CN109714349A - 工业互联网的动态安全防护系统和方法、互联网平台 - Google Patents

Abstract

本发明实施例公开了一种工业互联网的动态安全防护系统和方法、互联网平台。本发明实施例中，通过设置物理安全防护、边界安全防护、应用安全防护、数据安全防护、主机安全防护、网络安全防护、终端安全防护及安全管理，以多重安全防护措施提高工业互联网的安全性，实现对工业互联网的动态安全防护。

Description

工业互联网的动态安全防护系统和方法、互联网平台

技术领域

本申请涉及工业互联网安全技术领域，特别是涉及一种工业互联网的动态安全防护系统和方法、互联网平台。

背景技术

传统的安全体系架构是ISO(International Organization forStandardization，国际标准化组织)在对OSI(Open System Interconnection ReferenceModel，开放式系统互联通信参考模型)的安全性深入研究的基础上提出的，保证OSI参考模型的安全应具备五类安全服务，包括鉴别服务、访问控制、数据完整性、数据保密性和不可抵赖性，以及为实现这五类安全服务所应具备的八种安全机制，包括加密、数字签名、访问控制、数据完整性、鉴别交换、业务流填充、路由控制和公证。

在进行发明创造的过程中，本发明的发明人发现：OSI的安全体系架构是专注于网络通信系统，其应用范围具有一定的局限性。同时，OSI的安全体系架构实现的是对网络的静态安全防护，而网络的安全防护具有动态性，该体系架构对于持续变化的内外部安全威胁缺乏足够的监测与应对能力。此外，OSI安全体系架构主要从技术层面应对网络的安全防护问题，未考虑管理在安全防护中的地位和作用。面对更复杂更全面的安全保障要求，仅依靠OSI的安全体系架构是远远不够的。

此外，工业互联网安全架构体系是构建工业智能化发展的安全可信环境的保障，与传统的工控系统安全和互联网安全相比，工业互联网的安全更具挑战性。一方面，工业互联网实现不同层级数据流通和汇聚的同时，打破了以往相对明晰的责任边界，一旦发生安全问题，其范围、复杂度、风险度产生的影响更大，工业互联网平台安全、数据安全、联网智能设备安全等问题越发突出。另一方面，工业互联网安全工作需要从安全防护措施的制度建设和安全管理着手，以识别和预防风险为主，因此传统的安全体系架构显然不足于应对。

发明内容

有鉴于此，本发明实施例提供了一种工业互联网的动态安全防护系统和方法、互联网平台、服务平台及存储介质，用以解决现有安全体系架构不能对工业互联网进行动态安全防护的技术问题。为了解决上述问题，本发明实施例主要提供如下技术方案：

第一方面，本发明实施例提供了一种工业互联网的动态安全防护系统，包括：

物理安全防护单元：用于对机房安防措施、以及机房出入安全管理进行动态防护；

边界安全防护单元：用于对企业互联网系统边界安全、以及信息内外网边界安全进行动态防护；

应用安全防护单元：用于对服务器端安全、移动应用程序安全、系统之间应用交互安全、以及业务文件安全进行动态防护；

数据安全防护单元：用于对数据存储和传输安全、以及数据备份与恢复安全进行动态防护；

主机安全防护单元：用于对服务器操作系统安全、以及数据库系统安全进行动态防护；

网络安全防护单元：用于对企业互联网通道安全、以及网络设备安全进行动态防护；

终端安全防护单元：用于对移动智能终端安全、以及运维终端安全进行动态防护；

安全管理单元：用于对开发建设安全管理、以及运行维护安全管理进行动态防护。

第二方面，本发明实施例还提供了一种工业互联网平台，包括第一方面提供的动态安全防护系统。

第三方面，本发明实施例还提供了一种工业互联网的动态安全防护方法，包括：

通过物理安全防护单元对机房安防措施、以及机房出入安全管理进行动态防护的步骤；

通过边界安全防护单元对企业互联网系统边界安全、以及信息内外网边界安全进行动态防护的步骤；

通过应用安全防护单元对服务器端安全、移动应用程序安全、系统之间应用交互安全、以及业务文件安全进行动态防护的步骤；

通过数据安全防护单元对数据存储和传输安全、以及数据备份与恢复安全进行动态防护的步骤；

通过主机安全防护单元对服务器操作系统安全、以及数据库系统安全进行动态防护的步骤；

通过网络安全防护单元对企业互联网通道安全、以及网络设备安全进行动态防护的步骤；

通过终端安全防护单元对移动智能终端安全、以及运维终端安全进行动态防护的步骤；

通过安全管理单元对开发建设安全管理、以及运行维护安全管理进行动态防护的步骤。

第四方面，本发明实施例还提供了一种服务平台，包括存储器和处理器，处理器用于调用存储器中的程序指令，以执行第三方面提供的动态安全防护方法。

第五方面，本发明实施例还提供了一种非暂态计算机可读存储介质，非暂态计算机可读存储介质存储计算机指令，计算机指令使计算机执行第三方面提供的动态安全防护方法。

借由上述技术方案，本发明实施例提供的技术方案至少具有下列优点：

1、以多重安全防护措施提高工业互联网系统的安全性；

2、实现对工业互联网系统的动态安全防护。

上述说明仅是本发明实施例技术方案的概述，为了能够更清楚了解本发明实施例的技术手段，而可依照说明书的内容予以实施，并且为了让本发明实施例的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明实施例的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明实施例的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了本发明一个实施例提供的一种工业互联网的动态安全防护系统的结构示意图；

图2示出了本发明另一实施例提供的一种工业互联网的动态安全防护方法的流程示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

第一方面，本发明实施例提供的一种工业互联网的动态安全防护系统，如图1所示，包括：

物理安全防护单元：用于对机房安防措施、以及机房出入安全管理进行动态防护。

边界安全防护单元：用于对企业互联网系统边界安全、以及信息内外网边界安全进行动态防护。

应用安全防护单元：用于对服务器端安全、移动应用程序安全、系统之间应用交互安全、以及业务文件安全进行动态防护。

数据安全防护单元：用于对数据存储和传输安全、以及数据备份与恢复安全进行动态防护。

主机安全防护单元：用于对服务器操作系统安全、以及数据库系统安全进行动态防护。

网络安全防护单元：用于对企业互联网通道安全、以及网络设备安全进行动态防护。

终端安全防护单元：用于对移动智能终端安全、以及运维终端安全进行动态防护。

安全管理单元：用于对开发建设安全管理、以及运行维护安全管理进行动态防护。

其中，企业互联网系统边界安全、服务器端安全、移动应用程序安全、系统之间应用交互安全、业务文件安全、数据存储和传输安全、以及企业互联网通道安全为重点防护项目。

应用本发明实施例的技术方案，至少具有如下有益效果：

1、以多重安全防护措施提高工业互联网系统的安全性；

2、实现对工业互联网系统的动态安全防护。

可选地，上述实施例中，物理安全防护单元用于对机房安防措施、以及机房出入安全管理进行动态防护，可以有多种实施方式，其中一种可选的实施方式为：

物理安全防护单元，具体用于确定通过交互接口在预设的第一时段内未接收到用户输入的指令或通过传感器检测到用户离开办公区域时，锁定用户的终端设备的显示屏幕，防止外来人员接触到终端设备的显示屏幕的电子信息。

可选地，上述实施例中，边界安全防护单元用于对企业互联网系统边界安全、以及信息内外网边界安全进行动态防护，可以有多种实施方式，其中一种可选的实施方式为：

边界安全防护单元，具体用于在企业互联网系统边界利用外网安全交互平台对外部接入系统进行接入认证，在信息内外网边界上部署防火墙、HTTPS(Hyper Text TransferProtocol over Secure Socket Layer，超文本传输安全协议)和IPS(IntrusionPrevention System，入侵防御系统)中的至少一种，避免系统间的安全事件扩散，并隔离来自外部接入系统的安全攻击和高风险行为。

可选地，上述实施例中，网络安全防护单元用于对企业互联网通道安全、以及网络设备安全进行动态防护，可以有多种实施方式，其中一种可选的实施方式为：

网络安全防护单元，具体用于在企业互联网系统边界上部署防火墙、HTTPS和IPS中的至少一种，避免外部高风险行为入侵企业互联网通道或网络设备。

可选地，上述实施例中，应用安全防护单元用于对服务器端安全、移动应用程序安全、系统之间应用交互安全、以及业务文件安全进行动态防护，可以有多种实施方式，其中一种可选的实施方式为：

应用安全防护单元，具体用于在服务器端进行用户认证与授权、输入输出验证和系统之间应用交互安全设置中的至少一种，对移动应用程序进行加密保护、安全沙箱保护和远程数据删除中的至少一种，对系统之间应用交互进行接口认证、参数校验、超文本传输安全协议传输、加密和数字签名中的至少一种，对业务文件进行安全等级划分，并对每个安全等级分别设置对应的访问权限，以及通过电子公章、数字签名、数字水印、加密和解密中的至少一种对业务文件进行传输和共享。

可选地，上述实施例中，对业务文件进行安全等级划分，并对每个安全等级分别设置对应的访问权限，可以有多种实施方式，其中一种可选的实施方式为：

将业务文件按照安全与保密程度分为三个等级，分别为一级、二级和三级，并对一级、二级和三级分别设置对应的访问权限：

一级为最高级别，设置被授权后方可在线浏览，无权下载。

二级为业务级，设置相关工单业务部门与权限部门进行文件的在线浏览，责任部门与操作部门进行文件的下载、修改、上传和更新。

三级为普通级，设置通过内部登陆账号方可进行文件的访问和在线浏览，授权后方可进行文件的下载。

可选地，上述实施例中，通过电子公章、数字签名、数字水印、加密和解密中的至少一种对业务文件进行传输和共享。其中，电子公章、数字签名、数字水印、加密和解密分别具有如下优点，用户可根据实际情况进行选择。

1、关于电子公章

日常电子文件传输采取电子公章认证的方式，公章经公安机关备案，并有合格的密匙作为保密手段，法律效力等同实物公章。采用电子公章方式，在环保、企业成本、存档管理、合同存储、审批流程、安全合规和业务流程方面与传统方式相比均具有明显优势。

2、关于数字签名

数字签名技术是将摘要信息用发送者的私钥加密，与原文一起传送给接收者，接收者用发送的公钥解密被加密的摘要信息，然后用HASH(HashFunction，哈希函数)函数对收到的原文产生一个摘要信息，与解密的摘要信息对比，如果相同，则说明收到的信息完整，在传输过程中没有被修改，否则说明信息被修改过。因此，数字签名能够验证信息的完整性。

3、关于数字水印

数字水印技术是将一些标识信息直接嵌入数字载体(包括多媒体、文档、软件等)当中，但不影响原载体的使用价值，也不容易被人的知觉系统(如视觉或听觉系统)觉察或注意到。通过这些隐藏在载体中的信息，可以达到确认内容创建者、购买者、传送隐秘信息或者判断载体是否被篡改等目的。因此，数字水印技术能够提高文件的安全性。

4、关于加密和解密

加密和解密技术是利用技术手段把重要的数据变为乱码(加密)传送，到达目的地后再用相同或不同的手段还原(解密)。因此，加密和解密技术能够保证信息通信的安全性。

可选地，上述实施例中，通过数据安全防护单元对数据存储和传输安全进行动态防护，可以有多种实施方式，其中一种可选的实施方式为：

数据安全防护单元，具体用于通过国密算法对存储和传输的数据进行加密或解密。具体的，国密算法采用SM4加密算法。

可选的，对系统中的敏感数据(如用户账号数据、业务系统及平台系统配置数据、业务系统的实际业务数据等)，通过SM3摘要签名算法和HTTPS进行存储和传输，保证其在传输和存储过程中的完整性、保密性、不可抵赖性和可用性。敏感数据在数据传输、数据展示、数据导入导出时进行数据脱敏处理。

可选地，上述实施例中，主机安全防护单元用于对服务器操作系统安全、以及数据库系统安全进行动态防护可以有多种实施方式，其中一种可选的实施方式为：

主机安全防护单元，具体用于通过对升级过程中的软硬件支撑平台进行安全设置与加固、对数据库系统和服务器进行安全加固。

其中，安全加固具体指对升级过程中的软硬件支撑平台、数据库系统和服务器面临的安全威胁进行的防御策略。

1、关于对升级过程中的软硬件支撑平台进行安全设置与加固，采用如下策略：

对升级过程中新增的软硬件支撑平台(如服务器、数据库、中间件等)进行投运前的安全设置和安全加固。例如，对升级过程中新增的服务器进行检查系统补丁、停止不必要的服务、修改不合适的权限、修改安全策略、检查账户与口令安全、开启审核策略、关闭不必要的端口、防火墙策略、虚拟专网接入等。同时，运行期间对访问控制、安全审计等方面进行重点关注。

2、关于对数据库系统安全加固，采用如下策略中的至少一种：

(1)采用B/S结构(Browser/Server，浏览器和服务器结构)，即客户端通过应用服务器访问数据库服务器，应用服务器与访问数据库服务器之间采用数据库连接池机制。把应用服务器和数据库服务器部署在一个受保护的安全区域中，使客户端只能通过应用服务器上运行的应用程序访问系统的数据，禁止绕过应用程序直接访问数据库。

(2)采用数据库服务器资源管理策略

为防止用户对服务器资源过度使用，将数据库系统的多个业务模块分别对应多个数据库用户，以实现资源管理功能，通过数据库软件的安全功能特性为各个模块的数据库用户授与访问业务数据表、视图、存储过程等权限。

(3)加强对数据库帐号的管理

建立只读帐户，供实施人员使用。严格控制DBA(DataBaseAdministrator，数据库管理员)权限，只允许项目经理和数据库管理人员，或项目经理和系统巡检人员掌握(不超过两人)，其他人员临时申请DBA权限需走委托授权流程。

(4)建立用户档案，定期审计。

针对不同的数据库系统，对照安全检查表进行对应的安全加固。

3、关于对服务器安全加固

Web服务器是系统对外的窗口，也是攻击者首先攻击的目标。因此，对Web服务器的加固是很重要的，通过对Web服务器的加固使其成为可以抵御攻击的堡垒主机。对服务器安全加固，采用如下策略中的至少一种：

(1)对Web服务器中间件提供全面的安全体系结构，包括访问控制、基于密码的隐私权和用户验证。

(2)采用用户级和组级ACL(Access Control List，访问控制列表)、域、SSL(Secure Sockets Layer，安全套接层)、数字签名以及其它基于标准的安全措施。

(3)定义如何访问服务器。

(4)对服务器软件提供的安全特性进行配置并使之生效，对服务器提供安全传输层支持如HTTPS。

(5)通过部署防火墙、入侵检测等外围安全措施进行保护。

需要说明的是，终端安全防护单元对移动智能终端安全、以及运维终端安全进行动态防护的策略与上述主机安全防护单元的动态防护策略基本相同，此处不再赘述。

在一个可选的实施方式中，安全管理单元对系统新增功能、接口系统接入前进行安全评估与加固，避免低安全等级的系统接入，并对系统边界进行监控、防护等措施。同时，开发人员、运维人员要对系统操作制定工作规范和工作流程，对违反规范和流程的操作要实时监控、审核，减少人为的安全事故。

基于如上实施例的技术方案，至少具有如下有益效果：

1、以多重安全防护措施提高工业互联网系统的安全性；

2、实现对工业互联网系统的动态安全防护；

3、能够及时洞察系统中的安全缺陷(漏洞)，以及快速、准确地发现攻击入侵，以便系统尽早主动弥补并进行及时处置。

本领域技术人员可以理解，本发明实施例提供的工业互联网的动态安全防护系统还可以包括输入/输出接口、网络接口和内存等，在此不再赘述。

第二方面，基于相同的发明构思，本发明实施例提供了一种工业互联网平台，包括第一方面提供的动态安全防护系统。

第三方面，基于相同的发明构思，本发明实施例提供了一种工业互联网的动态安全防护方法，如图2所示，包括：

S101、通过物理安全防护单元对机房安防措施、以及机房出入安全管理进行动态防护的步骤。

S102、通过边界安全防护单元对企业互联网系统边界安全、以及信息内外网边界安全进行动态防护的步骤。

S103、通过应用安全防护单元对服务器端安全、移动应用程序安全、系统之间应用交互安全、以及业务文件安全进行动态防护的步骤。

S104、通过数据安全防护单元对数据存储和传输安全、以及数据备份与恢复安全进行动态防护的步骤。

S105、通过主机安全防护单元对服务器操作系统安全、以及数据库系统安全进行动态防护的步骤。

S106、通过网络安全防护单元对企业互联网通道安全、以及网络设备安全进行动态防护的步骤。

S107、通过终端安全防护单元对移动智能终端安全、以及运维终端安全进行动态防护的步骤。

S108、通过安全管理单元对开发建设安全管理、以及运行维护安全管理进行动态防护的步骤。

需要说明的是，上述步骤S101至S108没有严格的先后顺序，可以是上述顺序，还可以是其他顺序，或者多个步骤同时进行，此处对此不作限制。

在一种可选的实施方式中，通过物理安全防护单元对机房安防措施、以及机房出入安全管理进行动态防护的步骤，包括：

确定通过交互接口在预设的第一时段内未接收到用户输入的指令或通过传感器检测到用户离开办公区域时，锁定用户的终端设备的显示屏幕。

在一种可选的实施方式中，通过边界安全防护单元对企业互联网系统边界安全、以及信息内外网边界安全进行动态防护的步骤，包括：

在企业互联网系统边界利用外网安全交互平台对外部接入系统进行接入认证，在信息内外网边界上部署防火墙、HTTPS(Hyper Text Transfer Protocol over SecureSocket Layer，超文本传输安全协议)和IPS(Intrusion Prevention System，入侵防御系统)中的至少一种。

在一种可选的实施方式中，通过网络安全防护单元对企业互联网通道安全、以及网络设备安全进行动态防护的步骤，包括：

在企业互联网系统边界上部署防火墙、HTTPS和IPS中的至少一种。

在一种可选的实施方式中，通过应用安全防护单元对服务器端安全、移动应用程序安全、系统之间应用交互安全、以及业务文件安全进行动态防护的步骤，包括：

在服务器端进行用户认证与授权、输入输出验证和系统之间应用交互安全设置中的至少一种。

对移动应用程序进行加密保护、安全沙箱保护和远程数据删除中的至少一种。

对系统之间应用交互进行接口认证、参数校验、超文本传输安全协议传输、加密和数字签名中的至少一种。

对业务文件进行安全等级划分，并对每个安全等级分别设置对应的访问权限，以及通过电子公章、数字签名、数字水印、加密和解密中的至少一种对业务文件进行传输和共享。

上述实施例中，对业务文件进行安全等级划分，并对每个安全等级分别设置对应的访问权限，可以有多种实施方式，其中一种可选的实施方式为：

将业务文件按照安全与保密程度分为三个等级，分别为一级、二级和三级，并对一级、二级和三级分别设置对应的访问权限：

一级为最高级别，设置被授权后方可在线浏览，无权下载。

二级为业务级，设置相关工单业务部门与权限部门进行文件的在线浏览，责任部门与操作部门进行文件的下载、修改、上传和更新。

三级为普通级，设置通过内部登陆账号方可进行文件的访问和在线浏览，授权后方可进行文件的下载。

在一种可选的实施方式中，通过数据安全防护单元对数据存储和传输安全进行动态防护，包括：

通过国密算法对存储和传输的数据进行加密或解密。具体的，国密算法采用SM4加密算法。

可选的，对于系统内的敏感数据(如用户账号数据、业务系统及平台系统配置数据、业务系统的实际业务数据等)，通过SM3摘要签名算法和HTTPS进行存储和传输，保证其在传输和存储过程中的完整性、保密性、不可抵赖性和可用性。敏感数据在数据传输、数据展示、数据导入导出时进行数据脱敏处理。

在一种可选的实施方式中，通过主机安全防护单元对服务器操作系统安全、以及数据库系统安全进行动态防护的步骤，包括：

对升级过程中的软硬件支撑平台进行安全设置与加固、对数据库系统和服务器进行安全加固。

其中，安全加固具体指对升级过程中的软硬件支撑平台、数据库系统和服务器面临的安全威胁进行的防御策略。

1、关于对升级过程中的软硬件支撑平台进行安全设置与加固，采用如下策略：

对升级过程中新增的软硬件支撑平台(如服务器、数据库、中间件等)进行投运前的安全设置和安全加固。例如，对升级过程中新增的服务器进行检查系统补丁、停止不必要的服务、修改不合适的权限、修改安全策略、检查账户与口令安全、开启审核策略、关闭不必要的端口、防火墙策略、虚拟专网接入等。同时，运行期间对访问控制、安全审计等方面进行重点关注。

2、关于对数据库系统安全加固，采用如下策略中的至少一种：

(1)采用B/S结构(Browser/Server，浏览器和服务器结构)，即客户端通过应用服务器访问数据库服务器，应用服务器与访问数据库服务器之间采用数据库连接池机制。把应用服务器和数据库服务器部署在一个受保护的安全区域中，使客户端只能通过应用服务器上运行的应用程序访问系统的数据，禁止绕过应用程序直接访问数据库。

(2)采用数据库服务器资源管理策略

为防止用户对服务器资源过度使用，将数据库系统的多个业务模块分别对应多个数据库用户，以实现资源管理功能，通过数据库软件的安全功能特性为各个模块的数据库用户授与访问业务数据表、视图、存储过程等权限。

(3)加强对数据库帐号的管理

建立只读帐户，供实施人员使用。严格控制DBA(DataBaseAdministrator，数据库管理员)权限，只允许项目经理和数据库管理人员，或项目经理和系统巡检人员掌握(不超过两人)，其他人员临时申请DBA权限需走委托授权流程。

(4)建立用户档案，定期审计。

针对不同的数据库系统，对照安全检查表进行对应的安全加固。

3、关于对服务器安全加固

Web服务器是系统对外的窗口，也是攻击者首先攻击的目标。因此，对Web服务器的加固是很重要的，通过对Web服务器的加固使其成为可以抵御攻击的堡垒主机。对服务器安全加固，采用如下策略中的至少一种：

(1)对Web服务器中间件提供全面的安全体系结构，包括访问控制、基于密码的隐私权和用户验证。

(2)采用用户级和组级ACL(Access Control List，访问控制列表)、域、SSL(Secure Sockets Layer，安全套接层)、数字签名以及其它基于标准的安全措施。

(3)定义如何访问服务器。

(4)对服务器软件提供的安全特性进行配置并使之生效，对服务器提供安全传输层支持如HTTPS。

(5)通过部署防火墙、入侵检测等外围安全措施进行保护。

第四方面，基于相同的发明构思，本发明实施例还提供了一种服务平台，包括存储器和处理器。

处理器用于调用存储器中的程序指令，以执行第三方面提供的动态安全防护方法。

本发明实施例中的存储器可以是ROM(Read-Only Memory，只读存储器)或可存储静态信息和指令的其他类型的静态存储设备，可以是RAM(Random Access Memory，随机存取存储器)或者可存储信息和指令的其他类型的动态存储设备，也可以是EEPROM(Electrically Erasable Programmable Read Only Memory，电可擦可编程只读存储器)、CD-ROM(Compact Disc Read-Only Memory，只读光盘)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。

本发明实施例中的处理器可以是CPU(Central Processing Unit，中央处理器)、通用处理器、DSP(Digital Signal Processor，数据信号处理器)、ASIC(ApplicationSpecific Integrated Circuit，专用集成电路)、FPGA(Field－Programmable GateArray，现场可编程门阵列)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本发明公开内容所描述的各种示例性的逻辑方框，模块和电路。处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等。

本领域技术人员可以理解，在一种可选的实施方式中，本发明实施例中的存储器和处理器均可以配置至少一个。

第五方面，基于相同的发明构思，本发明实施例还提供了一种非暂态计算机可读存储介质，非暂态计算机可读存储介质存储计算机指令，计算机指令使计算机执行第三方面提供的动态安全防护方法。

计算机可读介质包括但不限于任何类型的盘(包括软盘、硬盘、光盘、CD-ROM、和磁光盘)、ROM、RAM、EPROM(Erasable Programmable Read-Only Memory，可擦写可编程只读存储器)、EEPROM、闪存、磁性卡片或光线卡片。也就是，可读介质包括由设备(例如，计算机)以能够读的形式存储或传输信息的任何介质。

本发明实施例提供的工业互联网平台、工业互联网的动态安全防护方法、服务终端和非暂态计算机可读存储介质的发明构思与可实现的有益效果与前述的各系统实施例相同，在此不再赘述。

本领域内的技术人员可以理解，本发明中已经讨论过的各种操作、方法、流程中的步骤、措施、方案可以被交替、更改、组合或删除。进一步地，具有本发明中已经讨论过的各种操作、方法、流程中的其他步骤、措施、方案也可以被交替、更改、重排、分解、组合或删除。进一步地，现有技术中的具有与本发明中公开的各种操作、方法、流程中的步骤、措施、方案也可以被交替、更改、重排、分解、组合或删除。

应该理解的是，虽然附图的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，其可以以其他的顺序执行。而且，附图的流程图中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，其执行顺序也不必然是依次进行，而是可以与其他步骤或者其他步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

本领域内的技术人员应明白，本发明的实施例可提供为方法、装置、设备(系统)或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、装置、设备(系统)和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上仅为本发明的实施例而已，并不用于限制本发明。对于本领域技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本发明的权利要求范围之内。

Claims (10)

1.一种工业互联网的动态安全防护系统，其特征在于，包括：

物理安全防护单元：用于对机房安防措施、以及机房出入安全管理进行动态防护；

边界安全防护单元：用于对企业互联网系统边界安全、以及信息内外网边界安全进行动态防护；

应用安全防护单元：用于对服务器端安全、移动应用程序安全、系统之间应用交互安全、以及业务文件安全进行动态防护；

数据安全防护单元：用于对数据存储和传输安全、以及数据备份与恢复安全进行动态防护；

主机安全防护单元：用于对服务器操作系统安全、以及数据库系统安全进行动态防护；

网络安全防护单元：用于对企业互联网通道安全、以及网络设备安全进行动态防护；

终端安全防护单元：用于对移动智能终端安全、以及运维终端安全进行动态防护；

安全管理单元：用于对开发建设安全管理、以及运行维护安全管理进行动态防护。

2.根据权利要求1所述的动态安全防护系统，其特征在于，

所述物理安全防护单元，具体用于确定通过交互接口在预设的第一时段内未接收到用户输入的指令或通过传感器检测到所述用户离开办公区域时，锁定所述用户的终端设备的显示屏幕。

3.根据权利要求1所述的动态安全防护系统，其特征在于，

所述边界安全防护单元，具体用于在所述企业互联网系统边界利用外网安全交互平台对外部接入系统进行接入认证；在所述信息内外网边界上部署防火墙、超文本传输安全协议和入侵防御系统中的至少一种；

以及，所述网络安全防护单元，具体用于在所述企业互联网系统边界上部署防火墙、超文本传输安全协议和入侵防御系统中的至少一种。

4.根据权利要求1所述的动态安全防护系统，其特征在于，

所述应用安全防护单元，具体用于在所述服务器端进行用户认证与授权、输入输出验证和系统之间应用交互安全设置中的至少一种；对所述移动应用程序进行加密保护、安全沙箱保护和远程数据删除中的至少一种；对所述系统之间应用交互进行接口认证、参数校验、超文本传输安全协议传输、加密和数字签名中的至少一种；对业务文件进行安全等级划分，并对每个安全等级分别设置对应的访问权限；以及通过电子公章、数字签名、数字水印、加密和解密中的至少一种对业务文件进行传输和共享。

5.根据权利要求1所述的动态安全防护系统，其特征在于，

所述数据安全防护单元，具体用于通过国密算法对存储和传输的数据进行加密或解密。

6.根据权利要求1所述的动态安全防护系统，其特征在于，所述主机安全防护单元，具体用于对升级过程中的软硬件支撑平台进行安全设置与加固、对所述数据库系统和服务器进行安全加固。

7.一种工业互联网平台，其特征在于，包括权利要求1至6任意一项所述的动态安全防护系统。

8.一种工业互联网的动态安全防护方法，其特征在于，包括：

通过物理安全防护单元对机房安防措施、以及机房出入安全管理进行动态防护的步骤；

通过边界安全防护单元对企业互联网系统边界安全、以及信息内外网边界安全进行动态防护的步骤；

通过应用安全防护单元对服务器端安全、移动应用程序安全、系统之间应用交互安全、以及业务文件安全进行动态防护的步骤；

通过数据安全防护单元对数据存储和传输安全、以及数据备份与恢复安全进行动态防护的步骤；

通过主机安全防护单元对服务器操作系统安全、以及数据库系统安全进行动态防护的步骤；

通过网络安全防护单元对企业互联网通道安全、以及网络设备安全进行动态防护的步骤；

通过终端安全防护单元对移动智能终端安全、以及运维终端安全进行动态防护的步骤；

通过安全管理单元对开发建设安全管理、以及运行维护安全管理进行动态防护的步骤。

9.一种服务平台，其特征在于，包括：

存储器和处理器，所述处理器用于调用所述存储器中的程序指令，以执行权利要求8所述的动态安全防护方法。

10.一种非暂态计算机可读存储介质，其特征在于，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使计算机执行权利要求8所述的动态安全防护方法。