[发明专利]一种多维度的控制系统安全管理方法

说明书

技术领域

本发明属于工业过程控制领域，并涉及信息安全技术，尤其实现了一种多维度的系统安全管理方法。

背景技术

随着工业控制系统逐渐向多级化、异地化发展，工控系统的安全管理成为工控系统使用中的重点问题。在系统的实际使用中，从人力安排、生产及操作安全等角度出发，工作人员通常按其级别和职责，负责系统中某一特定区域的某部分工作。这些根据系统管理要求、功能属性及用户操作需求等划分的逻辑区域就称为责任区。同时，根据工种不同，工作人员对系统的关注角度及所需的功能也不尽相同。也就是说，在系统中各级用户需要的信息和操作不仅按照工种和管理级别分类，同时也是按照区域划分的。因此，工控系统的安全机制也应根据以上多个角度制定，才能保证系统安全。

但目前，工控系统的安全管理体系一般与信息系统相同，采用权限的方式进行单一角度的安全管理。此类方法用权限表示系统中进行信息获取与操作的权利，系统运行时为用户分配权限并进行限制。权限方式仅从系统操作角度管理，未考虑分区操作及监视的要求，缺乏区域、设备整体、用户工种等方面的安全管理机制设置，造成安全管理及系统监视方面的漏洞。与此同时，权限的控制方式固定并增大了访问控制颗粒度，向用户开放了不属于其职责内的操作许可，导致系统中的实体管理过于碎片化，缺乏整体的安全保证。

发明内容

本发明，针对工业控制系统的上述问题，提供一种多维度的控制系统安全管理方法。

本发明解决如下问题：提供一种工控系统安全管理方法，从系统运行及使用的多个角度出发进行多维安全管理。此方法从系统功能及用户职责角度对系统进行分区安全管理、依照用户等级及工种进行操作权限管理、可依照实体功能与系统的关联关系进行实体控制权管理，使工控系统的安全管理体系扩展到系统的各个层级和部分。使用本方法可多角度限定用户可访问区域，自由划分系统访问控制颗粒度，提高访问控制的精确性及准确性，最终达到分区监视、分级操作、隔离信息的目的。

本发明的技术方案如下。

一种多维度的工业控制系统安全管理方法，其特征在于，所述安全管理方法包括以下步骤：

（1）安全策略配置

1.1在所述工业控制系统设置责任区的数据定义，作为系统安全管理的基本单元；

1.2根据责任区的管理范围和特点定制用户组，一个责任区中设置多个用户组；

1.3在工业控制系统中设置实体的数据定义，实体设置所属责任区属性，标识实体所属的责任区，其中，所述实体为工业控制系统中所有设备、上位机以及其它可管理的设备和资源；

（2）运行时安全管理

2.1在所述工业控制系统的服务器上设置安全中心应用模块，安全中心应用模块按照责任区标识分类形成配置信息，将所述配置信息发送至与其责任区标识一致的实体；

2.2工业控制系统运行中的操作信息均发送至安全中心应用模块进行验证；

2.3安全中心应用模块负责工业控制系统的信息审计，根据信息审计结果将操作所针对的责任区对相应的管理用户组开放。

本发明进一步包括以下优选技术方案：

在所述步骤1.1中，所述责任区是指按照工业控制系统的管理要求、功能属性及用户操作需求划分的逻辑区域，用于工业控制系统分区管理，由用户自行规划。所述责任区包含标识、名称、用户组、等级属性，其中，标识属性具有唯一性。

在步骤1.2中，用户组有标识、权限集属性，其中权限集是所述工业控制系统中操作权限的集合，标识用户组内用户可进行的操作；用户设置所属用户组属性，标识用户所在的用户组。

在步骤1.3中，实体还设置有控制权属性，其属性值为责任区标识，控制权用于实体管理和执行关键操作，拥有实体控制权的责任区成为该实体的控制权责任区。

在步骤2.2中，首先验证责任区，提取用户所属用户组的责任区标识与被操作实体的责任区标识进行运算，如属于同一责任区则继续判断权限，反之认为操作非法不予执行；提取操作权限标识与用户组权限集进行计算，如用户组拥有权限则此操作进入执行状态，反之操作终止。

所述安全中心应用模块所进行的验证还进一步包括：在操作执行前，检验此操作是否为控制权责任区的操作，如是则操作立即执行，反之则等待其他操作执行完毕；

如果操作涉及单个责任区内实体，安全中心应用模块按照操作信息的责任区标识分类记录；对于跨责任区的管理信息和其他安全配置信息则记录所涉及的责任区及操作频率。