新四季網

一種基於狀態的工業安全加密網關及其實現方法與流程

2023-10-11 23:33:54 2


本發明涉及工業信息安全技術領域,具體是一種基於狀態的工業安全加密網關及其實現方法。



背景技術:

隨著信息技術和網絡技術在工業系統中應用的普及,工業信息系統的安全問題是當前工業信息系統的面臨的直接威脅,目前市場上的工控防火牆只實現了對工控協議的簡單過濾,由於工控協議種類多,協議差異大,所以一般的工控防火牆都是在應用層進行協議過濾,帶來的問題就是性能低並且安全性無法保證,數據包很容易被篡改,對工業信息系統的安全有很大威脅。

工業信息安全需求已經迫在眉睫,本發明結合傳統安全相關技術,針對工業信息系統的特點,發明一種基於狀態的工業安全加密網關,通過一個工控協議解析引擎對連接信息進行解析後將連接信息下發給內核,數據直接在內核進行加密傳輸,提升系統性能,解決工業信息系統安全問題。



技術實現要素:

本發明的目的在於提供一種基於狀態的工業安全加密網關及其實現方法,以解決工業信息系統中數據的安全傳輸問題。

為實現上述目的,本發明提供如下技術方案:

一種基於狀態的工業安全加密網關,包括狀態包過濾模塊、VPN隧道模塊、工控協議引擎模塊;其中,所述狀態包過濾模塊,用於對工控數據包的過濾並建立和維護工控狀態表信息,狀態表信息包括正向和反向連接信息;所述VPN隧道模塊,用於VPN隧道的協商和對工控數據包的加密和隧道封裝;所述工控協議引擎模塊,用於對從內核送上來的數據包進行深度解析,根據用戶配置的過濾規則,如果是允許的工控協議,則通知內核進行轉發並下發連接表信息,否則下發阻斷信息。

作為本發明進一步的方案:所述狀態包過濾模塊具體包括:與工控協議引擎模塊通信單元,用於接收工控協議引擎模塊發送的數據信息,包括連接表信息的建立和刪除信息、VPN隧道配置信息;狀態表維護單元,用於對狀態表的維護,包括根據從工控協議引擎模塊接收到的正向連接信息自動建立反向連接信息和狀態表的超時管理。

作為本發明再進一步的方案:所述VPN隧道模塊具體包括:VPN隧道協商單元,用於兩臺工控網關之間建立VPN隧道,其中每條VPN隧道只負責一種工控協議數據的加密傳輸,不同的工控協議分別協商不同的隧道;VPN隧道封裝單元,用於對工控協議數據的加密封裝和解密。

作為本發明再進一步的方案:所述工控協議引擎模塊具體包括:與狀態包過濾模塊通信單元,用於向狀態包過濾模塊下發連接信息,包括連接表信息的建立和刪除信息、VPN隧道配置信息;安全策略管理單元,用於管理用戶配置的安全規則信息;協議解析單元,用於解析從內核接收到的數據包是否為工控協議信息,如果是則根據用戶配置的安全策略進行轉發或阻斷並向狀態包過濾模塊下發連接信息,否則直接阻斷。

作為本發明再進一步的方案:所述VPN加密封裝方式為IPSec方式。

作為本發明再進一步的方案:所述VPN隧道協商過程嚴格遵循國家密碼管理局發布的《IPSec VPN技術規範》。

作為本發明再進一步的方案:所述的基於狀態的工業安全加密網的實現方法,包括以下步驟:

S302、加密網關接收到數據包;

S304、判斷收到的數據包是否為VPN加密封裝報文,若是,則進入S306步驟,否則,則進入S310步驟;

S306、根據收到的VPN加密封裝報文在本地查找安全聯盟SA,查找成功,則進入S308步驟,否則,則進入S334步驟,直接丟棄數據包;

S308、對收到的VPN加密封裝報文進行解密,並將解密後的數據包重新入棧;

S310、根據收到的數據包五元組在內核查詢狀態表,此處的數據包包括兩種,一種是客戶端發送的明文報文,一種是經過VPN解密後的報文,查找成功,則進入S322步驟,否則,進入S312步驟;

S312、將收到的數據包上傳給上層工控協議解析引擎模塊進行協議解析;

S314、工控協議解析成功,並且規則為允許,則進入S316步驟,否則,進入S344步驟,直接丟棄數據包;

S316、根據解析結果,下發連接信息和隧道信息給狀態包過濾模塊;

S318、狀態包過濾模塊接收到工控協議引擎模塊發送的連接信息建立狀態表,包括正向和反向連接信息和隧道信息;

S320、判斷當前的數據包是否為VPN解密後的數據包,如果是,則進入S332步驟,直接進行轉發,否則,則進入S324步驟;

S322、同步驟S320;

S324、判斷當前要使用的隧道是否已經建立成功,如果是,則進入S328步驟,否則,則進入S326步驟;

S326、進行IPSec VPN隧道協商,此處協商協議使用國家秘密管理局指定的《IPSec VPN技術規範》進行協商,並且每種協議使用不同的隧道;

S328、根據狀態表中記錄的隧道信息對數據包進行加密和隧道封裝,此處數據加密採用國密算法;

S330、將加密封裝後的數據包按照VPN路由進行轉發。

與現有技術相比,本發明的有益效果是:

(1)通過一個獨立的工控協議引擎模塊對工控協議進行解析,解析成功後將解析結果下發給內核;

(2)內核通過獨立的狀態包過濾模塊進行數據加密和傳輸,保證數據的安全性和高吞吐率;

(3)VPN隧道協商採用國密局指定的《IPSec VPN技術規範》,符合我國國情。

附圖說明

圖1為基於狀態的工業安全加密網關的部署圖。

圖2為基於狀態的工業安全加密網關的工作原理圖。

圖3為基於狀態的工業安全加密網關的實現方法的流程圖。

具體實施方式

下面將結合本發明實施例中的附圖,對本發明實施例中的技術方案進行清楚、完整地描述,顯然,所描述的實施例僅僅是本發明一部分實施例,而不是全部的實施例。基於本發明中的實施例,本領域普通技術人員在沒有做出創造性勞動前提下所獲得的所有其他實施例,都屬於本發明保護的範圍。

請參閱圖1~3,本發明實施例中,一種基於狀態的工業安全加密網關,包括狀態包過濾模塊、VPN隧道模塊、工控協議引擎模塊。

所述狀態包過濾模塊,用於對工控數據包的過濾並建立和維護工控狀態表信息,狀態表信息包括正向和反向連接信息;所述狀態包過濾模塊包括與工控協議引擎模塊通信單元、狀態表維護單元;所述與工控協議引擎模塊通信單元用於接收工控協議引擎模塊發送的數據信息,包括連接表信息的建立和刪除信息、VPN隧道配置信息;所述狀態表維護單元用於對狀態表的維護,包括根據從工控協議引擎模塊接收到的正向連接信息自動建立反向連接信息和狀態表的超時管理。

所述VPN隧道模塊,用於VPN隧道的協商和對工控數據包的加密和隧道封裝;所述VPN隧道模塊包括VPN隧道協商單元和VPN隧道封裝單元;所述VPN隧道協商單元用於兩臺工控網關之間建立VPN隧道,其中每條VPN隧道只負責一種工控協議數據的加密傳輸,不同的工控協議分別協商不同的隧道;所述VPN隧道封裝單元用於對工控協議數據的加密封裝和解密;VPN加密封裝方式為IPSec方式;所述VPN隧道協商過程嚴格遵循國家密碼管理局發布的《IPSec VPN技術規範》。

所述工控協議引擎模塊,用於對從內核送上來的數據包進行深度解析,根據用戶配置的過濾規則,如果是允許的工控協議,則通知內核進行轉發並下發連接表信息,否則下發阻斷信息;所述工控協議引擎模塊包括與狀態包過濾模塊通信單元、安全策略管理單元和協議解析單元,所述與狀態包過濾模塊通信單元用於向狀態包過濾模塊下發連接信息,包括連接表信息的建立和刪除信息、VPN隧道配置信息;所述安全策略管理單元用於管理用戶配置的安全規則信息;所述協議解析單元用於解析從內核接收到的數據包是否為工控協議信息,如果是則根據用戶配置的安全策略進行轉發或阻斷並向狀態包過濾模塊下發連接信息,否則直接阻斷。

所述的基於狀態的工業安全加密網進行工業控制信息傳輸的過程包括以下步驟:

S302、加密網關接收到數據包;

S304、判斷收到的數據包是否為VPN加密封裝報文,若是,則進入S306步驟,否則,則進入S310步驟;

S306、根據收到的VPN加密封裝報文在本地查找安全聯盟SA,查找成功,則進入S308步驟,否則,則進入S334步驟,直接丟棄數據包;

S308、對收到的VPN加密封裝報文進行解密,並將解密後的數據包重新入棧;

S310、根據收到的數據包五元組在內核查詢狀態表,此處的數據包包括兩種,一種是客戶端發送的明文報文,一種是經過VPN解密後的報文,查找成功,則進入S322步驟,否則,進入S312步驟;

S312、將收到的數據包上傳給上層工控協議解析引擎模塊進行協議解析;

S314、工控協議解析成功,並且規則為允許,則進入S316步驟,否則,進入S344步驟,直接丟棄數據包;

S316、根據解析結果,下發連接信息和隧道信息給狀態包過濾模塊;

S318、狀態包過濾模塊接收到工控協議引擎模塊發送的連接信息建立狀態表,包括正向和反向連接信息和隧道信息;

S320、判斷當前的數據包是否為VPN解密後的數據包,如果是,則進入S332步驟,直接進行轉發,否則,則進入S324步驟;

S322、同步驟S320;

S324、判斷當前要使用的隧道是否已經建立成功,如果是,則進入S328步驟,否則,則進入S326步驟;

S326、進行IPSec VPN隧道協商,此處協商協議使用國家秘密管理局指定的《IPSec VPN技術規範》進行協商,並且每種協議使用不同的隧道;

S328、根據狀態表中記錄的隧道信息對數據包進行加密和隧道封裝,此處數據加密採用國密算法;

S330、將加密封裝後的數據包按照VPN路由進行轉發。

本發明通過一個獨立的工控協議引擎模塊對工控協議進行解析,解析成功後將解析結果下發給內核;內核通過獨立的狀態包過濾模塊進行數據加密和傳輸,保證數據的安全性和高吞吐率;VPN隧道協商採用國密局指定的《IPSec VPN技術規範》,符合我國國情。

對於本領域技術人員而言,顯然本發明不限於上述示範性實施例的細節,而且在不背離本發明的精神或基本特徵的情況下,能夠以其他的具體形式實現本發明。因此,無論從哪一點來看,均應將實施例看作是示範性的,而且是非限制性的,本發明的範圍由所附權利要求而不是上述說明限定,因此旨在將落在權利要求的等同要件的含義和範圍內的所有變化囊括在本發明內。不應將權利要求中的任何附圖標記視為限制所涉及的權利要求。

此外,應當理解,雖然本說明書按照實施方式加以描述,但並非每個實施方式僅包含一個獨立的技術方案,說明書的這種敘述方式僅僅是為清楚起見,本領域技術人員應當將說明書作為一個整體,各實施例中的技術方案也可以經適當組合,形成本領域技術人員可以理解的其他實施方式。

同类文章

一種新型多功能組合攝影箱的製作方法

一種新型多功能組合攝影箱的製作方法【專利摘要】本實用新型公開了一種新型多功能組合攝影箱,包括敞開式箱體和前攝影蓋,在箱體頂部設有移動式光源盒,在箱體底部設有LED脫影板,LED脫影板放置在底板上;移動式光源盒包括上蓋,上蓋內設有光源,上蓋部設有磨沙透光片,磨沙透光片將光源封閉在上蓋內;所述LED脫影

壓縮模式圖樣重疊檢測方法與裝置與流程

本發明涉及通信領域,特別涉及一種壓縮模式圖樣重疊檢測方法與裝置。背景技術:在寬帶碼分多址(WCDMA,WidebandCodeDivisionMultipleAccess)系統頻分復用(FDD,FrequencyDivisionDuplex)模式下,為了進行異頻硬切換、FDD到時分復用(TDD,Ti

個性化檯曆的製作方法

專利名稱::個性化檯曆的製作方法技術領域::本實用新型涉及一種檯曆,尤其涉及一種既顯示月曆、又能插入照片的個性化檯曆,屬於生活文化藝術用品領域。背景技術::公知的立式檯曆每頁皆由月曆和畫面兩部分構成,這兩部分都是事先印刷好,固定而不能更換的。畫面或為風景,或為模特、明星。功能單一局限性較大。特別是畫

一種實現縮放的視頻解碼方法

專利名稱:一種實現縮放的視頻解碼方法技術領域:本發明涉及視頻信號處理領域,特別是一種實現縮放的視頻解碼方法。背景技術: Mpeg標準是由運動圖像專家組(Moving Picture Expert Group,MPEG)開發的用於視頻和音頻壓縮的一系列演進的標準。按照Mpeg標準,視頻圖像壓縮編碼後包

基於加熱模壓的纖維增強PBT複合材料成型工藝的製作方法

本發明涉及一種基於加熱模壓的纖維增強pbt複合材料成型工藝。背景技術:熱塑性複合材料與傳統熱固性複合材料相比其具有較好的韌性和抗衝擊性能,此外其還具有可回收利用等優點。熱塑性塑料在液態時流動能力差,使得其與纖維結合浸潤困難。環狀對苯二甲酸丁二醇酯(cbt)是一種環狀預聚物,該材料力學性能差不適合做纖

一種pe滾塑儲槽的製作方法

專利名稱:一種pe滾塑儲槽的製作方法技術領域:一種PE滾塑儲槽一、 技術領域 本實用新型涉及一種PE滾塑儲槽,主要用於化工、染料、醫藥、農藥、冶金、稀土、機械、電子、電力、環保、紡織、釀造、釀造、食品、給水、排水等行業儲存液體使用。二、 背景技術 目前,化工液體耐腐蝕貯運設備,普遍使用傳統的玻璃鋼容

釘的製作方法

專利名稱:釘的製作方法技術領域:本實用新型涉及一種釘,尤其涉及一種可提供方便拔除的鐵(鋼)釘。背景技術:考慮到廢木材回收後再加工利用作業的方便性與安全性,根據環保規定,廢木材的回收是必須將釘於廢木材上的鐵(鋼)釘拔除。如圖1、圖2所示,目前用以釘入木材的鐵(鋼)釘10主要是在一釘體11的一端形成一尖

直流氧噴裝置的製作方法

專利名稱:直流氧噴裝置的製作方法技術領域:本實用新型涉及ー種醫療器械,具體地說是ー種直流氧噴裝置。背景技術:臨床上的放療過程極易造成患者的局部皮膚損傷和炎症,被稱為「放射性皮炎」。目前對於放射性皮炎的主要治療措施是塗抹藥膏,而放射性皮炎患者多伴有局部疼痛,對於止痛,多是通過ロ服或靜脈注射進行止痛治療

新型熱網閥門操作手輪的製作方法

專利名稱:新型熱網閥門操作手輪的製作方法技術領域:新型熱網閥門操作手輪技術領域:本實用新型涉及一種新型熱網閥門操作手輪,屬於機械領域。背景技術::閥門作為流體控制裝置應用廣泛,手輪傳動的閥門使用比例佔90%以上。國家標準中提及手輪所起作用為傳動功能,不作為閥門的運輸、起吊裝置,不承受軸向力。現有閥門

用來自動讀取管狀容器所載識別碼的裝置的製作方法

專利名稱:用來自動讀取管狀容器所載識別碼的裝置的製作方法背景技術:1-本發明所屬領域本發明涉及一種用來自動讀取管狀容器所載識別碼的裝置,其中的管狀容器被放在循環於配送鏈上的文檔匣或託架裝置中。本發明特別適用於,然而並非僅僅專用於,對引入自動分析系統的血液樣本試管之類的自動識別。本發明還涉及專為實現讀