CN112394688B - 工控机保护设备及控制方法 - Google Patents

Abstract

本发明提供一种工控机保护设备及控制方法，涉及工业控制技术领域。该工控机保护设备中，主控芯片可以通过通信接口与工控机通信连接，获取工控机的设备接口所接入设备的设备信息，并判断设备信息是否属于预设设备注册列表，若不属于预设设备注册列表，则向工控机发送识别失败信号。该识别失败信号可以指示工控机拒绝与该设备信息对应的设备建立连接，从而可以实现对接入工控机的设备进行管控，避免不属于预设设备注册列表的设备信息对应的设备由于未经过注册和认证而存在隐患，影响工控机的正常使用。

Description

工控机保护设备及控制方法

技术领域

本发明涉及工业控制技术领域，具体而言，涉及一种工控机保护设备及控制方法。

背景技术

工控机，也称工业控制计算机，是一种采用总线结构，对生成过程及机电设备、工艺装备进行检测与控制的工具，通常被用作数控机床的上位机，对数控机床进行检测和控制。

但是，现有的数控机床控制技术中，工控机在使用时，外接设备（如：移动存储介质）可随意接入工控机的设备接口与工控机建立连接，无法对其进行管控，导致工控机存在安全隐患。

发明内容

本发明的目的在于，提供一种工控机保护设备及控制方法，用于解决现有技术中工控机在使用时，无法对接入工控机的设备其进行管控，导致工控机存在安全隐患的问题。

第一方面，本发明实施例提供一种工控机保护设备，包括：壳体；壳体内设有主控芯片，壳体上设有与主控芯片电连接的通信接口；通信接口用于外接工控机，主控芯片通过通信接口与工控机通信连接；

主控芯片用于获取工控机的设备接口所接入设备的设备信息，并判断设备信息是否属于预设设备注册列表；其中，预设设备注册列表包括至少一种已授权认证的设备信息；

若不属于预设设备注册列表，则向工控机发送识别失败信号，识别失败信号用于指示工控机拒绝与设备接口所接入的设备建立连接。

可选地，主控芯片还用于将工控机待发送或待接收的报文与预设访问规则表进行匹配；其中，预设访问规则表包括至少一条访问规则，访问规则用于指示对报文的执行策略；

若预设访问规则表中存在与报文匹配的目标访问规则，则按照目标访问控制规则所指示的执行策略对报文进行处理；

若预设访问规则表中不存在与报文匹配的目标访问规则，则获取报文的目的接口所在区域的缺省属性，并根据目的接口的缺省属性对报文进行处理。

可选地，主控芯片内预设有报文黑名单和报文白名单；

主控芯片还用于在将工控机待发送或待接收的报文与预设访问规则表进行匹配之前，判断报文是否属于报文黑名单；

若报文属于报文黑名单，则对报文进行阻断；

若报文不属于报文黑名单，则判断报文是否属于报文白名单；

若报文不属于报文白名单，则也对报文进行阻断。

可选地，主控芯片还用于记录工控机的事务日志；

事务日志包括：工控机的设备接口所接入设备的设备信息和操作信息、工控机的状态信息、以及工控机接收或发送的报文信息。

可选地，主控芯片内还预设有蜜罐插件；

主控芯片还用于通过蜜罐插件捕获工控机所在的工控网络中的故障信息，并根据故障信息发出预警信号。

第二方面，本发明实施例还提供一种控制方法，该方法应用于如第一方面所述的工控机保护设备；该方法包括：

主控芯片获取工控机的设备接口所接入设备的设备信息，并判断设备信息是否属于预设设备注册列表；其中，预设设备注册列表包括至少一种已授权认证的设备信息；

若不属于预设设备注册列表，则主控芯片向工控机发送识别失败信号，识别失败信号用于指示工控机拒绝与设备接口所接入的设备建立连接。

可选地，上述方法还包括：

主控芯片将工控机待发送或待接收的报文与预设访问规则表进行匹配；其中，预设访问规则表包括至少一条访问规则，访问规则用于指示对报文的执行策略；

若预设访问规则表中存在与报文匹配的目标访问规则，则主控芯片按照目标访问控制规则所指示的执行策略对报文进行处理；

若预设访问规则表中不存在与报文匹配的目标访问规则，则主控芯片获取报文的目的接口所在区域的缺省属性，并根据目的接口的缺省属性对报文进行处理。

可选地，主控芯片内预设有报文黑名单和报文白名单；

主控芯片将工控机待发送或待接收的报文与预设访问规则表进行匹配之前，上述方法还包括：

主控芯片判断报文是否属于报文黑名单；

若报文属于报文黑名单，则主控芯片对报文进行阻断；

若报文不属于报文黑名单，则主控芯片判断报文是否属于报文白名单；

若报文不属于报文白名单，则主控芯片也对报文进行阻断。

可选地，上述方法还包括：

主控芯片记录工控机的事务日志；事务日志包括：工控机的设备接口所接入设备的设备信息和操作信息、工控机的状态信息、以及工控机接收或发送的报文信息。

可选地，上述方法还包括：

主控芯片通过预设的蜜罐插件捕获工控机所在的工控网络中的故障信息，并根据故障信息发出预警信号。

本发明的有益效果是：

本发明实施例提供的工控机保护设备及控制方法中，主控芯片可以通过通信接口与工控机通信连接，获取工控机的设备接口所接入设备的设备信息，并判断设备信息是否属于预设设备注册列表，若不属于预设设备注册列表，则向工控机发送识别失败信号。该识别失败信号可以指示工控机拒绝与该设备信息对应的设备建立连接，从而可以实现对接入工控机的设备进行管控，避免不属于预设设备注册列表的设备信息对应的设备由于未经过注册和认证而存在隐患，影响工控机的正常使用。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1示出了本发明实施例提供的工控机保护设备的结构示意图；

图2示出了本发明实施例提供的控制方法的流程示意图；

图3示出了本发明实施例提供的控制方法的另一流程示意图；

图4示出了本发明实施例提供的控制方法的又一流程示意图；

图5示出了本发明实施例提供的控制设备的流程示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。

因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。此外，第一、第二、第三等描述仅仅是为了更加方便地对本发明实施例的不同实施方式进行描述，并不能够表示或暗示其相对重要性。

本发明实施例提供一种工控机保护设备，可以与工控机连接，对接入工控机的设备进行管控，避免接入工控机的设备对工控机造成安全隐患。

其中，工控机可以是工业设备或机电设备的上位机。例如，工控机可以是总线工业电脑（Industry Personal Computer，IPC）、可编程控制系统（Programmable LogicController，PLC）、分布式控制系统（Distributed Control System，DCS）、现场总线控制系统（Fieldbus Control System，FCS）、或计算机数字控制系统（Computer numericalcontrol，CNC）等。工业设备或机电设备可以是指：数字家庭用的机顶盒、数字电视、银行柜员机、高速公路收费设备、加油站管理设备、制造业生产线设备等。

可选地，工控机可以是数控机床的上位机，该上位机可以对数控机床进行检测和控制。

图1示出了本发明实施例提供的工控机保护设备的结构示意图。

如图1所示，该工控机保护设备可以包括：壳体110；壳体110内设有主控芯片111，壳体110上设有与主控芯片111电连接的通信接口112。通信接口112用于外接工控机，主控芯片111通过通信接口112与工控机通信连接。主控芯片111用于获取工控机的设备接口所接入设备的设备信息，并判断设备信息是否属于预设设备注册列表，其中，预设设备注册列表包括至少一种已授权认证的设备信息；若不属于预设设备注册列表，则向工控机发送识别失败信号，识别失败信号用于指示工控机拒绝与设备接口所接入的设备建立连接。

其中，壳体110的材质可以为金属，如：铝、铁或其他合成金属等，也可以是聚乙烯、或其他高分子塑料。壳体110的形状可以是长方体、正方体或其他规则或不规则形状。对于壳体110的材质和形状，可以基于实际需求进行选择和设置，本发明对此不作限定。

可选地，该工控机保护设备的壳体110上述可以设置有渠状或槽状结构，该渠状或槽状结构可以按照回型均匀分布，该渠状或槽状结构的外表面可以呈楔形，例如，当渠状或槽状结构以回型均匀分布时，可以包含有4至10圈的回形结构。通过在壳体110上述设置渠状或槽状结构，可以使得工控机保护设备具有良好的散热性，避免工控机保护设备长时间工作发热而引起关机。

通信接口112可以是网路接口，如：RJ-45接口、RJ-11接口、SC光纤接口、FDDI接口、AUI接口、BNC接口或Console接口等以太网接口，或者也可以是RS232接口、RS485接口等。该工控机保护设备的通信接口112可以外接工控机，当工控机与通信接口112连接时，主控芯片111可以通过通信接口112与工控机之间通信连接。

工控机在使用过程中，可以通过USB连接、串口连接等方式，在备接口接入其他外接设备，如：U盘、硬盘等移动存储介质。当主控芯片111与工控机之间通信连接时，主控芯片111可以获取到工控机的设备接口所接入设备的设备信息，例如，设备信息可以包括设备名称、设备号、设备大小等属性信息。

主控芯片111中预先存储有预设设备注册列表，该预设设备注册列表中包括至少一种已授权认证的设备信息。已授权认证是指该预设设备注册列表中的各设备信息分别对应的设备，为已经在工控机的工控网络中进行了注册和授权认证的设备，可以确定该类已经完成注册和授权认证的设备的安全性可以得到保证，不会对工控机的正常使用造成安全隐患。

主控芯片111获取到工控机的设备接口所接入设备的设备信息后，可以判断所获取的设备信息是否属于预设设备注册列表，即，可以判断预设设备注册列表中是否存在与所获取的设备信息相同或匹配的目标设备信息。对于任一所获取的设备信息而言，若主控芯片111判断得知该设备信息不属于预设设备注册列表，则主控芯片111可以向工控机发送识别失败信号，该识别失败信号可以用于指示工控机拒绝与设备接口所接入的设备建立连接。工控机收到主控芯片111发送的该设备信息的识别失败信号后，可以将拒绝与该设备信息对应的设备建立连接，以避免该设备信息对应的设备由于未经过注册和认证而存在隐患，导致影响工控机的正常使用。例如，可以避免非法移动存储介质接入工控主机，排除非法移动存储介质对工控机造成的安全隐患。

以设备信息为设备ID为例，预设设备注册列表的一种可能实施方式可以如下述表1所示：

表1

设备ID	已授权认证
		001	是
002	是
		003	是

如表1所示，假设预设设备注册列表中包括“001”、“002”、以及“003”三种设备ID，若主控芯片111获取到接入工控机的某个设备的设备ID为“004”，则主控芯片111可以确定预设设备注册列表中不存在与“004”相同的设备ID，即，能够确定设备ID为“004”的该外接设备没有在工控机的工控网络中进行注册和授权认证，从而可以确定该外接设备的安全性无法得到保证。主控芯片111可以向工控机发送关于设备ID“004”的识别失败信号，工控机收到主控芯片111发送的识别失败信号后，可以拒绝与设备ID“004”对应的设备建立连接，以避免该设备对工控机的正常使用造成安全隐患。

相应地，对于任一所获取的设备信息而言，若主控芯片111判断得知该设备信息属于上述预设设备注册列表，即，预设设备注册列表中存在与所获取的设备信息相同的目标设备信息，则可以确定该设备信息对应的设备已经在工控机的工控网络中完成了注册和授权认证。主控芯片111可以向工控机发送关于该设备信息的识别成功信号，工控机可以根据关于该设备信息的识别成功信号，允许与该设备信息对应的设备之间连接连接，使其能够对工控机进行后续的访问或与工控机之间进行相关信息交互操作。

可选地，在本发明部分实施方式中，也可以是若主控芯片111判断得知所获取的某一设备信息属于预设设备注册列表时，向工控机发送识别成功信号；而当设备信息不属于预设设备注册列表时，可以不作任何处理，即，可以无需向工控机发送识别失败信号，工控机在第一预设时长内未接收到关于该设备信息的识别成功信号时，可以默认该设备信息对应的设备未在工控机的工控网络中进行注册和授权认证，从而可以拒绝与该设备建立连接。其中，第一预设时长可以是5秒、8秒、10秒等任意设定的值。

可选地，在本发明其他实施方式中，还可以是若主控芯片111判断得知所获取的某一设备信息不属于预设设备注册列表时，向工控机发送识别失败信号；而当设备信息属于预设设备注册列表时，可以不作任何处理，即，可以无需向工控机发送识别成功信号，工控机在第二预设时长内未接收到关于该设备信息的识别失败信号时，可以默认该设备信息对应的设备已经在工控机的工控网络中完成了注册和授权认证，从而可以允许与该设备建立连接。其中，第二预设时长也可以是5秒、8秒、10秒等任意设定的值。

需要说明的是，基于本发明实施例所提供的上述不同技术方案，本领域技术人员可以基于实际需求，对主控芯片111根据设备信息是否属于预设设备注册列表的判断结果，是否需要向工控机分别发送识别失败信号和识别失败信号，或者仅发送识别成功信号或识别失败信号的具体实施方式进行选择，本发明对此不作限定。

由上所述，本发明实施例提供的该工控机保护设备中，主控芯片可以通过通信接口与工控机通信连接，获取工控机的设备接口所接入设备的设备信息，并判断设备信息是否属于预设设备注册列表，若不属于预设设备注册列表，则向工控机发送识别失败信号。该识别失败信号可以指示工控机拒绝与该设备信息对应的设备建立连接，从而实现了对接入工控机的设备进行管控，避免了不属于预设设备注册列表的设备信息对应的设备由于未经过注册和认证而存在隐患，影响工控机的正常使用。

可选地，本发明实施例提供的上述工控机保护设备中，主控芯片还可以用于将工控机待发送或待接收的报文与预设访问规则表进行匹配；其中，预设访问规则表包括至少一条访问规则，访问规则用于指示对报文的执行策略。若预设访问规则表中存在与报文匹配的目标访问规则，则按照目标访问控制规则所指示的执行策略对报文进行处理；若预设访问规则表中不存在与报文匹配的目标访问规则，则获取报文的目的接口所在区域的缺省属性，并根据目的接口的缺省属性对报文进行处理。

其中，预设访问规则表可以预先存储在主控芯片中，该预设访问规则表中可以包括针对不同报文的对应的访问规则，每种报文对应的访问规则可以为对该报文的执行策略。例如，若工控机中存在待接收或待发送的报文1，预设访问规则表中报文1对应的访问规则可以为：“允许报文通过”；若存在待接收的报文2，预设访问规则表中报文2对应的访问规则可以为：“丢弃报文”。也即，对于任一报文而言，该报文在预设访问规则表中对应的访问规则所指示的执行策略可以为：“允许报文通过”或“丢弃报文”。

对于任一报文而言，主控芯片可以将该报文与预设访问规则表进行匹配，判断预设访问规则表中是否存在能够与该报文对应的目标访问规则，若存在该报文对应的目标访问规则，则主控芯片可以根据该报文对应的目标访问规则所指示的执行策略，对该报文进行处理，如：允许该报文通过（完成发送或接收）或丢弃该报文。

相应的，若预设访问规则表中不存在与该报文匹配的目标访问规则时，则主控芯片可以获取该报文的目的接口所在区域的缺省属性，并根据目的接口的缺省属性对报文进行处理。其中，目的接口是指该报文需要抵达的接口，如，目的接口可以是工控机与外接设备连接的某个接口。缺省属性可以是指目的接口所在区域符合或不符合工控网络的默认状态，例如，若目的接口符合工控网络的默认状态，则可以确定目的接口为缺省接口，否则，则可以确定目的接口为非缺省接口。对于任一报文而言，根据目的接口的缺省属性对报文进行处理可以是指：当预设访问规则表中不存在与该报文匹配的目标访问规则，且主控芯片获取到该报文的目的接口所在区域的缺省属性为“缺省接口”时，主控芯片可以允许该报文通过，使报文成功到达目的接口；或者，当预设访问规则表中不存在与该报文匹配的目标访问规则，且主控芯片获取到该报文的目的接口所在区域的缺省属性为“非缺省接口”时，主控芯片可以阻断该报文通过，即，丢弃该报文，使报文无法到达目的接口。

以报文1、报文2和报文3为例，预设访问规则表的一种可能实施方式可以如下述表2所示：

表2

报文	访问规则
		报文1	允许报文通过
报文2	丢弃报文
		报文3	丢弃报文

若存在报文1、报文3和报文4，则对于报文1，主控芯片可以从预设访问规则表中获取到报文1对应的访问规则所指示的执行策略为“允许报文通过”，主控芯片可以根据该执行策略允许报文1通过，完成发送或接收。对于报文3，主控芯片可以从预设访问规则表中获取到报文3对应的访问规则所指示的执行策略为“丢弃报文”，主控芯片可以根据该执行策略阻断报文3发送或接收，将报文3进行丢弃。

而对于报文4，主控芯片无法从预设访问规则表中获取到报文4对应的访问规则，无法得到对报文4的执行策略；进一步，主控芯片可以获取报文4的目的接口，并判断目的接口所在区域的缺省属性，当主控芯片判断得到目的接口所在区域的缺省属性为“缺省接口”时，主控芯片也可以允许报文4通过；当主控芯片判断得到目的接口所在区域的缺省属性为“非缺省接口”时，主控芯片则可以阻断报文4的通过，将报文4进行丢弃，对其不作任何处理。

本发明实施例中，主控芯片通过根据预设访问规则表进行匹配、按照目标访问规则指示的执行策略对报文进行处理，或者预设访问规则表中不存在与报文匹配的目标访问规则时，根据报文的目的接口所在区域的缺省属性对报文进行处理，可以使得该工控机保护设备形成对工控机的防火墙功能，对防护的工控进行网络双向访问控制，抵御接入工控网络黑客的扫描探测攻击，隔离工控机，避免工控机感染蠕虫病毒等。

需要说明的是，上述对任一报文根据预设访问规则表进行匹配、按照目标访问规则指示的执行策略对报文进行处理，或者预设访问规则表中不存在与报文匹配的目标访问规则时，根据报文的目的接口所在区域的缺省属性对报文进行处理的过程，可以如前述实施例中所述，由主控芯片全部进行执行，也可以是由主控芯片向工控机发送控制指令，由工控机按照控制指令的指示进行执行，其具体步骤与上述实施例中主控芯片执行时类似或相同，本发明在此不再赘述。

可选地，本发明实施例在具体执行时，若预设访问规则表中存在与所述报文匹配的目标访问规则，则主控芯片只需按照目标访问规则所指示的执行策略对报文进行处理即可，可以不再对报文的目的接口所在区域的缺省属性进行检查。

可选地，本发明部分实施方式中，预设访问规则表中各访问规则可以按照一定的排列顺序进行排列，主控芯片可以按照预设访问规则表中各访问规则的排列顺序，将工控机待发送或待接收的报文与各访问规则一一进行匹配，以获取目标访问规则，对报文进行处理。

本发明其他实施方式中，主控芯片也可以不按照预设访问规则表中各访问规则的排列顺序，将工控机待发送或待接收的报文与各访问规则一一进行匹配，而是采取随机匹配的方式获取目标访问规则对报文进行处理，例如，可以通过随机算法从预设访问规则表获取任一个访问规则与报文进行匹配，若获取预设次数的访问规则后，仍无得到与报文匹配的目标访问规则，则确定该预设访问规则表中不存在与报文匹配的目标访问规则。其中，预设次数可以是n，n的大小可以等于预设访问规则表中访问规则的数量，也可以大于或小于访问规则的数量，本发明对此不作限定。

可选地，主控芯片内预设有报文黑名单和报文白名单；

主控芯片还用于在将工控机待发送或待接收的报文与预设访问规则表进行匹配之前，判断报文是否属于报文黑名单；

若报文属于报文黑名单，则对报文进行阻断；

若报文不属于报文黑名单，则判断报文是否属于报文白名单；

若报文不属于报文白名单，则也对报文进行阻断。

其中，报文白名单可以包括确定不存在病毒或已确认安全的报文名称或报文标识，如报文ID；报文黑名单可以包括可能存在病毒或无法确认安全的报文名称或报文标识。

以下述表3所示的报文黑名单、以及表4所示的报文白名单为例：

表3

报文黑名单
	报文1
报文2
	报文3

表4

报文白名单
	报文3
报文4
	报文5

如表3和表4所示，假设主控芯片内预设有黑名单和报文白名单，报文黑名单包括：报文1、报文2和报文3；报文白名单包括：报文3、报文4和报文5。若工控机待发送或待接收的报文分别为报文3、报文4和报文6，则

对于报文3而言，主控芯片在将报文3与预设访问规则表进行匹配之前，可以判断得知报文3属于报文黑名单，并对报文3进行阻断。

对于报文4而言，主控芯片在将报文4与预设访问规则表进行匹配之前，可以判断得知报文4不属于报文黑名单；主控芯片可以继续判断报文4是否属于报文白名单，由上述表4可知，主控芯片可以判断得知报文4属于报文白名单，可以不对报文进行阻断。

对于报文6而言，主控芯片在将报文6与预设访问规则表进行匹配之前，可以判断得知报文6不属于报文黑名单；主控芯片可以继续判断报文6是否属于报文白名单，由上述表4可知，主控芯片可以判断得知报文6也不属于报文白名单，则也可以对报文6进行阻断。

也即，对于任一报文而言，主控芯片将该报文与预设访问规则表进行匹配之前，根据报文黑名单和报文白名单判断是否对该报文进行阻断，一共可以包括下述三种情况：

1）属于报文黑名单（可以属于报文白名单，也可以不属于报文白名单）：阻断；

2）不属于报文黑名单，属于报文白名单，不阻断；

3）不属于报文黑名单，也不属于报文白名单，阻断。

本发明实施例中，主控芯片在将报文与预设访问规则表进行匹配之前，根据报文黑名单和报文白名单对报文进行判断，以确定是否对报文进行阻断的方式，可以对工控机待接收或待发送的报文进行检测，防止可能存在病毒或无法确认安全的报文进入工控网络，对工控机造成损害。

可选地，该工控机保护设备中，主控芯片还可以预设有病毒库，主控芯片还可以对流向工控机的数据包进行检测，如发现该有异常的数据包时，可以阻止该数据包文件流向工控机，以进一步提高对工控机的病毒检测性能。

可选地，主控芯片还可以记录工控机的事务日志；事务日志可以包括：工控机的设备接口所接入设备的设备信息和操作信息、工控机的状态信息、以及工控机接收或发送的报文信息等。例如，主控芯片可以全面记录工控机的设备接入、数据拷贝、主机异常、黑客攻击、病毒传播等审计日志。

可选地，主控芯片内还预设有蜜罐插件；主控芯片还用于通过蜜罐插件捕获工控机所在的工控网络中的故障信息，并根据故障信息发出预警信号。

具体地，主控芯片使用蜜罐插件可以捕获工控机所接入的工控网络中的网络攻击，并对勒索病毒传播、U盘携带木马、网络黑客攻击、非法设备接入等高危事件进行实时预警。预警信号可以是文字提示、声音提示、灯光提示等，本发明对此不作限定。

本发明实施例还提供一种控制方法，该控制方法应用于如前述实施例中所述的工控机保护设备。

图2示出了本发明实施例提供的控制方法的流程示意图。

如图2所示，该控制方法可以包括：

S201、主控芯片获取工控机的设备接口所接入设备的设备信息，并判断设备信息是否属于预设设备注册列表。

其中，预设设备注册列表包括至少一种已授权认证的设备信息；

S202、若不属于预设设备注册列表，则主控芯片向工控机发送识别失败信号，识别失败信号用于指示工控机拒绝与设备接口所接入的设备建立连接。

图3示出了本发明实施例提供的控制方法的另一流程示意图。

可选地，如图3所示，该控制方法还可以包括：

S301、主控芯片将工控机待发送或待接收的报文与预设访问规则表进行匹配。

其中，预设访问规则表包括至少一条访问规则，访问规则用于指示对报文的执行策略；

S302、若预设访问规则表中存在与报文匹配的目标访问规则，则主控芯片按照目标访问控制规则所指示的执行策略对报文进行处理。

S303、若预设访问规则表中不存在与报文匹配的目标访问规则，则主控芯片获取报文的目的接口所在区域的缺省属性，并根据目的接口的缺省属性对报文进行处理。

图4示出了本发明实施例提供的控制方法的又一流程示意图。

可选地，主控芯片内预设有报文黑名单和报文白名单。如图4所示，主控芯片将工控机待发送或待接收的报文与预设访问规则表进行匹配之前，该控制方法还可以包括：

S401、主控芯片判断报文是否属于报文黑名单。

S402、若报文属于报文黑名单，则主控芯片对报文进行阻断。

S403、若报文不属于报文黑名单，则主控芯片判断报文是否属于报文白名单。

S404、若报文不属于报文白名单，则主控芯片也对报文进行阻断。

可选地，本发明部分实施方式中，该控制方法还可以包括：主控芯片记录工控机的事务日志；事务日志包括：工控机的设备接口所接入设备的设备信息和操作信息、工控机的状态信息、以及工控机接收或发送的报文信息。

可选地，上述控制方法还可以包括：主控芯片通过预设的蜜罐插件捕获工控机所在的工控网络中的故障信息，并根据故障信息发出预警信号。

由于本发明实施例提供的该控制方法，应用于前述实施例中所述的工控机保护设备，执行主体可以是前述主控芯片，具备前述实施例中所述的全部有益效果，本发明在此不再赘述。

本发明实施例还提供一种控制设备，图5示出了本发明实施例提供的控制设备的流程示意图。

可选地，如图5所示，该控制设备可以包括：处理器10和存储器20，存储器20中存储有可在处理器10运行的计算机程序，处理器10执行计算机程序时实现如前述方法实施例中所述的控制方法。具体实现方式和技术效果类似，本发明在此不再赘述。

本发明实施例还提供一种计算机存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现如前述实施例中所述的控制方法。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种工控机保护设备，其特征在于，包括：壳体；所述壳体内设有主控芯片，所述壳体上设有与所述主控芯片电连接的通信接口；所述通信接口用于外接工控机，所述主控芯片通过所述通信接口与工控机通信连接；

所述主控芯片用于获取工控机的设备接口所接入设备的设备信息，并判断所述设备信息是否属于预设设备注册列表；其中，所述预设设备注册列表包括至少一种已授权认证的设备信息；

若不属于所述预设设备注册列表，则向工控机发送识别失败信号，所述识别失败信号用于指示工控机拒绝与设备接口所接入的设备建立连接；所述主控芯片还用于将工控机待发送或待接收的报文与预设访问规则表进行匹配；其中，所述预设访问规则表包括至少一条访问规则，所述访问规则用于指示对报文的执行策略；

若所述预设访问规则表中存在与所述报文匹配的目标访问规则，则按照所述目标访问控制规则所指示的执行策略对所述报文进行处理；

若所述预设访问规则表中不存在与所述报文匹配的目标访问规则，则获取所述报文的目的接口所在区域的缺省属性，并根据所述目的接口的缺省属性对所述报文进行处理。

2.根据权利要求1所述的工控机保护设备，其特征在于，所述主控芯片内预设有报文黑名单和报文白名单；

所述主控芯片还用于，在将工控机待发送或待接收的报文与预设访问规则表进行匹配之前，判断所述报文是否属于所述报文黑名单；

若所述报文属于所述报文黑名单，则对所述报文进行阻断；

若所述报文不属于所述报文黑名单，则判断所述报文是否属于所述报文白名单；

若所述报文不属于所述报文白名单，则也对所述报文进行阻断。

3.根据权利要求1-2任一项所述的工控机保护设备，其特征在于，所述主控芯片还用于记录工控机的事务日志；

所述事务日志包括：工控机的设备接口所接入设备的设备信息和操作信息、工控机的状态信息、以及工控机接收或发送的报文信息。

4.根据权利要求1-2任一项所述的工控机保护设备，其特征在于，所述主控芯片内还预设有蜜罐插件；

所述主控芯片还用于通过所述蜜罐插件捕获工控机所在的工控网络中的故障信息，并根据所述故障信息发出预警信号。

5.一种控制方法，其特征在于，所述方法应用于如权利要求1-4任一项所述的工控机保护设备；所述方法包括：

主控芯片获取工控机的设备接口所接入设备的设备信息，并判断所述设备信息是否属于预设设备注册列表；其中，所述预设设备注册列表包括至少一种已授权认证的设备信息；

若不属于所述预设设备注册列表，则主控芯片向工控机发送识别失败信号，所述识别失败信号用于指示工控机拒绝与设备接口所接入的设备建立连接。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

主控芯片将工控机待发送或待接收的报文与预设访问规则表进行匹配；其中，所述预设访问规则表包括至少一条访问规则，所述访问规则用于指示对报文的执行策略；

若所述预设访问规则表中存在与所述报文匹配的目标访问规则，则主控芯片按照所述目标访问控制规则所指示的执行策略对所述报文进行处理；

若所述预设访问规则表中不存在与所述报文匹配的目标访问规则，则主控芯片获取所述报文的目的接口所在区域的缺省属性，并根据所述目的接口的缺省属性对所述报文进行处理。

7.根据权利要求6所述的方法，其特征在于，所述主控芯片内预设有报文黑名单和报文白名单；

所述主控芯片将工控机待发送或待接收的报文与预设访问规则表进行匹配之前，所述方法还包括：

主控芯片判断所述报文是否属于所述报文黑名单；

若所述报文属于所述报文黑名单，则主控芯片对所述报文进行阻断；

若所述报文不属于所述报文黑名单，则主控芯片判断所述报文是否属于所述报文白名单；

若所述报文不属于所述报文白名单，则主控芯片也对所述报文进行阻断。

8.根据权利要求5-6任一项所述的方法，其特征在于，所述方法还包括：

主控芯片记录工控机的事务日志；所述事务日志包括：工控机的设备接口所接入设备的设备信息和操作信息、工控机的状态信息、以及工控机接收或发送的报文信息。

9.根据权利要求5-6任一项所述的方法，其特征在于，所述方法还包括：

主控芯片通过预设的蜜罐插件捕获工控机所在的工控网络中的故障信息，并根据所述故障信息发出预警信号。

Images