CN113259347B - 一种工业互联网内的设备安全系统及设备行为管理方法 - Google Patents

Abstract

本申请公开了一种工业互联网内的设备安全系统及设备行为管理方法，系统包括：安全盒子用于对受保护设备输出的数据进行加密后输出至以太网；对以太网输入的数据进行解密后发送至受保护设备；采集输入的数据包，将数据包上传至设备管理平台；设备管理平台用于管理接入的安全盒子、受保护终端设备；数字身份认证系统用于数字身份管理与认证，安全盒子及其集成的安全芯片需要在数字身份认证系统注册登记，获得对应密钥；并与安全盒子内置安全芯片进行双向身份认证，建立安全通道，通过安全通道将所述安全策略角色下发至所述内置安全芯片。本申请保证在原有网络架构的基础上，以最低的安全设备成本保证终端设备的安全性。

Description

一种工业互联网内的设备安全系统及设备行为管理方法

技术领域

本申请涉及工业互联网技术领域，尤其涉及一种工业互联网内的设备安全系统及设备行为管理方法。

背景技术

随着物联网的发展，在万物互联的时代人们对于设备的网络安全要求越来越高，但是现有的网络设备都是旧有的网络设备，不利于改造；因此，为了提高网络安全，一方面需要适配旧有网络的安全设备，另外也需要保证终端设备接入网络的安全性，并控制系统安全设备的成本。

发明内容

本申请实施例提供了一种工业互联网内的设备安全系统及设备行为管理方法，使得在保证在原有网络架构的基础上，以最低的安全设备成本保证终端设备的安全性。

有鉴于此，本申请第一方面提供了一种工业互联网内的设备安全系统，所述系统包括：

安全盒子，用于对受保护设备输出的数据进行加密后输出至以太网；对以太网输入的数据进行解密后发送至所述受保护设备；按照预置抓包规则抓取输入的数据包，并将数据包上传至设备管理平台；

所述设备管理平台用于配置所述预置抓包规则，并将抓包规则下发至所述安全盒子；提取所述数据包的特征，对提取的特征进行分析学习，生成安全策略角色，并将所述安全策略角色下发给所述安全盒子，所述安全策略角色用于为所述安全盒子提供过滤规则，对流经所述安全盒子的出入站流量按照所述过滤规则进行拦截与放行；

数字身份认证系统，用于分配和管理所述安全盒子及内置安全芯片的数字身份；对所述安全盒子的内置安全芯片进行双向身份认证，身份认证通过后，建立所述内置安全芯片与所述身份认证系统的数据通信的安全通道，使得所述设备管理平台通过所述数字身份认证系统与所述内置安全芯片之间的安全通道，将所述安全策略角色下发至所述内置安全芯片。

可选的，所述内置安全芯片还用于存储加/解密数据用到的密匙以及加/解密算法；

所述内置安全芯片还用于实现加/解密计算；

所述设备管理平台还用于通过所述安全通道将用于加/解密数据的密匙分发至所述内置安全芯片。

可选的，所述设备管理平台还用于接收所述安全盒子上传的心跳数据，对盒子及其连接的受保护设备状态进行监控，当出现异常数据或流量超限的情况时进行报警，并生成相应的数据统计报告，使得管理人员根据所述数据管理报告对所述安全策略角色进行更新。

可选的，所述数字身份认证系统还用于分配和管理与所述数字身份认证系统进行双向安全认证的所述内置安全芯片及对应的安全盒子的数字身份，通过所述安全通道向所述内置安全芯片下发版本固件以及所述安全策略角色。

可选的，所述安全盒子还用于发送心跳数据至设备管理平台，所述心跳数据包括安全盒子ID、所述安全盒子连接的受保护设备MAC地址、所述安全盒子的版本信息以及内置安全芯片的版本信息、所述安全盒子的在线状态、所述安全盒子连接的被保护设备的状态、所述安全盒子的数据统计信息；

所述设备管理平台还用于当所述安全盒子以及所述内置安全芯片的版本需要更新时，下发配置更新指令至所述安全盒子，所述配置更新指令包括获取更新的通知，并将配置文件移交至数字身份认证平台，所述配置文件包括版本固件以及所述安全策略角色；

当所述安全盒子收到所述配置更新指令后，连接所述数字身份认证平台，并与所述数字身份认证平台进行双向认证，身份认证通过后，所述内置安全芯片与数字身份认证平台建立点对点安全通道，通过所述安全通道获取所述配置文件，所述数字身份认证平台下发所述配置文件后下发通知至所述设备管理平台。

可选的，所述内置安全芯片还用于对所述安全盒子进行身份认证。

可选的，所述安全盒子还用于建立所述内置安全芯片与所述设备管理平台的双向鉴权，使得保证所述安全盒子与所述设备管理平台的通信安全；双向鉴权成功后生成会话密匙，会话密匙保存于所述内置安全芯片。

本申请第二方面提供一种工业互联网的设备行为管理方法，所述方法包括：

对从发送端流经所述安全盒子的数据进行加密并修改数据的IP头标志位以标注所述数据包已经经过加密，接收端在接收到加密后的数据包，利用对应传输密钥对数据包进行解密，并将解密后的数据包转发至接收端的受保护设备；

对从受保护设备输出的数据进行加密；并将该数据包的IP头文件增加加密标识；将加密后的数据输出至以太网中。

可选的，9、在所述从发送端流经所述安全盒子的数据进行加密并修改数据的IP头标志位以标注所述数据包已经经过加密，接收端在接收到加密后的数据包，利用对应传输密钥对数据包进行解密，并将解密后的数据包转发至接收端的受保护设备，之前还包括：

绑定到相应的设备管理平台，与数字身份认证系统进行双向身份认证，并建立内置安全芯片与所述数字身份认证系统的安全通道。

可选的，还包括：

根据预置抓包规则抓取预置时间内从以太网输入的数据包，并将数据包上传至设备管理平台；

所述设备管理平台提取所述数据包的特征，对提取的特征进行分析学习，生成安全策略角色。

可选的，还包括：

发送心跳数据至所述设备管理平台，所述心跳数据包括安全盒子ID、所述安全盒子连接的受保护设备MAC地址、所述安全盒子的版本信息以及内置安全芯片的版本信息、所述安全盒子的在线状态、所述安全盒子连接的被保护设备的状态、所述安全盒子的数据统计信息；

当所述设备管理平台检测到所述安全盒子以及所述内置安全芯片的配置文件需要更新时，下发配置更新指令至所述安全盒子，所述配置更新指令包括获取更新的通知，并将配置文件移交至数字身份认证平台，所述配置文件包括版本固件以及所述安全策略角色；

当收到所述配置更新指令后，自动连接所述数字身份认证平台，并与所述数字身份认证平台进行双向认证，身份认证通过后，所述内置安全芯片与数字身份认证平台建立点对点安全通道，通过所述安全通道获取所述配置文件，所述数字身份认证平台下发所述配置文件后下发通知至所述设备管理平台。

可选的，还包括：

设备管理平台接收所述安全盒子上传的心跳数据，对盒子及其连接的受保护设备状态进行监控，当出现异常数据或流量超限的情况时进行报警，并生成相应的数据统计报告，使得管理人员根据所述数据管理报告对所述安全策略角色进行更新。

从以上技术方案可以看出，本申请具有以下优点：

本申请实施例中，提供了一种工业互联网内的设备安全系统，包括：

安全盒子，用于对受保护设备输出的数据进行加密后输出至以太网；对以太网输入的数据进行解密后发送至受保护设备；按照预置抓包规则抓取输入的数据包，并将数据包上传至设备管理平台；设备管理平台用于配置预置抓包规则，并将抓包规则下发至安全盒子；提取数据包的特征，对提取的特征进行分析学习，生成安全策略角色，并将安全策略角色下发给安全盒子，安全策略角色用于为安全盒子提供过滤规则，对流经安全盒子的出入站流量按照过滤规则进行拦截与放行；数字身份认证系统，用于分配和管理安全盒子及内置安全芯片的数字身份；对安全盒子的内置安全芯片进行双向身份认证，身份认证通过后，建立内置安全芯片与身份认证系统的数据通信的安全通道，使得设备管理平台通过数字身份认证系统与内置安全芯片之间的安全通道，将安全策略角色下发至内置安全芯片。

本申请通过安全盒子将输入受保护设备设备的数据进行解密，对受保护设备设备输出的数据进行加密的方式，保证的受保护设备设备的通信安全；安全盒子通过采集预置时间内从以太网输入至安全盒子内的数据，设备管理平台通过对采集的数据进行抓取，特征提取以及分析学习得到用于判断哪些数据为安全数据哪些数据存在安全隐患的安全策略角色，从而使得安全盒子对从以太网接收的数据进行放行输入至受保护设备，或者从对以太网接收的数据进行拦截，保证的工业互联网终端设备的安全性；另外通过数字身份认证系统与安全盒子的内置安全芯片之间进行双向身份认证，保证了设备的身份安全，通过建立数字身份认证系统与内置安全芯片之间用于核心数据传输的安全通道，保证的数据传输的安全性。

附图说明

图1为本申请一种工业互联网内的设备安全系统的第一个实施例的系统架构图；

图2为本申请一种工业互联网内的设备安全系统的第二个实施例的系统架构图；

图3为本申请一种工业互联网的设备行为管理方法的第一个实施例的方法流程图；

图4为本申请一种工业互联网的设备行为管理方法的第二个实施例的方法流程图；

图5为本申请一种工业互联网的设备行为管理方法的一个具体实施例中的对安全策略角色进行更新的交互示意图。

具体实施方式

现有的工业物联网的网络架构中，受保护设备直接通过以太网与应用服务器进行交互，使得受保护设备的安全性得不到保障。本申请通过添加安全盒子，设备管理平台以及数字身份认证系统设备构成的设备安全系统，能够通过将输入受保护设备设备的数据进行解密，对受保护设备设备输出的数据进行加密的方式，保证的受保护设备设备的通信安全；安全盒子通过采集预置时间内从以太网输入至安全盒子内的数据，设备管理平台通过对采集的数据进行抓取，特征提取以及分析学习得到用于判断哪些数据为安全数据哪些数据存在安全隐患的安全策略模型，从而使得安全盒子对从以太网接收的数据进行放行输入至受保护设备，或者从对以太网接收的数据进行拦截，保证的工业互联网终端设备的安全性；另外通过数字身份认证系统与安全盒子的内置安全芯片之间进行双向身份认证，保证了设备的身份安全，通过建立数字身份认证系统与内置安全芯片之间用于核心数据传输的安全通道，保证的数据传输的安全性。

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

实施例1：

图1为本申请一种工业互联网内的设备安全系统的一个实施例的系统架构图，如图1所示，图1中包括：

安全盒子101，用于对受保护设备输出的数据进行加密后输出至以太网；对以太网输入的数据进行解密后发送至受保护设备；按照预置抓包规则抓取输入的数据包，并将数据包上传至设备管理平台；

需要说明的是，安全盒子101可以将受保护设备输出的数据进行加密后输出至以太网，对于以太网中输入至受保护设备的数据都需要在安全盒子101中进行解密，再将解密后的数据输入受保护设备，从而保证了受保护设备的数据安全性。另外，安全盒子101还可以根据预置抓包规则获取预置时间内从以太网输入的数据包，并将数据包进行存储。其中预置时间可以根据需要进行设定，例如可以设定为一个星期或者一个月，为了避免存储空间不足的问题，数据包的获取方式可以用抓取的方式，随即进行抓取，例如可以每间隔15分钟抓取一次。另外，安全盒子包括内置安全芯片，用于存放对网络负载数据进行加/解密处理的算法和密钥(业务算法和业务密钥)，内置安全芯片支持国密和国际算法。

设备管理平台102用于配置所述预置抓包规则，并将预置抓包规则下发至所述安全盒子；提取数据包的特征，对提取的特征进行分析学习，生成安全策略角色，并将所述安全策略角色下发给所述安全盒子，所述安全策略角色用于为所述安全盒子提供过滤规则，对流经所述安全盒子的出入站流量按照所述过滤规则进行拦截与放行；

设备管理平台102可以用于配置预置抓包规则，预置抓包规则包括抓包数量、抓包网卡、抓包持续时间等信息，并将预置抓包规则下发至安全盒子101，使得安全盒子101执行抓包任务后将所抓取的数据包上传至设备管理平台102。安全策略角色用于判断安全盒子101接收的数据是否为安全数据，使得根据安全策略角色与接收的数据的匹配结果，对接收的数据进行放行或者拦截。例如，数据包的特征包括数据包的源地址、目标地址、端口、网络层协议、传输层协议、应用层协议、请求头关键字、响应头关键字等。设备管理平台102可以提取一段时间内数据包的常用源地址(从数据包中学习到的源地址特征)，则安全盒子可以根据带有常用源地址的安全策略角色，对从以太网输入的数据包的源地址进行判断，若新输入数据包的源地址与安全策略角色中的源地址不同，则说明发送数据包的设备不是受保护设备的常用交互设备，则输入的数据包可能存在安全性问题，需要进行拦截。同样，也可以根据数据包的其他特征(目标地址、端口、网络层协议、传输层协议、应用层协议、请求头关键字、响应头关键字等)与安全策略角色进行匹配，判断数据包是否存在安全性问题。

数字身份认证系统103，用于分配和管理所述安全盒子及内置安全芯片的数字身份；对所述安全盒子的内置安全芯片进行双向身份认证，身份认证通过后，建立所述内置安全芯片与所述身份认证系统的数据通信的安全通道，使得所述设备管理平台通过所述数字身份认证系统与所述内置安全芯片之间的安全通道，将所述安全策略角色下发至所述内置安全芯片。

需要说明的是，数字身份认证系统103用于分配和管理所述安全盒子及内置安全芯片的数字身份，对于内置安全芯片，通过唯一的SEID+key的形式赋予其数字身份；对于安全盒子，通过唯一的DEVICEID+key的形式赋予其数字身份，只有拥有合法数字身份且安全盒子与内嵌安全芯片身份正确对应的设备可以在设备管理平台入网注册和使用，以此来保障设备本身的合法性；通过建立到内置安全芯片的点对点的安全通道来保证设备管理平台102能安全地将机密数据分发到内置安全芯片中。本申请通过安全盒子将输入受保护设备设备的数据进行解密，对受保护设备设备输出的数据进行加密的方式，保证的受保护设备设备的通信安全；安全盒子通过采集预置时间内从以太网输入至安全盒子内的数据，设备管理平台通过对采集的数据进行抓取，特征提取以及分析学习得到用于判断哪些数据为安全数据哪些数据存在安全隐患的安全策略模型，从而使得安全盒子对从以太网接收的数据进行放行输入至受保护设备，或者从对以太网接收的数据进行拦截，保证的工业互联网终端设备的安全性；另外通过数字身份认证系统与安全盒子的内置安全芯片之间进行双向身份认证，保证了设备的身份安全，通过建立数字身份认证系统与内置安全芯片之间用于核心数据传输的安全通道，保证的数据传输的安全性。

实施例2：

本申请还提供了一种工业互联网内的设备安全系统的第二个实施例，如图2所示：

图2中的安全盒子101的内置安全芯片还用于存储加/解密数据用到的密匙以及加/解密算法；设备管理平台102还用于通过安全通道将用于加/解密数据的密匙分发至内置安全芯片，并实现加/解密计算。

需要说明的是，设备管理平台102对所有安全盒子的业务密钥进行管理和同步，包括：对业务密钥的安装、更新、启用和同步。同组的安全盒子使用同样业务密钥，设备管理平台采用特定的机制和方法来保证业务密钥的一致性和同步更新，并可以通过安全通道将业务密匙下发至同组安全盒子101的内置安全芯片。

在一种具体的实施方式中，设备管理平台102还用于接收安全盒子上传的心跳数据，对盒子及其连接的受保护设备状态进行监控，当出现异常数据或流量超限的情况时进行报警，并生成相应的数据统计报告，使得管理人员根据所述数据管理报告对安全策略角色进行更新。

需要说明的是，设备管理平台能进行威胁分析及报警机制，即能够接收安全盒子上传的心跳数据，对盒子及其连接的受保护设备状态进行监控，当出现异常数据或流量超限的情况时进行报警，并生成相应的数据统计报告，使得管理人员根据所述数据管理报告对所述安全策略角色进行更新。

在一种具体的实施方式中，数字身份认证系统103还用于分配和管理与数字身份认证系统进行双向安全认证的内置安全芯片及对应的安全盒子的数字身份，通过安全通道向内置安全芯片下发版本固件以及安全策略角色。

需要说明的是，数字身份认证系统103还可以用于登记、注册和管理合法的安全盒子及其内置安全芯片；还用于通过安全盒子101内置安全芯片对安全盒子101进行身份认证；通过与建立与内置安全芯片的点对点的安全通道，保证设备管理平台102至安全盒子101、安全盒子101至设备管理平台102之间的通信安全；还用于对连接数字身份认证系统103的设备管理平台102进行管理与授权。

安全盒子101还用于周期性的发送心跳数据至设备管理平台102，心跳数据包括安全盒子ID、安全盒子101连接的受保护设备MAC地址ID、安全盒子的版本信息、内置安全芯片的版本信息、安全盒子的在线状态、安全盒子连接的被保护设备的状态、安全盒子的数据统计信息；

设备管理平台102还用于当安全盒子101以及内置安全芯片的版本需要更新时，下发配置更新指令至安全盒子，配置更新指令包括获取更新的通知，并将配置文件移交至数字身份认证平台103，配置文件包括版本固件以及安全策略角色；

当安全盒子101收到配置更新指令后，连接数字身份认证平台103，并与数字身份认证平台103进行双向认证，身份认证通过后，内置安全芯片与数字身份认证平台建立点对点安全通道，通过安全通道获取配置文件，数字身份认证平台下发配置文件后下发通知至设备管理平台。

需要说明的是，安全盒子101可以每间隔预置时间发送心跳数据至设备管理平台102。其中，心跳数据包括安全盒子ID、安全盒子连接的受保护设备MAC、安全盒子的版本信息以及内置安全芯片的版本信息，还可以包括安全策略角色的版本信息、安全盒子的在线状态、安全盒子连接的被保护设备的状态、安全盒子的数据统计信息(包括通过的流量、通过的时间)。设备管理平台102还用于将获取的心跳数据中的安全盒子与内置安全芯片的版本信息与最新的版本信息进行比对，当检测到安全盒子以及内置安全芯片的版本需要更新时，下发包括通知固件更新的响应心跳数据至安全盒子101，当安全盒子101收到响应心跳数据后，自动连接数字身份认证平台103，并通过安全通道获取配置文件，数字身份认证平台103下发配置文件后下发通知至设备管理平台。

另外，本申请中固件更新、策略更新及其他配置文件的更新，均由设备管理平台102发起，通过数字身份系统103通过安全通道下发至盒子安全芯片，再由安全芯片抓发至安全盒子101的硬件CPU。

在一种具体的实施方式中，内置安全芯片还用于对安全盒子进行身份认证。

在一种具体的实施方式中，安全盒子101还用于建立内置安全芯片与设备管理平台的双向鉴权，使得保证安全盒子与设备管理平台的通信安全；双向鉴权成功后生成会话密匙，会话密匙保存于内置安全芯片。

本申请在不改变原有网络结构的基础上，受保护设备设备接入安全盒子输入端的同时，安全盒子输出端接入原有网络结构，对终端设备与外界交互收发的数据进行加密处理建立网络安全通道；另外，通过安全盒子将输入受保护设备设备的数据进行解密，对受保护设备设备输出的数据进行加密的方式，保证的受保护设备设备的通信安全；安全盒子通过采集预置时间内从以太网输入至安全盒子内的数据，设备管理平台通过对采集的数据进行抓取，特征提取以及分析学习得到用于判断哪些数据为安全数据哪些数据存在安全隐患的安全策略模型，从而使得安全盒子对从以太网接收的数据进行放行输入至受保护设备，或者从对以太网接收的数据进行拦截，保证的工业互联网终端设备的安全性；另外通过数字身份认证系统与安全盒子的内置安全芯片之间进行双向身份认证，保证了设备的身份安全，通过建立数字身份认证系统与内置安全芯片之间用于核心数据传输的安全通道，保证的数据传输的安全性。通过构建了安全盒子-设备管理平台(DMP)-物联网数字身份认证系统(AUC)的整套设备安全系统架构，保障工业互联网数据传输的安全性。

实施例3：

本申请还提供了一种工业互联网的设备行为管理方法的一个实施例，如图3所示，图3中包括：

201、对从发送端流经安全盒子的数据进行加密并修改数据的IP头标志位以标注数据包已经经过加密，接收端在接收到加密后的数据包，利用对应传输密钥对数据包进行解密，并将解密后的数据包转发至接收端的受保护设备；

需要说明的是，对于以太网中输入至受保护设备的加密数据可以在安全盒子中进行解密，再将解密后的数据与安全策略角色进行匹配，若匹配成功，则将匹配成功的数据发送至受保护设备，从而保证了受保护设备的数据安全性。

安全盒子可以将设备管理平台发送的安全策略角色解析为安全规则，通过安全规则实现安全盒子的白名单机制，白名单机制确保安全盒子可以过滤不符合L2～L7层的协议的数据，即安全盒子可以控制L2～L7层的网络数据包放行或者拦截。

其中，L2规则的执行：能够拒绝或者允许特定的源MAC地址和目标MAC地址的IP包的通过。

L3规则的执行：能够拒绝或者允许特定的源IP地址和目标IP地址或者IP子网的IP包的通过。

L4规则的执行：能够拒绝或者允许特定的源端口号和目标端口号，端口范围的IP包的通过。

L7规则的执行：能够根据特征值所描述的偏移以及字段拒绝或者允许IP包的通过。

202、对从受保护设备输出的数据进行加密；并将数据包的IP头文件增加加密标识；将加密后的数据输出至以太网中。

需要说明的是，安全盒子可以将受保护设备输出的数据进行加密后，将加密后的数据包的IP头增加加密标识，再将加密后的数据输出至以太网。

本申请通过将输入受保护设备设备的数据进行解密，对受保护设备设备输出的数据进行加密的方式，保证的受保护设备设备的通信安全；通过用于判断哪些数据为安全数据，哪些数据存在安全隐患的安全策略角色，从而对从以太网输入的数据进行放行输入至受保护设备，或者从对以太网接收的数据进行拦截，保证的工业互联网终端设备的安全性。

实施例4：

本申请还提供了一种工业互联网的设备行为管理方法的另外一个实施例，如图4所示，图4中包括：

301、绑定到相应的设备管理平台，与数字身份认证系统进行双向身份认证，并建立内置安全芯片与数字身份认证系统的安全通道；

需要说明的是，安全盒子可以绑定到相应的设备管理平台，设备管理平台对安全盒子进行管理和分组；数字身份认证系统可以对安全盒子的内置安全芯片进行双向身份认证，建立内置安全芯片与设备管理平台的数据通信的安全通道，使得设备管理平台通过数字身份认证系统与内置安全芯片之间的安全通道，将安全策略角色下发至内置安全芯片。

302、根据预置抓包规则抓取预置时间内从以太网输入的数据包，并将数据包上传至设备管理平台；设备管理平台提取数据包的特征，对提取的特征进行分析学习，生成安全策略角色；

需要说明的是，安全盒子可以获取预置时间内从以太网输入的数据包，并将数据包进行存储；并将数据包上传至设备管理平台，数据管理平台可以提取数据包的特征，对提取的特征进行分析学习，生成安全策略角色。

303、设备管理平台接收安全盒子上传的心跳数据，对盒子及其连接的受保护设备状态进行监控，当出现异常数据或流量超限的情况时进行报警，并生成相应的数据统计报告，使得管理人员根据数据管理报告对安全策略角色进行更新。

需要说明的是，设备管理平台能进行威胁分析及报警机制，设备管理平台能够获取不符合安全策略角色的未知网络数据或其特征值，设备管理平台对未知网络数据或其特征值统一进行威胁分析及报警，生成相关管理报告，管理人员可据此升级或更新安全策略角色。

304、发送心跳数据至设备管理平台，心跳数据包括安全盒子ID、安全盒子连接的受保护设备MAC地址、安全盒子的版本信息以及内置安全芯片的版本信息、安全盒子的在线状态、安全盒子连接的被保护设备的状态、安全盒子的数据统计信息；

305、当设备管理平台检测到安全盒子以及内置安全芯片的配置文件需要更新时，下发配置更新指令至安全盒子，配置更新指令包括获取更新的通知，并将配置文件移交至数字身份认证平台，配置文件包括版本固件以及安全策略角色；

306、当收到配置更新指令后，自动连接数字身份认证平台，并与数字身份认证平台进行双向认证，身份认证通过后，内置安全芯片与数字身份认证平台建立点对点安全通道，通过安全通道获取配置文件，数字身份认证平台下发配置文件后下发通知至设备管理平台。

需要说明的是，安全盒子可以每间隔预置时间发送心跳数据至设备管理平台。其中，心跳数据包括安全盒子ID、安全盒子连接的受保护设备MAC、安全盒子的版本信息以及内置安全芯片的版本信息，还可以包括安全策略角色的版本信息。设备管理平台还用于将获取的心跳数据中的安全盒子与内置安全芯片的版本信息与最新的版本信息进行比对，当检测到安全盒子以及内置安全芯片的版本需要更新时，下发包括通知固件更新的响应心跳数据至安全盒子，当安全盒子收到响应心跳数据后，自动连接数字身份认证平台，并通过安全通道获取配置文件，数字身份认证平台下发配置文件后下发通知至设备管理平台。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

本申请的说明书及上述附图中的术语“第一”、“第二”、“第三”、“第四”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例例如能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

应当理解，在本申请中，“至少一个(项)”是指一个或者多个，“多个”是指两个或两个以上。“和/或”，用于描述关联对象的关联关系，表示可以存在三种关系，例如，“A和/或B”可以表示：只存在A，只存在B以及同时存在A和B三种情况，其中A，B可以是单数或者复数。字符“/”一般表示前后关联对象是一种“或”的关系。“以下至少一项(个)”或其类似表达，是指这些项中的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a，b或c中的至少一项(个)，可以表示：a，b，c，“a和b”，“a和c”，“b和c”，或“a和b和c”，其中a，b，c可以是单个，也可以是多个。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统和方法，可以通过其它的方式实现。例如，以上所描述的安全盒子的实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

以上所述，以上实施例仅用以说明本申请的技术方案，而非对其限制；尽管参照前述实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的精神和范围。

Claims (10)

1.一种工业互联网内的设备安全系统，其特征在于，包括：

安全盒子，用于对受保护设备输出的数据进行加密后输出至以太网；对以太网输入的数据进行解密后发送至所述受保护设备；按照预置抓包规则抓取输入的数据包，并将数据包上传至设备管理平台；

所述设备管理平台用于配置所述预置抓包规则，并将预置抓包规则下发至所述安全盒子；提取数据包的特征，对提取的特征进行分析学习，生成安全策略角色，并将所述安全策略角色下发给所述安全盒子，所述安全策略角色用于为所述安全盒子提供过滤规则，对流经所述安全盒子的出入站流量按照所述过滤规则进行拦截与放行；

数字身份认证系统，用于分配和管理所述安全盒子及内置安全芯片的数字身份；对所述安全盒子的内置安全芯片进行双向身份认证，身份认证通过后，建立所述内置安全芯片与所述数字身份认证系统的数据通信的安全通道，使得所述设备管理平台通过所述数字身份认证系统与所述内置安全芯片之间的安全通道，将所述安全策略角色下发至所述内置安全芯片；

所述设备管理平台还用于接收所述安全盒子上传的心跳数据，对盒子及其连接的受保护设备状态进行监控，当出现异常数据或流量超限的情况时进行报警，并生成相应的数据统计报告，使得管理人员根据所述数据统计报告对所述安全策略角色进行更新。

2.根据权利要求1所述的工业互联网内的设备安全系统，其特征在于，所述内置安全芯片还用于存储加/解密数据用到的密匙以及加/解密算法；

所述内置安全芯片还用于实现加/解密计算；

所述设备管理平台还用于通过所述安全通道将用于加/解密数据的密匙分发至所述内置安全芯片。

3.根据权利要求1所述的工业互联网内的设备安全系统，其特征在于，所述数字身份认证系统还用于分配和管理与所述数字身份认证系统进行双向安全认证的所述内置安全芯片及对应的安全盒子的数字身份，通过所述安全通道向所述内置安全芯片下发版本固件以及所述安全策略角色。

4.根据权利要求1所述的工业互联网内的设备安全系统，其特征在于，所述安全盒子还用于发送心跳数据至设备管理平台，所述心跳数据包括安全盒子ID、所述安全盒子连接的受保护设备MAC地址、所述安全盒子的版本信息以及内置安全芯片的版本信息、所述安全盒子的在线状态、所述安全盒子连接的被保护设备的状态、所述安全盒子的数据统计信息；

所述设备管理平台还用于当所述安全盒子以及所述内置安全芯片的版本需要更新时，下发配置更新指令至所述安全盒子，所述配置更新指令包括获取更新的通知，并将配置文件移交至数字身份认证平台，所述配置文件包括版本固件以及所述安全策略角色；

当所述安全盒子收到所述配置更新指令后，连接所述数字身份认证平台，并与所述数字身份认证平台进行双向认证，身份认证通过后，所述内置安全芯片与数字身份认证平台建立点对点安全通道，通过所述安全通道获取所述配置文件，所述数字身份认证平台下发所述配置文件后下发通知至所述设备管理平台。

5.根据权利要求1所述的工业互联网内的设备安全系统，其特征在于， 所述内置安全芯片还用于对所述安全盒子进行身份认证。

6.根据权利要求1所述的工业互联网内的设备安全系统，其特征在于，所述安全盒子还用于建立所述内置安全芯片与所述设备管理平台的双向鉴权，使得保证所述安全盒子与所述设备管理平台的通信安全；双向鉴权成功后生成会话密匙，会话密匙保存于所述内置安全芯片。

7.一种工业互联网的设备行为管理方法，其特征在于，应用于如权利要求1至6任意一项所述的工业互联网内的设备安全系统，包括：对从发送端流经安全盒子的数据进行加密并修改数据的IP头标志位以标注数据包已经经过加密，接收端在接收到加密后的数据包，利用对应传输密钥对数据包进行解密，并将解密后的数据包转发至接收端的受保护设备；

对从受保护设备输出的数据进行加密；并将数据包的IP头文件增加加密标识；将加密后的数据输出至以太网中；

设备管理平台接收所述安全盒子上传的心跳数据，对盒子及其连接的受保护设备状态进行监控，当出现异常数据或流量超限的情况时进行报警，并生成相应的数据统计报告，使得管理人员根据所述数据统计报告对所述安全策略角色进行更新。

8.根据权利要求7所述的工业互联网的设备行为管理方法，其特征在于，在所述从发送端流经所述安全盒子的数据进行加密并修改数据的IP头标志位以标注数据包已经经过加密，接收端在接收到加密后的数据包，利用对应传输密钥对数据包进行解密，并将解密后的数据包转发至接收端的受保护设备，之前还包括：

绑定到相应的设备管理平台，与数字身份认证系统进行双向身份认证，并建立内置安全芯片与所述数字身份认证系统的安全通道。

9.根据权利要求8所述的工业互联网的设备行为管理方法，其特征在于，还包括：

根据预置抓包规则抓取预置时间内从以太网输入的数据包，并将数据包上传至设备管理平台；

所述设备管理平台提取所述数据包的特征，对提取的特征进行分析学习，生成安全策略角色。

10.根据权利要求8所述的工业互联网的设备行为管理方法，其特征在于，还包括：

发送心跳数据至所述设备管理平台，所述心跳数据包括安全盒子ID、所述安全盒子连接的受保护设备MAC地址、所述安全盒子的版本信息以及内置安全芯片的版本信息、所述安全盒子的在线状态、所述安全盒子连接的被保护设备的状态、所述安全盒子的数据统计信息；

当所述设备管理平台检测到所述安全盒子以及所述内置安全芯片的配置文件需要更新时，下发配置更新指令至所述安全盒子，所述配置更新指令包括获取更新的通知，并将配置文件移交至数字身份认证平台，所述配置文件包括版本固件以及所述安全策略角色；

当收到所述配置更新指令后，自动连接所述数字身份认证平台，并与所述数字身份认证平台进行双向认证，身份认证通过后，所述内置安全芯片与数字身份认证平台建立点对点安全通道，通过所述安全通道获取所述配置文件，所述数字身份认证平台下发所述配置文件后下发通知至所述设备管理平台。

Images