CN116318904A - 核电网络安全防护系统 - Google Patents

Abstract

本申请涉及核岛系统技术领域，公开一种核电网络安全防护系统，包括安全通信网络管理装置和安全区域边界管理装置。安全通信网络管理装置用于获取DCS系统中传输的数据，对DCS系统中传输的数据进行异常分析。安全区域边界管理装置用于获取DCS系统与外部设备的交互数据，对交互数据进行安全验证，并允许安全验证后的交互数据通过。该核电网络安全防护系统通过对DCS系统中传输的数据进行异常分析，并对DCS系统与外部设备的交互数据进行安全验证，允许安全验证的交互数据通过，可以在不影响DCS系统功能正常使用的基础上，提升DCS系统的信息安全水平，保障机组安全稳定运行。

Description

核电网络安全防护系统

技术领域

本申请涉及核岛系统技术领域，特别是涉及一种核电网络安全防护系统。

背景技术

核电站的DCS系统是运行实时监控、在线参数修改及事故响应处理的核心系统。DCS系统作为核电厂的“大脑”和“神经中枢”，要求的是高可靠性和高稳定性。

当前工控系统信息安全相关的平台和技术虽然发展的比较快，但是通用的网络安全平台难以适用核电厂的DCS系统，可能会导致DCS系统的通讯异常，威胁DCS系统安全稳定运行。

发明内容

基于此，有必要针对上述问题，提供一种核电网络安全防护系统。

一种核电网络安全防护系统，包括安全通信网络管理装置和安全区域边界管理装置，安全通信网络管理装置和安全区域边界管理装置均连接核电厂的DCS系统；

安全通信网络管理装置用于获取DCS系统中传输的数据，对DCS系统中传输的数据进行异常分析；

安全区域边界管理装置用于获取DCS系统与外部设备的交互数据，对交互数据进行安全验证，并允许安全验证后的交互数据通过。

在其中一个实施例中，核电网络安全防护系统还包括隔离装置，DCS系统的安全域通过隔离装置连接DCS系统的辅助系统安全域。

在其中一个实施例中，安全通信网络管理装置包括第一数据采集单元和第一数据处理单元；第一数据采集单元连接DCS系统和第一数据处理单元；

第一数据采集单元用于获取DCS系统中传输的数据，第一数据处理单元用于对DCS系统中传输的数据进行异常分析。

在其中一个实施例中，安全通信网络管理装置还包括连接第一数据处理单元的第一显示单元；

第一数据处理单元用于对DCS系统中传输的数据进行异常分析，得到分析结果，第一显示单元用于显示分析结果。

在其中一个实施例中，安全区域边界管理装置包括验证模块和数据传输控制模块，验证模块连接DCS系统和数据传输控制模块；

验证模块用于获取DCS系统与外部设备的交互数据，对交互数据进行安全验证；

数据传输控制模块允许安全验证后的交互数据通过。

在其中一个实施例中，验证模块包括第二数据采集单元和第二数据处理单元；第二数据采集单元连接DCS系统和第二数据处理单元，第二数据处理单元连接数据传输控制模块；

第二数据采集单元用于获取DCS系统与外部设备的交互数据，第二数据处理单元用于对交互数据进行安全验证。

在其中一个实施例中，安全通信网络管理装置的数量为两个以上。

在其中一个实施例中，核电网络安全防护系统还包括安全管理中心装置，安全通信网络管理装置和安全区域边界管理装置均连接安全管理中心装置；

安全管理中心装置用于对来自安全通信网络管理装置和安全区域边界管理装置的数据进行分析，还用于对安全通信网络管理装置和安全区域边界管理装置进行运行控制。

在其中一个实施例中，安全管理中心装置包括安全监视模块和安全维护模块；安全通信网络管理装置和安全区域边界管理装置均连接安全监视模块，且均连接安全维护模块；

安全监视模块用于对来自安全通信网络管理装置和安全区域边界管理装置的数据进行分析；

安全维护模块用于对安全通信网络管理装置和安全区域边界管理装置进行运行控制。

在其中一个实施例中，安全监视模块还用于从DCS系统获取时钟信息，并根据时钟信息对安全通信网络管理装置和安全区域边界管理装置进行校时。

上述核电网络安全防护系统，包括安全通信网络管理装置和安全区域边界管理装置。安全通信网络管理装置用于获取DCS系统中传输的数据，对DCS系统中传输的数据进行异常分析。安全区域边界管理装置用于获取DCS系统与外部设备的交互数据，对交互数据进行安全验证，并允许安全验证后的交互数据通过。该核电网络安全防护系统通过对DCS系统中传输的数据进行异常分析，并对DCS系统与外部设备的交互数据进行安全验证，允许安全验证的交互数据通过，可以在不影响DCS系统功能正常使用的基础上，提升DCS系统的信息安全水平，保障机组安全稳定运行。

附图说明

图1为一个实施例中核电网络安全防护系统的结构示意图；

图2为一个实施例中安全通信网络管理装置的结构示意图；

图3为一个实施例中安全区域边界管理装置的结构示意图；

图4为一个实施例中验证模块的结构示意图；

图5为一个实施例中安全管理中心装置的结构示意图；

图6为一个实施例中核电网络安全防护系统的模型结构示意图；

图7为一个实施例中核电DCS系统安全体系结构示意图；

图8为一个实施例中核电网络安全防护系统的结构示意图；

图9为另一个实施例中安全通信网络管理装置的结构示意图；

图10为另一个实施例中安全区域边界管理装置的结构示意图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本申请实施例中的核电网络安全防护系统可以部署在核电厂的DCS系统中，用于对DCS系统进行网络安全监管和防护。其中，核电厂的DCS系统主要包括DCS控制系统和DCS辅助系统。DCS控制系统用于控制核电厂的工况以保障核电厂正常运行，DCS辅助系统用于辅助DCS控制系统工作，进一步提高核电厂工作可靠性。

在一个实施例中，如图1所示，提供了一种核电网络安全防护系统，包括安全通信网络管理装置100和安全区域边界管理装置200。安全通信网络管理装置100和安全区域边界管理装置200均连接核电厂的DCS系统。

安全通信网络管理装置100用于获取DCS系统中传输的数据，并对DCS系统中传输的数据进行异常分析。异常分析的具体步骤可以包括，安全通信网络管理装置100在获取到DCS系统中传输的数据之后，首先判断该数据是否为异常数据。若该数据为异常数据，则进一步判断该异常数据是否会对DCS系统的正常运行构成威胁。若该异常数据会对DCS系统的正常运行构成威胁，则将该异常数据标记为攻击数据。若该数据不是异常数据，则将该数据标记为正常数据，或者不进行进一步处理。另外，安全通信网络管理装置100也可以对DCS系统中的通信双方进行身份验证，并建立安全通道，确保数据在传输过程中不会被篡改和破坏。

安全区域边界管理装置200用于获取DCS系统与外部设备的交互数据，对交互数据进行安全验证，并允许安全验证后的交互数据通过。其中，安全验证具体包括对交互数据进行访问控制、协议过滤、安全审计等。例如，安全区域边界管理装置200获取到交互数据后，可以判断该交互数据是否有权限访问DCS系统。并将有权限访问DCS系统的交互数据传输至DCS系统，过滤掉无权限访问DCS系统的交互数据。

本实施例中，核电网络安全防护系统包括安全通信网络管理装置100和安全区域边界管理装置200。安全通信网络管理装置100用于获取DCS系统中传输的数据，对DCS系统中传输的数据进行异常分析。安全区域边界管理装置200用于获取DCS系统与外部设备的交互数据，对交互数据进行安全验证，并允许安全验证后的交互数据通过。该核电网络安全防护系统通过对DCS系统中传输的数据进行异常分析，并对DCS系统与外部设备的交互数据进行安全验证，允许安全验证的交互数据通过，可以在不影响DCS系统功能正常使用的基础上，提升DCS系统的信息安全水平，保障机组安全稳定运行。

在一个实施例中，如图1所示，核电网络安全防护系统还包括隔离装置300。DCS系统的安全域通过隔离装置300连接DCS系统的辅助系统安全域。

其中，DCS系统的安全域可以为DCS控制系统的安全域，DCS系统的辅助系统安全域可以为DCS辅助系统的安全域。具体的，隔离装置300可以为单向隔离装置300，用于控制DCS控制系统和DCS辅助系统之间的数据单向传输。例如，只允许DCS辅助系统接收来自DCS控制系统的数据，而不允许DCS辅助系统直接访问DCS控制系统。

本实施例中，核电网络安全防护系统还包括隔离装置300，DCS系统的安全域通过隔离装置300连接DCS系统的辅助系统安全域，可以保障DCS系统的安全域的通信安全，进一步提高DCS系统的网络安全水平。

在一个实施例中，如图2所示，安全通信网络管理装置100包括第一数据采集单元110和第一数据处理单元120。第一数据采集单元110连接DCS系统和第一数据处理单元120。

第一数据采集单元110用于获取DCS系统中传输的数据。其中，第一数据采集单元110获取到的数据包括DCS控制系统和DCS辅助系统中传输的原始报文数据和资产识别数据。进一步的，原始报文数据可以为交换机镜像端口的镜像报文数据。资产识别数据可以为第一数据采集单元110对原始报文数据进行预处理之后的数据。

预处理具体可以包括对资产的重要性进行赋值、对资产脆弱性的严重程度进行赋值等。例如，根据资产在机密性、完整性和可用性上的要求，可以将资产赋上不同的值以表示其资产价值。资产价值越高，重要性越高，其被破坏后对DCS系统造成的损失越大。根据资产的损害程度、技术实现的难易程度等多个维度，也可以将资产赋上不同的值以表示其脆弱程度。当资产被威胁利用时，其脆弱程度越高，则对资产造成的损害越大，也就对DCS系统的影响越大。

第一数据处理单元120用于对DCS系统中传输的数据进行异常分析。具体步骤包括，第一数据处理单元120接收到第一数据采集单元110发送过来的数据后，基于多种类型的数据库，对数据类型进行识别并生成识别结果，然后对识别结果进行异常分析。其中，识别结果可以包括通信协议类型、网络攻击类型、资产的详细信息及运行状态。对识别结果进行异常分析具体包括提取识别结果中的关键特征，将关键特征转化为工控信息，根据预先配置的安全策略对工控信息进行异常分析，得到异常分析结果。进一步地，工控信息可以包括工控操作审计信息、工控网络审计信息、工控威胁信息、工控会话流量信息等。

另外，第一数据处理单元120还可以进行智能学习，生成安全合理的安全策略。

本实施例中，安全通信网络管理装置100包括第一数据采集单元110和第一数据处理单元120。其中，第一数据采集单元110用于获取DCS系统中传输的数据，第一数据处理单元120用于对DCS系统中传输的数据进行异常分析，可以实现对DCS系统中传输的数据的监测，提高DCS系统的网络安全水平。

在一个实施例中，如图2所示，安全通信网络管理装置100还包括连接第一数据处理单元120的第一显示单元130。

第一数据处理单元120对DCS系统中传输的数据进行异常分析后，将异常分析结果发送至第一显示单元130，第一显示单元130用于显示该分析结果。具体可以为将异常分析结果转化为可视化数据，例如转化为图形数据或表格数据。然后将可视化数据发送至DCS系统中的终端进行显示。其中，DCS系统中的终端包括DCS控制系统中人机接口层的部分终端，和/或DCS辅助系统中的部分终端。终端可以但不限于是各种个人计算机、笔记本电脑、智能手机、平板电脑、物联网设备和便携式可穿戴设备。

本实施例中，安全通信网络管理装置100还包括连接第一数据处理单元120的第一显示单元130。第一显示单元130用于显示第一输出处理单元得到的分析结果，可以实现DCS系统的网络安全状态可视化，方便用户对DCS系统进行监测，进一步提高DCS系统的网络安全水平。

在一个实施例中，如图3所示，安全区域边界管理装置200包括验证模块210和数据传输控制模块220。验证模块210连接DCS系统和数据传输控制模块220。

验证模块210用于获取DCS系统与外部设备的交互数据，对交互数据进行安全验证。其中，外部设备通过与DCS系统进行数据交互，可以支持DCS系统对核电厂的管理和监视，例如对核电厂进行检修、周期性测试等。具体的，验证模块210可以获取DCS系统与外部设备通信链路上的交互数据，并对交互数据进行分析，得到安全验证结果，然后将安全验证结果发送至数据传输控制模块220。安全验证结果可以包括交互数据的通信协议类型是否安全、交互数据是否利用漏洞攻击DCS系统等。

数据传输控制模块220接收到验证模块210发送过来的安全验证结果后，控制安全验证结果为安全的交互数据通过，拦截安全验证结果为不安全的交互数据。数据传输控制模块220具体可以为防火墙。

本实施例中，安全区域边界管理装置200包括验证模块210和数据传输控制模块220。验证模块210用于获取DCS系统与外部设备的交互数据，对交互数据进行安全验证。数据传输控制模块220允许安全验证后的交互数据通过。可以实现DCS系统边界的安全检查和访问控制。保障不会有违背系统安全策略的交互数据流入DCS系统，对DCS系统造成威胁，提高DCS系统的网络安全水平。

在一个实施例中，如图4所示，验证模块210包括第二数据采集单元211和第二数据处理单元212。第二数据采集单元211连接DCS系统和第二数据处理单元212，第二数据处理单元212连接数据传输控制模块220。

第二数据采集单元211用于获取DCS系统与外部设备的交互数据。第二数据采集单元211获取到的交互数据包括DCS系统与外部设备的通信链路中传输的原始报文数据和资产识别数据。进一步的，原始报文数据可以为交换机镜像端口的镜像报文数据。资产识别数据可以为第二数据采集单元211对原始报文数据进行预处理之后的数据。预处理具体内容可以参考上述实施例中所述，在此不作赘述。

第二数据采集单元211将交互数据发送给第二数据处理单元212后，第二数据处理单元212可以对交互数据进行安全验证，并生成安全验证结果。其中，安全验证的具体步骤包括，根据各类型数据库识别交互数据类型并生成识别结果，将识别结果转换为工控事件信息。再根据工控事件信息生成安全验证结果。进一步地，工控事件信息可以包括工控网络事件信息、工控威胁信息、工控会话流量信息等。

对应的，如图4所示，验证模块210还可以包括第二显示单元213。第二显示单元213用于显示该安全验证结果。显示具体步骤可以包括将上述安全验证结果转化为可视化数据。例如转化为图形数据或表格数据。然后将可视化数据发送至DCS系统和/或外部设备中的终端进行显示。终端可以但不限于是各种个人计算机、笔记本电脑、智能手机、平板电脑、物联网设备和便携式可穿戴设备。

本实施例中，验证模块210包括第二数据采集单元211和第二数据处理单元212。第二数据采集单元211用于获取DCS系统与外部设备的交互数据。第二数据处理单元212用于对交互数据进行安全验证。可以实现DCS系统与外部设备的边界的安全检查，防止有可能对DCS系统造成威胁的数据进入DCS系统，进一步提高DCS系统的网络安全水平。

在一个实施例中，安全通信网络管理装置100的数量为两个以上。

当安全通信网络管理装置100的数量为两个以上时，安全通信网络管理装置100可以连接DCS系统中不同的总线系统，用于对DCS系统的通信网络进行安全监测。例如，当安全通信网络管理装置100包括第一安全通信网络管理装置100和第二安全通信网络管理装置100时，第一安全通信网络管理装置100可以连接DCS控制系统中的总线系统，用于获取DCS控制系统中传输的数据并进行异常分析。第二安全通信网络管理装置100可以连接DCS辅助系统中的总线系统，用于获取DCS辅助系统中传输的数据并进行异常分析。

本实施例中，安全通信网络管理装置100的数量为两个以上，可以对DCS系统进行更全面的安全监测。各安全通信网络管理装置100之间互不影响，防止当有安全通信网络管理装置100出现故障时，无法对DCS系统中传输的数据进行异常分析。同时可以减轻各安全通信网络管理装置100的业务量，提高安全监测的效率。

在一个实施例中，如图1所示，核电网络安全防护系统还包括安全管理中心装置400。安全通信网络管理装置100和安全区域边界管理装置200均连接安全管理中心装置400。

安全管理中心装置400用于对来自安全通信网络管理装置100和安全区域边界管理装置200的数据进行分析。具体的，安全通信网络管理装置100可以根据对DCS系统中传输的数据进行异常分析的过程生成第一日志数据，并发送给安全管理中心装置400。安全管理中心装置400再根据预先设置的等级保护管理要求和安全策略，对第一日志数据进行合规性核查分析，以实现对安全通信网络管理装置100的监测。同样的，安全区域边界管理装置200可以根据对交互数据进行安全验证的过程生成第二日志数据，并发送至安全管理中心装置400。安全管理中心装置400再根据预先设置的等级保护管理要求和安全策略，对第二日志数据进行合规性核查分析，以实现对安全区域边界管理装置200的监测。

进一步地，安全管理中心装置400还可以根据异常分析结果和/或安全验证结果生成报警信息，并将报警信息发送至DCS系统。DCS系统再以声、光等形式显示报警信息。报警信息用于提醒操作员DCS系统的网络安全受到攻击。

安全管理中心装置400还用于对安全通信网络管理装置100和安全区域边界管理装置200进行运行控制。具体的，安全管理中心可以下发预先设置的防护策略至安全通信网络管理装置100和安全区域边界管理装置200。安全通信网络管理装置100根据防护策略对DCS系统中传输的数据进行异常分析。安全区域边界管理装置200根据防护策略对DCS系统与外部设备的交互数据进行安全验证。

本实施例中，核电网络安全防护系统还包括安全管理中心装置400。安全管理中心装置400用于对来自安全通信网络管理装置100和安全区域边界管理装置200的数据进行分析，还用于对安全通信网络管理装置100和安全区域边界管理装置200进行运行控制。可以实现对安全通信网络管理装置100和安全区域边界管理装置200的统一管理，保障整体安全策略的一致性，提高DCS系统的网络安全水平。

在一个实施例中，如图5所示，安全管理中心装置400包括安全监视模块410和安全维护模块420。安全通信网络管理装置100和安全区域边界管理装置200均连接安全监视模块410，且均连接安全维护模块420。

安全监视模块410用于对来自安全通信网络管理装置100和安全区域边界管理装置200的数据进行分析。具体的，安全监视模块410可以根据来自安全通信网络管理装置100的异常分析结果，和/或来自安全区域边界管理装置200的安全验证结果生成报警信息。安全监视模块410也可以对安全通信网络管理装置100和/或安全区域边界管理装置200发送过来的日志数据进行关联分析和合规性评估分析。安全监视模块410还可以通过安全通信网络管理装置100和/或安全区域边界管理装置200获取DCS系统中的资产数据，并对资产进行集中管理。

安全维护模块420用于对安全通信网络管理装置100和安全区域边界管理装置200进行运行控制。具体的，安全维护模块420可以获取安全监视模块410中的数据并进行分析，根据分析结果调整防护策略，并将该防护策略下发至安全通信网络管理装置100和安全区域边界管理装置200。其中，防护策略可以包括访问控制策略和安全防护策略。

本实施例中，安全管理中心装置400包括安全监视模块410和安全维护模块420。安全监视模块410用于对来自安全通信网络管理装置100和安全区域边界管理装置200的数据进行分析。安全维护模块420用于对安全通信网络管理装置100和安全区域边界管理装置200进行运行控制。可以实现对安全通信网络管理装置100和安全区域边界管理装置200的统一管理，保障整体安全策略的一致性，提高DCS系统的网络安全水平。

在一个实施例中，安全监视模块410还用于从DCS系统获取时钟信息，并根据时钟信息对安全通信网络管理装置100和安全区域边界管理装置200进行校时。

其中，DCS系统中部署有时钟源。安全监视模块410首先可以向时钟源发送获取时钟信息的请求，再根据时钟源反馈回来的时钟信息对安全通信网络管理装置100和安全区域边界管理装置200进行统一校时。具体的，安全通信网络管理装置100和安全区域边界管理装置200主动向安全监视模块410发送校时请求，安全监视模块410接收到校时请求后，反馈时间戳信息至安全通信网络管理装置100和安全区域边界管理装置200。安全通信网络管理装置100和安全区域边界管理装置200可以根据时间戳信息修改本地时间，以统一校时。

进一步地，安全监视模块410需通过防火墙从DCS系统获取时钟信息。

本实施例中，安全监视模块410还用于从DCS系统获取时钟信息，并根据时钟信息对安全通信网络管理装置100和安全区域边界管理装置200进行校时。可以保障核电网络安全防护系统与DCS系统的时钟保持一致，提高核电网络安全防护系统的工作可靠性，进一步提升DCS系统的网络安全水平。

为便于更好地理解上述核电网络安全防护系统，下面结合具体实施例进行详细解释说明。

在一个实施例中，提供了一种核电网络安全防护系统。针对该核电网络安全防护系统的设计，首先提出了一种由安全管理中心支撑，安全计算环境、安全区域边界、安全通信网络所组成的三重防护体系系统模型。如图6所示，安全管理中心针对安全计算环境、安全区域边界和安全通信网络三个部分的安全机制，进行统一集中管控，实现对安全设备的安全管理、审计管理和系统管理，形成一个相对独立的系统环境。安全管理中心实施对安全计算环境、安全区域边界和安全通信网络统一的安全策略，确保系统配置完整可信，确定用户操作权限，实施全程审计追踪。安全计算环境可以进行双因子认证、标记和强制访问控制、自主访问控制、程序可信执行、数据完整性保护、非法外联监测和安全审计。安全通信网络可以进行工业协议解析、协议完整性监测、行为异常检测、网络安全审计、蜜罐诱捕和攻击分析。安全区域边界可以进行包过滤、协议过滤、入侵检测、可信接入、边界完整性保护和安全审计，并可以防止非法内联和非法外联。

安全计算环境是由一个或多个计算机系统(主机/服务器)组成的，以对数据信息进行存储、处理为主要目的，有明确边界的计算区域。核电DCS系统中的计算服务器、I/O服务器、操作员站、工程师站、各类网关及通讯站、维护工具等均属于计算环境范畴。安全计算环境通过服务器操作系统、各类主机、应用系统和数据库的安全机制服务，保障核电DCS系统业务处理全过程的安全运行。通过在操作系统核心层和系统层建立以强制访问控制为主体的系统安全机制，构建安全保护环境的结构化机制，建立可信安全保护环境。通过对用户行为的控制，可以有效防止非授权用户访问和授权用户越权访问，确保用户数据的完整性

根据承载具体业务的不同，对核电DCS系统进行区域划分形成内部与外部、内部与内部之间的安全边界。在安全边界处对进入和流出的信息流进行安全检查和访问控制，确保不会有违背系统安全策略的信息流通过边界，防止非法内联、非法外联的行为，保证边界的完整性。边界的安全防护是保护业务系统的第一道安全屏障，安全区域边界需要重点实施访问控制、协议过滤、安全审计以及边界完整性保护等保护内容。

安全通信网络由系统内部计算节点和网络设备共同组成。安全通信网络保护需要通过对通信双方进行身份鉴别验证，建立安全通道，实施传输数据完整性保护，确保用户信息在传输过程中不会被篡改和破坏。

核电DCS系统安全体系具体结构可以参考图7。如图7所示，安全计算环境主要用于实现强制访问控制、主机加固和程序可信验证功能。安全通信网络主要用于实现网络通讯异常监控、网络安全审计和工业协议解析功能。安全区域边界主要用于实现边界隔离、物理隔离、非法内外联和入侵检测功能。

如图8所示，本实施例的核电网络安全防护系统包括安全通信网络管理装置100、安全区域边界管理装置200和安全管理中心装置400。DCS控制系统和DCS辅助系统中的部分网络交换机可以接入安全通信网络管理装置100，并将已接入的网络交换机中的某一备用端口设置为镜像端口，将其它端口的通信数据镜像到此端口并传输至安全通信网络管理装置100。其中，安全通信网络管理装置100包括第一安全通信网络管理装置和第二安全通信网络管理装置。第一安全通信网络管理装置连接DCS交换机镜像端口，用于对DCS控制系统实施通信网络监视。第二安全通信网络管理装置连接DCS辅助系统交换机镜像端口，用于对DCS辅助系统实施通信网络监视。

安全通信网络管理装置100可以包括8个千兆光口和12个100/1000M网口，可接入20台网络交换机。网络交换机接入安全通信网络管理装置100时区分不同的系统，如DCS控制系统和DCS辅助系统。安全通信网络管理装置100的供电可区分Train A与Train B列，以提高系统运行可靠性。安全通信网络管理装置100包括第一数据采集单元110、第一数据处理单元120和第一显示单元130。其中，第一数据处理单元120有包括第一核心处理单元和审计检测单元。

具体的，如图9所示，第一数据采集单元110包括镜像流量采集模块和资产识别引擎模块。镜像流量采集模块用于采集网络交换机镜像端口的流量数据。资产识别引擎模块用于采集原始的数据报文并进行简单的预处理，生成资产识别数据。

第一核心处理单元包括工控协议识别模块、工控协议解析模块、工控会话识别模块、工控资产识别模块和工控威胁匹配模块。第一核心处理单元主要用于深度处理采集到的报文信息，基于内置丰富的协议库、设备库、工业级特征库、漏洞库、事件库，识别并解析多种主流工控协议，检测多种网络攻击威胁。同时，可以对多种工控资产进行识别，并展示资产的详细信息及运行状态。

审计检测单元包括工控操作审计模块、工控会话审计模块、网络事件审计模块、工控威胁检测模块和智能学习模块。审计检测单元主要用于处理第一核心处理单元解析的信息。对第一核心处理单元解析的工控报文信息进行关键信息提取，并将其转换为工控操作审计信息、工控网络审计信息、工控威胁信息、工控会话流量信息等。其中，工控威胁信息根据工控操作审计信息及配置的安全策略(含操作数据的阈值比较和数据变更频率检测)进行分析得出。同时，审计检测单元支持对接入工控网络通信关系及通信行为进行智能学习，自动生成安全合理的安全策略。

第一显示单元130包括工控资产可视化模块、工控会话可视化模块、工控操作可视化模块、工控流量可视化模块、工控威胁可视化模块和报表定制模块。第一显示单元130主要用于支持工控网络可视化。第一显示单元130会提取审计检测单元的数据，将工控网络中的资产、会话、行为、威胁等信息以图表的形式进行展示，从多个角度让用户了解工控系统中的网络安全情况。

当DCS系统连接有外部设备，例如为管理信息大区的设备时，如图8所示，DCS系统的XU网关与管理信息大区的设备之间可以增加一个网络交换机，网络交换机再连接安全区域边界管理装置200。安全区域边界管理装置200主要用于对DCS系统边界进入管理信息大区的链路进行入侵检测防护。如图10所示，安全区域边界管理装置200具体包括第二数据采集单元211、第二数据处理单元212和第二显示单元213。其中，第二数据处理单元212还包括第二核心处理单元和检测单元。

第二数据采集单元211主要用于采集原始的数据报文并进行简单的预处理，采集到的数据分为交换机镜像口的流量采集和资产识别的流量采集两种。

第二核心处理单元主要用于处理采集到的报文信息。第二数据处理单元212内置了丰富的协议库、威胁特征库和资产识别特征库。第二数据处理单元212可以识别并解析多种工控协议，检测多种网络攻击威胁，同时可以识别多种工控资产的详细信息。

检测单元主要用于处理第二核心处理单元解析的信息。检测单元会提取第二核心处理单元解析的工控报文信息，并将其转换为工控网络事件信息、工控威胁信息、工控会话流量信息等，并支持智能学习。

第二显示单元213主要用于支持工控网络可视化。第二显示单元213会提取检测单元的数据，并将其转换成可视化拓扑图，表格等数据。

安全管理中心装置400主要用于对DCS控制系统和DCS辅助系统中的安全通信网络管理装置100、安全区域边界管理装置200、主机卫士等网络安全产品进行统一监测管理。其中，主机卫士为部署在DCS系统中的主机上的应用软件，可以控制用户行为，有效防止非授权用户访问和授权用户越权访问，确保用户数据的完整性。安全管理中心装置400包括安全监视模块410和安全维护模块420。安全监视模块410可以实现告警信息的统一收集、资产的集中管理、日志的关联分析以及合规性评估分析。安全维护模块420可以对工控防火墙、监测审计平台和工控主机卫士进行集中管理。

另外，该核电网络安全防护系统还包括IO模块，IO模块输出干接点硬接线信号。安全监视模块410可以通过IO模块将报警信息发送至DCS系统中进行声、光报警，提醒操作员。安全监视模块410还可以通过RJ45口向DCS系统时钟源发送NTP校时请求以获取时钟信息。DCS系统在接收到NTP校时请求后，发送校时信息至安全监视模块410。安全监视模块410根据校时信号对安全通信网络管理装置100、安全区域边界管理装置200进行统一校时。具体步骤包括安全通信网络管理装置100和安全区域边界管理装置200通过管理口主动向安全监视模块410发送NTP校时请求，获取到时间戳信息修改本地时间。主机卫士的时间为其所在的主机时间，以保障核电网络安全防护系统与DCS系统的时钟保持一致。进一步地，DCS系统的校时信号需通过防火墙传输至安全监视模块410。

进一步的，该核电网络安全防护系统还包括隔离装置300。隔离装置300具体为正向隔离装置300，DCS控制系统通过正向隔离装置300连接DCS辅助系统，可以控制数据的传输方向。

本实施例中的核电网络安全防护系统通过强化身份认证和细化权限管理实现了DCS系统的边界安全。并通过论证和测试等手段，提高了业务功能可靠性。同时，采用安全管理中心装置400实现告警信息的统一收集、资产的集中管理、日志的关联分析以及合规性评估分析，可以实现对DCS系统的全面监控和实时告警，提升了事件响应效率。另外该核电网络安全防护系统中的主机卫士可以有效防范恶意代码攻击，尤其是未知恶意代码。

以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种核电网络安全防护系统，其特征在于，包括安全通信网络管理装置和安全区域边界管理装置，所述安全通信网络管理装置和所述安全区域边界管理装置均连接核电厂的DCS系统；

所述安全通信网络管理装置用于获取所述DCS系统中传输的数据，对所述DCS系统中传输的数据进行异常分析；

所述安全区域边界管理装置用于获取所述DCS系统与外部设备的交互数据，对所述交互数据进行安全验证，并允许安全验证后的交互数据通过。

2.根据权利要求1所述的核电网络安全防护系统，其特征在于，还包括隔离装置，所述DCS系统的安全域通过所述隔离装置连接所述DCS系统的辅助系统安全域。

3.根据权利要求1所述的核电网络安全防护系统，其特征在于，所述安全通信网络管理装置包括第一数据采集单元和第一数据处理单元；所述第一数据采集单元连接所述DCS系统和所述第一数据处理单元；

所述第一数据采集单元用于获取所述DCS系统中传输的数据，所述第一数据处理单元用于对所述DCS系统中传输的数据进行异常分析。

4.根据权利要求3所述的核电网络安全防护系统，其特征在于，所述安全通信网络管理装置还包括连接所述第一数据处理单元的第一显示单元；

所述第一数据处理单元用于对所述DCS系统中传输的数据进行异常分析，得到分析结果，所述第一显示单元用于显示所述分析结果。

5.根据权利要求1所述的核电网络安全防护系统，其特征在于，所述安全区域边界管理装置包括验证模块和数据传输控制模块，所述验证模块连接所述DCS系统和所述数据传输控制模块；

所述验证模块用于获取所述DCS系统与所述外部设备的交互数据，对所述交互数据进行安全验证；

所述数据传输控制模块允许安全验证后的交互数据通过。

6.根据权利要求5所述的核电网络安全防护系统，其特征在于，所述验证模块包括第二数据采集单元和第二数据处理单元；所述第二数据采集单元连接所述DCS系统和所述第二数据处理单元，所述第二数据处理单元连接所述数据传输控制模块；

所述第二数据采集单元用于获取所述DCS系统与所述外部设备的交互数据，所述第二数据处理单元用于对所述交互数据进行安全验证。

7.根据权利要求1所述的核电网络安全防护系统，其特征在于，所述安全通信网络管理装置的数量为两个以上。

8.根据权利要求1所述的核电网络安全防护系统，其特征在于，还包括安全管理中心装置，所述安全通信网络管理装置和所述安全区域边界管理装置均连接所述安全管理中心装置；

所述安全管理中心装置用于对来自所述安全通信网络管理装置和所述安全区域边界管理装置的数据进行分析，还用于对所述安全通信网络管理装置和所述安全区域边界管理装置进行运行控制。

9.根据权利要求8所述的核电网络安全防护系统，其特征在于，所述安全管理中心装置包括安全监视模块和安全维护模块；所述安全通信网络管理装置和所述安全区域边界管理装置均连接所述安全监视模块，且均连接所述安全维护模块；

所述安全监视模块用于对来自所述安全通信网络管理装置和所述安全区域边界管理装置的数据进行分析；

所述安全维护模块用于对所述安全通信网络管理装置和所述安全区域边界管理装置进行运行控制。

10.根据权利要求9所述的核电网络安全防护系统，其特征在于，所述安全监视模块还用于从所述DCS系统获取时钟信息，并根据所述时钟信息对所述安全通信网络管理装置和所述安全区域边界管理装置进行校时。

Images