CN115118479A - 一种工控主机安全配置核查系统及方法 - Google Patents

一种工控主机安全配置核查系统及方法 Download PDF

Info

Publication number
CN115118479A
CN115118479A CN202210710561.5A CN202210710561A CN115118479A CN 115118479 A CN115118479 A CN 115118479A CN 202210710561 A CN202210710561 A CN 202210710561A CN 115118479 A CN115118479 A CN 115118479A
Authority
CN
China
Prior art keywords
checking
result
security configuration
security
equipment
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210710561.5A
Other languages
English (en)
Inventor
郦建新
阮涛
黄佳
左海波
张扬
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhejiang Qi'an Information Technology Co ltd
Original Assignee
Zhejiang Qi'an Information Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhejiang Qi'an Information Technology Co ltd filed Critical Zhejiang Qi'an Information Technology Co ltd
Priority to CN202210710561.5A priority Critical patent/CN115118479A/zh
Publication of CN115118479A publication Critical patent/CN115118479A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0866—Checking the configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Virology (AREA)
  • Storage Device Security (AREA)

Abstract

本发明实施例公开了一种工控主机配置核查系统及方法。系统包括核查设备及便携式设备。便携式设备包括存储区和加密区，存储区固化有安全配置核查程序，存储区只读无法写入，加密区写入时需进行安全验证；核查设备用于生成安全配置核查策略文件；便携式设备用于离线获取所述安全配置核查策略文件，将其存储至加密区，完成对目标设备的核查，得到核查结果；核查设备还用于生成核查报告。本发明采用便携式设备离线获取安全核查策略文件，使得配置核查具有安全性和易用性；便携式设备包括存储区和加密区，存储区只读无法写入，加密区写入时则需要进行密码安全验证，从而避免了恶意代码的入侵；此外，本发明可适用于多种场景，具有通用性。

Description

一种工控主机安全配置核查系统及方法
技术领域
本发明涉及工控技术领域，具体涉及一种工控主机安全配置核查系统及方法。
背景技术
在全球智能化社会背景下，一直以来被认为相对安全的工业控制系统日益成为敌对势力和黑客攻击的重要目标，对安全和民生造成严重威胁。
在我国，电力、化工、城市交通、市政等涉及国计民生的重点行业领域都在广泛应用工业控制系统。随着互联网与工业控制网络加速融合，各种通用标准协议规约在工业控制系统中得到广泛应用，一方面实现了设备运行的网络化和自动化，大大提高了设备的互操作性；另一方面，标准协议规约的开放性和标准性也带来很多信息安全问题。
现代工控系统构成复杂,涵盖的信息资产种类繁多,对工控主机的安全配置核查能提高工控系统应对安全风险的能力。传统的通过人工检测的方式带来的失误和遗漏风险无法适应现代工控系统进行安全管理，自动化的工控主机系统的安全配置核查能够极大的提高检查准确率和效率，是工控系统发展必然要求。但现有的自动核查方法大都存在被恶意代码侵入的风险。
发明内容
本发明实施例的目的在于提供一种工控主机安全核查系统及方法，以避免在自动核查过程中被恶意代码入侵的风险。
为实现上述目的，第一方面，本发明实施例提供了一种工控主机配置核查系统，包括核查设备及便携式设备。其中，所述便携式设备包括存储区和加密区，所述存储区固化有安全配置核查程序，所述存储区只读无法写入，所述加密区写入时需要进行安全验证。
所述核查设备用于生成安全配置核查策略文件；
所述便携式设备用于离线获取所述安全配置核查策略文件，将其存储至所述加密区，并根据所述安全配置核查策略文件和安全配置核查程序完成对目标设备的核查，得到核查结果；
所述核查设备还用于根据所述核查结果生成核查报告。
作为本申请的一种具体实施方式，所述安全配置核查策略文件包括核查项、命令行、解析策略及判断标准策略；所述便携式设备对目标设备核查具体为：
离线下载所述安全配置核查策略至所述便携式设备的加密区；
将所述便携式设备插入所述目标设备；
在所述目标设备上，待所述安全配置核查程序完成安全验证后，通过所述安全配置核查程序从所述加密区读取所述安全核查策略文件；
通过所述安全配置核查程序执行所述命令行得到核查结果，并将所述结果保存至所述加密区。
作为本申请的一种具体实施方式，所述核查设备用于根据所述核查结果生成核查报告具体为：
接收所述加密区回传的所述核查结果；
采用所述解析策略对所述核查结果进行解析，得到解析结果；
采用所述判断标准策略对所述解析结果进行判定，得到判定结果；
通过所述核查项、核查结果及判定结果生成所述核查报告。
在本申请的某些优选实施方式中，上述便携式设备优选为U盘。
进一步地，作为本申请的一种优选实施方式，所述核查设备还用于：
远程登录目标设备，根据安全配置核查策略文件对目标设备进行配置核查。
第二方面，本申请实施例还提供了一种工控主机配置核查方法，适用于核查系统。该核查系统包括核查设备及便携式设备，所述便携式设备包括存储区和加密区，所述存储区固化有安全配置核查程序；所述核查方法包括：
所述核查设备生成安全配置核查策略文件；
所述便携式设备离线获取所述安全配置核查策略，并存储至所述加密区；
所述便携式设备插入目标设备，根据所述安全配置核查策略文件，在所述目标设备上执行所述安全配置核查程序，得到核查结果；
所述核查设备接收所述核查结果，并根据所述核查结果生成核查报告。
与现有技术相比，实施本发明实施例，具有如下优点：
1、采用便携式设备离线获取安全核查策略文件，使得配置核查具有安全性和易用性；
2、便携式设备包括存储区和加密区，存储区只读无法写入，加密区写入时则需要进行密码安全验证，从而避免了恶意代码的入侵；
3、可远程实现对工控主机系统的安全配置核查，从而提供了便利性；
4、本发明可适用于多种场景，既可实现工控主机的远程在线安全配置核查，也可实现工控主机的离线安全配置核查，具有通用性。
附图说明
为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍。
图1是本发明实施例提供的工控主机配置核查系统的结构图；
图2是本发明实施例提供的工控主机配置核查方法的示意流程图；
图3是图2中离线核查的子流程图；
图4是图2中在线核查的子流程图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
应当理解，当在本说明书和所附权利要求书中使用时，术语“包括”和“包含”指示所描述特征、整体、步骤、操作、元素和/或组件的存在，但并不排除一个或多个其它特征、整体、步骤、操作、元素、组件和/或其集合的存在或添加。
为更好地理解本发明实施例，先对本发明实施例所涉及的技术用语解释如下：
smb，协议名，被用于Warp连接，实现客户端与服务器之间的信息沟通。
ssh，协议名，为远程登录会话和其他网络服务提供安全性的协议，能够有效防止远程管理过程中信息泄露。
telnet，协议名，是TCP/IP协议族中的一种，是Internet远程登录服务的标准协议和主要方式；它为用户提供在本地计算机上完成的远程主机工作的能力，是常用的远程控制Web服务器的方法。
请参考图1，本发明实施例提供的工控主机配置核查系统包括核查设备100及便携式设备200。
在本实施例中，便携式设备200优选为U盘，其包括存储区(即光盘分区)和加密区(即加密分区)两个。其中，光盘分区主要用于固定安全配置核查程序，加密分区主要用于安全的存储数据，例如存储从核查设备处获取的安全配置核查策略文件。且，光盘分区只读无法写入，加密分区写入时需要进行密码安全认证。
具体地，所述核查设备100用于生成安全配置核查策略文件；
所述便携式设备200用于离线获取所述安全配置核查策略文件，将其存储至所述加密区，并根据所述安全配置核查策略文件和安全配置核查程序完成对目标设备的核查，得到核查结果；
所述核查设备200还用于根据所述核查结果生成核查报告。
具体地，前述的安全配置核查策略文件包括核查项、命令行、解析策略及判断标准策略等。举例来说，检查项包括但不仅限于：检查用户缺省访问权限是否符合规范、检测telnet是否限制具备超级管理员权限的用户直接远程登录、检测ssh是否限制具备超级管理员权限的用户直接远程登录、检测采用静态口令认证技术的设备密码长度是否符合规范、检测采用静态口令认证技术的设备密码生存期是否满足规范等等。
所述便携式设备100对目标设备核查具体为：
离线下载所述安全配置核查策略至所述便携式设备200的加密区；
将所述便携式设备200插入所述目标设备；
在所述目标设备上，待所述安全配置核查程序完成安全验证后，通过所述安全配置核查程序从所述加密区读取所述安全核查策略文件；
通过所述安全配置核查程序执行所述命令行得到核查结果，并将所述结果保存至所述加密区。
在本实施例中，所述核查设备100用于根据所述核查结果生成核查报告具体为：
接收所述加密区回传的所述核查结果；
采用所述解析策略对所述核查结果进行解析，得到解析结果；
采用所述判断标准策略对所述解析结果进行判定，得到判定结果；
通过所述核查项、核查结果及判定结果生成所述核查报告。
进一步地，所述核查设备100还用于远程登录所述目标设备，根据所述安全配置核查策略文件对所述目标设备进行配置核查。
即，该核查设备100既支持离线核查，也支持远程登录在线核查。关于离线核查和在线核查更为具体的流程，将在方法实施例中描述。
基于相同的构思，本发明实施例还提供了一种工控主机配置核查方法，适用于前述核查系统。如图2所示，该工控主机配置核查方法主要包括：
步骤一：生成安全配置核查策略文件。
步骤二：离线核查。
步骤三：在线核查。
需要说明的是，本发明实施例中的离线核查主要采用的是便携式设备，优选为U盘。该便携式设备包括存储区(即光盘分区)和加密区(即加密分区)两个。其中，光盘分区主要用于固定安全配置核查程序，加密分区主要用于安全的存储数据，例如存储从核查设备处获取的安全配置核查策略文件。
如图3所示，离线核查的步骤主要包括：
S101，生成安全配置核查策略文件。
具体为，核查设备生成安全配置检查策略文件，该文件中包括的内容有检查项、命令行、解析策略及判断标准策略等。
S102，下载安全配置核查策略文件到便携式设备的加密区。
具体为，便携式设备(即U盘)离线获取安全配置核查策略文件，并将其存储至加密区。
S103，将便携式设备插入目标设备，执行安全配置核查，得到核查结果。
具体步骤如下：
(1)将便携式设备插入目标设备，在目标设备上执行固化在光盘分区的安全配置检查程序；
(2)安全配置核查程序通过安全验证，从加密区读取安全核查策略文件，执行命令行，得到核查结果，并以JSON格式将核查结果保存在加密区。
S104，从加密分区回传核查结果。
S105，读取核查结果并根据解析策略进行解析，得到解析结果。
S106，采用所述判断标准策略对所述解析结果进行判定，得到判定结果。
S107，通过所述核查项、核查结果及判定结果生成所述核查报告。
具体为，核查设备获取从加密分区回传的JSON格式的核查结果，根据解析策略解析返回的核查结果，根据判断标准策略判定解析后的结果是否合规，得到判定结果。最后，根据检查项、返回结果及判定结果生成核查报告。
需要说明的是，核查设备和便携式设备之间的通讯可采用Post方式，即核查结果采用Post的方式回传至核查设备。在核查设备未开放smb、ssh或telnet等远程连接服务的场景下，采用Post方式将核查结果回传至核查设备，可以达到便携式设备自动回转核查结果的效果。
再请参考图4，在线核查的步骤主要包括：
S201，生成安全核查策略文件。
S202，远程登录需要执行核查任务的目标设备。
S203，执行策略命令行，得到核查结果。
S204，根据解析策略解析核查结果。
S205，解析后，根据判断标准策略判定是否合规，得到判定结果。
S206，根据检查项、核查结果及判定结果生成核查报告。
需要说明的是，在线核查中，除步骤S202外，其余步骤均与离线核查相同，故在此不再赘述。
从以上描述可以得知，实施本发明实施例所提供的工控主机配置核查方法及系统，优点如下：
1、采用便携式设备离线获取安全核查策略文件，使得配置核查具有安全性和易用性；
2、便携式设备包括存储区和加密区，存储区只读无法写入，加密区写入时则需要进行密码安全验证，从而避免了恶意代码的入侵；
3、可远程实现对工控主机系统的安全配置核查，从而提供了便利性；
4、本发明可适用于多种场景，既可实现工控主机的远程在线安全配置核查，也可实现工控主机的离线安全配置核查，具有通用性。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (9)

1.一种工控主机配置核查系统，包括核查设备及便携式设备，其特征在于，所述便携式设备包括存储区和加密区，所述存储区固化有安全配置核查程序，所述存储区只读无法写入，所述加密区写入时需进行安全验证；
所述核查设备用于生成安全配置核查策略文件；
所述便携式设备用于离线获取所述安全配置核查策略文件，将其存储至所述加密区，并根据所述安全配置核查策略文件和安全配置核查程序完成对目标设备的核查，得到核查结果；
所述核查设备还用于根据所述核查结果生成核查报告。
2.如权利要求1所述的工控主机配置核查系统，其特征在于，所述安全配置核查策略文件包括核查项、命令行、解析策略及判断标准策略；所述便携式设备对目标设备核查具体为：
离线下载所述安全配置核查策略至所述便携式设备的加密区；
将所述便携式设备插入所述目标设备；
在所述目标设备上，待所述安全配置核查程序完成安全验证后，通过所述安全配置核查程序从所述加密区读取所述安全核查策略文件；
通过所述安全配置核查程序执行所述命令行得到核查结果，并将所述结果保存至所述加密区。
3.如权利要求2所述的工控主机配置核查系统，其特征在于，所述核查设备用于根据所述核查结果生成核查报告具体为：
接收所述加密区回传的所述核查结果；
采用所述解析策略对所述核查结果进行解析，得到解析结果；
采用所述判断标准策略对所述解析结果进行判定，得到判定结果；
通过所述核查项、核查结果及判定结果生成所述核查报告。
4.如权利要求1所述的工控主机配置核查系统，其特征在于，所述便携式设备包括U盘。
5.如权利要求1-4任一项所述的工控主机配置核查系统，其特征在于，所述核查设备还用于：
远程登录所述目标设备，根据所述安全配置核查策略文件对所述目标设备进行配置核查。
6.一种工控主机配置核查方法，其特征在于，所述核查方法适用于核查系统，所述核查系统包括核查设备及便携式设备，所述便携式设备包括存储区和加密区，所述存储区固化有安全配置核查程序；所述核查方法包括：
所述核查设备生成安全配置核查策略文件；
所述便携式设备离线获取所述安全配置核查策略，并存储至所述加密区；
所述便携式设备插入目标设备，根据所述安全配置核查策略文件，在所述目标设备上执行所述安全配置核查程序，得到核查结果；
所述核查设备接收所述核查结果，并根据所述核查结果生成核查报告。
7.如权利要求6所述的工控主机配置核查方法，其特征在于，在所述目标设备上执行所述安全配置核查程序，得到核查结果具体为：
在所述目标设备上，所述安全配置核查程序通过安全验证，从所述加密区读取所述安全核查策略文件，得到执行命令行；
执行所述命令行得到核查结果，并将所述核查结果以JSON格式保存至所述加密区。
8.如权利要求6或7所述的工控主机核查方法，其特征在于，所述安全配置核查策略文件包括核查项、解析策略及判断标准策略，所述核查设备根据所述核查结果生成核查报告具体为：
接收所述加密区回传的所述核查结果；
采用所述解析策略对所述核查结果进行解析，得到解析结果；
采用所述判断标准策略对所述解析结果进行判定，得到判定结果；
通过所述核查项、核查结果及判定结果生成所述核查报告。
9.如权利要求8所述的工控主机核查方法，其特征在于，所述方法还包括：
所述核查设备远程登录所述目标设备，根据所述安全配置核查策略文件对所述目标设备进行配置核查。
CN202210710561.5A 2022-06-22 2022-06-22 一种工控主机安全配置核查系统及方法 Pending CN115118479A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210710561.5A CN115118479A (zh) 2022-06-22 2022-06-22 一种工控主机安全配置核查系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210710561.5A CN115118479A (zh) 2022-06-22 2022-06-22 一种工控主机安全配置核查系统及方法

Publications (1)

Publication Number Publication Date
CN115118479A true CN115118479A (zh) 2022-09-27

Family

ID=83327919

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210710561.5A Pending CN115118479A (zh) 2022-06-22 2022-06-22 一种工控主机安全配置核查系统及方法

Country Status (1)

Country Link
CN (1) CN115118479A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116723123A (zh) * 2023-07-13 2023-09-08 浙江齐安信息科技有限公司 一种工控主机安全配置核查管理方法、终端及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20130058123A (ko) * 2011-11-25 2013-06-04 주식회사 디엠스토리지 실시간 듀얼 암호화 장치 및 방법
CN111062064A (zh) * 2019-12-24 2020-04-24 飞天诚信科技股份有限公司 一种加密u盘系统的实现方法及系统
CN111726333A (zh) * 2020-04-26 2020-09-29 西安交大捷普网络科技有限公司 安全配置的核查方法与系统
US20200314185A1 (en) * 2017-11-28 2020-10-01 Beamex Oy Ab A Method and a System for User Authentication in an Offline Mobile Calibration or Checklist Performing Device

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20130058123A (ko) * 2011-11-25 2013-06-04 주식회사 디엠스토리지 실시간 듀얼 암호화 장치 및 방법
US20200314185A1 (en) * 2017-11-28 2020-10-01 Beamex Oy Ab A Method and a System for User Authentication in an Offline Mobile Calibration or Checklist Performing Device
CN111062064A (zh) * 2019-12-24 2020-04-24 飞天诚信科技股份有限公司 一种加密u盘系统的实现方法及系统
CN111726333A (zh) * 2020-04-26 2020-09-29 西安交大捷普网络科技有限公司 安全配置的核查方法与系统

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116723123A (zh) * 2023-07-13 2023-09-08 浙江齐安信息科技有限公司 一种工控主机安全配置核查管理方法、终端及存储介质
CN116723123B (zh) * 2023-07-13 2024-03-08 浙江齐安信息科技有限公司 一种工控主机安全配置核查管理方法、终端及存储介质

Similar Documents

Publication Publication Date Title
US8875296B2 (en) Methods and systems for providing a framework to test the security of computing system over a network
Gorbunov et al. Autofuzz: Automated network protocol fuzzing framework
CN108600193B (zh) 一种基于机器学习的工控蜜罐识别方法
EP3232359B1 (en) Identification device, identification method, and identification program
US20050132232A1 (en) Automated user interaction in application assessment
US20100030996A1 (en) System and Method for Forensic Identification of Elements Within a Computer System
US20070044151A1 (en) System integrity manager
CN113407949A (zh) 一种信息安全监控系统、方法、设备及存储介质
CN115118479A (zh) 一种工控主机安全配置核查系统及方法
CN111552626A (zh) 使用真实事务数据测试被开发系统的方法和系统
CA2604579A1 (en) Method, system, and program product for connecting a client to a network
CN114662071A (zh) 数据访问控制方法、装置、存储介质及电子设备
CN110896489A (zh) 一种鉴权方法、装置、设备及存储介质
CN113285962A (zh) 在线操作监测方法与系统
Matsuda et al. Cyber security risks of technical components in industry 4.0
CN108933678A (zh) 运维审计系统
CN116436668A (zh) 信息安全管控方法及相关装置
CN116318783A (zh) 基于安全指标的网络工控设备安全监测方法及装置
CN113194088B (zh) 访问拦截方法、装置、日志服务器和计算机可读存储介质
Mathov et al. Challenges for security assessment of enterprises in the IoT era
JP4039361B2 (ja) ネットワークを用いた分析システム
Akyol et al. Transaction-based building controls framework, Volume 2: Platform descriptive model and requirements
Ki̇rca et al. ROS based attack tool for verification of robotic system security
CN112241535A (zh) 一种基于流量数据分析的服务器安全策略配置方法
CN111259400A (zh) 一种漏洞检测方法、装置及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination