CN110012036A - 一种针对工业物联网数据采集层终端设备的安全防护体系 - Google Patents

Abstract

本发明属于工业物联网信息安全领域，具体涉及一种针对工业物联网数据采集层终端设备的安全防护体系，其主要载体为工业物联网数据采集网关，该网关包括但不限于现有Linux系统网关；针对工业物联网数据采集层终端设备的端口扫描，所述安全防护体系通过轻量级入侵检测系统和基于安全规则的防火墙联动的方法进行防御，同时基于报警套接字交互，基于安全规则的防火墙可根据检测情况，实时建立安全规则，阻断端口扫描数据包；针对工业物联网数据采集层终端设备的暴力破解，所述安全防护体系通过基于安全规则的防火墙的防暴力破解机制进行防御，防暴力破解机制主要是通过白名单机制和登录阈值规则进行防御。

Description

一种针对工业物联网数据采集层终端设备的安全防护体系

技术领域

本发明属于工业物联网信息安全领域，具体涉及一种针对工业物联网数据采集层终端设备的安全防护体系，该体系主要防御物联网相关的僵尸网路病毒，保证工业物联网设备采集侧的数据安全，进而保障工业设备的安全。

背景技术

物联网迅速发展，开始应用到各个领域，其中普及速度最快、范围最广的垂直领域就在工业界。工业物联网的应用场景也极其丰富，诸如传感器、机器人、自动化设备等越来越多的设备连接在一起。工业物联网看作是工业自动化系统与物联网系统的高度结合体，在其发展过程中引入了互联网、云计算以及传感等技术，并完成了工业生产系统、工业监控系统以及工业管理系统的融合，根据数据中心对工业数据的分析和处理结果，能够大幅提高产品质量和工业生产效率，并有效降低生产管理成本。

随着工业物联网技术在工业领域的广泛应用，工控系统中设备层的控制装置将通过开放网络实现信息和数据的交互，并且能够将管理层与市场层的信息进行无缝融合。然而，越来越开放的网络化连接使得工控系统、联网设备以及工业云平台容易遭受入侵，给工业环境带来停机、生产中断、资产损失等威胁。

在工业物联网系统的架构中，数据采集层的终端设备主要包括控制设备和现场设备。控制设备以PLC等控制器为代表，主要负责向各类工控设备下发控制指令；现场设备主要包括各类传感器，这些传感器直接与工控设备连接，负责采集工业现场的各种过程数据。在数据采集层所采集的生产数据可以为现场调度管理提供信息反馈，现场监控管理站能够根据数据处理层反馈回来的信息进行控制反馈，及时对生产设备的状态进行调整。

考虑到成本因素，工业物联网数据采集层的终端设备功能比较单一，主要解决数据的上行相关问题，其资源、计算能力受限，攻击者通常采用暴力字典破解攻击等方式来控制物联网终端设备，从而入侵到工业物联网内部网络，进行非法的行为或发起恶意攻击，如对设备数据或指令进行监听、篡改、伪造，或是操纵物联网僵尸网络发起DDoS攻击。

针对僵尸网络病毒攻击，对物联网数据采集层的终端设备进行安全防护策略设计关键在于防御攻击者对端口进行扫描以及攻击者对终端设备进行渗透。同时考虑到工业物联网数据采集层的终端设备计算能力，防护系统必须考虑架构和算法轻量化。

发明内容

本发明的目的是针对工业物联网数据采集层的终端设备提出一种安全防护体系，用以解决攻击者对工业物联网数据采集层终端设备的端口扫描以及暴力破解等问题。

为实现前述目的本发明采用以下技术方案：

一种针对于工业物联网数据采集层终端设备的安全防护体系，该安全防护体系的主要载体为工业物联网数据采集网关，该网关包括但不限于现有Linux系统网关；针对工业物联网数据采集层终端设备的端口扫描，所述安全防护体系通过轻量级入侵检测系统和基于安全规则的防火墙联动的方法进行防御；针对工业物联网数据采集层终端设备的暴力破解，所述安全防护体系通过基于安全规则的防火墙的防暴力破解机制进行防御。

进一步的，所述轻量级入侵检测系统和基于安全规则的防火墙联动是基于报警套接字进行交互，其联动机制如下：

轻量级入侵检测系统对终端设备的端口进行扫描，在指定的时间段内检测从单个扫描主机发送到目标主机端口的数据包，依据数据包的特殊标志位，查找相应的异常：若数据包无异常，则继续保持扫描，端口正常访问；若出现异常数据包，轻量级入侵检测系统将生成的报警信息以数据报的方式发送到指定路径下的套接字，报警处理模块在所述指定路径上通过监听套接字来接收报警信息，然后调用基于安全规则的防火墙的报警信息解析函数对报警信息中的源/目IP地址、源/目端口、报警内容和类型、报警事件ID等信息进行解析，同时基于安全规则的防火墙的报警处理模块会添加新的防火墙与入侵检测系统联动规则，如果后续数据报的源/目IP地址以及源/目端口和安全规则相匹配，则丢弃该类报文。

进一步的，所述轻量级入侵检测系统对终端设备的端口进行扫描的方式包括但不限于TCP全连接扫描、SYN扫描、ACK扫描、FIN扫描。

进一步的，所述轻量级入侵检测系统对终端设备的端口进行TCP全连接扫描时应检测不符合TCP连接三次握手过程的异常数据包。

进一步的，所述轻量级入侵检测系统包括但不限于snort系统。

进一步的，所述防暴力破解机制的规则定义如下：

当某个远程登录请求到达目标设备后，首先将该远程登录请求对应的IP地址与白名单中的IP地址进行比对；

如果该IP地址在白名单中，则直接进行账号/密码验证，验证成功则允许登录，验证失败就拒绝其登录，但是不记录其登录失败的次数；

如果该IP地址不在白名单中，则检查该IP地址在固定的时间周期内是否达到了登录失败次数的阈值：如果达到了登录失败次数的上限，所述基于安全规则的防火墙就直接屏蔽该IP地址，该IP地址的主机将无法访问目标设备；如果没有达到登录失败次数的上限，则进行账号/密码验证，验证成功就允许登录，验证失败的话就拒绝其登录，同时将该IP地址的登录失败次数加1并记录下来。

进一步的，所述基于安全规则的防火墙包括但不限于iptables防火墙。

与现有技术相比，本发明具有如下优点和技术效果：

(1)所述针对工业物联网数据采集层终端设备的安全防护体系考虑到实际的应用场景，在考虑安全的前提下，兼顾了系统的了性能；

(2)所述针对工业物联网数据采集层终端设备的安全防护体系主要基于轻量级入侵检测系统和基于安全规则的防火墙联动的策略，能针对物联网采集层终端设备的监听、篡改、伪造和组织DDoS攻击进行保护；

(3)所述轻量级入侵检测系统和基于安全规则的防火墙的联动机制能建立实时的安全规则，实时阻断扫描数据包以及切断暴力破解的访问。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其他目的、特征和优点能够更明显易懂，以下特举较佳实施例，并配合附图，详细说明如下。

附图说明

图1为本发明针对于工业物联网数据采集层终端设备的端口扫描防护策略的工作流程示意图。

图2为本发明基于安全规则的防火墙防暴力破解机制的规则定义。

具体实施方式

下面结合附图及实施例进一步详细说明本发明的工作原理。

本发明一种针对工业物联网数据采集层终端设备的安全防护体系，主要载体为工业物联网数据采集网关，该网关包括但不限于现有Linux系统网关。所述安全防护体系主要基于工业物联网数据采集层终端设备的端口扫描防护和防暴力破解的联动策略，不但能有效地保障数据安全，同时对系统资源的消耗较小。

考虑到工业物联网数据采集层终端设备的计算能力，主动防御策略机制需要耗费太多资源，因此终端设备的端口扫描防护策略采用被动防御策略，通过轻量级入侵检测系统和基于安全规则的防火墙联动的方法进行防御，所述轻量级入侵检测系统包括但不限于snort系统；所述基于安全规则的防火墙包括但不限于iptables防火墙。

请参阅图1，为本发明针对工业物联网数据采集层终端设备的端口扫描防护策略的工作流程示意图。所述轻量级入侵检测系统和基于安全规则的防火墙联动主要基于报警套接字进行交互，其联动机制概述如下：轻量级入侵检测系统通过对终端设备的端口进行扫描，该扫描方式包括但不限于TCP全连接扫描、SYN扫描、ACK扫描、FIN扫描，基于工业物联网的数据特性，对扫描端口的预处理为检测限制最小、扫描时间窗口最长机制，以保证结果的准确；在T时间段内检测从单个扫描主机发送到目标主机某些端口的数据包，依据数据包的特殊标志位，查找相应的异常，如若进行TCP全连接扫描，则检测不符合TCP连接三次握手过程的异常数据包；若数据包无异常，则继续保持扫描，端口正常访问，若出现异常数据包，轻量级入侵检测系统将生成的报警信息以数据报的方式发送到指定路径下的套接字，报警处理模块在所述指定路径上通过监听套接字来接收报警信息，然后调用基于安全规则的防火墙的报警信息解析函数对报警信息中的源/目IP地址、源/目端口、报警内容和类型、报警事件ID等信息进行解析，从而引发进行不同安全规则对事件进行响应，基于安全规则的防火墙的报警处理模块会添加新的防火墙与入侵检测系统联动规则，如果后续报文的源IP地址以及源/目端口和安全规则相匹配，则丢弃该类报文。基于前述联动防御机制，可实现实时阻断端口扫描数据包。

所述工业物联网数据采集层终端设备的防暴力破解机制主要基于安全规则的防火墙，主要通过白名单机制和登录阈值规则进行防御。

请参阅图2，为本发明基于安全规则的防火墙的防暴力破解机制的规则定义。以某个具体案例进行说明，当某个远程登录请求到达目标设备后，首先会将该远程登录请求对应的IP地址与白名单中的IP地址进行比对，如果该IP地址在白名单中，则直接进行账号/密码验证，验证成功则允许登录，验证失败就拒绝其登录，但是不记录其登录失败的次数。如果该IP地址不在白名单中，则检查该IP地址在固定的时间周期内是否达到了登录失败次数的阈值，如果达到了登录失败次数的上限，基于安全规则的防火墙就直接屏蔽该IP地址，该IP地址的主机将无法访问目标设备；如果没有达到登录失败次数的上限，则进行账号/密码验证，验证成功就允许登录，验证失败的话就拒绝其登录，同时将该IP地址的登录失败次数加1并记录下来。对于后续的登录请求，处理过程同上。

最后说明的是，以上实施例仅用以说明本发明的技术方案而非限制，本领域普通技术人员对本发明的技术方案所做的其他修改或者等同替换，只要不脱离本发明技术方案的设计和范围，均应涵盖在本发明的权利要求范围当中。

Claims (7)

1.一种针对于工业物联网数据采集层终端设备的安全防护体系，其特征在于该安全防护体系的主要载体为工业物联网数据采集网关，该网关包括但不限于现有Linux系统网关；针对工业物联网数据采集层终端设备的端口扫描，所述安全防护体系通过轻量级入侵检测系统和基于安全规则的防火墙联动的方法进行防御；针对工业物联网数据采集层终端设备的暴力破解，所述安全防护体系通过基于安全规则的防火墙的防暴力破解机制进行防御。

2.根据权利要求1所述的安全防护体系，其特征在于所述轻量级入侵检测系统和基于安全规则的防火墙联动是基于报警套接字进行交互，其联动机制如下：

轻量级入侵检测系统对终端设备的端口进行扫描，在指定的时间段内检测从单个扫描主机发送到目标主机端口的数据包，依据数据包的特殊标志位，查找相应的异常：若数据包无异常，则继续保持扫描，端口正常访问；若出现异常数据包，轻量级入侵检测系统将生成的报警信息以数据报的方式发送到指定路径下的套接字，报警处理模块在所述指定路径上通过监听套接字来接收报警信息，然后调用基于安全规则的防火墙的报警信息解析函数对报警信息中的源/目IP地址、源/目端口、报警内容和类型、报警事件ID等信息进行解析，同时基于安全规则的防火墙的报警处理模块会添加新的防火墙与入侵检测系统联动规则，如果后续数据报的源/目IP地址以及源/目端口和安全规则相匹配，则丢弃该类报文。

3.根据权利要求2所述的安全防护体系，其特征在于所述轻量级入侵检测系统对终端设备的端口进行扫描的方式包括但不限于TCP全连接扫描、SYN扫描、ACK扫描、FIN扫描。

4.根据权利要求3所述的安全防护体系，其特征在于所述轻量级入侵检测系统对终端设备的端口进行TCP全连接扫描时应检测不符合TCP连接三次握手过程的异常数据包。

5.根据权利要求1至4中任一项所述的安全防护体系，其特征在于所述轻量级入侵检测系统包括但不限于snort系统。

6.根据权利要求1所述的安全防护体系，其特征在于所述防暴力破解机制的规则定义如下：

当某个远程登录请求到达目标设备后，首先将该远程登录请求对应的IP地址与白名单中的IP地址进行比对；

如果该IP地址在白名单中，则直接进行账号/密码验证，验证成功则允许登录，验证失败就拒绝其登录，但是不记录其登录失败的次数；

如果该IP地址不在白名单中，则检查该IP地址在固定的时间周期内是否达到了登录失败次数的阈值：如果达到了登录失败次数的上限，所述基于安全规则的防火墙就直接屏蔽该IP地址，该IP地址的主机将无法访问目标设备；如果没有达到登录失败次数的上限，则进行账号/密码验证，验证成功就允许登录，验证失败的话就拒绝其登录，同时将该IP地址的登录失败次数加1并记录下来。

7.根据权利要求1或2或6所述的安全防护体系，其特征在于所述基于安全规则的防火墙包括但不限于iptables防火墙。