CN115174223B

CN115174223B - 一种工控主机安全防护方法、系统、智能终端及存储介质

Info

Publication number: CN115174223B
Application number: CN202210790080.XA
Authority: CN
Inventors: 陆东华
Original assignee: Beijing Shenzhou Huian Technology Co ltd
Current assignee: Beijing Shenzhou Huian Technology Co ltd
Priority date: 2022-07-06
Filing date: 2022-07-06
Publication date: 2023-03-21
Anticipated expiration: 2042-07-06
Also published as: CN115174223A

Abstract

本发明涉及一种工控主机安全防护方法、系统、智能终端及存储介质，其方法包括获取异常工控主机的标识信息；基于预存的进程管理对照表，根据异常工控主机的标识信息和获取到的当前时间确定异常工控主机当前时间下的进程白名单和进程黑名单，进程管理对照表包括每一台工控主机的标识信息、不同时间段内的进程白名单和进程黑名单；根据进程白名单和进程黑名单确定该异常工控主机的作业类型；筛选与该异常工控主机的作业类型相同的工控主机作为临时工控主机，并确定其标识信息；基于预设的分配规则，根据临时工控主机的标识信息将进程白名单和进程黑名单分配至临时工控主机并标记。本申请能够在工业控制主机发生宕机时增强整个工业主机群的安全性。

Description

一种工控主机安全防护方法、系统、智能终端及存储介质

技术领域

本申请涉及软件安全防护的技术领域，尤其是涉及一种工控主机安全防护方法、系统、智能终端及存储介质。

背景技术

目前，随着科技水平的不断进步，为了满足对处理能力的需求，越来越多从事工业的企业采用工业控制主机群的方式进行作业。

一般的，工业控制系统的威胁主要来自网络和终端。因工业控制网络为封闭环境，与互联网没有直接连通，终端操作系统升级较为困难，同时为了系统的稳定性和业务的持续性，企业也不会去主动升级，加上系统服役较长，因此在长期运行后积累了大量的安全漏洞。这就导致当某一台工业控制主机受到攻击或出现宕机时，整个工业控制主机群都会受到影响，进而使得工业控制主机群的安全性下降。

发明内容

本申请目的一是提供一种工控主机安全防护方法，能够增强有工业控制主机发生宕机时整个工业主机群的安全性。

本申请的上述申请目的一是通过以下技术方案得以实现的：

一种工控主机安全防护方法，应用于预设的监控服务器中，所述监控服务器通过局域网与每一台工控主机通信，每一台工控主机都设置有进程白名单和进程黑名单，并且每一台工控主机的进程白名单与进程黑名单会随时间而变化，所述方法包括：

获取异常工控主机的标识信息，所述异常工控主机为工作状态处于宕机状态中的工控主机；

基于预存的进程管理对照表，根据异常工控主机的标识信息和获取到的当前时间确定异常工控主机当前时间下的进程白名单和进程黑名单，所述进程管理对照表包括每一台工控主机的标识信息、不同时间段内的进程白名单和进程黑名单，所述进程白名单和进程黑名单均包括多个进程名称；

根据进程白名单和进程黑名单确定该异常工控主机的作业类型；

筛选与该异常工控主机的作业类型相同的工控主机作为临时工控主机，并确定其标识信息；

基于预设的分配规则，根据临时工控主机的标识信息将得到的进程白名单和进程黑名单分配至临时工控主机并标记。

通过采用上述技术方案，当工控主机群中有工控主机出现宕机状态时，该工控主机暂时无法工作，即不能对申请运行的进程进行检测，也不能为可运行的进程提供运行环境。此时，监控服务器通过该异常工控主机的标识信息和当前时间能够确定该异常工控主机在当前时间下的进程白名单和进程黑名单，进而确定当前时间异常工控主机的作业类型，以此作为参照，从其他工控主机中选取能够进行上述作业类型的工控主机作为代替异常工控主机工作的临时工控主机，以在异常工控主机异常期间承担异常工控主机的作业，保证对于所有申请运行的进程都能进行检测，进而有工业控制主机发生宕机时增强整个工业主机群的安全性。

本申请在一较佳示例中可以进一步配置为：所述根据进程白名单和进程黑名单确定该异常工控主机的作业类型的方法包括：

基于预设的分类规则，确定所述进程白名单和进程黑名单中每一个进程名称所对应的进程的类型信息；

统计表征同一类型信息的进程名称的进程数量；

将进程数量最多的类型信息作为异常工控主机的作业类型。

本申请在一较佳示例中可以进一步配置为：所述筛选与该异常工控主机的作业类型相同的工控主机作为临时工控主机的方法包括：

所述进程管理对照表还包括每一台工控主机在不同时间段内的作业类型；

根据所述进程管理对照表筛选当前时间的作业类型与异常工控主机的作业类型相同的工控主机作为临时工控主机。

本申请在一较佳示例中可以进一步配置为：所述基于预设的分配规则，根据临时工控主机的标识信息将得到的进程白名单和进程黑名单分配至临时工控主机的方法包括：

统计异常工控主机的进程白名单中的进程数量和每个临时工控主机的进程白名单中的进程数量；

根据各个临时工控主机的进程白名单中的进程数量之比确定每个临时工控主机分配到的异常工控主机的进程白名单中的进程名称对应的进程的进程数量。

本申请在一较佳示例中可以进一步配置为：还包括异常工控主机的确定方法：

相隔预设时长获取每一台工控主机的工作状态，并判断每一台工控主机的工作状态是否为宕机状态；

若是，则将该工控主机确定为异常工控主机。

本申请在一较佳示例中可以进一步配置为：所述异常工控主机的确定方法还包括：

若当前工控主机的工作状态为正常状态，则将该工控主机确定为正常工控主机。

本申请在一较佳示例中可以进一步配置为：

若获取到异常工控主机当前的工作状态为正常状态，则输出终止信号至临时工控主机，使得临时工控主机从其进程白名单和进程黑名单中删除被标记的进程名称。

本申请目的二是提供一种工控主机安全防护系统，能够增强有工业控制主机发生宕机时整个工业主机群的安全性。

本申请的上述申请目的二是通过以下技术方案得以实现的：

一种工控主机安全防护系统，包括，

获取模块，用于获取异常工控主机的标识信息，所述异常工控主机为工作状态处于宕机状态中的工控主机；

第一确定模块，用于基于预存的进程管理对照表，根据异常工控主机的标识信息和获取到的当前时间确定异常工控主机当前时间下的进程白名单和进程黑名单，所述进程管理对照表包括每一台工控主机的标识信息、不同时间段内的进程白名单和进程黑名单，所述进程白名单和进程黑名单均包括多个进程名称；

第二确定模块，用于根据进程白名单和进程黑名单确定该异常工控主机的作业类型；

筛选模块，用于筛选与该异常工控主机的作业类型相同的工控主机作为临时工控主机，并确定其标识信息；以及，

分配输出模块，用于基于预设的分配规则，根据临时工控主机的标识信息将得到的进程白名单和进程黑名单分配至临时工控主机并标记。

本申请目的三是提供一种智能终端，能够增强有工业控制主机发生宕机时整个工业主机群的安全性。

本申请的上述申请目的三是通过以下技术方案得以实现的：

一种智能终端，包括存储器和处理器，所述存储器上存储有能够被处理器加载并执行上述工控主机安全防护方法的计算机程序。

本申请目的四是提供一种计算机存储介质，能够存储相应的程序，能够便于实现增强有工业控制主机发生宕机时整个工业主机群的安全性。

本申请的上述申请目的四是通过以下技术方案得以实现的：

一种计算机可读存储介质，存储有能够被处理器加载并执行上述任一种工控主机安全防护方法的计算机程序。

综上所述，本申请包括以下至少一种有益技术效果：

当工控主机群中有工控主机出现宕机状态时，该工控主机暂时无法工作，即不能对申请运行的进程进行检测，也不能为可运行的进程提供运行环境。此时，监控服务器通过该异常工控主机的标识信息和当前时间能够确定该异常工控主机在当前时间下的进程白名单和进程黑名单，进而确定当前时间异常工控主机的作业类型，以此作为参照，从其他工控主机中选取能够进行上述作业类型的工控主机作为代替异常工控主机工作的临时工控主机，以在异常工控主机异常期间承担异常工控主机的作业，保证对于所有申请运行的进程都能进行检测，进而有工业控制主机发生宕机时增强整个工业主机群的安全性。

附图说明

图1是本申请其中一实施例的工控主机安全防护方法的流程示意图。

图2是本申请其中一实施例的工控主机安全防护系统的系统示意图。

图3是本申请其中一实施例的智能终端的结构示意图。

图中，21、获取模块；22、第一确定模块；23、第二确定模块；24、筛选模块；25、分配输出模块；301、CPU；302、ROM；303、RAM；304、总线；305、I/O接口；306、输入部分；307、输出部分；308、存储部分；309、通信部分；310、驱动器；311、可拆卸介质。

具体实施方式

以下结合附图对本申请作进一步详细说明。

本具体实施例仅仅是对本申请的解释，其并不是对本申请的限制，本领域技术人员在阅读完本说明书后可以根据需要对本实施例做出没有创造性贡献的修改，但只要在本申请的权利要求范围内都受到专利法的保护。

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，如无特殊说明，一般表示前后关联对象是一种“或”的关系。

下面结合说明书附图对本申请实施例作进一步详细描述。

本申请实施例提供一种工控主机安全防护方法，主要应用于预设的监控服务器中。监控服务器通过局域网能够与每一台工控主机通信，以对每一台工控主机的工作状态都进行监控，同时使得所有工控主机都独立运行，即任意两个工控主机之间都不能直接通信，以尽可能避免工控主机遭到网络攻击，或尽可能避免在工控主机遭到网络攻击时对其他工控主机产生影响。

可以了解的是，工控主机群中每一台工控主机都用于对申请运行的进程进行检测，并用于为可运行的进程提供运行环境。基于此，每一台工控主机都有各自的分工，即每一台工控主机负责一个领域中的进程的检测和运行，因此，每一台工控主机都设置有各自的进程白名单和进程黑名单。由于每一个进程都具有一定的运行条件，故每一台工控主机的进程白名单和进程黑名单会随时间而变化，即每一台工控主机的进程白名单和进程黑名单发生变化的时刻皆可不同。

本申请实施例的工控主机安全防护方法的主要流程描述如下。

如图1所示：

步骤S101：获取异常工控主机的标识信息。

其中，异常工控主机为工作状态处于宕机状态中的工控主机。

在获取异常工控主机的标识信息前，首先要确定所有的工控主机是否有异常工控主机。其具体方法为：相隔预设时长获取每一台工控主机的工作状态，并判断每一台工控主机的工作状态是否为宕机状态。若是，则将该工控主机确定为异常工控主机。若否，则将该工控主机确定为正常工控主机。

由于工控主机的工作状态为宕机状态时，工控主机无法接收执行任何操作，故监控服务器需要每隔预设时长分别向每一台工控主机都发送请求信息，以此定期获取每一台工控主机的工作状态。一般的，每一台工控主机在接收到请求信息时都能够反馈响应信息。基于此，监控服务器通过获取响应信息能够获取每一台工控主机的工作状态。其中，当工控主机在接收到请求信息后预设响应时间内作出反馈，即监控服务器接收到响应信息，则将该工控主机的工作状态认定为正常状态。当工控主机在接收到请求信息后预设响应时间内为作出反馈，则将该工控主机的工作状态认定为宕机状态。上述预设时长可以为20分钟或30分钟或1小时等，预设响应时长可以为1分钟、2分钟或5分钟，预设时长和预设响应时长可以根据实际情况做适应性调整。

进一步的，监控服务器能够在发送请求信息时知晓请求信息的接收对象。在本申请实施例中，为每一台工控主机都设置了标识信息，以对每一台工控主机进行区分。例如，当每一台正常工控主机在接收到请求信息时都会发送响应信息，该响应信息携带对应正常工控主机的标识信息。故，监控服务器根据发送请求信息的数量和接收到响应信息的数量能够确定异常工控主机的标识信息。

步骤S102：基于预存的进程管理对照表，根据异常工控主机的标识信息和获取到的当前时间确定异常工控主机当前时间下的进程白名单和进程黑名单。

其中，进程管理对照表包括每一台工控主机的标识信息、不同时间段内的进程白名单和进程黑名单，进程白名单和进程黑名单均包括多个进程名称。

当监控服务器在获取异常工控主机的标识信息的同时，也能够获取到当前时间。由于异常工控主机无法对监控服务器发送的请求信息做出反应，使得监控服务器无法接收到响应信息，故监控服务器获取异常工控主机的标识信息的获取时间为监控服务器在发送请求信息且经过预设响应时长后。该获取时间即为当前时间。

当得知异常工控主机的标识信息以及当前时间后，能够根据这两个信息在进程管理对照表中找到该异常工控主机当前时间下的进程白名单和进程黑名单。优选的，进程管理对照表可以预先存储于监控服务器中，也可预先存储于具有存储功能的存储设备中。

步骤S103：根据进程白名单和进程黑名单确定该异常工控主机的作业类型。

根据上述的介绍，可以了解到每一台工控主机在不同时间段的进程白名单和进程黑名单都有所不同，即每一台工控主机在不同时间段内所对应的作业类型是不同的。

根据进程白名单和进程黑名单确定该异常工控主机当前时间下的作业类型的具体方法包括（步骤S1031-步骤S1033）：

步骤S1031：基于预设的分类规则，确定所述进程白名单和进程黑名单中每一个进程名称所对应的进程的类型信息。

由于进程白名单和进程黑名单都包含多个进程名称，并且每一个进程名称所对应的进程都为通用进程，因此，可根据进程名称确定相对应的进程的类型信息。在一个具体的示例中，类型信息可以为：文字处理类、监控类、领域专属类。

步骤S1032：统计表征同一类型信息的进程名称的进程数量。

步骤S1033：将进程数量最多的类型信息作为异常工控主机的作业类型。

可以理解的，在同一时间段内，进程数量最多的类型信息能够说明在此时间段内主要以运行该类型信息的进程为主，因此可将该类型信息作为异常工控主机的作业类型。

步骤S104：筛选与该异常工控主机的作业类型相同的工控主机作为临时工控主机，并确定其标识信息。

为了便于筛选，通过上述方法可以确定进程管理对照表中每一台工控主机在不同时间段内的作业类型，并在进程管理对照表中进行标记。

可以理解的是，虽然每一台工控主机在不同时间段内的进程白名单和进程黑名单是不同的，即进程白名单和进程黑名单中的进程名称不同，每一类型信息的进程数量不同，但是其中进程数量最多的类型信息可以是相同的，因此，在同一时间，不同的工控主机的作业类型可能相同。对于在同一时间作业类型相同的工控主机，可以理解为它们能够提供类似的运行环境，因此，可通过在进程管理对照表中筛选得到与该异常工控主机当前时间下的作业类型相同的工控主机作为临时工控主机，以承担异常工控主机在当前时间下所需承担的作业。

步骤S105：基于预设的分配规则，根据临时工控主机的标识信息将得到的进程白名单和进程黑名单分配至临时工控主机并标记。

具体的，本步骤包括（步骤S1051和步骤S1052）：

步骤S1051：统计异常工控主机的进程白名单中的进程数量和每台临时工控主机的进程白名单中的进程数量。

值得说明的是，首先在给临时工控主机分配进程任务前，需要先了解异常工控主机的进程白名单和每个临时工控主机的进程白名单的进程数量，以便于了解每个临时工控主机当前时间下的负荷情况，进而在进程白名单中的进程名称所对应的进程都在运行时避免出现超负荷运行的状态。

步骤S1052：根据各个临时工控主机的进程白名单中的进程数量之比确定每个临时工控主机分配到的异常工控主机的进程白名单中的进程名称对应的进程的进程数量。

该步骤主要针对临时工控主机数量为两个以上的情况。在统计到每台临时工控主机的进程白名单中的进程数量后，能够得知各个临时工控主机的进程白名单中的进程数量之比。例如：临时工控主机A的进程白名单为3个，临时工控主机A的进程白名单为5个，临时工控主机C的进程白名单为7个，则各个临时工控主机的进程白名单中的进程数量之比为：临时工控主机A：临时工控主机B：临时工控主机C=3：5：7。

进一步的，在为每台临时工控主机分配异常工控主机的进程白名单时，主要参考的是各个临时工控主机的进程白名单中的进程数量之比的反比。在一个具体的示例中，临时工控主机A：临时工控主机B：临时工控主机C=3：5：7，假设异常工控主机的进程白名单中进程数量为10个，那么可以得出：临时工控主机A被分配到的进程数量为10*7/15≈5个，临时工控主机B被分配到的进程数量为10*5/15≈3个，临时工控主机C被分配到的进程数量为：10*3/15=2个。在进一步分配异常工控主机的进程白名单时，可以按照进程白名单上的进程名称顺序进行分配。通过上述方式进行分配，使得每一台临时工控主机在被分配后，进程白名单最终的进程数量大抵相同，进而保证各个临时工控主机能够安全运行。优选的，在计算被分配的进程数量是可以采用四舍五入的方式。

需要注意的是，异常工控主机的进程黑名单中所包含的进程名称都是该时间段内不允许运行的进程，故异常工控主机的进程黑名单应该完整地分配给所有的临时工控主机。

另外，若临时工控主机数量仅有一台的情况，则该临时工控主机需要完整地继承异常工控主机的进程白名单。

在本申请实施例中，当存在异常工控主机时，监控服务器通过标识信息发送进程白名单中被分配的进程名称和进程黑名单中的进程名单给相对应的临时工控主机。当临时工控主机接收到相应的进程名称时，将这些进程名称加入到自身相对应的进程白名单或进程黑名单中，同时对于新添加的进程名称进行标记，以便于在异常工控主机恢复运行时删除。

当然，根据上述介绍可以了解到，监控服务器能够每间隔预设时长就发送请求信息以检测各个工控主机的工作状态。这不仅能够检测是否有工控主机出现异常状态，还能够检测异常工控主机是否恢复至正常状态。当获取到异常工控主机当前的工作状态为正常状态时，则监控服务器发送终止信号至各个临时工控主机，以使得各个临时工控主机从其进程白名单和进程黑名单中删除被标记的进程名称，进而停止为异常工控主机分担检测作业。

图2为本申请一种实施例提供的工控主机安全防护系统。

如图2所示的工控主机安全防护系统，包括获取模块21、第一确定模块22、第二确定模块23、筛选模块24和分配输出模块25，其中：

获取模块21，用于获取异常工控主机的标识信息。

第一确定模块22，用于基于预存的进程管理对照表，根据异常工控主机的标识信息和获取到的当前时间确定异常工控主机当前时间下的进程白名单和进程黑名单。

第二确定模块23，用于根据进程白名单和进程黑名单确定该异常工控主机的作业类型。

筛选模块24，用于筛选与该异常工控主机的作业类型相同的工控主机作为临时工控主机，并确定其标识信息。

分配输出模块25，用于基于预设的分配规则，根据临时工控主机的标识信息将得到的进程白名单和进程黑名单分配至临时工控主机并标记。

图3示出了适于用来实现本申请实施例的智能终端的结构示意图。

如图3所示，智能终端包括中央处理单元(CPU)301，其可以根据存储在只读存储器(ROM)302中的程序或者从存储部分加载到随机访问存储器(RAM)303中的程序而执行各种适当的动作和处理。在RAM 303中，还存储有系统操作所需的各种程序和数据。CPU 301、ROM302以及RAM 303通过总线304彼此相连。输入/输出(I/O)接口305也连接至总线304。

以下部件连接至I/O接口305：包括键盘、鼠标等的输入部分306；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分307；包括硬盘等的存储部分308；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分309。通信部分309经由诸如因特网的网络执行通信处理。驱动器310也根据需要连接至I/O接口305。可拆卸介质311，诸如磁盘、光盘、磁光盘、半导体存储器等，根据需要安装在驱动器310上，以便于从其上读出的计算机程序根据需要被安装入存储部分308。

特别地，根据本申请的实施例，上文参考流程图图1描述的过程可以被实现为计算机软件程序。例如，本申请的实施例包括一种计算机程序产品，其包括承载在机器可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分309从网络上被下载和安装，和/或从可拆卸介质311被安装。在该计算机程序被中央处理单元(CPU)301执行时，执行本申请的系统中限定的上述功能。

需要说明的是，本申请所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一种或多种导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本申请各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，前述模块、程序段、或代码的一部分包含一种或多种用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本申请实施例中所涉及到的单元或模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元或模块也可以设置在处理器中，例如，可以描述为：一种处理器包括：获取模块21、第一确定模块22、第二确定模块23、筛选模块24和分配输出模块25。其中，这些单元或模块的名称在某种情况下并不构成对该单元或模块本身的限定，例如，获取模块21还可以被描述为“用于获取异常工控主机的标识信息的模块”。

作为另一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的智能终端中所包含的；也可以是单独存在，而未装配入该智能终端中的。上述计算机可读存储介质存储有一个或者多个程序，当上述前述程序被一个或者一个以上的处理器用来执行描述于本申请的工控主机安全防护方法。

以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的申请范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离前述申请构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中申请的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims

1.一种工控主机安全防护方法，应用于预设的监控服务器中，其特征在于，所述监控服务器通过局域网与每一台工控主机通信，每一台工控主机都设置有进程白名单和进程黑名单，并且每一台工控主机的进程白名单与进程黑名单会随时间而变化，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述根据进程白名单和进程黑名单确定该异常工控主机的作业类型的方法包括：

统计表征同一类型信息的进程名称的进程数量；

将进程数量最多的类型信息作为异常工控主机的作业类型。

3.根据权利要求1所述的方法，其特征在于，所述筛选与该异常工控主机的作业类型相同的工控主机作为临时工控主机的方法包括：

4.根据权利要求1所述的方法，其特征在于，所述基于预设的分配规则，根据临时工控主机的标识信息将得到的进程白名单和进程黑名单分配至临时工控主机的方法包括：

5.根据权利要求1所述的方法，其特征在于，还包括异常工控主机的确定方法：

若是，则将该工控主机确定为异常工控主机。

6.根据权利要求5所述的方法，其特征在于，所述异常工控主机的确定方法还包括：

7.根据权利要求1所述的方法，其特征在于，还包括：

8.一种工控主机安全防护系统，其特征在于，包括，

获取模块(21)，用于获取异常工控主机的标识信息，所述异常工控主机为工作状态处于宕机状态中的工控主机；

第一确定模块(22)，用于基于预存的进程管理对照表，根据异常工控主机的标识信息和获取到的当前时间确定异常工控主机当前时间下的进程白名单和进程黑名单，所述进程管理对照表包括每一台工控主机的标识信息、不同时间段内的进程白名单和进程黑名单，所述进程白名单和进程黑名单均包括多个进程名称；

第二确定模块(23)，用于根据进程白名单和进程黑名单确定该异常工控主机的作业类型；

筛选模块(24)，用于筛选与该异常工控主机的作业类型相同的工控主机作为临时工控主机，并确定其标识信息；以及，

分配输出模块(25)，用于基于预设的分配规则，根据临时工控主机的标识信息将得到的进程白名单和进程黑名单分配至临时工控主机并标记。

9.一种智能终端，其特征在于，包括存储器和处理器，所述存储器上存储有能够被处理器加载并执行如权利要求1至7中任一种方法的计算机程序。

10.一种计算机可读存储介质，其特征在于，存储有能够被处理器加载并执行如权利要求1至7中任一种方法的计算机程序。