CN112637176B - 一种工业网络数据隔离方法、装置及存储介质 - Google Patents
一种工业网络数据隔离方法、装置及存储介质 Download PDFInfo
- Publication number
- CN112637176B CN112637176B CN202011495040.XA CN202011495040A CN112637176B CN 112637176 B CN112637176 B CN 112637176B CN 202011495040 A CN202011495040 A CN 202011495040A CN 112637176 B CN112637176 B CN 112637176B
- Authority
- CN
- China
- Prior art keywords
- message
- level
- data
- instruction
- industrial
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000002955 isolation Methods 0.000 title claims abstract description 39
- 238000003860 storage Methods 0.000 title claims abstract description 14
- 238000000034 method Methods 0.000 claims abstract description 23
- 239000013598 vector Substances 0.000 claims description 65
- 230000009466 transformation Effects 0.000 claims description 20
- 239000011159 matrix material Substances 0.000 claims description 12
- 230000002159 abnormal effect Effects 0.000 claims description 8
- 239000013256 coordination polymer Substances 0.000 claims description 8
- 230000004083 survival effect Effects 0.000 claims description 7
- 230000000739 chaotic effect Effects 0.000 claims description 3
- 230000000694 effects Effects 0.000 abstract description 2
- 238000007726 management method Methods 0.000 description 44
- 238000001914 filtration Methods 0.000 description 15
- 241000700605 Viruses Species 0.000 description 4
- 230000006854 communication Effects 0.000 description 3
- 238000010586 diagram Methods 0.000 description 3
- 238000009776 industrial production Methods 0.000 description 3
- 238000004519 manufacturing process Methods 0.000 description 3
- 230000005540 biological transmission Effects 0.000 description 2
- 238000004364 calculation method Methods 0.000 description 2
- 238000004891 communication Methods 0.000 description 2
- 238000010276 construction Methods 0.000 description 2
- 238000011161 development Methods 0.000 description 2
- 238000007477 logistic regression Methods 0.000 description 2
- 230000007246 mechanism Effects 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000008569 process Effects 0.000 description 2
- 238000007476 Maximum Likelihood Methods 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 230000006870 function Effects 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 238000012423 maintenance Methods 0.000 description 1
- 238000013439 planning Methods 0.000 description 1
- 238000004064 recycling Methods 0.000 description 1
- 238000012216 screening Methods 0.000 description 1
- 230000003068 static effect Effects 0.000 description 1
- 238000012384 transportation and delivery Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
- H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computing Systems (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Medical Informatics (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
本申请提出一种工业网络数据隔离方法、装置及存储介质。方法包括：接收外部管理网络侧主机发送的报文，在所述报文的源IP地址属于所述可信任源IP地址范围的情况下，确定所述报文的类型；在所述报文的类型为指令报文的情况下，确定所述指令报文的危险等级；在所述指令报文的危险等级低于预设危险等级的情况下，将所述指令报文发送到工业系统网络侧主机；接收所述工业系统网络侧主机发送的工业数据，对所述工业数据进行数据加密，并将所述加密后的密文以及密钥发送到所述外部管理网络侧主机以使所述外部管理网络侧主机对所述密文进行解密；所述外部管理网络的安全等级低于所述工业系统网络。本申请提高了工业系统的数据隔离的隔离效果。
Description
技术领域
本申请涉及工业网络安全技术领域，尤其涉及一种工业网络数据隔离方法、装置及存储介质。
背景技术
在工业生产过程中，随着自动化控制和物联网的发展，将生产设备或智能设备互联在一起形成工业系统网络成为工业生产的趋势。由于企业工业系统网络的安全等级要求极高，而外部的管理网络往往需要连接互联网，安全级别很低，时刻遭受来自互联网侧的病毒和恶意攻击性软件的威胁，将工业系统网络与外部管理网络互联并通信，极有可能造成工业系统网络内的重要数据被窃取，对企业造成重大的损失。因此，需要在工业系统网络与外部管理网络之间实行有效的隔离措施。
通过物理隔离方法可以有效隔离工业系统网络与外部管理网络的数据交换，但是该方式需要切断两个网络之间的网络连接，以静态的方式进行数据交换，不存在两个网络之间的通信过程，数据传输效率低。现有的支持网络之间通信的数据隔离方法，虽能在实现通信的同时对低安全等级网络发往高安全等级网络的指令进行过滤，但其过滤效率较低，且并不能保证过滤之后的数据是否安全。而由高安全等级发往低安全等级网络的重要数据，也缺乏必要的保护机制，工业数据的安全得不到保证。
发明内容
针对上述现有技术中存在的问题，本申请实施例提出一种工业网络数据隔离方法、装置及存储介质，解决了现有的数据隔离方法对指令过滤效率低、不能保证过滤后的报文安全性，以及对工业数据缺乏保护机制的问题。
一方面，本申请实施例提供了一种工业网络数据隔离方法，方法包括：接收外部管理网络侧主机发送的报文，并将所述报文的源IP地址与所述可信任源IP地址进行匹配，拦截源IP地址不属于所述可信任源IP地址的报文；在所述报文的源IP地址属于所述可信任源IP地址范围的情况下，确定所述报文的类型；在所述报文的类型为数据报文的情况下，拦截所述数据报文；在所述报文的类型为指令报文的情况下，确定所述指令报文的危险等级；在所述指令报文的危险等级低于预设危险等级的情况下，将所述指令报文发送到工业系统网络侧主机；接收所述工业系统网络侧主机发送的工业数据，对所述工业数据进行数据加密，并将所述加密后的密文以及密钥发送到所述外部管理网络侧主机以使所述外部管理网络侧主机对所述密文进行解密；其中，所述外部管理网络的安全等级低于所述工业系统网络。
本申请实施例通过对低安全等级网络向高安全等级网络发送的报文的严格过滤，保证低安全等级网络发送的报文中可能携带的攻击性报文尽可能高效地被过滤掉，从而保证高安全等级网络的数据安全。同时通过对高安全等级网络发送给低安全等级网络的工业数据进行加密，保护工业数据不被窃取，进一步保护了高安全等级网络的安全。使用此方法可以在保持两个网络互相通信的情况下更高效地保护高安全等级网络数据的安全。
在一个实施例中，所述确定所述指令报文的危险等级，具体包括：对所述指令报文进行解析，得到以下任意一项或多项影响报文危险等级的报文信息：所述指令报文的报文标识、报文序列号、报文计数帧、报文协议、报文偏移、报文生存时间，并分析所述报文信息的特征，用以确定影响所述指令报文的危险等级的报文特征数据；将所述指令报文划分为L个危险等级，通过
确定所述指令报文属于等级h(h≤L)的概率P(h)；其中，h代表任意一个危险等级；Gh为根据所述报文特征数据构建的回归模型；且Gh＝Bh0+Bh1Y1+…+BhkYk；其中，k为影响指令报文危险等级的报文信息的个数，Yj(j＝1，2，…，k)为所述报文特征数据中第j个报文特征数据的值；Bh1，…，Bhk为所述回归模型的偏回归系数，用于表示Yj(j＝1，2，…，k)对指令报文危险等级的影响大小，Bh0为常数项。
在一个实施例中，在所述确定所述指令报文属于等级h(h≤L)的概率P(h)之后，所述方法还包括：预设所述指令报文的危险等级包括等级1、等级2、等级3、等级4；所述等级1为无危险性，所述等级2为低危险性，所述等级3为中危险性，所述等级4为高危险性；根据所述报文特征数据以及所述指令报文属于等级h(h≤L)的概率P(h)，计算所述指令报文分别属于等级1、等级2、等级3、等级4的P(1)、P(2)、P(3)以及P(4)，将概率最大的等级作为所述指令报文的危险等级。
本申请实施例大量的正常报文的聚类特征与接收到的指令报文的聚类特征特征进行匹配，根据匹配结果构建回归模型来判断指令报文所属的危险等级，能够比较准确地判断指令报文的危险性，从而过滤掉存在安全隐患的指令报文，提高报文过滤的效率。
在一个实施例中，所述接收所述工业系统网络侧主机发送的工业数据，对所述工业数据进行数据加密，并将所述加密后的密文以及密钥发送到所述外部管理网络侧主机以使所述外部管理网络侧主机对所述密文进行解密，具体包括：将所述工业数据划分为长度为N-1的若干明文块，并在每个明文块上增加一个序号字节，从而得到一个N维明文向量MN；通过混沌随机函数随机生成一个N*N的矩阵ANN和一个N维矩阵BN，预设密钥K＝{N,ANN,BN}；根据所述密钥K以及公式CN＝ANNMN+ANNBN，对所述明文向量MN进行初始加密，得到N维密文向量CN；将所述密文向量CN划分为一个p维向量CP和一个q维向量Cq，其中，p+q＝N；根据所述密钥K，分别对所述p维向量CP进行线性加密变换，得到p维密文向量DP；以及对所述q维向量Cq进行非线性加密变换，得到q维密文向量Dq。
在一个实施例中，在所述得到q维密文向量Dq之后，所述方法还包括：将所述矩阵ANN替换为其转置矩阵A’NN，得到密钥K1＝{N,A'NN,BN}；根据所述密钥K1，分别对所述q维密文向量Dq进行线性加密变换，得到q维密文向量Eq；以及对所述p维密文向量DP进行非线性加密变换，得到p维密文向量Ep。
在一个实施例中，在所述得到p维密文向量Ep之后，所述方法还包括：将所述密文向量Ep、Eq以及密钥K、密钥K1，发送到所述外部管理网络侧主机；所述外部管理网络侧主机根据所述密钥K1对所述密文向量Ep进行非线性解密变换，得到密文向量DP，以及对所述密文向量Eq进行线性解密变换，得到密文向量Dq；所述外部管理网络侧主机根据所述密钥K对所述DP进行线性解密变换得到Cp，对所述Dq进行非线性解密变换得到Cq；所述外部管理网络侧主机根据CN＝Cp+Cq，得到完整密文向量CN，再根据公式
得到明文向量MN，从而得到原始明文块；所述接收主机将解密后得到的若干明文块，根据所述序号字节顺序组合为原始数据并去除所述序号字节，得到原始工业数据。
本申请实施例通过自行设计的加密解密算法，对工业数据进行拆分加密，经过三次加密后再将密文发出，提高了解密难度，收到密文的主机通过预设解密程序以及收到的密钥对密文进行解密，即使密文被恶意窃取，窃取者也无法读取数据内容，从而保护工业数据，特别是机密数据。
在一个实施例中，所述分析所述报文信息的特征，用以确定影响所述指令报文的危险等级的报文特征数据，具体包括：收集网络中的正常报文，形成正常报文库，对所述正常报文库中的报文分别进行解析，得到所述正常报文的报文标识、报文序列号、报文计数帧、报文协议、报文偏移、报文生存时间中的一个或多个影响报文危险等级的报文信息，并对所述正常报文中的每个报文信息进行特征聚类，得到正常报文特征集；以预设时间间隔更新所述正常报文特征集；对所述接收到的指令报文的报文信息进行特征聚类，从而得到所述指令报文的信息特征；将所述指令报文的信息特征在正常报文特征集中进行匹配，得到所述指令报文的信息特征与正常报文的特征匹配度，从而获得所述指令报文的报文特征数据。
本申请实施例通过分析报文中的各项信息，并进行特征聚类，对收到的报文和大量正常报文做对比，从而得到影响收到的报文的危险等级的各项指标数据，对回归模型的构建起到提高准确性的作用。
在一个实施例中，在所述指令报文的危险等级低于预设危险等级的情况下，将所述指令报文发送到工业系统网络侧主机之前，所述方法还包括：将被过滤掉的报文存储在异常报文数据库中，并向所述外部管理网络侧主机发出告警；将没有被过滤掉的指令报文加入所述正常报文库中以更新所述正常报文特征集。
本申请实施例通过将过滤掉的报文存储在异常报文数据库中，可用于对这些异常报文的异常分析，包括错误类型、攻击类型等，更好的防范报文攻击。将没有被过滤的正常报文加入正常报文库中可以更新正常报文的一些特征，使得特征匹配结果更准确。
另一方面，本申请实施例提供了一种工业网络数据隔离装置，所述装置包括：至少一个处理器；以及，与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：接收外部管理网络侧主机发送的报文，并将所述报文的源IP地址与所述可信任源IP地址进行匹配，拦截源IP地址不属于所述可信任源IP地址的报文；在所述报文的源IP地址属于所述可信任源IP地址范围的情况下，确定所述报文的类型；在所述报文的类型为数据报文的情况下，拦截所述数据报文；在所述报文的类型为指令报文的情况下，确定所述指令报文的危险等级；在所述指令报文的危险等级低于预设危险等级的情况下，将所述指令报文发送到工业系统网络侧主机；接收所述工业系统网络侧主机发送的工业数据，对所述工业数据进行数据加密，并将所述加密后的密文以及密钥发送到所述外部管理网络侧主机以使所述外部管理网络侧主机对所述密文进行解密；其中，所述外部管理网络的安全等级低于所述工业系统网络。
另一方面，本申请实施例提供了一种存储介质，所述存储介质为非易失性计算机可读存储介质，所述非易失性计算机可读存储介质存储有至少一个程序，每个所述程序包括指令，所述指令当被终端执行时，使所述终端执行上述任一实施例所述的方法。
本申请实施例通过单向数据过滤与单向数据加密相结合，能够使得报文由低安全等级的网络发往高安全等级的网络时过滤掉异常的报文，使得工业数据由高安全等级的网络发往低安全等级的网络时加密保护防止窃取，既保护了高安全等级网络的安全，也保护了高安全等级网络中数据的安全。对本申请来说，低安全等级网络即为外部管理网络，高安全等级网络即为工业系统网络，工业系统网络中产生的工业数据往往是企业的内部机密数据，对企业运转有着巨大的意义，若有恶意代码入侵或遭到攻击，会对企业造成巨大的损失，使用本申请实施例提供的数据隔离方法可以有效的保护工业系统网络和其中的工业数据，维护企业利益。
附图说明
此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：
图1为本申请实施例提供的一种工业网络数据隔离系统示意图；
图2为本申请实施例提供的一种工业网络数据隔离方法中外部管理网络向工业系统网络发送报文的流程图；
图3为本申请实施例提供的一种工业网络数据隔离方法中工业系统网络向外部管理网络发送报文的流程图；
图4为本申请实施例提供的一种工业网络数据隔离装置示意图。
具体实施方式
为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
本申请实施例提供了一种工业网络数据隔离方法、装置及存储介质，下面通过附图对本申请实施例提出的技术方案进行详细的说明。
图1为本申请实施例提供的一种工业网络数据隔离系统示意图，如图1所示，工业网络数据隔离系统100包括工业网络数据隔离装置110、外部管理网络侧主机120以及工业系统网络侧主机130。工业网络数据隔离装置110包括数据过滤模块111、数据加密模块112以及报文数据库113。
具体地，数据过滤模块111用于对外部管理网络侧主机120发送的报文的源IP地址、报文类型、危险等级进行筛选，过滤出符合预设要求的报文，发送到工业系统网络侧主机130。数据加密模块112用于对工业系统网络侧主机130发送的工业数据进行加密，并将密文与密钥发送到外部管理网络侧主机120。外部管理网络侧主机120中存储有预设的解密程序，在收到密文和密钥后可根据解密程序以及密钥中的参数对密文进行解密。报文数据库113用于存储被过滤掉的异常报文，以用来分析报文异常原因，还用于存储正常报文，从而方便对正常报文进行特征聚类得到正常报文特征。
在一个实施例中，工业网络数据隔离装置110使用Linux操作系统，并开启防火墙，由于来自windows系统的病毒很少能在Linux系统上运行，一定程度上可以通过操作系统的差异过滤掉来自外部管理网络侧主机的一部分病毒和恶意攻击，而防火墙也能起到抵御病毒的作用，从而提高装置安全性。
在一个实施例中，工业系统网络130发送的工业数据包括在工业领域中，围绕典型智能制造模式，从客户需求到销售、订单、计划、研发、设计、工艺、制造、采购、供应、库存、发货和交付、售后服务、运维、报废或回收再制造等整个产品全生命周期各个环节所产生的各类数据。
图2为本申请实施例提供的一种工业网络数据隔离方法中外部管理网络向工业系统网络发送报文的流程图。
S201、工业网络数据隔离装置110接收外部管理网络侧主机120发送的报文并识别报文内容。
具体地，工业网络数据隔离装置110接收到来自外部管理网络侧主机120发送的报文之后，首先识别报文的源IP地址、报文类型、报文标识、报文序列号、报文计数帧、报文协议、报文偏移以及报文生存时间等信息，这些信息可以反映报文是否为符合装置要求的正常报文。
S202、工业网络数据隔离装置110将接收到的报文的源IP地址与预设可信任源IP地址进行匹配。
具体地，预设可信任源IP地址范围，解析出收到的报文的源IP地址后，将该源IP地址在预设可信任源IP地址范围内进行匹配，以对报文进行初步筛选，过滤掉由不可信任的IP地址发送来的报文。
在一个实施例中，可信任源IP地址包括外部管理网络中所有主机的IP地址以及实际工业生产中所需的可信IP地址。
S203、数据过滤模块111判断上述报文的源IP地址是否属于可信任源IP地址范围，若是，则执行S205，若否，则执行S204。
S204、数据过滤模块111拦截源IP地址不属于可信任源IP地址范围的报文。
在一个实施例中，数据过滤模块111将拦截的源IP地址不属于可信任源IP地址范围的报文存入报文数据库113的异常报文数据库中，以便后续使用。
S205、数据过滤模块111确定通过S203筛选的符合要求的报文的类型。
具体地，报文类型包括数据报文和指令报文。判断报文类型的方法为检测报文的数据段中是否包含表明指令的特殊字段，例如，算数运算指令会包含二进制加、减、比较和求补等特殊字段，数据传送指令会包含取数指令或存数指令等特殊字段。若检测到报文的数据段中包含表明指令的特殊字段，则该报文为指令报文，若没有检测出表明指令的特殊字段，则该报文为数据报文。
S206、数据过滤模块111拦截报文类型为数据类型的报文。
具体地，由于外部管理网络向工业系统网络发送报文的目的主要在于控制工业系统网络中的设备执行特定的指令和操作，因此不需要向工业系统网络发送数据，只需要发送指令即可，且数据报文中容易携带恶意代码，因此本申请实施例中直接拦截所有的数据报文，以进一步保证报文安全性。
在一个实施例中，数据过滤模块111将拦截的数据报文存入报文数据库113的异常报文数据库中，以便后续使用。
S207、数据过滤模块111确定指令报文的危险等级。
具体地，首先，数据过滤模块捕获大量的网络中的正常报文，存入报文数据库113中的正常报文库中，对正常报文库中的报文进行解析，分别得到正常报文的报文标识、报文序列号、报文计数帧、报文协议、报文偏移、报文生存时间等报文信息，并对上述报文信息分别进行特征聚类，得到每个报文信息的特征，形成正常报文特征集。
在一个实施例中，以预设时间间隔捕获一定数量的正常报文，以更新正常报文特征集。比如每周捕获一次正常报文，将捕获的正常报文加入正常报文库中并特征聚类，从而更新正常报文特征集。这样可以保持正常报文特征集的报文特征保持准确和全面，对后续的回归模型构建起到提高准确率的作用。
对经过两次筛选后仍然没有被过滤掉的指令报文的报文标识、报文序列号、报文计数帧、报文协议、报文偏移、报文生存时间等报文信息进行特征聚类，得到上述指令报文的信息特征；将指令报文的信息特征在正常报文特征集中进行匹配，计算指令报文的信息特征与正常报文的特征匹配度，从而获得指令报文的报文特征数据。
预设指令报文的有L个危险等级，以上述报文特征数据为样本，以L为参考等级，构建logistic回归模型：
其中，k为指令报文信息特征的个数，Yj(j＝1，2，…，k)为报文特征数据中第j个报文特征数据的值；Bh1，…，Bhk为回归模型的偏回归系数，通过最大似然法求出，表示Yj(j＝1，2，…，k)对指令报文危险等级的影响大小，Bh0为常数项。
对于参考等级L，上述logistic回归模型中的所有系数均为0，即GL＝0；
由式(1)得：
由于P(1)+P(2)+…+P(L)＝1，得到P(L)＝1-P(1)+P(2)+…+P(L-1)，代入式(2)中，得到指令报文危险等级属于第h等级的概率为：
其中，
在一个实施例中，预设指令报文的危险等级包括无危险性、低危险性、中危险性、高危险性四个等级，分别为等级1、等级2、等级3以及等级4。将实际聚类得到的通过两轮筛选的指令报文的报文特征数据Y1，Y2，…，Yk，代入式(1)中，得到Gh(h＝1，2，…，L)的值，然后将Gh代入式(3)中分别计算指令报文分别属于等级1、等级2、等级3、等级4的概率P(1)、P(2)、P(3)以及P(4)，将概率最大的等级作为上述指令报文的危险等级。
S208、工业网络数据隔离装置110判断指令报文的危险等级是否大于或等于预设危险等级。
具体地，预设危险等级为2级，意为拦截所有危险等级大于或等于2级的指令报文。
在一个实施例中，若某条指令报文通过上述方法计算出的P(1)、P(2)、P(3)以及P(4)中，最大值为P(3)，则确定的危险等级为等级3级，被数据过滤模块111拦截。若某条指令报文的危险等级为1级，则封装后发送到工业系统网络侧主机130。
S209、工业网络数据隔离装置110拦截不符合要求的指令报文，并将所有被拦截的报文存入异常报文数据库。
在一个实施例中，以上步骤中所有被拦截的报文都存入异常报文数据库中，以便对异常原因进行分析。同时向外部管理网络侧主机120发出告警，以提示哪些报文没有发送成功，若有必要可进行重发。没有被过滤掉的报文则复制一份存入正常报文库中，以作为新的样本更新正常报文特征集。
S210、工业网络数据隔离装置110将通过筛选的指令报文重新封装并发送到工业系统网络侧主机130。
图3为本申请实施例提供的一种工业网络数据隔离方法中工业系统网络向外部管理网络发送报文的流程图：
S301、工业网络数据隔离装置110接收工业系统网络侧主机130发送的工业数据。
S302、数据加密模块112将工业数据拆分成若干明文块，添加序号后分别加密。
具体地，将工业系统网络侧主机130发送的工业数据划分为长度为N-1的若干明文块，并在每个明文块上增加一个序号字节，从而得到一个N维明文向量MN；
通过混沌随机函数Logistic Map随机生成一个N*N的矩阵ANN和一个N维矩阵BN，预设密钥K＝{N,ANN,BN}；
根据密钥K以及公式CN＝ANNMN+ANNBN，对明文向量MN进行初始加密，得到N维密文向量CN；
将密文向量CN划分为一个p维向量CP和一个q维向量Cq，其中，p+q＝N；
根据密钥K以及公式DP＝ANNCP+ANNBN，分别对向量CP进行线性加密变换，得到p维密文向量DP；根据公式
对向量Cq进行非线性加密变换，得到q维密文向量Dq。
将矩阵ANN替换为其转置矩阵A’NN，得到密钥K1＝{N,A'NN,BN}；
根据密钥K1以及公式Eq＝A'NN×Dq+Bq，分别对向量Dq进行线性加密变换，得到q维密文向量Eq；根据公式
对向量DP进行非线性加密变换，得到p维密文向量Ep。
S303、数据加密模块112将密钥及加密后的密文发送到外部管理网络侧主机120，以使外部管理网络侧主机120根据预设解密程序进行解密。
具体地，数据加密模块112将所有明文块加密完成后，将所有密文向量以及密钥K、K1发送到外部管理网络侧主机120。
在一个实施例中，外部管理网络侧主机120接收到密文以及密钥后，根据密钥K1以及线性解密公式
得到密文向量Dq；根据非线性解密公式
得到密文向量Dp；
然后根据密钥K以及公式
对Dq进行非线性解密得到Cq，根据公式
对所述DP进行线性解密得到CP；外部管理网络侧主机120根据CN＝Cp+Cq，得到完整密文向量CN，再根据公式
得到明文向量MN，从而得到原始明文块；
将解密后得到的若干明文块，根据添加的序号字节的顺序组合为原始数据并去除序号字节，得到原始工业数据。
通过随机生成的复杂密钥，以及将密文划分为两部分进行多次线性与非线性交叉加密，极大地增加了解密难度，对于数据的保护更加有效。
需要说明的是，以上加密过程还可继续进行线性与非线性的交叉加密计算，本申请实施例中只进行了两次计算，并不是本申请的全部实施例，具体加密几次可以根据数据的重要性来灵活选择。
图4为本申请实施例提供的一种工业网络数据隔离装置示意图，如图4所示，所述装置包括：至少一个处理器；以及，与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：
接收外部管理网络侧主机发送的报文，并将所述报文的源IP地址与所述可信任源IP地址进行匹配，拦截源IP地址不属于所述可信任源IP地址的报文；在所述报文的源IP地址属于所述可信任源IP地址范围的情况下，确定所述报文的类型；在所述报文的类型为数据报文的情况下，拦截所述数据报文；
在所述报文的类型为指令报文的情况下，确定所述指令报文的危险等级；在所述指令报文的危险等级低于预设危险等级的情况下，将所述指令报文发送到工业系统网络侧主机；
接收所述工业系统网络侧主机发送的工业数据，对所述工业数据进行数据加密，并将所述加密后的密文以及密钥发送到所述外部管理网络侧主机以使所述外部管理网络侧主机对所述密文进行解密；其中，所述外部管理网络的安全等级低于所述工业系统网络。
本申请实施例还提供了一种存储介质，所述存储介质为非易失性计算机可读存储介质，所述非易失性计算机可读存储介质存储有至少一个程序，每个所述程序包括指令，所述指令当被终端执行时，使所述终端执行上述任一实施例所述的方法。
以上所述仅是本申请的优选实施方式，并不用于限制本申请。应当指出，对于本领域的普通技术人员来说，本申请可以有各种更改和变化。凡在不脱离本申请原理的前提下所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。
Claims (8)
1.一种工业网络数据隔离方法，其特征在于，包括：
接收外部管理网络侧主机发送的报文，并将所述报文的源IP地址与可信任源IP地址进行匹配，拦截源IP地址不属于所述可信任源IP地址的报文；在所述报文的源IP地址属于所述可信任源IP地址范围的情况下，确定所述报文的类型；
在所述报文的类型为数据报文的情况下，拦截所述数据报文；在所述报文的类型为指令报文的情况下，确定所述指令报文的危险等级；
对所述指令报文进行解析，得到以下任意一项或多项影响报文危险等级的报文信息：所述指令报文的报文标识、报文序列号、报文计数帧、报文协议、报文偏移、报文生存时间，并分析所述报文信息的特征，用以确定影响所述指令报文的危险等级的报文特征数据；
将所述指令报文划分为L个危险等级，通过
确定所述指令报文属于等级h(h≤L)的概率P(h)；其中，h代表任意一个危险等级；Gh为根据所述报文特征数据构建的回归模型；且Gh＝Bh0+Bh1Y1+…+BhkYk；其中，k为影响指令报文危险等级的报文信息的个数，Yj(j＝1，2，…，k)为所述报文特征数据中第j个报文特征数据的值；Bh1，…，Bhk为所述回归模型的偏回归系数，用于表示Yj(j＝1，2，…，k)对指令报文危险等级的影响大小，Bh0为常数项；
预设所述指令报文的危险等级包括等级1、等级2、等级3、等级4；所述等级1为无危险性，所述等级2为低危险性，所述等级3为中危险性，所述等级4为高危险性；
根据所述报文特征数据以及所述指令报文属于等级h(h≤L)的概率P(h)，计算所述指令报文分别属于等级1、等级2、等级3、等级4的P(1)、P(2)、P(3)以及P(4)，将概率最大的等级作为所述指令报文的危险等级；
在所述指令报文的危险等级低于预设危险等级的情况下，将所述指令报文发送到工业系统网络侧主机；
接收所述工业系统网络侧主机发送的工业数据，对所述工业数据进行数据加密，并将所述加密后的密文以及密钥发送到所述外部管理网络侧主机以使所述外部管理网络侧主机对所述密文进行解密；其中，所述外部管理网络的安全等级低于所述工业系统网络。
2.根据权利要求1所述的一种工业网络数据隔离方法，其特征在于，所述接收所述工业系统网络侧主机发送的工业数据，对所述工业数据进行数据加密，并将所述加密后的密文以及密钥发送到所述外部管理网络侧主机以使所述外部管理网络侧主机对所述密文进行解密，具体包括：
将所述工业数据划分为长度为N-1的若干明文块，并在每个明文块上增加一个序号字节，从而得到一个N维明文向量MN；
通过混沌随机函数随机生成一个N*N的矩阵ANN和一个N维矩阵BN，预设密钥K＝{N,ANN,BN}；
根据所述密钥K以及公式CN＝ANNMN+ANNBN，对所述明文向量MN进行初始加密，得到N维密文向量CN；
将所述密文向量CN划分为一个p维向量CP和一个q维向量Cq，其中，p+q＝N；
根据所述密钥K，分别对所述p维向量CP进行线性加密变换，得到p维密文向量DP；以及对所述q维向量Cq进行非线性加密变换，得到q维密文向量Dq。
3.根据权利要求2所述的一种工业网络数据隔离方法，其特征在于，在所述得到q维密文向量Dq之后，所述方法还包括：
将所述矩阵ANN替换为其转置矩阵A’NN，得到密钥K1＝{N,A'NN,BN}；
根据所述密钥K1，分别对所述q维密文向量Dq进行线性加密变换，得到q维密文向量Eq；以及对所述p维密文向量DP进行非线性加密变换，得到p维密文向量Ep。
4.根据权利要求3所述的一种工业网络数据隔离方法，其特征在于，在所述得到p维密文向量Ep之后，所述方法还包括：
将所述密文向量Ep、Eq以及密钥K、密钥K1，发送到所述外部管理网络侧主机；
所述外部管理网络侧主机根据所述密钥K1对所述密文向量Ep进行非线性解密变换，得到密文向量DP，以及对所述密文向量Eq进行线性解密变换，得到密文向量Dq；
所述外部管理网络侧主机根据所述密钥K对所述DP进行线性解密变换得到Cp，对所述Dq进行非线性解密变换得到Cq；
所述外部管理网络侧主机根据CN＝Cp+Cq，得到完整密文向量CN，再根据公式
得到明文向量MN，从而得到原始明文块；将解密后得到的若干明文块，根据所述序号字节顺序组合为原始数据并去除所述序号字节，得到原始工业数据。
5.根据权利要求1所述的一种工业网络数据隔离方法，其特征在于，所述分析所述报文信息的特征，用以确定影响所述指令报文的危险等级的报文特征数据，具体包括：
收集网络中的正常报文，形成正常报文库，对所述正常报文库中的报文分别进行解析，得到所述正常报文的报文标识、报文序列号、报文计数帧、报文协议、报文偏移、报文生存时间中的一个或多个影响报文危险等级的报文信息，并对所述正常报文中的每个报文信息进行特征聚类，得到正常报文特征集；
以预设时间间隔更新所述正常报文特征集；
对所述接收到的指令报文的报文信息进行特征聚类，从而得到所述指令报文的信息特征；将所述指令报文的信息特征在正常报文特征集中进行匹配，得到所述指令报文的信息特征与正常报文的特征匹配度，从而获得所述指令报文的报文特征数据。
6.根据权利要求5所述的一种工业网络数据隔离方法，其特征在于，在所述指令报文的危险等级低于预设危险等级的情况下，将所述指令报文发送到工业系统网络侧主机之前，所述方法还包括：
将被过滤掉的报文存储在异常报文数据库中，并向所述外部管理网络侧主机发出告警；将没有被过滤掉的指令报文加入所述正常报文库中以更新所述正常报文特征集。
7.一种工业网络数据隔离装置，其特征在于，所述装置包括：
至少一个处理器；以及，与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：
接收外部管理网络侧主机发送的报文，并将所述报文的源IP地址与可信任源IP地址进行匹配，拦截源IP地址不属于所述可信任源IP地址的报文；在所述报文的源IP地址属于所述可信任源IP地址范围的情况下，确定所述报文的类型；
在所述报文的类型为数据报文的情况下，拦截所述数据报文；在所述报文的类型为指令报文的情况下，确定所述指令报文的危险等级；
对所述指令报文进行解析，得到以下任意一项或多项影响报文危险等级的报文信息：所述指令报文的报文标识、报文序列号、报文计数帧、报文协议、报文偏移、报文生存时间，并分析所述报文信息的特征，用以确定影响所述指令报文的危险等级的报文特征数据；
将所述指令报文划分为L个危险等级，通过
确定所述指令报文属于等级h(h≤L)的概率P(h)；其中，h代表任意一个危险等级；Gh为根据所述报文特征数据构建的回归模型；且Gh＝Bh0+Bh1Y1+…+BhkYk；其中，k为影响指令报文危险等级的报文信息的个数，Yj(j＝1，2，…，k)为所述报文特征数据中第j个报文特征数据的值；Bh1，…，Bhk为所述回归模型的偏回归系数，用于表示Yj(j＝1，2，…，k)对指令报文危险等级的影响大小，Bh0为常数项；
预设所述指令报文的危险等级包括等级1、等级2、等级3、等级4；所述等级1为无危险性，所述等级2为低危险性，所述等级3为中危险性，所述等级4为高危险性；
根据所述报文特征数据以及所述指令报文属于等级h(h≤L)的概率P(h)，计算所述指令报文分别属于等级1、等级2、等级3、等级4的P(1)、P(2)、P(3)以及P(4)，将概率最大的等级作为所述指令报文的危险等级；
在所述指令报文的危险等级低于预设危险等级的情况下，将所述指令报文发送到工业系统网络侧主机；
接收所述工业系统网络侧主机发送的工业数据，对所述工业数据进行数据加密，并将所述加密后的密文以及密钥发送到所述外部管理网络侧主机以使所述外部管理网络侧主机对所述密文进行解密；其中，所述外部管理网络的安全等级低于所述工业系统网络。
8.一种存储介质，其特征在于，所述存储介质为非易失性计算机可读存储介质，所述非易失性计算机可读存储介质存储有至少一个程序，每个所述程序包括指令，所述指令当被终端执行时，使所述终端执行根据权利要求1-6任一项所述的方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202011495040.XA CN112637176B (zh) | 2020-12-17 | 2020-12-17 | 一种工业网络数据隔离方法、装置及存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202011495040.XA CN112637176B (zh) | 2020-12-17 | 2020-12-17 | 一种工业网络数据隔离方法、装置及存储介质 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN112637176A CN112637176A (zh) | 2021-04-09 |
| CN112637176B true CN112637176B (zh) | 2021-08-20 |
Family
ID=75316359
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202011495040.XA Active CN112637176B (zh) | 2020-12-17 | 2020-12-17 | 一种工业网络数据隔离方法、装置及存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN112637176B (zh) |
Families Citing this family (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN115361308B (zh) * | 2022-08-19 | 2024-06-25 | 一汽解放汽车有限公司 | 一种工控网络数据风险确定方法、装置、设备及存储介质 |
| CN115150209B (zh) * | 2022-09-06 | 2023-01-06 | 军工保密资格审查认证中心 | 数据处理方法、工业控制系统、电子设备及存储介质 |
| CN115174274B (zh) * | 2022-09-06 | 2023-01-06 | 军工保密资格审查认证中心 | 数据处理方法、工业控制系统、电子设备及存储介质 |
| CN115632878B (zh) * | 2022-12-06 | 2023-03-31 | 中海油能源发展股份有限公司采油服务分公司 | 基于网络隔离的数据传输方法、装置、设备及存储介质 |
| CN116595567A (zh) * | 2023-07-17 | 2023-08-15 | 绿城科技产业服务集团有限公司 | 一种基于多数据源的动态数据隔离方法和系统 |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1960247A (zh) * | 2006-11-29 | 2007-05-09 | 中控科技集团有限公司 | 工业控制数据的加密解密方法 |
| CN104967609A (zh) * | 2015-04-28 | 2015-10-07 | 腾讯科技（深圳）有限公司 | 内网开发服务器访问方法、装置及系统 |
| CN107800534A (zh) * | 2017-10-16 | 2018-03-13 | 北京连山时代科技有限公司 | 一种基于多链路传输的数据加密方法和解密方法 |
| CN109150702A (zh) * | 2018-08-16 | 2019-01-04 | 南京南瑞信息通信科技有限公司 | 一种连通信息内外网的高性能移动接入网关及其方法 |
| CN109218308A (zh) * | 2018-09-14 | 2019-01-15 | 上海赋华网络科技有限公司 | 一种基于智能网卡的数据高速安全交换方法 |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US10530665B2 (en) * | 2016-10-14 | 2020-01-07 | Cisco Technology, Inc. | Device management for isolation networks |
| US10855655B2 (en) * | 2017-09-05 | 2020-12-01 | Unisys Corporation | System and method for providing secure and redundant communications and processing for a collection of internet of things (IOT) devices |
| CN111399463B (zh) * | 2019-12-24 | 2023-10-20 | 上海可鲁系统软件有限公司 | 工业网络数据单向隔离方法及装置 |
-
2020
- 2020-12-17 CN CN202011495040.XA patent/CN112637176B/zh active Active
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1960247A (zh) * | 2006-11-29 | 2007-05-09 | 中控科技集团有限公司 | 工业控制数据的加密解密方法 |
| CN104967609A (zh) * | 2015-04-28 | 2015-10-07 | 腾讯科技（深圳）有限公司 | 内网开发服务器访问方法、装置及系统 |
| CN107800534A (zh) * | 2017-10-16 | 2018-03-13 | 北京连山时代科技有限公司 | 一种基于多链路传输的数据加密方法和解密方法 |
| CN109150702A (zh) * | 2018-08-16 | 2019-01-04 | 南京南瑞信息通信科技有限公司 | 一种连通信息内外网的高性能移动接入网关及其方法 |
| CN109218308A (zh) * | 2018-09-14 | 2019-01-15 | 上海赋华网络科技有限公司 | 一种基于智能网卡的数据高速安全交换方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN112637176A (zh) | 2021-04-09 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN112637176B (zh) | 一种工业网络数据隔离方法、装置及存储介质 | |
| US9794270B2 (en) | Data security and integrity by remote attestation | |
| EP3232641B1 (en) | Locked down network interface | |
| US20160352687A1 (en) | Locked Down Network Interface | |
| US9690598B2 (en) | Remotely establishing device platform integrity | |
| Eden et al. | A forensic taxonomy of SCADA systems and approach to incident response | |
| CN114424195B (zh) | 对同态加密数据的有效无监督异常检测 | |
| EP3584990A1 (en) | Data processing method, device, and system | |
| Clark et al. | An impact-aware defense against Stuxnet | |
| US10853499B2 (en) | Key threat prediction | |
| CN109302501B (zh) | 一种基于区块链技术的工控数据存储方法、装置及系统 | |
| US9569774B2 (en) | System and method for processing feedback entries received from software | |
| CN113141335A (zh) | 网络攻击检测方法及装置 | |
| US9762388B2 (en) | Symmetric secret key protection | |
| CN110086789B (zh) | 一种数据传输的方法、装置、设备和介质 | |
| CN112600805A (zh) | 一种网络安全监管平台 | |
| CN113221144B (zh) | 一种隐私保护机器学习的虚拟化终端异常检测方法及系统 | |
| CN112000978A (zh) | 隐私数据的输出方法、数据处理系统及存储介质 | |
| CN117874789B (zh) | 一种动态的隐私数据加密方法和系统 | |
| CN117061254B (zh) | 异常流量检测方法、装置和计算机设备 | |
| CN117459327B (zh) | 一种云数据透明加密保护方法、系统及装置 | |
| CN117439799A (zh) | 一种http请求数据防篡改的方法 | |
| TW202335468A (zh) | 用於檢測網路中基礎設施的異常的方法及設備 | |
| Shi et al. | A blockchain-enabled approach for online stream sensor data protection in cyber-physical manufacturing systems | |
| Nagori et al. | Quantum computing posing a challenge to the businesses |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant | ||
| PE01 | Entry into force of the registration of the contract for pledge of patent right |
Denomination of invention: An industrial network data isolation method, device and storage medium Effective date of registration: 20220511 Granted publication date: 20210820 Pledgee: Jinan zhixiaozhinong Financing Guarantee Co.,Ltd. Pledgor: Shandong Yuntian Safety Technology Co.,Ltd. Registration number: Y2022980005473 |
|
| PE01 | Entry into force of the registration of the contract for pledge of patent right | ||
| PC01 | Cancellation of the registration of the contract for pledge of patent right |
Date of cancellation: 20230506 Granted publication date: 20210820 Pledgee: Jinan zhixiaozhinong Financing Guarantee Co.,Ltd. Pledgor: Shandong Yuntian Safety Technology Co.,Ltd. Registration number: Y2022980005473 |
|
| PC01 | Cancellation of the registration of the contract for pledge of patent right | ||
| PE01 | Entry into force of the registration of the contract for pledge of patent right |
Denomination of invention: An industrial network data isolation method, device, and storage medium Effective date of registration: 20230508 Granted publication date: 20210820 Pledgee: Ji'nan finance Company limited by guarantee Pledgor: Shandong Yuntian Safety Technology Co.,Ltd. Registration number: Y2023980039956 |
|
| PE01 | Entry into force of the registration of the contract for pledge of patent right |