CN104753936A - Opc安全网关系统 - Google Patents

Abstract

本发明公开了一种OPC安全网关系统，用于解决现有企业信息网与工业控制网的互连中安全性差的技术问题。技术方案是包括OPC客户端安全认证模块、OPC数据包合规性检查模块、OPC数据包内容检查模块、异常事件检测和报警模块、日志记录与安全审计模块、网络资产识别和管理模块、系统管理接口模块和远程管理工具。企业信息网的信息通过OPC安全网关系统进入工业控制网，OPC安全网关系统对其通信行为进行安全认证，对数据包进行合格性检查和内容检查，识别和滤除恶意的通信行为及OPC数据包，防止非法用户入侵、防止异常或变异OPC数据包攻击以及防止对工业控制网进行攻击。提高了企业信息网与工业控制网的互连中的安全性。

Description

OPC安全网关系统

技术领域

本发明属于网络信息安全领域，特别是涉及一种OPC安全网关系统。

背景技术

在工业控制领域中，为了实现工业控制系统的应用软件和硬件产品之间的互操作性，需要在应用层面上解决系统集成和数据通信问题。为此，国际上成立了一个称为OPC基金会的国际组织，制定了OPC标准，OPC是Object Linking and Embedding forProcess Control的简称。现在，OPC基金会的会员已超过220家，包括世界上所有主要的自动化控制系统、仪器仪表及过程控制系统的公司，因此OPC标准成为事实上的国际标准。

OPC标准的核心是微软公司的组件对象模型COM和分布式组件对象模型DCOM技术，它是一种基于客户/服务器模式的通信协议，定义了OPC客户端与OPC服务器之间的通信协议和数据包格式，包括一整套相关的接口、属性和方法，在Windows应用程序和现场过程控制设备之间建立起一个桥梁，使两者很容易实现系统集成和数据通信。因此，OPC标准已成为工业控制系统集成和互连的首选方案，绝大多数的工业控制设备和应用软件都支持OPC标准，否则就会被淘汰。

随着工业和信息化的深度融合，在电力、能源、化工、水利、制药、污水处理、石油天然气、交通运输以及航空航天等工业企业中，通常建有企业信息网和工业控制网两种网络系统，通过OPC协议，实现企业信息网与工业控制网的互连，用户使用企业信息网中的计算机能够远程地监控工业控制网中的工业设备，并获取相应的生产数据。

另一方面，在企业信息网与工业控制网的互连中，也存在着一些安全风险，企业信息网中常见的安全威胁被引入到工业控制网中，如网络病毒、黑客攻击以及恶意操作等，给工业控制网带来严重的信息安全问题，“震网”病毒事件就是典型的例子。

由于工业控制系统与普通信息系统在系统结构和通信协议上存在一些差异，现有的防火墙等网络安全产品并不能直接应用于工业控制系统中，需要研究和开发适合于工业控制系统的网络安全技术和产品，确保工业控制系统的信息安全。

发明内容

为了克服现有企业信息网与工业控制网的互连中安全性差的不足，本发明提供一种OPC安全网关系统。该系统包括OPC客户端安全认证模块、OPC数据包合规性检查模块、OPC数据包内容检查模块、异常事件检测和报警模块、日志记录与安全审计模块、网络资产识别和管理模块、系统管理接口模块和远程管理工具。企业信息网的信息通过OPC安全网关系统进入工业控制网，OPC安全网关系统对其通信行为进行安全认证，对数据包进行合格性检查和内容检查，识别和滤除恶意的通信行为及OPC数据包，并将OPC数据包转发给目标节点。防止非法用户入侵工业控制网，防止异常或变异OPC数据包攻击工业控制网，防止通过虚假命令对工业控制网进行攻击和破坏。可以提高企业信息网与工业控制网的互连中的安全性。

本发明解决其技术问题所采用的技术方案是：一种OPC安全网关系统，其特点是包括OPC客户端安全认证模块、OPC数据包合规性检查模块、OPC数据包内容检查模块、异常事件检测和报警模块、日志记录与安全审计模块、网络资产识别和管理模块、系统管理接口和远程管理工具。

OPC客户端安全认证模块采用白名单策略，事先将允许与OPC服务器通信的OPC客户端及用户名列入白名单中。在OPC客户端与OPC服务器建立连接时，通过解析OPC数据包，提取出OPC数据包中所包含的OPC客户端及用户信息，然后依据白名单进行检查，禁止任何未列入白名单中的OPC客户端及用户名与OPC服务器进行通信，防止非法用户入侵工业控制网。

OPC数据包合规性检查模块通过建立OPC协议规范与通信规则，用于检查OPC数据包类型及格式是否符合OPC协议规范。在OPC客户端与OPC服务器数据通信过程中，通过解析OPC数据包，提取出OPC数据包类型及格式，然后依据OPC协议规范与通信规则进行检查，滤除任何违反OPC协议规范与通信规则的异常或变异OPC数据包，防止异常或变异OPC数据包攻击工业控制网。

OPC数据包内容检查模块。在工业控制系统中，OPC客户端按照规定的命令格式通过OPC数据包向OPC服务器发送控制命令，OPC服务器执行控制命令并将执行结果返回给OPC客户端。根据工业控制系统的控制命令及其格式，事先将允许使用的控制命令及其格式列入白名单中。在OPC客户端与OPC服务器数据通信过程中，通过解析客户端的OPC数据包，提取出OPC数据包中的控制命令，然后依据白名单进行检查，滤除任何未列入白名单中的控制命令及其格式，防止通过虚假命令对工业控制网及其工控设备进行攻击和破坏。

以上三项检测通过后，OPC安全网关系统允许OPC客户端与OPC服务器建立连接，并将OPC数据包转发给目标节点。

异常事件检测和报警模块。在OPC客户端与OPC服务器数据通信过程中，对于OPC安全网关系统检测出任何违反安全策略的异常事件和数据包，包括安全认证未通过、合规性检查未通过以及内容检查未通过，阻断本次通信操作，并发出报警信息，报警方式有屏幕显示、手机短信以及电子邮件，同时将异常事件详细信息记录在日志文件中，供日后查询、审计和追溯。

日志记录与安全审计模块。在OPC客户端与OPC服务器数据通信过程中，OPC安全网关系统在其日志文件中详细记录两类信息：正常通信行为信息和异常通信行为信息，并根据异常事件的严重程度标识出不同的危险等级。日志文件采用标准日志格式进行滚动记录，日志文件即将记满时给出提示信息，要求及时备份日志文件。

网络资产识别和管理模块。在OPC客户端与OPC服务器数据通信过程中，OPC安全网关系统从OPC数据包中提取并识别出相关工控设备的工作状态和资产信息，为监测和管理工控设备运行状态提供基础。

系统管理接口包括角色分离的系统管理员和安全审计员，系统管理员主要负责白名单和安全策略建立与编辑、异常事件报警信息处理、检查算法更新和维护、网络资产监测和管理以及系统配置与管理等操作；安全审计员主要负责日志信息查询、审计以及备份操作。

远程管理工具为用户提供基于C/S三层结构的工业安全网关管理平台，包括安全配置管理、系统运行管理、异常事件管理、网络资产管理以及日志查询、安全审计功能。系统管理员和安全审计员的角色和账户是分开设置的，各自单独登录和身份鉴别，构成相互制约的监督机制，确保工业安全网关管理的安全性和可信性。

本发明的有益效果是：该系统包括OPC客户端安全认证模块、OPC数据包合规性检查模块、OPC数据包内容检查模块、异常事件检测和报警模块、日志记录与安全审计模块、网络资产识别和管理模块、系统管理接口模块和远程管理工具。企业信息网的信息通过OPC安全网关系统进入工业控制网，OPC安全网关系统对其通信行为进行安全认证，对数据包进行合格性检查和内容检查，识别和滤除恶意的通信行为及OPC数据包，并将OPC数据包转发给目标节点。防止非法用户入侵工业控制网，防止异常或变异OPC数据包攻击工业控制网，防止通过虚假命令对工业控制网进行攻击和破坏。提高了企业信息网与工业控制网的互连中的安全性。

下面结合附图和具体实施方式对本发明作详细说明。

附图说明

图1是OPC安全网关系统部署示意图。

图2是本发明OPC安全网关系统结构图。

具体实施方式

参照图1-2。本发明所涉及的基本概念如下：

1.OPC通信过程。

识别OPC通信行为是OPC安全网关系统的重要功能，它涉及到OPC协议特定的通信过程。OPC通信过程主要分为两个阶段。

(1)OPC通信发起阶段。在发起阶段，OPC客户端向OPC服务器发起通信，获取服务器的基本信息和绑定信息，具体操作流程如下：

①OPC客户端使用随机端口(如14963)向OPC服务器135端口发起TCP连接请求，经过三次握手，建立TCP连接；

②OPC客户端使用bind请求包向OPC服务器发送绑定请求；绑定接口为IOXIDResolve，其接口标识符为：99fcfec4-5260-101b-bbcb-00aa0021347a；

③OPC服务器使用bind-ack应答包向OPC客户端返回绑定结果，其中包含有绑定是否成功的标志；

④OPC客户端调用接口IOXIDResolve中的serverAlive2函数，向OPC服务器请求执行远程过程调用；

⑤OPC服务器返回serverAlive2函数的执行结果，其中包括OPC服务器的基本信息和绑定信息。

(2)创建远程对象实例阶段。OPC客户端获取了OPC服务器的基本信息后，OPC客户端便可以向OPC服务器发起数据通信，创建远程对象实例，具体操作流程如下：

①OPC客户端使用14964端口向OPC服务器的135端口发起TCP连接请求，经过三次握手，建立TCP连接。

②OPC客户端使用bind请求包向OPC服务器发送绑定请求；绑定接口为IsystemActivator，其接口标识符为：000001a0-0000-0000-c000-000000000046；

③OPC服务器用bind-ack应答包向OPC客户端返回绑定结果，其中包含有绑定是否成功的标志；

④OPC客户端利用Auth3请求包向OPC服务器发送认证信息，包括OPC客户端的域名、用户名、主机名以及认证信息等；

⑤OPC客户端调用接口IsystemActivator的RemoteCreateInstance函数，向OPC服务器请求执行远程过程调用，创建OPC Server Browser对象实例；

⑥OPC服务器返回RemoteCreateInstance函数的执行结果，其中包括OPC服务器动态分配的端口号。

2.动态端口解析。

在OPC客户端与OPC服务器通信过程中，OPC服务器通过动态分配的端口号与OPC客户端进行通信。为了识别OPC客户端及其数据包，OPC安全网关必须能够解析出OPC服务器动态分配的端口号。根据OPC协议，当OPC服务器接收到OPC客户端发出的RemoteCreateInstance请求包后，便处理该请求包，然后向OPC客户端返回Remote CreateInstance response应答包来通知处理结果，其中包含有动态分配的端口号。因此，通过解析Remote CreateInstance response应答包，便可以获得OPC服务器动态分配的端口号。其中，RemoteCreateInstance请求包和Remote CreateInstanceresponse应答包都是OPC协议定义的方法。

3.OPC安全网关。

OPC安全网关是一种类似防火墙的网络安全设备，通常部署在企业信息网与工业控制网之间的网络链路上，企业信息网与工业控制网之间的数据通信必须经过OPC安全网关的转发才能实现，参见图1。这样，通过设置OPC安全网关的安全策略和通信规则，对经过OPC安全网关的OPC数据包进行检查，禁止违反安全规则的OPC数据包进入工业控制系统。

根据OPC安全网关系统结构和工作机制，本发明OPC安全网关系统包括OPC客户端安全认证模块、OPC数据包合规性检查模块、OPC数据包内容检查模块、异常事件检测和报警模块、日志记录与安全审计模块、网络资产识别和管理模块、系统管理接口和远程管理工具。

(1)OPC客户端安全认证：采用白名单策略，事先将允许与OPC服务器通信的OPC客户端及用户名列入白名单中。在OPC客户端与OPC服务器建立连接时，通过解析OPC数据包，提取出OPC数据包中所包含的OPC客户端及用户信息，然后依据白名单进行检查，禁止任何未列入白名单中的OPC客户端及用户名与OPC服务器进行通信，防止非法用户入侵工业控制网。

(2)OPC数据包合规性检查：建立OPC协议规范与通信规则，用于检查OPC数据包类型及格式是否符合OPC协议规范。在OPC客户端与OPC服务器数据通信过程中，通过解析OPC数据包，提取出OPC数据包类型及格式等特征信息，然后依据OPC协议规范与通信规则进行检查，滤除任何违反OPC协议规范与通信规则的异常或变异OPC数据包，防止异常或变异OPC数据包攻击工业控制网。

(3)OPC数据包内容检查：在工业控制系统中，OPC客户端按照规定的命令格式通过OPC数据包向OPC服务器发送控制命令，OPC服务器执行控制命令并将执行结果返回给OPC客户端。根据特定工业控制系统的控制命令及其格式，事先将允许使用的控制命令及其格式列入白名单中。在OPC客户端与OPC服务器数据通信过程中，通过解析客户端的OPC数据包，提取出OPC数据包中的控制命令，然后依据白名单进行检查，滤除任何未列入白名单中的控制命令及其格式，防止通过虚假命令对工业控制网及其工控设备进行攻击和破坏。

以上三项检测通过后，OPC安全网关系统允许OPC客户端与OPC服务器建立连接，并将OPC数据包转发给目标节点。

(4)异常事件检测和报警：在OPC客户端与OPC服务器数据通信过程中，对于OPC安全网关系统检测出任何违反安全策略的异常事件，包括安全认证未通过、合规性检查未通过、内容检查未通过等异常行为和数据包，阻断本次通信操作，并发出报警信息，报警方式有屏幕显示、手机短信、电子邮件等，同时将异常事件详细信息记录在日志文件中，供日后查询、审计和追溯。

(5)日志记录与安全审计：在OPC客户端与OPC服务器数据通信过程中，OPC安全网关系统在其日志文件中详细记录两类信息：正常通信行为信息和异常通信行为信息，并根据异常事件的严重程度标识出不同的危险等级。日志文件采用标准日志格式进行滚动记录，日志文件即将记满时给出提示信息，要求及时备份日志文件。

(6)网络资产识别和管理：在OPC客户端与OPC服务器数据通信过程中，OPC安全网关系统从OPC数据包中提取并识别出相关的工控设备等工作状态和资产信息，为监测和管理工控设备运行状态提供基础。

(7)系统管理接口：为远程管理工具提供基于角色的系统管理接口，包括角色分离的系统管理员和安全审计员，系统管理员主要负责白名单和安全策略建立与编辑、异常事件报警信息处理、检查算法更新和维护、网络资产监测和管理以及系统配置与管理等操作；安全审计员主要负责日志信息查询、审计、备份等操作。

(8)远程管理工具：为用户提供基于C/S三层结构的工业安全网关管理平台，包括安全配置管理、系统运行管理、异常事件管理、网络资产管理以及日志查询、安全审计等功能。系统管理员和安全审计员的角色和账户是分开设置的，各自单独登录和身份鉴别，构成相互制约的监督机制，确保工业安全网关管理的安全性和可信性。

OPC安全网关系统具体可采用硬件和软件相结合的实现方法。

1.采用嵌入式计算机来构造OPC安全网关系统的基本硬件和软件环境，包括CPU、内存、主板、硬盘、网络接口以及嵌入式操作系统。

2.图2虚线框内的OPC客户端安全认证、OPC数据包合规性检查、OPC数据包内容检查、异常事件检测和报警、日志记录与安全审计、网络资产识别和管理、系统管理接口等功能模块是OPC安全网关系统的核心，可采用软件方法来实现。为了提高OPC安全网关系统的执行效率，其中的检查算法可采用程序硬件化方式，如FPGA(Field Programmable Gate Array)方式来实现。

3.远程管理工具采用基于C/S三层结构的软件方法来实现，主要为用户提供安全配置管理、系统运行管理、异常事件管理以及日志查询、安全审计等功能。

Claims (1)

1.一种OPC安全网关系统，其特征在于：包括OPC客户端安全认证模块、OPC数据包合规性检查模块、OPC数据包内容检查模块、异常事件检测和报警模块、日志记录与安全审计模块、网络资产识别和管理模块、系统管理接口和远程管理工具；

OPC客户端安全认证模块采用白名单策略，事先将允许与OPC服务器通信的OPC客户端及用户名列入白名单中；在OPC客户端与OPC服务器建立连接时，通过解析OPC数据包，提取出OPC数据包中所包含的OPC客户端及用户信息，然后依据白名单进行检查，禁止任何未列入白名单中的OPC客户端及用户名与OPC服务器进行通信，防止非法用户入侵工业控制网；

OPC数据包合规性检查模块通过建立OPC协议规范与通信规则，用于检查OPC数据包类型及格式是否符合OPC协议规范；在OPC客户端与OPC服务器数据通信过程中，通过解析OPC数据包，提取出OPC数据包类型及格式，然后依据OPC协议规范与通信规则进行检查，滤除任何违反OPC协议规范与通信规则的异常或变异OPC数据包，防止异常或变异OPC数据包攻击工业控制网；

OPC数据包内容检查模块；在工业控制系统中，OPC客户端按照规定的命令格式通过OPC数据包向OPC服务器发送控制命令，OPC服务器执行控制命令并将执行结果返回给OPC客户端；根据工业控制系统的控制命令及其格式，事先将允许使用的控制命令及其格式列入白名单中；在OPC客户端与OPC服务器数据通信过程中，通过解析客户端的OPC数据包，提取出OPC数据包中的控制命令，然后依据白名单进行检查，滤除任何未列入白名单中的控制命令及其格式，防止通过虚假命令对工业控制网及其工控设备进行攻击和破坏；

以上三项检测通过后，OPC安全网关系统允许OPC客户端与OPC服务器建立连接，并将OPC数据包转发给目标节点；

异常事件检测和报警模块；在OPC客户端与OPC服务器数据通信过程中，对于OPC安全网关系统检测出任何违反安全策略的异常事件和数据包，包括安全认证未通过、合规性检查未通过以及内容检查未通过，阻断本次通信操作，并发出报警信息，报警方式有屏幕显示、手机短信以及电子邮件，同时将异常事件详细信息记录在日志文件中，供日后查询、审计和追溯；

日志记录与安全审计模块；在OPC客户端与OPC服务器数据通信过程中，OPC安全网关系统在其日志文件中详细记录两类信息：正常通信行为信息和异常通信行为信息，并根据异常事件的严重程度标识出不同的危险等级；日志文件采用标准日志格式进行滚动记录，日志文件即将记满时给出提示信息，要求及时备份日志文件；

网络资产识别和管理模块；在OPC客户端与OPC服务器数据通信过程中，OPC安全网关系统从OPC数据包中提取并识别出相关工控设备的工作状态和资产信息，为监测和管理工控设备运行状态提供基础；

系统管理接口包括角色分离的系统管理员和安全审计员，系统管理员主要负责白名单和安全策略建立与编辑、异常事件报警信息处理、检查算法更新和维护、网络资产监测和管理以及系统配置与管理等操作；安全审计员主要负责日志信息查询、审计以及备份操作；

远程管理工具为用户提供基于C/S三层结构的工业安全网关管理平台，包括安全配置管理、系统运行管理、异常事件管理、网络资产管理以及日志查询、安全审计功能；系统管理员和安全审计员的角色和账户是分开设置的，各自单独登录和身份鉴别，构成相互制约的监督机制，确保工业安全网关管理的安全性和可信性。