工控系統的通信數據安全審計方法及裝置與流程

2023-06-15 22:09:26 1

本發明涉及工業控制安全領域，尤其涉及一種工控系統的通信數據安全審計方法及裝置。

背景技術：

工控系統中，各智能電子設備(Intelligent Electronic Device縮寫為IED)之間通過通信協議進行通信。為了實現工控系統行為可追溯，識別危險操作，保證工控系統安全，需要對工控系統中的通信數據進行安全審計。

傳統的安全審計按照通信協議對通信數據進行分析，記錄其中的欄位信息，形成對通信行為的審計記錄。傳統的安全審計方法並不考慮工控系統的業務功能，只按照通信協議裡的通信原語識別出通信行為，無法識別通信行為代表工控系統的哪種業務功能，即無法識別通信行為代表的業務行為。傳統的安全審計方法也不考慮工控系統的業務規則，無法對通信行為代表的業務行為按照業務規則進行審計分析。

由於以上問題的存在，傳統安全審計方法只能對工控系統中的通信行為進行審計，不能識別業務行為，更不能對業務行為是否符合業務規則進行審計，無法滿足工控系統的安全審計需求。因為現有技術就是簡單的通過通信原語的識別確定通信數據的通信行為。例如，確定通信數據用於對某一個節點(IED)進行數據的讀取或者寫入。當工控系統出現問題後，只能逐一地判斷審計所記錄的所有的通信數據以確定造成問題的通信數據，故障或威脅排除效率低。這對於實時性要求極高的工控系統來說將會導致巨大的損失。

技術實現要素：

本發明實施例提供一種工控系統的通信數據安全審計方法及裝置，用於至少解決上述技術問題之一。

第一方面，本發明實施例提供一種工控系統的通信數據安全審計方法，其包括：解析獲取的通信數據以確定所述通信數據所包含的業務行為數據；根據所述業務行為數據確定執行所述業務行為工控系統所需滿足的業務規則集；判斷所述工控系統的當前狀態是否滿足所述業務規則集，並進行相應的記錄。

第二方面，本發明實施例還提供一種工控系統的通信數據安全審計裝置，所述裝置包括：

數據解析模塊，用於解析獲取的通信數據以確定所述通信數據所包含的業務行為數據；

業務規則集確定模塊，用於根據所述業務行為數據確定執行所述業務行為工控系統所需滿足的業務規則集；

判斷記錄模塊，用於判斷所述工控系統的當前狀態是否滿足所述業務規則集，並進行相應的記錄。

第三方面，本發明實施例提供一種非易失性計算機可讀存儲介質，所述存儲介質中存儲有一個或多個包括執行指令的程序，所述執行指令能夠被電子設備(包括但不限於計算機，伺服器，或者網絡設備等)讀取並執行，以用於執行本發明上述任一項工控系統的通信數據安全審計方法。

第四方面，提供一種電子設備，其包括：至少一個處理器，以及與所述至少一個處理器通信連接的存儲器，其中，所述存儲器存儲有可被所述至少一個處理器執行的指令，所述指令被所述至少一個處理器執行，以使所述至少一個處理器能夠執行本發明上述任一項工控系統的通信數據安全審計方法。

第五方面，本發明實施例還提供一種電腦程式產品，所述電腦程式產品包括存儲在非易失性計算機可讀存儲介質上的計算程序，所述電腦程式包括程序指令，當所述程序指令被計算機執行時，使所述計算機執行上述任一項工控系統的通信數據安全審計方法。

本發明實施例的有益效果在於：在審查通信數據時不僅要確定通信數據的通信行為，還要確定通信行為所代表的業務行為。從而判斷該業務行為是否符合對應的業務規則集，並進行記錄。從而，當工控系統出現問題後，只需要從記錄的不符合業務規則的通信數據中就能確定導致問題出現的通信數據。減少了故障或者威脅導致因素的確定時間，提升了故障或者威脅排查的效率，為儘快恢復工控系統節省了時間。

附圖說明

為了更清楚地說明本發明實施例的技術方案，下面將對實施例描述中所需要使用的附圖作一簡單地介紹，顯而易見地，下面描述中的附圖是本發明的一些實施例，對於本領域普通技術人員來講，在不付出創造性勞動的前提下，還可以根據這些附圖獲得其他的附圖。

圖1為本發明的工控系統的通信數據安全審計方法一實施例的流程圖；

圖2為圖1中步驟S12的一實施例的流程圖；

圖3為本發明一實施例中的業務功能模型的結構示意圖；

圖4為本發明一實施例中的業務功能模型的示例的結構示意圖；

圖5為本發明一實施例中的業務規則模型的結構示意圖；

圖6為本發明一實施例中的業務規則模型的示例的結構示意圖；

圖7為圖1中步驟S13的一實施例的流程圖；

圖8為本發明的工控系統的通信數據安全審計裝置的一實施例的結構框圖；

圖9為本發明的工控系統的通信數據安全審計裝置的業務規則確定模塊一實施例的結構框圖；

圖10為本發明的工控系統的通信數據安全審計裝置的判斷記錄模塊一實施例的結構框圖；

圖11為本發明的電子設備的一實施例的結構示意圖。

具體實施方式

為使本發明實施例的目的、技術方案和優點更加清楚，下面將結合本發明實施例中的附圖，對本發明實施例中的技術方案進行清楚、完整地描述，顯然，所描述的實施例是本發明一部分實施例，而不是全部的實施例。基於本發明中的實施例，本領域普通技術人員在沒有作出創造性勞動前提下所獲得的所有其他實施例，都屬於本發明保護的範圍。

需要說明的是，在不衝突的情況下，本申請中的實施例及實施例中的特徵可以相互組合。

本發明可以在由計算機執行的計算機可執行指令的一般上下文中描述，例如程序模塊。一般地，程序模塊包括執行特定任務或實現特定抽象數據類型的例程、程序、對象、元件、數據結構等等。也可以在分布式計算環境中實踐本發明，在這些分布式計算環境中，由通過通信網絡而被連接的遠程處理設備來執行任務。在分布式計算環境中，程序模塊可以位於包括存儲設備在內的本地和遠程計算機存儲介質中。

在本發明中，「模塊」、「裝置」、「系統」等等指應用於計算機的相關實體，如硬體、硬體和軟體的組合、軟體或執行中的軟體等。詳細地說，例如，元件可以、但不限於是運行於處理器的過程、處理器、對象、可執行元件、執行線程、程序和/或計算機。還有，運行於伺服器上的應用程式或腳本程序、伺服器都可以是元件。一個或多個元件可在執行的過程和/或線程中，並且元件可以在一臺計算機上本地化和/或分布在兩臺或多臺計算機之間，並可以由各種計算機可讀介質運行。元件還可以根據具有一個或多個數據包的信號，例如，來自一個與本地系統、分布式系統中另一元件交互的，和/或在網際網路的網絡通過信號與其它系統交互的數據的信號通過本地和/或遠程過程來進行通信。

最後，還需要說明的是，在本文中，諸如第一和第二等之類的關係術語僅僅用來將一個實體或者操作與另一個實體或操作區分開來，而不一定要求或者暗示這些實體或操作之間存在任何這種實際的關係或者順序。而且，術語「包括」、「包含」，不僅包括那些要素，而且還包括沒有明確列出的其他要素，或者是還包括為這種過程、方法、物品或者設備所固有的要素。在沒有更多限制的情況下，由語句「包括……」限定的要素，並不排除在包括所述要素的過程、方法、物品或者設備中還存在另外的相同要素。

如圖1所示，本發明的一實施例的工控系統的通信數據安全審計方法，包括：

S11、解析獲取的通信數據以確定所述通信數據所包含的業務行為數據；

S12、根據所述業務行為數據確定執行所述業務行為工控系統所需滿足的業務規則集；

S13、判斷所述工控系統的當前狀態是否滿足所述業務規則集，並進行相應的記錄。

本實施例的工控系統的通信數據安全審計方法可以由一種數據安全審計設備執行。步驟S11中是通過將數據安全審計設備於工控系統中的交換機進行並聯設置的方式來獲取工控系統中的通信數據的。本實施例方法在審查通信數據時不僅要確定通信數據的通信行為，還要確定通信行為所代表的業務行為。從而判斷該業務行為是否符合對應的業務規則集，並進行記錄(包括符合和不符合業務規則集的情況的記錄)。從而，當工控系統出現問題後，只需要從記錄的不符合業務規則集的通信數據中就能確定導致問題出現的通信數據。減小了故障或者威脅導致因素確定的時間，為儘快恢復工控系統節省了時間。

如圖2所示，在一些實施例中，所述業務行為數據至少包括目標智能電子設備標識、操作行為標識；步驟S12所述根據所述業務行為數據確定執行所述業務行為工控系統所需滿足的業務規則集包括：

S121、根據所述目標智能電子設備標識和操作行為標識確定所述業務行為；

S122、根據預先建立的業務規則模型確定相應於所述業務行為的業務規則集。

本實施例中步驟S121中根據所述目標智能電子設備標識和操作行為標識確定所述業務行為包括：根據獲取的目標智能電子設備標識和操作行為標識從預先生成的業務功能模型中確定業務行為。

如圖3所示為預先建立的業務功能模型的結構示意圖。工控系統由若干個IED組成，每個IED包含特定的屬性和方法，將工控系統中的IED及其屬性和方法組織起來，構成工控系統的業務功能模型。圖3所示的業務功能模型包括了多個智能電子設備IED-1、IED-2……IED-N(或者IED1、IED2……IEDN)，並且對應於每一個智能電子設備都包含有多種屬性及方法。

如圖4所述為業務功能模型的一種實施例的結構示意圖。該示例圖表示的工控系統的業務功能模型中包含IED-1和IED-2兩個智能電子設備(IED-1和IED-2分別為對應智能電子設備的唯一標識，即目標智能電子設備標識)，每個IED包含若干個屬性和方法。業務功能模型對其中的屬性和方法定義唯一標識(即，操作行為標識)。

上述實施例中通過解析獲取通信數據所包含的目標智能電子設備標識和操作行為標識來確定通信數據所代表的業務行為。例如，當解析某一通信數據包得到的目標智能電子設備標識為IED-1，操作行為標識為YX1時，代表此通信數據包所代表的業務行為為訪問智能電子設備IED-1的遙信1，IED-1、YC1標識IED1的遙測1，IED-1、YK1標識IED1的遙控1等。屬性狀態(值)和方法狀態(執行結果)存儲在業務功能模型中。因此，本實施例通過將解析得到的目標智能電子設備標識和操作行為標識與預先生成的業務功能模型進行對比以確定通信數據包所對應的業務行為的方式，極大的提升了確定通信數據業務行為的效率。並且，由於每一個智能電子設備都對應有唯一標識，相應的每一個智能電子設備又都對應有唯一標識的操作行為標識，所以也保證了確定通信數據的業務行為的準確性。

如圖5所示為本發明實施例中的業務規則模型的一種實施例的結構圖。上述實施例的步驟S122中的業務規則模型為通過將工控系統中所有的業務行為及其對應的業務規則建立對應關係而構成的。圖5所示的工控系統業務規則模型包括了多種業務行為：業務行為1、業務行為2……業務行為N，並且對應於每一種業務行為又包含有多種業務規則組，每一個業務規則組進一步包括多條業務規則。

如圖6所示為業務規則模型的一種具體實施例的結構示意圖。

業務行為：業務行為是指對業務功能模型中IED屬性或方法的訪問，例如圖6中的IED1遙控1、IED2遙控2選擇、IED2遙控2執行等。

業務規則：業務規則是執行某一業務行為必須滿足的條件，一條業務規則可以用一個邏輯表達式表示，在該表達式中可以包含以下內容：邏輯運算符、數字或字符串常量、數學運算符或函數、當前日期或時間、業務功能模型中定義的屬性或方法標識等。

業務規則模型可以通過引用業務功能模型中定義的屬性或方法標識來引用業務功能模型相關狀態。上述實施例中針對工控系統的安全審計需求，設計了上述的業務功能模型和業務規則模型以進行工控系統安全審計。本實施例預先建立工控系統的業務功能模型和業務規則模型，在對工控系統中的通信數據進行審計分析時，根據通信協議識別出通信原語(至少包括了目標智能電子設備標識和操作行為標識)，並基於業務功能模型，識別出業務行為。然後再基於業務規則模型對業務行為的合理性進行審計，得出審計結果。因此，本發明實施例不僅實現了對通信數據所對應通信行為的審計與記錄，還實現了對通信數據所對應的業務行為以及業務行為是否符合對應的業務規則的審計與記錄。從而實現了工控系統行為的可追溯性，提升了排查識別危險操作的效率與準確性，保證工控系統的安全。

在一些實施例中，所述業務規則集包括多個業務規則組，所述業務規則組包括多條業務規則。業務規則組下面所有的業務規則都為真時，才可判定該業務規則組為真；任意一個業務規則為假，則判定該業務規則組為假。

在對業務行為進行審計時，只要其對應的任意一個業務規則組判定結果為真，即可認為該業務行為合理；所有業務規則組判定結果都為假，則認為該業務行為不合理。

如圖7所示，在一些實施例中所述判斷所述工控系統的當前狀態是否滿足所述業務規則集，並進行相應的記錄包括：

S131、判斷所述工控系統的當前狀態是否滿足所述多個業務規則組；

S132、當判斷所述工控系統的當前狀態滿足任意一個業務規則組時，確定所述工控系統的當前狀態滿足所述業務規則集，並記錄；

S133、當判斷所述工控系統的當前狀態不滿足所有的業務規則組時，確定所述工控系統的當前狀態不滿足所述業務規則集，並記錄。

在圖6所示的業務規則模型示例中，定義了三個業務行為，每個業務行為對應兩個業務規則組，每個業務規則組包含若干條業務規則。業務行為IED-1遙控1的業務規則組1包含兩條業務規則，其中的規則1邏輯表達式為YX1＝1，表示的條件是IED1遙信1處於合位；其中的規則2邏輯表達式為YX2＝0，表示的條件是IED1遙信2處於分位。在對業務行為IED1遙控1進行審計時，先判定業務規則組1是否為真，如果不為真，再對業務規則組2進行判定。判定業務規則組1時，先判定業務規則1，如果業務規則1為真，再判定業務規則2，如果業務規則2也為真，則判定業務規則組1為真；否則，判定業務規則組1為假。然後再按上面的過程對業務規則組2進行判定。只要業務規則組1為真或業務規則組2為真，即可判定IED1遙控1業務行為合理，否則判定該業務行為不合理。

在一些實施例中，所述業務行為的執行結果為另一業務行為所需要滿足的多個業務規則之一。如圖6所示，業務行為IED-2遙控2選擇的執行結果就是業務行為IED-2遙控2執行所對應的業務規則組5和業務規則組6所包含的業務規則(分別為規則9和規則12)。

本實施例中實現了對相關聯的業務行為的合理性的審計。從而實現了對相互關聯的通信數據包的合理性的審計，避免了簡單審計通信數據的通信行為而無法審計出相關聯通信數據存在威脅的弊端。例如，當IED-2遙控2選擇操作失敗時，如果進行IED-2遙控2執行操作，則業務行為IED-2遙控2執行是不符合業務規則的，但只依據通信行為進行審計，將無法審計出該威脅。而本發明實施例正是由於在業務規則層面對通信數據所對應的業務行為進行了審計與記錄，從而發現並記錄下了通信數據之間存在的關聯性，並能發現單純通信行為審計無法識別的威脅。

需要說明的是，對於前述的各方法實施例，為了簡單描述，故將其都表述為一系列的動作合併，但是本領域技術人員應該知悉，本發明並不受所描述的動作順序的限制，因為依據本發明，某些步驟可以採用其他順序或者同時進行。其次，本領域技術人員也應該知悉，說明書中所描述的實施例均屬於優選實施例，所涉及的動作和模塊並不一定是本發明所必須的。

在上述實施例中，對各個實施例的描述都各有側重，某個實施例中沒有詳述的部分，可以參見其他實施例的相關描述。

如圖8所示，本發明實施例還提供一種工控系統的通信數據安全審計裝置800，包括：

數據解析模塊810，用於解析獲取的通信數據以確定所述通信數據所包含的業務行為數據；

業務規則集確定模塊820，用於根據所述業務行為數據確定執行所述業務行為工控系統所需滿足的業務規則集；

判斷記錄模塊830，用於判斷所述工控系統的當前狀態是否滿足所述業務規則集，並進行相應的記錄。

本實施例的工控系統的通信數據安全審計裝置可以執行本發明上述實施例中的方法。數據解析模塊810是通過將數據安全審計設備與工控系統中的交換機進行並聯設置的方式來獲取工控系統中的通信數據的。本實施例裝置在審查通信數據時不僅要確定通信數據的通信行為，還要確定通信行為所代表的業務行為。從而判斷該業務行為是否符合對應的業務規則，並進行記錄(包括符合和不符合業務規則的情況的記錄)。從而，當工控系統出現問題後，只需要從記錄的不符合業務規則的通信數據中就能確定導致問題出現的通信數據。減少了故障或者威脅導致因素確定的時間，為儘快恢復工控系統節省了時間。

如圖9所示，在一些實施例中，所述業務行為數據至少包括目標智能電子設備標識、操作行為標識；

所述業務規則集確定模塊820包括：

業務行為確定單元821，用於根據所述目標智能電子設備標識和操作行為標識確定所述業務行為；

業務規則確定單元822，用於根據預先建立的業務規則模型確定相應於所述業務行為的業務規則集。

在一些實施例中，所述業務規則集包括多個業務規則組，所述業務規則組包括多條業務規則。

在一些實施例中，所述業務行為的執行結果為另一業務行為所需要滿足的多條業務規則之一。

如圖10所示，在一些實施例中，所述判斷記錄模塊830包括：

合規判斷單元831，判斷所述工控系統的當前狀態是否滿足所述多個業務規則組；

第一執行單元832，用於當判斷所述工控系統的當前狀態滿足任意一個業務規則組時，確定所述工控系統的當前狀態滿足所述業務規則集，並記錄；

第二執行單元833，用於當判斷所述工控系統的當前狀態不滿足所有的業務規則組時，確定所述工控系統的當前狀態不滿足所述業務規則集，並記錄。

上述本發明實施例的工控系統的通信數據安全審計裝置可用於執行本發明實施例的工控系統的通信數據安全審計方法，每一實施例的審計裝置一一對應於每一實施例所述的審計方法，並相應的達到上述本發明實施例的工控系統的通信數據安全審計方法所達到的技術效果，這裡不再贅述。

本發明實施例中可以通過硬體處理器(hardware processor)來實現相關功能模塊。

另一方面，本發明實施例提供一種非易失性計算機可讀存儲介質，所述存儲介質中存儲有一個或多個包括執行指令的程序，所述執行指令能夠被電子設備(包括但不限於計算機，伺服器，或者網絡設備等)讀取並執行，以用於執行上述方法實施例中的相關步驟，例如：

解析獲取的通信數據以確定所述通信數據所包含的業務行為數據；

根據所述業務行為數據確定執行所述業務行為工控系統所需滿足的業務規則；

判斷所述工控系統的當前狀態是否滿足所述業務規則，並進行相應的記錄。

另一方面，本發明實施例還公開一種電子設備，其包括：

至少一個處理器，以及

與所述至少一個處理器通信連接的存儲器，其中，所述存儲器存儲有可被所述至少一個處理器執行的指令，所述指令被所述至少一個處理器執行，以使所述至少一個處理器能夠執行：

解析獲取的通信數據以確定所述通信數據所包含的業務行為數據；

根據所述業務行為數據確定執行所述業務行為工控系統所需滿足的業務規則；

判斷所述工控系統的當前狀態是否滿足所述業務規則，並進行相應的記錄。

圖11是本申請另一實施例提供的執行工控系統的通信數據安全審計方法的電子設備的硬體結構示意圖，如圖11所示，該設備包括：

一個或多個處理器1110以及存儲器1120，圖11中以一個處理器1110為例。

執行工控系統的通信數據安全審計方法的設備還可以包括：輸入裝置1130和輸出裝置1140。

處理器1110、存儲器1120、輸入裝置1130和輸出裝置1140可以通過總線或者其他方式連接，圖11中以通過總線連接為例。

存儲器1120作為一種非易失性計算機可讀存儲介質，可用於存儲非易失性軟體程序、非易失性計算機可執行程序以及模塊，如本申請實施例中的工控系統的通信數據安全審計方法對應的程序指令/模塊。處理器1110通過運行存儲在存儲器1120中的非易失性軟體程序、指令以及模塊，從而執行伺服器的各種功能應用以及數據處理，即實現上述方法實施例工控系統的通信數據安全審計方法。

存儲器1120可以包括存儲程序區和存儲數據區，其中，存儲程序區可存儲作業系統、至少一個功能所需要的應用程式；存儲數據區可存儲根據工控系統的通信數據安全審計裝置的使用所創建的數據等。此外，存儲器1120可以包括高速隨機存取存儲器，還可以包括非易失性存儲器，例如至少一個磁碟存儲器件、快閃記憶體器件、或其他非易失性固態存儲器件。在一些實施例中，存儲器1120可選包括相對於處理器1110遠程設置的存儲器，這些遠程存儲器可以通過網絡連接至工控系統的通信數據安全審計裝置。上述網絡的實例包括但不限於網際網路、企業內部網、區域網、移動通信網及其組合。

輸入裝置1130可接收輸入的數字或字符信息，以及產生與工控系統的通信數據安全審計裝置的用戶設置以及功能控制有關的信號。輸出裝置1140可包括顯示屏等顯示設備。

所述一個或者多個模塊存儲在所述存儲器1120中，當被所述一個或者多個處理器1110執行時，執行上述任意方法實施例中的工控系統的通信數據安全審計方法。

上述產品可執行本申請實施例所提供的方法，具備執行方法相應的功能模塊和有益效果。未在本實施例中詳盡描述的技術細節，可參見本申請實施例所提供的方法。

本申請實施例的電子設備以多種形式存在，包括但不限於:

(1)移動通信設備:這類設備的特點是具備移動通信功能，並且以提供話音、數據通信為主要目標。這類終端包括:智慧型手機(例如iPhone)、多媒體手機、功能性手機，以及低端手機等。

(2)超移動個人計算機設備:這類設備屬於個人計算機的範疇，有計算和處理功能，一般也具備移動上網特性。這類終端包括:PDA、MID和UMPC設備等，例如iPad。

(3)可攜式娛樂設備:這類設備可以顯示和播放多媒體內容。該類設備包括:音頻、視頻播放器(例如iPod)，掌上遊戲機，電子書，以及智能玩具和可攜式車載導航設備。

(4)伺服器:提供計算服務的設備，伺服器的構成包括處理器、硬碟、內存、系統總線等，伺服器和通用的計算機架構類似，但是由於需要提供高可靠的服務，因此在處理能力、穩定性、可靠性、安全性、可擴展性、可管理性等方面要求較高。

(5)其他具有數據交互功能的電子裝置。

以上所描述的裝置實施例僅僅是示意性的，其中所述作為分離部件說明的單元可以是或者也可以不是物理上分開的，作為單元顯示的部件可以是或者也可以不是物理單元，即可以位於一個地方，或者也可以分布到多個網絡單元上。可以根據實際的需要選擇其中的部分或者全部模塊來實現本實施例方案的目的。

通過以上的實施方式的描述，本領域的技術人員可以清楚地了解到各實施方式可藉助軟體加通用硬體平臺的方式來實現，當然也可以通過硬體。基於這樣的理解，上述技術方案本質上或者說對相關技術做出貢獻的部分可以以軟體產品的形式體現出來，該計算機軟體產品可以存儲在計算機可讀存儲介質中，如ROM/RAM、磁碟、光碟等，包括若干指令用以使得一臺計算機設備(可以是個人計算機，伺服器，或者網絡設備等)執行各個實施例或者實施例的某些部分所述的方法。

最後應說明的是：以上實施例僅用以說明本申請的技術方案，而非對其限制；儘管參照前述實施例對本申請進行了詳細的說明，本領域的普通技術人員應當理解：其依然可以對前述各實施例所記載的技術方案進行修改，或者對其中部分技術特徵進行等同替換；而這些修改或者替換，並不使相應技術方案的本質脫離本申請各實施例技術方案的精神和範圍。