口、目的IP、目的端口、协议所组成的五元组信息；工控协议识别为根据工控协议的特征字段而不是协议使用的默认端口来识别工控协议。

进一步的，检测引擎比对的数据为工控流量、从数据包中提取的关于数据包的关键特征以及工控协议操作，数据包的关键特征为源IP、源端口、目的IP、目的端口和协议组成的五元组信息；接着将这些数据特征与从已知攻击中提取出来的黑白名单规则进行对比，实现对已知和未知攻击的识别；

检测引擎中从已知攻击中提取出来的黑白名单规则为黑名单规则和白名单规则两大类，黑名单规则是对已知的攻击的形式化表示，而白名单规则是对系统正常行为的描述。

进一步的，检测引擎包括网络连接规则检测模块、流量特征规则检测模块和工控操作规则检测模块，通过网络连接规则、流量特征规则、工控操作规则检测入侵行为；

网络连接规则检测模块的检测方式为：当网络连接规则作为白名单规则，表示这条网络连接允许被建立；相反，当网络连接规则作为黑名单时，表示这条网络连接是危险的；所述网络连接规则由源IP、源端口、目的IP、目的端口、协议所组成的五元组表示，用来标识对应的网络连接；