CN110188543A - 白名单库、白名单程序库更新方法及工控系统 - Google Patents

Abstract

本发明公开了一种白名单库、白名单程序库更新方法及工控系统，其中，白名单库更新的方法用于服务器端，服务器端与客户端连接，包括：向客户端发送白名单库更新指令；接收客户端可执行程序行为信息；判断可执行程序对应的行为是否符合预设行为策略；如果可执行程序对应的行为符合预设行为策略，将可执行程序添加到白名单库。通过对客户端可执行程序的行为监控分析，将可执行程序的行为符合预设行为策略的可执行程序添加到白名单库，保障了白名单库中的程序得到全面监控，防止白名单库中的程序出现安全问题或漏洞。

Description

白名单库、白名单程序库更新方法及工控系统

技术领域

本发明涉及工控安全防护领域，具体涉及一种白名单库、白名单程序库更新方法及工控系统。

背景技术

随着互联网的飞速发展，信息安全已经成为国家安全的重要战略组成部分。随着工业4.0及两化融合的趋势到来，传统的工业控制系统信息安全成为企业及国家必须面对和解决的问题。

针对工控系统的安全防护一般有两种防护方式：黑名单模式、白名单模式。

黑名单模式是指规则中设置不允许运行的名单列表，其意义是“不安全的”、“不被允许的”，即只有在恶意软件被加入黑名单时才会被阻止运行。防病毒软件主要基于一个持续积累的病毒库对恶意代码进行识别，其本质上存在两个严重缺陷：一方面，对新病毒的防御总是被动滞后的；另一方面，对于高级别的零日攻击等无能为力。

白名单模式是指规则中设置允许运行的名单列表，其意义是“安全的”、“被允许的”，“应用程序进程白名单”是一组应用程序名单列表，只有在此列表中的应用程序是被允许在系统中运行，之外的任何程序都不被允许运行。白名单正是解决了黑名单的严重缺陷，因此被广泛的应用于工控系统安全进行主动防御。

未来为了提高生产效率和效益，工控网络会越来越开放，工控系统的操作系统和程序都需要升级，而操作系统和程序的安装、升级都有着很大的安全隐患，如果不同时对白名单库进行更新，将导致工控系统不能安全、正常运行。现有的传统的白名单库更新方法虽然可以针对不同操作系统和程序进行更新，但不能监控白名单库内部出现安全问题或漏洞的程序，进而危害工控网络安全。

发明内容

有鉴于此，本发明实施例提供了一种白名单库、白名单程序库更新方法及工控系统，以解决工控系统中更新白名单库时不能监控白名单库内部出现安全问题或漏洞的程序，进而危害工控网络安全的问题。

根据第一方面，本发明实施例提供了一种白名单库更新方法，用于服务器端，服务器端与客户端连接，包括：向客户端发送白名单库更新指令；接收客户端可执行程序行为信息；判断可执行程序对应的行为是否符合预设行为策略；如果可执行程序对应的行为符合预设行为策略，将可执行程序添加到白名单库。

可选地，如果可执行程序对应的行为不符合预设行为策略；判断可执行程序对应的行为是否安全；如果可执行程序对应的行为安全，根据可执行程序对应的行为更新预设行为策略库，并将可执行程序添加到白名单库。

可选地，如果可执行程序对应的行为不安全；判断可执行程序是否在白名单库中；如果可执行程序在白名单知识库中，则将可执行程序从白名单库中删除。

可选地，在向客户端发送白名单库更新指令之后，还包括：接收客户端的操作系统版本信息和对应的可执行程序清单；根据操作系统版本信息和对应的可执行程序清单生成白名单子库。

可选地，在接收客户端的操作系统版本信息和对应的可执行程序清单之后，还包括：接收可执行程序清单各程序对应的文件属性信息；根据文件属性信息确定程序的安全级别并将程序进行分类。

可选地，白名单库更新方法还包括：接受客户端发送的获取白名单程序请求；根据请求向客户端发送相应的白名单程序。

根据第二方面，本发明实施例提供了一种白名单程序库更新方法，用于客户端，客户端与服务器端连接，包括：接受服务器端发送的白名单库更新指令；根据指令向服务器端发送可执行程序行为信息。

可选地，在根据指令向服务器端发送可执行程序行为信息之前，还包括：判断本地是否存在白名单程序库；如果存在白名单程序库，则向服务器端发送白名单程序库。

可选地，白名单程序库更新方法还包括：向服务器端发送获取白名单程序请求；接收服务器端发送的相应的白名单程序；根据白名单程序更新本地白名单程序库。

根据第三方面，本发明实施例提供了一种服务器，包括：至少一个处理器；以及与至少一个处理器通信连接的存储器；其中，存储器存储有可被一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器执行上述第一方面或第一方面任意实施方式中的白名单库更新方法。

根据第四方面，本发明实施例提供了一种客户机，包括：至少一个处理器；以及与至少一个处理器通信连接的存储器；其中，存储器存储有可被一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器执行第二方面或第二方面任意实施方式中的白名单程序库更新方法。

根据第五方面，本发明实施例提供了一种工控系统，包括：如上述第三方面及第三方面任意实施方式中的服务器；以及如上述第四方面或第四方面任意实施方式中的客户机。

本发明的有益效果：

1.本发明实施例提供的白名单库更新方法，通过对客户端可执行程序的行为监控分析，将可执行程序的行为符合预设行为策略的可执行程序添加到白名单库，保障了白名单库中的程序得到全面监控，防止白名单库中的程序出现安全问题或漏洞；且可以通过对不同的客户端的可执行程序进行收集和分析，使得白名单库中的程序更加全面，可以防止白名单库不够全面导致的安全程序被拦截的问题。

2.通过根据可执行程序清单各程序对应的文件属性信息确定程序的安全级别，并将程序进行分类，根据操作系统版本信息和对应的可执行程序清单生成白名单子库，使得白名单库包含各种操作系统版本的白名单字库，且白名单子库中的不同程序分类于不同的安全级别，根据客户端的操作系统版本信息和不同的工控环境(安全级别)，服务器端可以下发不同的白名单程序，更具有针对性，更智能便捷，且不用对客户端进行软件初始化、扫描等，从而节省了客户端更新白名单程序库的时间，节省了系统资源，系统维护成本和风险也更低。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出了本发明实施例白名单库更新方法的流程图；

图2示出了本发明实施例白名单程序库更新方法的流程图；

图3示出了本发明实施例的服务器的结构框图；

图4示出了本发明实施例的客户机的结构示意图；

图5示出了本发明实施例的工控系统中服务器和客户机的交互原理图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供了一种白名单库更新方法，用于服务器端，服务器端与客户端连接，如图1所示，包括：

S101.向客户端发送白名单库更新指令。

在本发明实施例中，客户端为工控主机和/或实验室主机，所称实验室主机为在实验室环境下，模拟工控主机系统、工控程序运行的主机。服务器端为管理中心。

S102.接收客户端可执行程序行为信息。

在本发明实施例中，客户端接收到白名单库更新指令后，会对本地的可执行程序进行扫描，并将可执行程序行为信息上传给服务器端。

S103.判断可执行程序对应的行为是否符合预设行为策略。

在本发明实施例中，可执行程序对应的行为包括：文件读/写/执行和网络访问/协议，所称预设行为策略为经过大量的学习过程，对可执行程序对应的行为经过分析得到的行为策略，如果可执行程序对应的行为符合预设行为策略，则进入S104。

S104.将可执行程序添加到白名单库。

本发明实施例提供的白名单库更新方法，通过对客户端可执行程序的行为监控分析，将可执行程序的行为符合预设行为策略的可执行程序添加到白名单库，保障了白名单库中的程序得到全面监控，防止白名单库中的程序出现安全问题或漏洞；且可以通过对不同的客户端的可执行程序进行收集和分析，使得白名单库中的程序更加全面，可以防止白名单库不够全面导致的安全程序被拦截的问题。

在可选的实施例中，如果可执行程序对应的行为不符合预设行为策略；则对此程序进行深度分析，判断可执行程序对应的行为是否安全，也即判断可执行程序访问的文件/网络是否安全；如果可执行程序对应的行为安全，则将可执行程序对应行为的添加到行为策略库，也即根据可执行程序对应的行为更新预设行为策略库，并将可执行程序添加到白名单库。

在可选的实施例中，如果可执行程序对应的行为不安全；则判断可执行程序是否在白名单库中；如果可执行程序在白名单知识库中，则将可执行程序从白名单库中删除，防止白名单库中存在安全隐患或漏洞的程序。

在可选的实施例中，在向客户端发送白名单库更新指令之后，还包括：接收客户端的操作系统版本信息和对应的可执行程序清单；接收可执行程序清单各程序对应的文件属性信息；根据文件属性信息确定程序的安全级别并将程序进行分类；根据操作系统版本信息和对应的可执行程序清单生成白名单子库。在本发明实施例中，可执行程序对应的文件属性信息包括文件路径、文件信息摘要、文件属性，根据文件路径、文件信息摘要、文件属性这些信息，可以确定该程序是哪种类型的程序，类型包括操作系统程序、行业通用程序、用户程序，同时不同类型的程序对应不同的安全级别，专家级：只包含系统相关程序；行业级：包含系统和行业相关程序；用户级：包含系统、行业和用户相关程序，根据操作系统版本信息以及分类好的各程序，可以形成子白名单库，也即形成不同操作系统的子白名单库。白名单库的存储结构是以操作系统版本为节点的链式结构。每一个操作系统版本包含一个子白名单库，它的存储结构是一个以操作系统版本为根节点的树状结构。子白名单库包含：根节点：操作系统版本；儿子节点：系统程序列表、行业通用程序列表、用户程序列表；孙子节点：白名单程序。白名单程序包含：文件信息和行为摘要信息(主键唯一)、程序信息摘要、程序行为摘要、程序类别、程序安全级别。通过根据可执行程序清单各程序对应的文件属性信息确定程序的安全级别，并将程序进行分类，根据操作系统版本信息和对应的可执行程序清单生成白名单子库，使得白名单库包含各种操作系统版本的白名单字库，且白名单子库中的不同程序分类于不同的安全级别，根据客户端的操作系统版本信息和不同的工控环境(安全级别)，服务器端可以下发不同的白名单程序，更具有针对性，更智能便捷，且不用对客户端进行软件初始化、扫描等，从而节省了客户端更新白名单程序库的时间，节省了系统资源，系统维护成本和风险也更低。

在可选的实施例中，白名单库更新方法还包括：接受客户端发送的获取白名单程序请求；根据请求向客户端发送相应的白名单程序。在本发明实施例中，需要初始化的工控主机会将工控主机信息上传到服务器端，形成工控主机信息库。服务器端根据工控主机操作系统版本、工控主机的使用场景进行分析，匹配白名单知识库，并下发对应安全级别(专家级/行业级(默认)/用户级)的白名单库和配置到工控主机上。对应级别白名单库下发策略如下：专家级：白名单库只包含系统相关程序；行业级：白名单库包含系统和行业相关程序；用户级：白名单库包含系统、行业和用户相关程序。

本发明实施例还提供了一种白名单程序库更新方法，用于客户端，客户端与服务器端连接，如图2所示，包括：

S201.接受服务器端发送的白名单库更新指令。

在本发明实施例中，客户端为工控主机和/或实验室主机，所称实验室主机为在实验室环境下，模拟工控主机系统、工控程序运行的主机。服务器端为管理中心。客户端安装了主机卫士，用于客户端系统的安全防护，主机卫士和服务器端配套使用，当主机卫士通过策略接口获取服务器端下发的白名单库更新指令后，主机卫士更新本地配置开启学习模式。

S202.根据指令向服务器端发送可执行程序行为信息。

在本发明实施例中，主机卫士更新本地配置开启学习模式后，现有安全级别下的工空主机和实验室主机上的可执行程序(包括操作系统程序、行业通用程序、用户程序)的行为(文件读/写/执行和网络访问/协议)将得到监控和记录，并将这些信息上传到服务器端。

在可选的实施例中，在根据指令向服务器端发送可执行程序行为信息之前，还包括：判断本地是否存在白名单程序库；如果存在白名单程序库，则向服务器端发送白名单程序库。在本发明实施例中，客户端接受到服务器端发送的白名单库更新指令后，会首先判断本地是否存在白名单程序库，如果存在白名单程序库，则向服务器端发送白名单程序库，而不用扫描本地的可执行程序。如果不存在，则扫描本地的可执行程序，根据指令向服务器端发送可执行程序行为信息。

在可选的实施例中，白名单程序库更新方法还包括：向服务器端发送获取白名单程序请求；接收服务器端发送的相应的白名单程序；根据白名单程序更新本地白名单程序库。在本发明实施例中，需要初始化的工控主机会将工控主机信息上传到服务器端，形成工控主机信息库。服务器端根据工控主机操作系统版本、工控主机的使用场景进行分析，匹配白名单知识库，并下发对应安全级别(专家级/行业级(默认)/用户级)的白名单库和配置到工控主机上。对应级别白名单库下发策略如下：专家级：白名单库只包含系统相关程序；行业级：白名单库包含系统和行业相关程序；用户级：白名单库包含系统、行业和用户相关程序。

本发明实施例还提供了一种服务器，该服务器包括一个或多个处理器31以及存储器32，图3中以一个处理器31为例。

服务器还可以包括：输入装置33和输出装置34。

处理器31、存储器32、输入装置33和输出装置34可以通过总线或者其他方式连接，图3中以通过总线连接为例。

处理器31可以为中央处理器(Central Processing Unit，CPU)。处理器31还可以为其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等芯片，或者上述各类芯片的组合。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

存储器32作为一种非暂态计算机可读存储介质，可用于存储非暂态软件程序、非暂态计算机可执行程序以及模块，如本申请实施例中的白名单库更新的方法对应的程序指令/模块。处理器31通过运行存储在存储器32中的非暂态软件程序、指令以及模块，从而执行服务器的各种功能应用以及数据处理，即实现上述方法实施例白名单库更新的方法。

存储器32可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储根据用户终端操作的处理装置的使用所创建的数据等。此外，存储器32可以包括高速随机存取存储器，还可以包括非暂态存储器，例如至少一个磁盘存储器件、闪存器件、或其他非暂态固态存储器件。在一些实施例中，存储器32可选包括相对于处理器31远程设置的存储器，这些远程存储器可以通过网络连接至图像检测、处理装置。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

输入装置33可接收输入的数字或字符信息，以及产生与用户终端的处理装置的用户设置以及功能控制有关的键信号输入。输出装置34可包括显示屏等显示设备。

一个或者多个模块存储在存储器32中，当被一个或者多个处理器31执行时，执行如图1所示的方法。

本发明实施例还提供了一种客户机，该客户机包括一个或多个处理器41以及存储器42，图4中以一个处理器41为例。

客户机还可以包括：输入装置43和输出装置44。

处理器41、存储器42、输入装置43和输出装置44可以通过总线或者其他方式连接，图4中以通过总线连接为例。

处理器41可以为中央处理器(Central Processing Unit，CPU)。处理器41还可以为其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable GateArray，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等芯片，或者上述各类芯片的组合。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

存储器42作为一种非暂态计算机可读存储介质，可用于存储非暂态软件程序、非暂态计算机可执行程序以及模块，如本申请实施例中的白名单程序库更新的方法对应的程序指令/模块。处理器41通过运行存储在存储器42中的非暂态软件程序、指令以及模块，从而执行服务器的各种功能应用以及数据处理，即实现上述方法实施例白名单程序库更新的方法。

存储器42可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储根据用户终端操作的处理装置的使用所创建的数据等。此外，存储器42可以包括高速随机存取存储器，还可以包括非暂态存储器，例如至少一个磁盘存储器件、闪存器件、或其他非暂态固态存储器件。在一些实施例中，存储器42可选包括相对于处理器41远程设置的存储器，这些远程存储器可以通过网络连接至图像检测、处理装置。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

输入装置43可接收输入的数字或字符信息，以及产生与用户终端的处理装置的用户设置以及功能控制有关的键信号输入。输出装置44可包括显示屏等显示设备。

一个或者多个模块存储在存储器42中，当被一个或者多个处理器41执行时，执行如图2所示的方法。

本发明实施例还提供了一种工控系统，包括：如上述任意实施方式中所述的服务器；以及如上述任意实施方式中所述的客户机，服务器与客户机的交互原理如图5所示。

虽然结合附图描述了本发明的实施例，但是本领域技术人员可以在不脱离本发明的精神和范围的情况下作出各种修改和变型，这样的修改和变型均落入由所附权利要求所限定的范围之内。

Claims (12)

1.一种白名单库更新方法，用于服务器端，所述服务器端与客户端连接，其特征在于，包括：

向所述客户端发送白名单库更新指令；

接收所述客户端可执行程序行为信息；

判断所述可执行程序对应的行为是否符合预设行为策略；

如果所述可执行程序对应的行为符合预设行为策略，将所述可执行程序添加到白名单库。

2.根据权利要求1所述的白名单库更新方法，其特征在于，如果所述可执行程序对应的行为不符合预设行为策略；

判断所述可执行程序对应的行为是否安全；

如果所述可执行程序对应的行为安全，根据所述可执行程序对应的行为更新预设行为策略库，并将所述可执行程序添加到白名单库。

3.根据权利要求2所述的白名单库更新方法，其特征在于，如果所述可执行程序对应的行为不安全；

判断所述可执行程序是否在所述白名单库中；

如果所述可执行程序在所述白名单知识库中，则将所述可执行程序从所述白名单库中删除。

4.根据权利要求1所述的白名单库更新方法，其特征在于，在所述向客户端发送白名单库更新指令之后，还包括：

接收所述客户端的操作系统版本信息和对应的可执行程序清单；

根据所述操作系统版本信息和对应的可执行程序清单生成白名单子库。

5.根据权利要求4所述的白名单库更新方法，其特征在于，在所述接收所述客户端的操作系统版本信息和对应的可执行程序清单之后，还包括：

接收所述可执行程序清单各程序对应的各文件属性信息；

根据所述各文件属性信息确定所述各程序的安全级别，并将所述各程序进行分类。

6.根据权利要求5所述的白名单库更新方法，其特征在于，还包括：

接受所述客户端发送的获取白名单程序请求；

根据所述请求向所述客户端发送相应的白名单程序。

7.一种白名单程序库更新方法，用于客户端，所述客户端与服务器端连接，其特征在于，包括：

接受所述服务器端发送的白名单库更新指令；

根据所述指令向所述服务器端发送可执行程序行为信息。

8.根据权利要求7所述的白名单程序库更新方法，其特征在于，在所述根据所述指令向所述服务器端发送可执行程序行为信息之前，还包括：

判断本地是否存在白名单程序库；

如果存在所述白名单程序库，则向所述服务器端发送所述白名单程序库。

9.根据权利要求7所述的白名单程序库更新方法，其特征在于，还包括：

向所述服务器端发送获取白名单程序请求；

接收所述服务器端发送的相应的白名单程序；

根据所述白名单程序更新本地白名单程序库。

10.一种服务器，其特征在于，包括：

至少一个处理器；以及与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器执行如权利要求1－6任意一项所述的白名单库更新方法。

11.一种客户机，其特征在于，包括：

至少一个处理器；以及与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器执行如权利要求7－9任意一项所述的白名单程序库更新方法。

12.一种工控系统，其特征在于，包括：

如权利要求10所述的服务器；以及

如权利要求11所述的客户机。