CN115150209B - 数据处理方法、工业控制系统、电子设备及存储介质 - Google Patents

Abstract

本申请实施例提供了一种数据处理方法、工业控制系统、电子设备及存储介质，涉及计算机技术领域。该方法包括：获取工业控制终端设备向外部设备发送的第一数据包；在确定第一数据包的第一报文信息中包括预设数据库中任一信息的情况下，对该第一数据包进行拦截处理；在确定第一报文信息中不包括上述任一信息的情况下，将第一数据包发送至上述外部设备；该预设数据库中包括目标设备的历史报文信息。实现了在工业控制终端设备向外部设备传输数据之前，对所传输的数据进行安全检测，避免在工业控制终端设备的安全性未知的情况下，将工业控制终端的数据泄露至外部设备，同时防止外部设备直接通过接收的数据控制工业控制终端设备。

Description

数据处理方法、工业控制系统、电子设备及存储介质

技术领域

本申请涉及计算机技术领域，具体而言，本申请涉及一种数据处理方法、工业控制系统、电子设备及存储介质。

背景技术

随着制造业数字化转型的发展，工业控制系统呈现出通用化、软硬结合、互联互通的发展趋势。随着工业互联网、人工智能、大数据等新一代信息技术与工业控制技术的深度融合，在赋能数字化研发和智能化制造的同时，也为工业控制系统带来网络安全边界明显扩大等新增的安全风险。

由于部分工业控制系统中的设备通常设有可供远程协助运维的数据接口，会使得攻击者通过该数据接口与工业控制系统进行连接，对工业控制系统中的相关设备产生攻击行为，造成不良影响。

发明内容

本申请实施例提供了一种数据处理方法、工业控制系统、电子设备及存储介质，用于解决如何避免工控设备终端的数据未经允许被发送至外部设备，同时防止外部设备直接通过接收的数据与工业控制终端设备建立违规外联通道，对工业控制终端设备造成恶意控制的情况发生。

根据本申请实施例的一个方面，提供了一种数据处理方法，该方法包括：

获取工业控制终端设备向外部设备发送的第一数据包；

在确定第一数据包的第一报文信息中包括预设数据库中任一信息的情况下，对该第一数据包进行拦截处理；

在确定第一报文信息中不包括上述任一信息的情况下，将第一数据包发送至上述外部设备；

其中，预设数据库中包括目标设备的历史报文信息。

根据本申请实施例的另一个方面，提供了一种工业控制系统，该工业控制系统包括工业控制终端设备以及安全防护设备；

安全防护设备获取工业控制终端设备向外部设备发送的第一数据包；

安全防护设备在确定第一数据包的第一报文信息中包括预设数据库中任一信息的情况下，对该第一数据包进行拦截处理；

安全防护设备在确定第一报文信息中不包括上述任一信息的情况下，将第一数据包发送至上述外部设备；

其中，上述预设数据库中包括目标设备的历史报文信息。

在一种可能的实现方式中，上述安全防护设备在对第一数据包进行拦截处理时，可以具体执行以下操作：

根据第一数据包生成告警信息；

基于该告警信息进行告警；和/或

将该告警信息发送至上述工业控制终端设备。

在一种可能的实现方式中，上述安全防护设备在将第一数据包发送至上述工业控制终端设备时，可以具体执行以下操作：

确定上述工业控制终端设备与外部设备之间的传输通道对应的传输方式；

根据上述传输方式，将第一数据包发送至上述外部设备。

在一种可能的实现方式中，上述安全防护设备在根据上述传输方式，将第一数据包发送至上述外部设备时，可以具体执行以下操作：

若上述传输方式不为目标传输方式，通过上述传输通道将上述第一数据包发送至上述外部设备；

若上述传输方式为目标传输方式，向上述外部设备发送探测数据包；若接收到上述外部设备反馈的第二数据包，且上述第二数据包的第二报文信息中包括目标信息，对上述第一数据包进行拦截处理，并断开上述传输通道；若所述第二报文信息中不包括上述目标信息，通过上述传输通道将上述第一数据包发送至上述外部设备；

其中，上述探测数据包是基于上述历史报文信息生成的，上述目标信息可以包括以下至少一种：双网卡连接、多网卡连接、隐身网关Stealth gateway以及洋葱代理路由TOR。

在一种可能的实现方式中，上述目标传输方式可以包括以下至少一种：公用电话交换网PTSN、以太网、虚拟拨号入网ADSL、光纤入网、无线局域网Wi-Fi、移动通信网络、短距离无线通信网络以及物联网。

在一种可能的实现方式中，上述第一报文信息包括上述第一数据包的类型信息以及指定传输方式，上述数据处理模块在确定上述工业控制终端设备与外部设备之间的传输通道对应的传输方式时，可以具体执行以下操作：

若上述第一数据包的类型信息为数据连接数据包，基于上述指定传输方式建立上述工业控制终端设备与上述外部设备之间的传输通道，并将上述指定传输方式确定为上述传输通道对应的传输方式。

在一种可能的实现方式中，上述安全防护设备在确定上述工业控制终端设备与上述外部设备之间的传输通道对应的传输方式时，可以具体执行以下操作：

基于预设的探测方式，对上述传输通道进行探测，确定上述传输通道对应的传输方式；

其中，上述预设的探测方式包括：跟踪路由Tracert分析和/或地址解析ARP协议分析。

根据本申请实施例的又一个方面，提供了一种数据处理装置，该装置包括：

数据获取模块，用于获取工业控制终端设备向外部设备发送的第一数据包；

数据处理模块，用于在确定第一数据包的第一报文信息中包括预设数据库中任一信息的情况下，对该第一数据包进行拦截处理；

数据处理模块，还用于在确定第一报文信息中不包括上述任一信息的情况下，将第一数据包发送至上述外部设备；

其中，预设数据库中包括目标设备的历史报文信息。

在一种可能的实现方式中，上述数据处理模块在对第一数据包进行拦截处理时，可以具体用于：

根据第一数据包生成告警信息；

基于该告警信息进行告警；和/或

将该告警信息发送至上述工业控制终端设备。

在一种可能的实现方式中，上述数据处理模块在将第一数据包发送至上述外部设备时，可以具体用于：

确定上述工业控制终端设备与上述外部设备之间的传输通道对应的传输方式；

根据上述传输方式，将第一数据包发送至上述外部设备。

在一种可能的实现方式中，上述数据处理模块在根据上述传输方式，将第一数据包发送至上述外部设备时，可以具体用于：

若上述传输方式不为目标传输方式，通过上述传输通道将上述第一数据包发送至上述外部设备；

若上述传输方式为目标传输方式，向上述外部设备发送探测数据包；若接收到上述外部设备反馈的第二数据包，且上述第二数据包的第二报文信息中包括目标信息，对上述第一数据包进行拦截处理，并断开上述传输通道；若所述第二报文信息中不包括上述目标信息，通过上述传输通道将上述第一数据包发送至上述外部设备；

其中，上述探测数据包是基于上述历史报文信息生成的，上述目标信息可以包括以下至少一种：双网卡连接、多网卡连接、隐身网关Stealth gateway以及洋葱代理路由TOR。

在一种可能的实现方式中，上述目标传输方式可以包括以下至少一种：公用电话交换网PTSN、以太网、虚拟拨号入网ADSL、光纤入网、无线局域网Wi-Fi、移动通信网络、短距离无线通信网络以及物联网。

在一种可能的实现方式中，上述第一报文信息包括上述第一数据包的类型信息以及指定传输方式，上述数据处理模块在确定上述工业控制终端设备与外部设备之间的传输通道对应的传输方式时，可以具体用于：

若上述第一数据包的类型信息为数据连接数据包，基于上述指定传输方式建立上述工业控制终端设备与上述外部设备之间的传输通道，并将上述指定传输方式确定为上述传输通道对应的传输方式。

在一种可能的实现方式中，上述数据处理模块在确定上述工业控制终端设备与上述外部设备之间的传输通道对应的传输方式时，可以具体用于：

基于预设的探测方式，对上述传输通道进行探测，确定上述传输通道对应的传输方式；

其中，上述预设的探测方式包括：跟踪路由Tracert分析和/或地址解析ARP协议分析。

根据本申请实施例的又一个方面，提供了一种电子设备，该电子设备包括存储器、处理器及存储在存储器上的计算机程序，该处理器执行计算机程序以实现上述方法。

根据本申请实施例的又一个方面，提供了一种存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现上述方法。

本申请实施例提供的技术方案带来的有益效果是：

在本申请实施例提供的数据处理方法中，通过获取工业控制终端设备向外部设备发送的第一数据包，基于预设数据库对该第一数据包中的报文信息进行核查，根据核查结果确定是否对第一数据包进行拦截处理，可以实现工业控制终端设备在向外部设备传输数据之前（例如，在将第一数据包传输至外部设备之前），对所传输的数据进行安全检测，为从源端（例如工业控制终端设备）阻断不安全的数据传输操作做铺垫，提高工业控制终端设备向外部设备传输数据的安全性，避免在工业控制终端本身处于不安全的情况下，将工业控制终端的数据泄露至外部设备的情况发生，使得工业控制终端设备可以更安全地运行。解决了如何防止工业控制终端设备的数据未经允许发送至外部设备，同时防止外部设备直接通过接收到的数据与工业控制终端设备建立违规外联通道，对工业控制终端设备造成恶意控制的情况发生的技术问题。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出了本申请实施例提供的一种数据处理方法的流程图；

图2示出了本申请实施例提供的一种工业控制系统的示意图；

图3示出了本申请实施例提供的一种数据处理装置的结构图；

图4示出了本申请实施例所适用的一种电子设备的结构示意图。

具体实施方式

下面结合本申请中的附图描述本申请的实施例。应理解，下面结合附图所阐述的实施方式，是用于解释本申请实施例的技术方案的示例性描述，对本申请实施例的技术方案不构成限制。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式 “一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本申请实施例所使用的术语“包括”以及“包含”是指相应特征可以实现为所呈现的特征、信息、数据、步骤、操作、元件和/或组件，但不排除实现为本技术领域所支持其他特征、信息、数据、步骤、操作、元件、组件和/或它们的组合等。应该理解，当我们称一个元件被“连接”或“耦接”到另一元件时，该一个元件可以直接连接或耦接到另一元件，也可以指该一个元件和另一元件通过中间元件建立连接关系。此外，这里使用的“连接”或“耦接”可以包括无线连接或无线耦接。这里使用的术语“和/或”指示该术语所限定的项目中的至少一个，例如“A和/或B”可以实现为“A”，或者实现为“B”，或者实现为“A和B”。

下面通过对几个示例性实施方式的描述，对本申请实施例的技术方案以及本申请的技术方案产生的技术效果进行说明。需要指出的是，下述实施方式之间可以相互参考、借鉴或结合，对于不同实施方式中相同的术语、相似的特征以及相似的实施步骤等，不再重复描述。

图1示出了本申请实施例提供的一种数据处理方法的流程图。该数据处理方法可以通过数据处理装置实现，该数据处理装置可以是终端或服务器。该数据处理方法还可以通过处理器调用存储器中存储的计算机可读指令的方式来实现。即该方法的执行主体可以是数据处理装置，也可以是处理器。如图1所示，该方法包括：

步骤S10：获取工业控制终端设备向外部设备发送的第一数据包。

工业控制终端设备可以为工业控制系统中的任一能够进行控制操作的设备，本申请实施例对该工业控制终端设备的具体实现方式也不做限制，例如，该工业控制终端设备可以包括但不限于以下至少一种：工业防护墙、工业控制专用交换机、数控机床、可编程逻辑控制器PLC（Programmable Logic Controller）、工业控制主机、用于进行任一工业控制操作的测量设备、用于进行任一工业控制操作的仿真设备以及用于进行任一工业控制操作的智能传感器。

外部设备可以为任一可以与工业控制终端设备进行数据连接的设备，可以包括已知的与工业控制终端设备建立连接关系、且可以对工业控制终端进行安全控制的设备，也可以包括虽然已经与工业控制终端设备建立了连接关系、但安全性未知的设备，也可以包括即将与工业控制终端设备建立连接关系的任一设备，本申请实施例对此不做限制。例如，该外部设备可以为交换机或其他信息交换设备等。

步骤S20：基于预设数据库对该第一数据包的第一报文信息进行核查，根据核查结果确定是否对第一数据包进行拦截处理。具体包括：

在确定第一数据包的第一报文信息中包括预设数据库中任一信息的情况下，对该第一数据包进行拦截处理；

在确定第一报文信息中不包括上述任一信息的情况下，将第一数据包发送至上述外部设备；

其中，预设数据库中包括目标设备的历史报文信息。

在该方法的执行主体是终端时，该终端（也可以称为用户终端或用户设备（UserEquipment，UE））可以是智能手机、平板电脑、笔记本电脑及台式计算机等。

在该方法的执行主体是服务器时，该服务器可以是独立的物理服务器，也可以是多个物理服务器构成的服务器集群或者分布式系统，还可以是提供云服务、云数据库、云计算、云函数、云存储、网络服务、云通信、中间件服务、域名服务、安全服务、CDN（ContentDelivery Network，内容分发网络）、以及大数据和人工智能平台等基础云计算服务的云服务器或服务器集群。

本领域技术人员应能理解上述终端和服务器仅为举例，其他现有的或今后可能出现的终端或服务器如可适用于本申请，也应包含在本申请保护范围以内，并在此以引用方式包含于此。

当然，在具体实施过程中，在该方法也可以应用于工业控制系统（如图2所示的工业控制系统20）。在该方法应用于工业控制系统中时，该方法可以通过该工业控制系统中负责安全控制的设备，例如安全防护设备实现。并通过该安全防护设备代替工业控制终端设备所设置的可供远程协助运维的数据接口，充当工业控制终端设备与外部设备之间的“中间件”，在确定工业控制终端设备安全地向外部设备发送的数据为合规数据的情况下，再将数据发送至外部设备，以保证工业控制终端设备不与未授权外部设备产生数据通信，避免在工业控制终端设备处于不安全的状态下，主动将工业控制终端设备的数据发送至外部设备，导致工业控制终端设备与一些不安全的外部设备连接，同时防止所连接的外部设备根据该工业控制终端设备的数据对该工业控制终端设备进行恶意控制的情况发生。

该方法也可以应用于工业控制终端设备所在的工业网络中，例如，通过在检测到该网络中产生了新的联网操作时，确定存在与该工业控制终端设备连接的外部设备，检测该网络中各连接通道，确定各连接通道的安全性等。

本申请实施例对该工业网络的具体网络形式不做限制，例如，该工业网络可以包括但不限于局域网LAN（Local Area Network）、虚拟局域网VLAN（Virtual Local AreaNetwork）和虚拟可扩展局域网VXLAN（Virtual extensible LAN）中的一种或多种。

在该实现方式中，可以通过对第一数据包进行数据解析，获取该第一数据包的第一报文信息。其中，本申请实施例对数据解析的方式也不做限制，例如，具体的数据解析方式可以为全流量解析。第一报文信息可以包括但不限于第一数据包所指示的发送方标识信息、接收方标识信息、传输方式、传输信息等，本申请实施例对此不做限制。

其中，发送方标识信息可以包括但不限于发送方IP（Internet Protocol，互联网协议）地址信息、发送方MAC（Medium / Media Access Control，媒体存取控制位址，用来确认网络设备位置的位址）地址信息等。接收方标识信息可以包括但不限于接收方IP地址信息、接收方MAC地址信息等。传输方式可以包括但不限于路由地址信息、路由协议信息等。传输信息可以包括但不限于应用层协议信息以及应用类型信息等。

目标设备可以为任一可以进行工业控制的终端设备历史连接的不符合相关规定的外部设备，或者基于任一不符合相关规定的外部设备的设备信息确定的设备。其中，该任一可以进行工业控制的终端设备可以包括但不限于本申请实施例所提供的工业控制终端设备，也可以为其他的工业控制设备，或者可以用于进行工业控制的设备，本申请实施例对此不做限制。不符合相关规定的外部设备即上述通过恶意程序进行远程控制或修改工业控制系统内相应设备的正常运行程序的设备。

目标设备的历史报文信息即各目标设备与相应的进行工业控制的终端设备建立连接并传输数据时，所传输的数据对应的报文信息。各历史报文信息可以包括但不限于各历史传输的数据的发送方标识信息、接收方标识信息、传输方式、传输信息等，本申请实施例对此不做限制。

其中，也可以根据各项历史报文信息进行分类，确定针对各类别的预设的数据库，分别基于各类别的预设的数据库，对第一报文信息中的相应信息进行核查。

例如，可以基于各历史传输的数据的发送方（即目标设备）IP地址信息，创建预设IP地址数据库，基于预设IP地址数据库，确定第一报文信息中的发送方IP地址信息是否包括预设IP地址数据库中的任一IP地址信息。可以基于各历史传输的数据的发送方MAC地址信息，创建预设MAC地址数据库。可以基于各历史传输的数据的路由地址信息，创建预设路由地址数据库。可以基于各历史传输的数据的路由协议信息，创建预设路由协议数据库。可以基于各历史传输的数据的应用层协议信息，创建预设应用协议数据库。

在具体实施时，在确定第一报文信息中的任一项信息为预设数据库中的任一信息的情况下，即可以确定第一数据包为不安全的数据包，并对该第一数据包进行拦截处理。只有在确定第一报文信息中的每项信息都不为预设数据库中任一信息的情况下，才能确定第一数据包为安全的数据包，将第一数据包发送至上述外部设备。

在实际实施过程中，虽然一些工业控制系统会采用封闭性内部网络（以下简称“工业网络”），与互联网形成物理隔离，但如前文所记载的，攻击者会通过部分工业控制系统中的设备所设置的可供远程协助运维的数据接口与工业控制系统进行连接（以下简称为“违规外联行为”），并对工业控制系统中的相关设备产生攻击行为，造成不良影响。其中，可供远程协助运维的数据接口可以包括以下至少一种：RJ（Registered Jac，已注册的插口）45以太网接口、RJ11电话线接口、RJ14电话线接口、RJ25电话线接口、RS（recommendstandard，推荐标准）232串口、RS485串口、USB接口、Host（主机）接口以及On-The-Go（即OTG，USB OTG是USB 2.0规范的补充，它使外设可以在无主机参与的情况下直接互连进行通信）接口，本申请实施例对此不做限制。

作为一些示例：攻击者绕过访问控制网关、防火墙等传统安全防护产品的检测，通过与该工业控制系统进行连接的传输通道对该工业控制系统内的设备（例如，工业控制终端设备）进行远程控制，例如通过恶意程序进行远程控制或修改相应设备的正常运行程序，从而控制该工业控制系统内的设备执行错误的指令、造成恶意代码传播、敏感数据窃取等攻击行为，甚至会对执行错误指令的设备造成不良影响，甚至损坏设备。尽管相关技术中已经提出了基于现有的工业网络的入侵检测机制，但对于不属于常规网络通信行为（即违规外联行为）依然束手无策。

基于此，本申请实施例所提供的数据处理方法，通过设置了包括目标设备的历史报文信息的预设数据库，在获取外部设备向工业控制终端设备发送的第一数据包之后，基于该预设数据库对该第一数据包中的报文信息进行核查，根据核查结果确定是否对第一数据包进行拦截处理，可以实现在工业控制终端设备向外部设备传输数据之前（例如，在将第一数据包传输至外部设备之前），对所传输的数据进行安全检测，避免工控设备终端数据未经允许发送至外部设备（即在工业控制终端本身处于不安全的情况下，将工业控制终端的数据泄露至外部设备），及时阻断由于工业控制终端设备主动发起数据传输的操作，导致外部设备直接根据所传输的数据通过工业控制终端设备的数据接口，与工业控制终端设备建立违规外联通道，对工业控制终端设备进行控制的情况发生，为从源端（例如工业控制终端设备）阻断不安全的数据传输操作做铺垫，提高工业控制终端设备向外部设备传输数据的安全性，使得工业控制终端设备可以更安全地运行。解决了上述对于不属于常规网络通信行为（即违规外联行为）依然束手无策的技术问题。

需要说明的是，本申请实施例所提供的数据处理方法也可以应用于：外部设备主动向工业控制终端设备发送数据传输的过程中，以避免工业控制终端设备受到外部设备的主动攻击。具体可以包括：

获取外部设备向工业控制终端设备发送的数据包；

在确定该第一数据包的报文信息中包括上述预设数据库中任一信息的情况下，对该数据包进行拦截处理；

在确定该报文信息中不包括上述任一信息的情况下，将该数据包发送至工业控制终端设备。

在一种可能的实现方式中，上述对第一数据包进行拦截处理，可以包括：

根据第一数据包生成告警信息；

基于该告警信息进行告警；和/或

将该告警信息发送至上述工业控制终端设备。

在该实现方式中，对告警信息的形式不做限制，例如，该告警信息的形式可以包括但不限于为文字形式、声音形式、震动形式等中的一种或多种。其中，告警信息中可以包括但不限于第一数据包的时间戳、第一报文信息、第一报文信息中的哪一项信息与预设数据库中的信息相同等。

在该实现方式中，基于告警信息进行告警的方式包括以下方式：

方式一，在告警信息为文字形式时，可以显示告警信息。

其中，可以直接通过上述方法的执行主体对应的显示模块显示告警信息。显示模块可以包括但不限于LCD（liquid crystal display）显示器、CRT（cathode ray tube）显示器，本公开对此不做具体限定。

方式二，在告警信息为声音形式和/或震动形式时，可以控制上述方法的执行主体的告警模块发出告警信息。

其中，告警模块可以包括指示灯、振动马达、蜂鸣器中的至少一种。可以通过改变指示灯的显示方式、控制振动马达振动、控制蜂鸣器发声等方式进行告警，本申请实施例对具体的告警方式不做限制。其中，改变指示灯的显示方式包括改变指示灯亮灭的频率、控制指示灯显示不同颜色等，本申请实施例对改变指示灯的显示方式不做限制。

其中，在将告警信息发送至工业控制终端设备之后，还可以使得工业控制终端设备的相关告警模块进行告警提示。具体可以如上述基于告警信息进行告警的方式进行告警。

通过在确定第一数据包为不安全的数据包时，对该第一数据包进行拦截处理，发出告警提示，可以有效阻断将第一数据包传输至外部设备，提醒相应工作人员及时相应处理，例如，基于告警信息进行日志记录，记录相关外部设备的设备信息以及相应的报文信息，以便于后续更新预设数据库等。

当然，还可以根据获取第一报文信息中所指示的发送方标识信息，将告警信息发送至发送方，以向发送方发出警示，避免发送方再次将工业控制终端设备敏感数据传输至该外部设备。

在一种可能的实现方式中，上述将第一数据包发送至上述外部设备，可以包括：

确定上述工业控制终端设备与外部设备之间的传输通道对应的传输方式；

根据上述传输方式，将第一数据包发送至上述外部设备。

通过在确定第一数据包为安全的数据包时，基于确定出的工业控制终端设备与外部设备之间的传输通道对应的传输方式，将第一数据包传输至外部设备，可以实现第一数据包的安全、有效传输。

在一种可能的实现方式中，上述第一报文信息包括上述第一数据包的类型信息以及指定传输方式，上述确定上述工业控制终端设备与外部设备之间的传输通道对应的传输方式，可以包括：

若上述第一数据包的类型信息为数据连接数据包，基于上述指定传输方式建立上述工业控制终端设备与上述外部设备之间的传输通道，并将上述指定传输方式确定为上述传输通道对应的传输方式。

在该实现方式中，在第一数据包的类型信息为数据连接数据包时，可以确定该工业控制终端设备是第一次与该外部设备建立连接，并基于该第一数据包所携带的指定传输方式建立工业控制终端设备与外部设备之间的传输通道，可以实现对安全的数据对应的工业控制终端设备与外部设备的连接。

在一种可能的实现方式中，上述确定上述工业控制终端设备与上述外部设备之间的传输通道对应的传输方式，可以包括：

基于预设的探测方式，对上述传输通道进行探测，确定上述传输通道对应的传输方式；

其中，上述预设的探测方式包括：跟踪路由Tracert分析和/或地址解析ARP协议分析。

本领域技术人员应能理解上述探测方式仅为举例，其他现有的或今后可能出现的可以对传输通道进行探测，且能够确定出传输通道对应的传输方式的探测方式也可以适用于本申请，也应包含在本申请保护范围以内，并在此以引用方式包含于此。

通过预设的探测方式，可以有效确定出工业控制终端设备与外部设备之间的传输通道对应的传输方式。

在该实现方式中，可以通过该方法的执行主体基于预设的探测方式，对该工业控制终端设备所在的工业网络内，与该工业控制终端设备连接的各传输通道的传输方式进行探测，本申请实施例对此不做限制。

在一种可能的实现方式中，上述根据上述传输方式，将第一数据包发送至上述外部设备，可以包括：

若上述传输方式不为目标传输方式，通过上述传输通道将上述第一数据包发送至上述外部设备；

若上述传输方式为目标传输方式，向上述外部设备发送探测数据包；若接收到上述外部设备反馈的第二数据包，且上述第二数据包的第二报文信息中包括目标信息，对上述第一数据包进行拦截处理，并断开上述传输通道；若所述第二报文信息中不包括上述目标信息，通过上述传输通道将上述第一数据包发送至上述外部设备；

其中，上述探测数据包是基于上述历史报文信息生成的，上述目标信息可以包括以下至少一种：双网卡连接、多网卡连接、隐身网关Stealth gateway以及洋葱代理路由TOR。

目标信息即无法准确解析出第二报文信息的信息或者针对同一类报文信息可以检测出多项具体内容的信息。其中，隐身网关（Stealth gateway）指一种平时不开放端口，在一定条件下开放可受控随机端口以使客户端访问通行的网关。TOR即The Onion Router。

本领域技术人员应能理解上述目标信息仅为举例，其他现有的或今后可能出现的无法准确确定发送方标识的信息也可以适用于本申请，也应包含在本申请保护范围以内，并在此以引用方式包含于此。

需要说明的是，在不存在数据传输（即没有要传输的数据，例如，没有获取到第一数据包）时，也可以直接通过该方法的执行主体基于预设的探测方式，对该工业控制终端设备所在的工业网络内，与该工业控制终端设备连接的各传输通道的传输方式进行探测，在探测到任一传输通道的传输方式为目标传输方式时，阻断该传输通道，更进一步地避免工业控制终端设备的数据未经允许被发送至外部设备，并阻断外部设备通过已建立好的违规外联通道，对工业控制终端设备进行控制。

其中，上述目标传输方式可以包括以下至少一种：

公用电话交换网PTSN、以太网、虚拟拨号入网ADSL、光纤入网、无线局域网Wi-Fi、移动通信网络、短距离无线通信网络以及物联网。

在该实现方式中，目标传输方式可以是基于上述不符合相关规定的外部设备对相应的可以进行工业控制的终端设备进行传输时所采用的传输方式确定的。

其中，PTSN即Public Switched Telephone Network，ADSL即Asymmetric DigitalSubscriber Line。以太网可以包括但不限于802.3以太网。光纤入网方式可以包括但不限于GPON（Gigabit-Capable PON，其中，PON表示Passive Optical Network：无源光纤网络）光纤入网、EPON（Ethernet Passive Optical Network，以太网无源光网络）光纤入网。移动通信网络可以包括但不限于GSM（Global System for Mobile Communications，全球移动通讯系统）移动通信网络、CDMA（Code Division Multiple Access，码分多址）移动通信网络、LTE（Long Term Evolution，通用移动通信技术的长期演进）移动通信网络和5G移动通信网络。无线局域网Wi-Fi可以具体为802.11x无线网络。短距离无线通信网络可以包括但不限于紫蜂短距离无线通信网络ZigBee和蓝牙短距离无线通信网络Bluetooth。物联网可以包括但不限于LoRA物联网以及基于蜂窝的窄带物联网NB-IoT（Narrow Band Internetof Things）。

在该实现方式中，为了避免该方法的执行主体受到外部设备的攻击，在向外部设备发送探测数据包时，可以对该探测数据包进行加密等。也可以对该方法的执行主体所对应的地址信息（如上述IP地址信息、MAC地址信息等）进行隐藏等。

在接收到第二数据包后，可以采用上述对第一数据包进行数据解析的方式，对第二数据包进行解析，获取第二数据包的第二报文信息，也可以采用其他的数据解析方式，本申请实施例对此不做限制。

需要说明的是，在向上述外部设备发送探测数据包之后，若没有接收外部设备反馈的第二数据包，可以通过上述传输通道将第一数据包发送至外部设备，也可以直接对第一数据包进行拦截处理。但若通过上述传输通道将第一数据包发送至外部设备，则可以对相应的第一报文信息进行记录，以便在后续检测到工业控制终端设备出现安全隐患时，根据所记录的信息进行安全排查操作。

通过在上述传输方式，通过在确定第一报文信息不包括预设数据库中任一信息的情况下，再次确定工业控制终端设备与外部设备之间的传输通道的传输方式，根据该传输方式，再次核对传输方式是否安全（即若一传输方式不为目标传输方式，则表示该传输方式安全），可以更进一步地避免工业控制终端设备的数据未经允许发送至外部设备，并阻断外部设备直接通过工业控制终端设备的数据接口建立违规外联通道，对工业控制终端设备进行控制，更进一步地为从源端（例如工业控制终端设备）阻断不安全的数据传输操作做铺垫，更进一步地提高工业控制终端设备向外部设备传输数据的安全性，使得工业控制终端设备可以更安全地运行。

本申请实施例提供的数据处理方法也可以通过工业控制系统实现。图2示出了本申请实施例提供的一种工业控制系统的示意图。如图2所示，该工业控制系统20包括工业控制终端设备21以及安全防护设备22；

安全防护设备22获取工业控制终端设备21向外部设备30发送的第一数据包；

安全防护设备22在基于预设数据库221，确定第一数据包的第一报文信息中包括预设数据库中任一信息的情况下，对该第一数据包进行拦截处理；

安全防护设备22在基于该预设数据库221，确定第一报文信息中不包括上述任一信息的情况下，将第一数据包发送至上述外部设备30；

其中，上述预设数据库221中包括目标设备的历史报文信息。

在一种可能的实现方式中，上述安全防护设备22在对第一数据包进行拦截处理时，可以具体执行以下操作：

根据第一数据包生成告警信息；

基于该告警信息进行告警；和/或

将该告警信息发送至上述工业控制终端设备21。

在一种可能的实现方式中，上述安全防护设备22在将第一数据包发送至上述外部设备30时，可以具体执行以下操作：

确定上述工业控制终端设备21与外部设备30之间的传输通道对应的传输方式；

根据上述传输方式，将第一数据包发送至上述外部设备30。

在一种可能的实现方式中，上述安全防护设备22在根据上述传输方式，将第一数据包发送至上述外部设备30时，可以具体执行以下操作：

若上述传输方式不为目标传输方式，通过上述传输通道将上述第一数据包发送至上述外部设备30；

若上述传输方式为目标传输方式，向上述外部设备30发送探测数据包；若接收到上述外部设备30反馈的第二数据包，且上述第二数据包的第二报文信息中包括目标信息，对上述第一数据包进行拦截处理，并断开上述传输通道；若所述第二报文信息中不包括上述目标信息，通过上述传输通道将上述第一数据包发送至上述外部设备30；

其中，上述探测数据包是基于上述历史报文信息生成的，上述目标信息可以包括以下至少一种：双网卡连接、多网卡连接、隐身网关Stealth gateway以及洋葱代理路由TOR。

在一种可能的实现方式中，上述目标传输方式可以包括以下至少一种：公用电话交换网PTSN、以太网、虚拟拨号入网ADSL、光纤入网、无线局域网Wi-Fi、移动通信网络、短距离无线通信网络以及物联网。

在一种可能的实现方式中，上述第一报文信息包括上述第一数据包的类型信息以及指定传输方式，上述数据处理模块在确定上述工业控制终端设备21与外部设备30之间的传输通道对应的传输方式时，可以具体执行以下操作：

若上述第一数据包的类型信息为数据连接数据包，基于上述指定传输方式建立上述工业控制终端设备21与上述外部设备30之间的传输通道，并将上述指定传输方式确定为上述传输通道对应的传输方式。

在一种可能的实现方式中，上述安全防护设备22在确定上述工业控制终端设备21与上述外部设备30之间的传输通道对应的传输方式时，可以具体执行以下操作：

基于预设的探测方式，对上述传输通道进行探测，确定上述传输通道对应的传输方式；

其中，上述预设的探测方式包括：跟踪路由Tracert分析和/或地址解析ARP协议分析。

本申请实施例的工业控制系统中的安全防护设备22可执行本申请实施例所提供的方法，其实现原理相类似，该安全防护设备22所执行的操作是与本申请各实施例的方法中的步骤相对应的，对于该安全防护设备22的详细功能描述具体可以参见前文中所示的对应方法中的描述，此处不再赘述。

基于与本申请实施例提供的数据处理方法相同的原理，本申请实施例中还提供了一种数据处理装置。图3示出了本申请实施例提供的一种数据处理装置的结构图。如图3所示，该装置40包括：

数据获取模块41，用于获取工业控制终端设备向外部设备发送的第一数据包；

数据处理模块42，用于在基于预设数据库，确定第一数据包的第一报文信息中包括预设数据库中任一信息的情况下，对该第一数据包进行拦截处理；

数据处理模块42，还用于在基于该预设数据库，确定第一报文信息中不包括上述任一信息的情况下，将第一数据包发送至上述外部设备；

其中，预设数据库中包括目标设备的历史报文信息。

在一种可能的实现方式中，上述数据处理模块42在对第一数据包进行拦截处理时，可以具体用于：

根据第一数据包生成告警信息；

基于该告警信息进行告警；和/或

将该告警信息发送至上述工业控制终端设备。

在一种可能的实现方式中，上述数据处理模块42在将第一数据包发送至上述外部设备时，可以具体用于：

确定上述工业控制终端设备与外部设备之间的传输通道对应的传输方式；

根据上述传输方式，将第一数据包发送至上述外部设备。

在一种可能的实现方式中，上述数据处理模块42在根据上述传输方式，将第一数据包发送至上述外部设备时，可以具体用于：

若上述传输方式不为目标传输方式，通过上述传输通道将上述第一数据包发送至上述外部设备；

若上述传输方式为目标传输方式，向上述外部设备发送探测数据包；若接收到上述外部设备反馈的第二数据包，且上述第二数据包的第二报文信息中包括目标信息，对上述第一数据包进行拦截处理，并断开上述传输通道；若所述第二报文信息中不包括上述目标信息，通过上述传输通道将上述第一数据包发送至上述外部设备；

其中，上述探测数据包是基于上述历史报文信息生成的，上述目标信息可以包括以下至少一种：双网卡连接、多网卡连接、隐身网关Stealth gateway以及洋葱代理路由TOR。

在一种可能的实现方式中，上述目标传输方式可以包括以下至少一种：公用电话交换网PTSN、以太网、虚拟拨号入网ADSL、光纤入网、无线局域网Wi-Fi、移动通信网络、短距离无线通信网络以及物联网。

在一种可能的实现方式中，上述第一报文信息包括上述第一数据包的类型信息以及指定传输方式，上述数据处理模块42在确定上述工业控制终端设备与外部设备之间的传输通道对应的传输方式时，可以具体用于：

若上述第一数据包的类型信息为数据连接数据包，基于上述指定传输方式建立上述工业控制终端设备与上述外部设备之间的传输通道，并将上述指定传输方式确定为上述传输通道对应的传输方式。

在一种可能的实现方式中，上述数据处理模块42在确定上述工业控制终端设备与上述外部设备之间的传输通道对应的传输方式时，可以具体用于：

基于预设的探测方式，对上述传输通道进行探测，确定上述传输通道对应的传输方式；

其中，上述预设的探测方式包括：跟踪路由Tracert分析和/或地址解析ARP协议分析。

本申请实施例的装置可执行本申请实施例所提供的方法，其实现原理相类似，本申请各实施例的装置中的各模块所执行的动作是与本申请各实施例的方法中的步骤相对应的，对于装置的各模块的详细功能描述具体可以参见前文中所示的对应方法中的描述，此处不再赘述。

基于与本申请实施例提供的数据处理方法、工业控制系统和数据处理装置相同的原理，本申请实施例中还提供了一种电子设备（如服务器），该电子设备可以包括存储器、处理器及存储在存储器上的计算机程序，该处理器执行上述计算机程序以实现本申请任一可选实施例中提供的方法的步骤。

可选地，图4示出了本申请实施例所适用的一种电子设备的结构示意图，如图4所示，图4所示的电子设备4000包括：处理器4001和存储器4003。其中，处理器4001和存储器4003相连，如通过总线4002相连。可选地，电子设备4000还可以包括收发器4004，收发器4004可以用于该电子设备与其他电子设备之间的数据交互，如数据的发送和/或数据的接收等。需要说明的是，实际应用中收发器4004不限于一个，该电子设备4000的结构并不构成对本申请实施例的限定。

处理器4001可以是CPU（Central Processing Unit，中央处理器），通用处理器，DSP（Digital Signal Processor，数据信号处理器），ASIC（Application SpecificIntegrated Circuit，专用集成电路），FPGA（Field Programmable Gate Array，现场可编程门阵列）或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。处理器4001也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等。

总线4002可包括一通路，在上述组件之间传送信息。总线4002可以是PCI（Peripheral Component Interconnect，外设部件互连标准）总线或EISA（ExtendedIndustry Standard Architecture，扩展工业标准结构）总线等。总线4002可以分为地址总线、数据总线、控制总线等。为便于表示，图4中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

存储器4003可以是ROM（Read Only Memory，只读存储器）或可存储静态信息和指令的其他类型的静态存储设备，RAM（Random Access Memory，随机存取存储器）或者可存储信息和指令的其他类型的动态存储设备，也可以是EEPROM（Electrically ErasableProgrammable Read Only Memory，电可擦可编程只读存储器）、CD-ROM（Compact DiscRead Only Memory，只读光盘）或其他光盘存储、光碟存储（包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等）、磁盘存储介质、其他磁存储设备、或者能够用于携带或存储计算机程序并能够由计算机读取的任何其他介质，在此不做限定。

存储器4003用于存储执行本申请实施例的计算机程序，并由处理器4001来控制执行。处理器4001用于执行存储器4003中存储的计算机程序，以实现前述方法实施例。

本申请实施例提供了一种存储介质，该计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时可实现前述方法实施例。

本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”、“第四”、“1”、“2”等（如果存在）是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除图示或文字描述以外的顺序实施。

应该理解的是，虽然本申请实施例的流程图中通过箭头指示各个操作步骤，但是这些步骤的实施顺序并不受限于箭头所指示的顺序。除非本文中有明确的说明，否则在本申请实施例的一些实施场景中，各流程图中的实施步骤可以按照需求以其他的顺序执行。此外，各流程图中的部分或全部步骤基于实际的实施场景，可以包括多个子步骤或者多个阶段。这些子步骤或者阶段中的部分或全部可以在同一时刻被执行，这些子步骤或者阶段中的每个子步骤或者阶段也可以分别在不同的时刻被执行。在执行时刻不同的场景下，这些子步骤或者阶段的执行顺序可以根据需求灵活配置，本申请实施例对此不限制。

以上所述仅是本申请部分实施场景的可选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请的方案技术构思的前提下，采用基于本申请技术思想的其他类似实施手段，同样属于本申请实施例的保护范畴。

Claims (9)

1.一种数据处理方法，其特征在于，包括：

获取工业控制终端设备向外部设备发送的第一数据包；

在确定所述第一数据包的第一报文信息中包括预设数据库中任一信息的情况下，对所述第一数据包进行拦截处理；

在确定所述第一报文信息中不包括所述任一信息的情况下，确定所述工业控制终端设备与所述外部设备之间的传输通道对应的传输方式；

根据所述传输方式，将所述第一数据包发送至所述外部设备；

其中，所述预设数据库中包括目标设备的历史报文信息；

所述根据所述传输方式，将所述第一数据包发送至所述外部设备，包括：

若所述传输方式为目标传输方式，向所述外部设备发送探测数据包；若接收到所述外部设备反馈的第二数据包，且所述第二数据包的第二报文信息中包括目标信息，对所述第一数据包进行拦截处理，并断开所述传输通道；若所述第二报文信息中不包括所述目标信息，通过所述传输通道将所述第一数据包发送至所述外部设备。

2.根据权利要求1所述的方法，其特征在于，所述对所述第一数据包进行拦截处理，包括：

根据所述第一数据包生成告警信息；

基于所述告警信息进行告警；和/或

将所述告警信息发送至所述工业控制终端设备。

3.根据权利要求1所述的方法，其特征在于，所述根据所述传输方式，将所述第一数据包发送至所述外部设备，还包括：

若所述传输方式不为目标传输方式，通过所述传输通道将所述第一数据包发送至所述外部设备；

其中，所述探测数据包是基于所述历史报文信息生成的，所述目标信息包括以下至少一种：双网卡连接、多网卡连接、隐身网关Stealth gateway以及洋葱代理路由TOR。

4.根据权利要求3所述的方法，其特征在于，

所述目标传输方式包括以下至少一种：公用电话交换网PTSN、以太网、虚拟拨号入网ADSL、光纤入网、无线局域网Wi-Fi、移动通信网络、短距离无线通信网络以及物联网。

5.根据权利要求1所述的方法，其特征在于，所述第一报文信息包括所述第一数据包的类型信息以及指定传输方式，所述确定所述工业控制终端设备与所述外部设备之间的传输通道对应的传输方式，包括：

若所述第一数据包的类型信息为数据连接数据包，基于所述指定传输方式建立所述工业控制终端设备与所述外部设备之间的传输通道，并将所述指定传输方式确定为所述传输通道对应的传输方式。

6.根据权利要求1所述的方法，其特征在于，所述确定所述工业控制终端设备与所述外部设备之间的传输通道对应的传输方式，包括：

基于预设的探测方式，对所述传输通道进行探测，确定所述传输通道对应的传输方式；

其中，所述预设的探测方式包括：跟踪路由Tracert分析和/或地址解析ARP协议分析。

7.一种工业控制系统，其特征在于，所述工业控制系统包括工业控制终端设备以及安全防护设备；

所述安全防护设备获取工业控制终端设备向外部设备发送的第一数据包；

所述安全防护设备在确定所述第一数据包的第一报文信息中包括预设数据库中任一信息的情况下，对所述第一数据包进行拦截处理；以及

在确定所述第一报文信息中不包括所述预设数据库中的信息的情况下，确定所述工业控制终端设备与所述外部设备之间的传输通道对应的传输方式；根据所述传输方式，将所述第一数据包发送至所述外部设备；

其中，所述预设数据库中的信息包括目标设备的历史报文信息；

所述安全防护设备在根据所述传输方式，将所述第一数据包发送至所述外部设备时，具体用于：

若所述传输方式为目标传输方式，向所述外部设备发送探测数据包；若接收到所述外部设备反馈的第二数据包，且所述第二数据包的第二报文信息中包括目标信息，对所述第一数据包进行拦截处理，并断开所述传输通道；若所述第二报文信息中不包括所述目标信息，通过所述传输通道将所述第一数据包发送至所述外部设备。

8.一种电子设备，包括存储器、处理器及存储在存储器上的计算机程序，其特征在于，所述处理器执行所述计算机程序以实现权利要求1至6中任一项所述的方法。

9.一种存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至6中任一项所述的方法。

Images