一種基於狀態的工業安全加密網關及其實現方法與流程
2023-10-11 23:33:54 2
本發明涉及工業信息安全技術領域，具體是一種基於狀態的工業安全加密網關及其實現方法。
背景技術：
隨著信息技術和網絡技術在工業系統中應用的普及，工業信息系統的安全問題是當前工業信息系統的面臨的直接威脅，目前市場上的工控防火牆只實現了對工控協議的簡單過濾，由於工控協議種類多，協議差異大，所以一般的工控防火牆都是在應用層進行協議過濾，帶來的問題就是性能低並且安全性無法保證，數據包很容易被篡改，對工業信息系統的安全有很大威脅。
工業信息安全需求已經迫在眉睫，本發明結合傳統安全相關技術，針對工業信息系統的特點，發明一種基於狀態的工業安全加密網關，通過一個工控協議解析引擎對連接信息進行解析後將連接信息下發給內核，數據直接在內核進行加密傳輸，提升系統性能，解決工業信息系統安全問題。
技術實現要素：
本發明的目的在於提供一種基於狀態的工業安全加密網關及其實現方法，以解決工業信息系統中數據的安全傳輸問題。
為實現上述目的，本發明提供如下技術方案：
一種基於狀態的工業安全加密網關，包括狀態包過濾模塊、VPN隧道模塊、工控協議引擎模塊；其中，所述狀態包過濾模塊，用於對工控數據包的過濾並建立和維護工控狀態表信息，狀態表信息包括正向和反向連接信息；所述VPN隧道模塊，用於VPN隧道的協商和對工控數據包的加密和隧道封裝；所述工控協議引擎模塊，用於對從內核送上來的數據包進行深度解析，根據用戶配置的過濾規則，如果是允許的工控協議，則通知內核進行轉發並下發連接表信息，否則下發阻斷信息。
作為本發明進一步的方案：所述狀態包過濾模塊具體包括：與工控協議引擎模塊通信單元，用於接收工控協議引擎模塊發送的數據信息，包括連接表信息的建立和刪除信息、VPN隧道配置信息；狀態表維護單元，用於對狀態表的維護，包括根據從工控協議引擎模塊接收到的正向連接信息自動建立反向連接信息和狀態表的超時管理。
作為本發明再進一步的方案：所述VPN隧道模塊具體包括：VPN隧道協商單元，用於兩臺工控網關之間建立VPN隧道，其中每條VPN隧道只負責一種工控協議數據的加密傳輸，不同的工控協議分別協商不同的隧道；VPN隧道封裝單元，用於對工控協議數據的加密封裝和解密。
作為本發明再進一步的方案：所述工控協議引擎模塊具體包括：與狀態包過濾模塊通信單元，用於向狀態包過濾模塊下發連接信息，包括連接表信息的建立和刪除信息、VPN隧道配置信息；安全策略管理單元，用於管理用戶配置的安全規則信息；協議解析單元，用於解析從內核接收到的數據包是否為工控協議信息，如果是則根據用戶配置的安全策略進行轉發或阻斷並向狀態包過濾模塊下發連接信息，否則直接阻斷。
作為本發明再進一步的方案：所述VPN加密封裝方式為IPSec方式。
作為本發明再進一步的方案：所述VPN隧道協商過程嚴格遵循國家密碼管理局發布的《IPSec VPN技術規範》。
作為本發明再進一步的方案：所述的基於狀態的工業安全加密網的實現方法，包括以下步驟：
S302、加密網關接收到數據包；
S304、判斷收到的數據包是否為VPN加密封裝報文，若是，則進入S306步驟，否則，則進入S310步驟；
S306、根據收到的VPN加密封裝報文在本地查找安全聯盟SA,查找成功，則進入S308步驟，否則，則進入S334步驟，直接丟棄數據包；
S308、對收到的VPN加密封裝報文進行解密，並將解密後的數據包重新入棧；
S310、根據收到的數據包五元組在內核查詢狀態表，此處的數據包包括兩種，一種是客戶端發送的明文報文，一種是經過VPN解密後的報文，查找成功，則進入S322步驟，否則，進入S312步驟；
S312、將收到的數據包上傳給上層工控協議解析引擎模塊進行協議解析；
S314、工控協議解析成功，並且規則為允許，則進入S316步驟，否則，進入S344步驟，直接丟棄數據包；
S316、根據解析結果，下發連接信息和隧道信息給狀態包過濾模塊；
S318、狀態包過濾模塊接收到工控協議引擎模塊發送的連接信息建立狀態表，包括正向和反向連接信息和隧道信息；
S320、判斷當前的數據包是否為VPN解密後的數據包，如果是，則進入S332步驟，直接進行轉發，否則，則進入S324步驟；
S322、同步驟S320；
S324、判斷當前要使用的隧道是否已經建立成功，如果是，則進入S328步驟，否則，則進入S326步驟；
S326、進行IPSec VPN隧道協商，此處協商協議使用國家秘密管理局指定的《IPSec VPN技術規範》進行協商，並且每種協議使用不同的隧道；
S328、根據狀態表中記錄的隧道信息對數據包進行加密和隧道封裝，此處數據加密採用國密算法；
S330、將加密封裝後的數據包按照VPN路由進行轉發。
與現有技術相比，本發明的有益效果是：
(1)通過一個獨立的工控協議引擎模塊對工控協議進行解析，解析成功後將解析結果下發給內核；
(2)內核通過獨立的狀態包過濾模塊進行數據加密和傳輸，保證數據的安全性和高吞吐率；
(3)VPN隧道協商採用國密局指定的《IPSec VPN技術規範》，符合我國國情。
附圖說明
圖1為基於狀態的工業安全加密網關的部署圖。
圖2為基於狀態的工業安全加密網關的工作原理圖。
圖3為基於狀態的工業安全加密網關的實現方法的流程圖。
具體實施方式
下面將結合本發明實施例中的附圖，對本發明實施例中的技術方案進行清楚、完整地描述，顯然，所描述的實施例僅僅是本發明一部分實施例，而不是全部的實施例。基於本發明中的實施例，本領域普通技術人員在沒有做出創造性勞動前提下所獲得的所有其他實施例，都屬於本發明保護的範圍。
請參閱圖1～3，本發明實施例中，一種基於狀態的工業安全加密網關，包括狀態包過濾模塊、VPN隧道模塊、工控協議引擎模塊。
所述狀態包過濾模塊，用於對工控數據包的過濾並建立和維護工控狀態表信息，狀態表信息包括正向和反向連接信息；所述狀態包過濾模塊包括與工控協議引擎模塊通信單元、狀態表維護單元；所述與工控協議引擎模塊通信單元用於接收工控協議引擎模塊發送的數據信息，包括連接表信息的建立和刪除信息、VPN隧道配置信息；所述狀態表維護單元用於對狀態表的維護，包括根據從工控協議引擎模塊接收到的正向連接信息自動建立反向連接信息和狀態表的超時管理。
所述VPN隧道模塊，用於VPN隧道的協商和對工控數據包的加密和隧道封裝；所述VPN隧道模塊包括VPN隧道協商單元和VPN隧道封裝單元；所述VPN隧道協商單元用於兩臺工控網關之間建立VPN隧道，其中每條VPN隧道只負責一種工控協議數據的加密傳輸，不同的工控協議分別協商不同的隧道；所述VPN隧道封裝單元用於對工控協議數據的加密封裝和解密；VPN加密封裝方式為IPSec方式；所述VPN隧道協商過程嚴格遵循國家密碼管理局發布的《IPSec VPN技術規範》。
所述工控協議引擎模塊，用於對從內核送上來的數據包進行深度解析，根據用戶配置的過濾規則，如果是允許的工控協議，則通知內核進行轉發並下發連接表信息，否則下發阻斷信息；所述工控協議引擎模塊包括與狀態包過濾模塊通信單元、安全策略管理單元和協議解析單元，所述與狀態包過濾模塊通信單元用於向狀態包過濾模塊下發連接信息，包括連接表信息的建立和刪除信息、VPN隧道配置信息；所述安全策略管理單元用於管理用戶配置的安全規則信息；所述協議解析單元用於解析從內核接收到的數據包是否為工控協議信息，如果是則根據用戶配置的安全策略進行轉發或阻斷並向狀態包過濾模塊下發連接信息，否則直接阻斷。
所述的基於狀態的工業安全加密網進行工業控制信息傳輸的過程包括以下步驟：
S302、加密網關接收到數據包；
S304、判斷收到的數據包是否為VPN加密封裝報文，若是，則進入S306步驟，否則，則進入S310步驟；
S306、根據收到的VPN加密封裝報文在本地查找安全聯盟SA,查找成功，則進入S308步驟，否則，則進入S334步驟，直接丟棄數據包；
S308、對收到的VPN加密封裝報文進行解密，並將解密後的數據包重新入棧；
S310、根據收到的數據包五元組在內核查詢狀態表，此處的數據包包括兩種，一種是客戶端發送的明文報文，一種是經過VPN解密後的報文，查找成功，則進入S322步驟，否則，進入S312步驟；
S312、將收到的數據包上傳給上層工控協議解析引擎模塊進行協議解析；
S314、工控協議解析成功，並且規則為允許，則進入S316步驟，否則，進入S344步驟，直接丟棄數據包；
S316、根據解析結果，下發連接信息和隧道信息給狀態包過濾模塊；
S318、狀態包過濾模塊接收到工控協議引擎模塊發送的連接信息建立狀態表，包括正向和反向連接信息和隧道信息；
S320、判斷當前的數據包是否為VPN解密後的數據包，如果是，則進入S332步驟，直接進行轉發，否則，則進入S324步驟；
S322、同步驟S320；
S324、判斷當前要使用的隧道是否已經建立成功，如果是，則進入S328步驟，否則，則進入S326步驟；
S326、進行IPSec VPN隧道協商，此處協商協議使用國家秘密管理局指定的《IPSec VPN技術規範》進行協商，並且每種協議使用不同的隧道；
S328、根據狀態表中記錄的隧道信息對數據包進行加密和隧道封裝，此處數據加密採用國密算法；
S330、將加密封裝後的數據包按照VPN路由進行轉發。
本發明通過一個獨立的工控協議引擎模塊對工控協議進行解析，解析成功後將解析結果下發給內核；內核通過獨立的狀態包過濾模塊進行數據加密和傳輸，保證數據的安全性和高吞吐率；VPN隧道協商採用國密局指定的《IPSec VPN技術規範》，符合我國國情。
對於本領域技術人員而言，顯然本發明不限於上述示範性實施例的細節，而且在不背離本發明的精神或基本特徵的情況下，能夠以其他的具體形式實現本發明。因此，無論從哪一點來看，均應將實施例看作是示範性的，而且是非限制性的，本發明的範圍由所附權利要求而不是上述說明限定，因此旨在將落在權利要求的等同要件的含義和範圍內的所有變化囊括在本發明內。不應將權利要求中的任何附圖標記視為限制所涉及的權利要求。
此外，應當理解，雖然本說明書按照實施方式加以描述，但並非每個實施方式僅包含一個獨立的技術方案，說明書的這種敘述方式僅僅是為清楚起見，本領域技術人員應當將說明書作為一個整體，各實施例中的技術方案也可以經適當組合，形成本領域技術人員可以理解的其他實施方式。