CN117061152A - 一种基于策略学习的产线终端系统 - Google Patents
一种基于策略学习的产线终端系统 Download PDFInfo
- Publication number
- CN117061152A CN117061152A CN202310933884.5A CN202310933884A CN117061152A CN 117061152 A CN117061152 A CN 117061152A CN 202310933884 A CN202310933884 A CN 202310933884A CN 117061152 A CN117061152 A CN 117061152A
- Authority
- CN
- China
- Prior art keywords
- protection unit
- data
- terminal
- free protection
- free
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000004519 manufacturing process Methods 0.000 title claims abstract description 97
- 230000005540 biological transmission Effects 0.000 claims abstract description 57
- 238000012795 verification Methods 0.000 claims abstract description 10
- 230000002787 reinforcement Effects 0.000 claims abstract description 4
- 241000700605 Viruses Species 0.000 claims description 58
- 238000000034 method Methods 0.000 claims description 25
- 238000002955 isolation Methods 0.000 claims description 15
- 238000012937 correction Methods 0.000 claims description 6
- 238000001514 detection method Methods 0.000 description 12
- 238000007726 management method Methods 0.000 description 9
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 8
- 230000008569 process Effects 0.000 description 7
- 231100000331 toxic Toxicity 0.000 description 7
- 230000002588 toxic effect Effects 0.000 description 7
- 238000012545 processing Methods 0.000 description 6
- 238000010586 diagram Methods 0.000 description 5
- 230000006870 function Effects 0.000 description 4
- 230000003993 interaction Effects 0.000 description 4
- 230000008901 benefit Effects 0.000 description 3
- 230000003111 delayed effect Effects 0.000 description 3
- 238000012423 maintenance Methods 0.000 description 3
- 238000003860 storage Methods 0.000 description 3
- 238000012384 transportation and delivery Methods 0.000 description 3
- 206010011409 Cross infection Diseases 0.000 description 2
- 206010029803 Nosocomial infection Diseases 0.000 description 2
- 230000002155 anti-virotic effect Effects 0.000 description 2
- 230000000903 blocking effect Effects 0.000 description 2
- 238000004364 calculation method Methods 0.000 description 2
- 238000004891 communication Methods 0.000 description 2
- 238000009826 distribution Methods 0.000 description 2
- 239000000284 extract Substances 0.000 description 2
- 238000002513 implantation Methods 0.000 description 2
- 238000009776 industrial production Methods 0.000 description 2
- 208000015181 infectious disease Diseases 0.000 description 2
- 238000005457 optimization Methods 0.000 description 2
- 230000004044 response Effects 0.000 description 2
- 239000000523 sample Substances 0.000 description 2
- 241000282326 Felis catus Species 0.000 description 1
- 238000013459 approach Methods 0.000 description 1
- 238000012550 audit Methods 0.000 description 1
- 238000012790 confirmation Methods 0.000 description 1
- 238000010276 construction Methods 0.000 description 1
- 230000001276 controlling effect Effects 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 201000010099 disease Diseases 0.000 description 1
- 208000037265 diseases, disorders, signs and symptoms Diseases 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 238000001914 filtration Methods 0.000 description 1
- 230000010365 information processing Effects 0.000 description 1
- 230000001105 regulatory effect Effects 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本发明涉及一种基于策略学习的产线终端系统，其包括：具有不同网络安全等级的一级终端、二级终端以及三级终端，每个一级终端以及二级终端的数据接入口前端均接入无ip防护单元，无ip防护单元基于策略学习的方式选择从发送端至接收端的传输路径，其中，在一级终端和/或二级终端向其他的一级终端和/或二级终端传输数据时，发送端的无ip防护单元能够基于待发送数据的安全性及紧急性选择从发送端至接收端的传输路径，三级终端能够对无ip防护单元选择的传输路径进行验证，并将验证结果反馈至无ip防护单元以进行强化学习。
Description
技术领域
本发明涉及工业设备安全防护技术领域，尤其涉及一种基于策略学习的产线终端系统。
背景技术
随着信息化和工业化的融合，工业控制系统的安全问题也变得日益突出。一旦工业控制系统出现安全漏洞，则使得工业控制系统遭受病毒、木马等威胁攻击的可能性增大，进而使得工业生成控制过程面临安全性威胁。目前，工业控制系统中所采取的安全防护措施一般是在工业控制系统网络的企业管理层和外部网络之间部署防火墙。由于防护措施较少，一旦该企业管理层与外部网络之间的防火墙被攻击者攻破，则工业控制系统的内部网络便很容易被控制，从而使得工业控制系统中的生产资料等数据被窃取，或者现场设备被恶意操控，影响到正常的工业控制。
现有技术中如公告号为CN103491108B的专利文献所提出的一种工业控制网络安全防护方法和系统，该工业控制网络被划分为至少两个子网络层；其中，该工业控制网络与外部网络之间设置有防火墙，工业控制网络内设置有控制子网络层间数据传输的安全防护模块，该方法包括：安全防护模块截获所述子网络层之间传输的数据报文；安全防护模块判断所述数据报文所请求的操作是否满足预设条件；当所述安全防护模块判断出所述操作不满足预设条件时，阻断所述数据报文的传输；当所述安全防护模块判断出所述操作满足所述预设条件时，滤除所述数据报文中存在安全隐患的数据，并将滤除后的数据报文向所述数据报文对应的目的子网络层传输。
然而，在上述现有技术的方案中，都是对工业控制网络的控制终端进行防护，在工业生产系统中，还具有分布广泛、数量众多的、各个车间的、不同功能的产线台机终端，并且，该类产线台机终端与工业控制网络中的控制终端不同，该类终端往往功能简单、系统轻便，并且需要快速反应，避免造成产线台机运作缓慢导致的长时间等待，延误生产任务，因此，该类产线台机终端不能够像服务器、办公电脑一样配置安全防护软件、杀毒软件等，从而给攻击者提供了便利。或者，即使勉强在生产台机终端内部搭载了安全防护软件、系统，其安全防护软件的运转会严重影响生产台机终端的运行速度，甚至出现死机等情况，导致生产延误，严重情况甚至可能造成巨额经济损失；此外，对于配置在产线台机终端内的安全防护系统而言，由于自身具备网络地址，其也可能存在自身遭受网络攻击的情况，从而导致工业控制系统被成功袭击的可能性增加。
此外，一方面由于对本领域技术人员的理解存在差异；另一方面由于发明人做出本发明时研究了大量文献和专利，但篇幅所限并未详细罗列所有的细节与内容，然而这绝非本发明不具备这些现有技术的特征，相反本发明已经具备现有技术的所有特征，而且申请人保留在背景技术中增加相关现有技术之权利。
发明内容
针对现有技术所提出的技术方案之不足，本申请提出了一种基于策略学习的产线终端系统，其包括：具有不同网络安全等级的一级终端、二级终端以及三级终端，每个所述一级终端以及所述二级终端的数据接入口前端均接入无ip防护单元，所述无ip防护单元基于策略学习的方式选择从发送端至接收端的传输路径，其中，在一级终端和/或二级终端向其他的一级终端和/或二级终端传输数据时，无ip防护单元能够基于发送数据的安全性及紧急性选择从发送端至接收端的传输路径，所述三级终端能够对所述无ip防护单元选择的传输路径进行验证，并将验证结果反馈至所述无ip防护单元以进行强化学习。
部分企业未来发展的重要规划之一即是打造高效率、低人力、高质量的自动化产线。而对于智能化工厂、自动化工业而言，其无法绕开也无法回避的一个问题就是：智能化工厂和自动化工业的产线上的产线台机彼此之间或者产线台机与控制系统之间需要进行信息交互，而存在信息交互就存在信息安全风险。就目前而言，现有的绝大多数智能化产线台机都是优先考虑工作效率、产品质量、操作难易度以及维护难易度等问题，因此其在设计之初其内置系统就是为了提升工作效率、提升产品质量考虑的，并且为了简化操作难度，甚至有意识地、刻意地采用相对简单的系统。然而这种配置方式也埋下了信息安全的隐患。由于产线终端具有一定的可操作性，并且安全防护等级较低，因此容易遭受入侵者的网络攻击，无论是通过物理传输还是网络传输的方式，都容易将病毒投放至产线台机上，进而通过一台产线台机将病毒扩散至区间内的所有产线台机，甚至通过产线台机渗透企业的内部网络系统，给企业带来更大的损失。例如某智能制造上市企业的MES产线台机运行多年，感染了大量病毒和木马，并向公网发起网络攻击。但台机原厂商无法提供安全技术支持，且该设备不兼容第三方安全软件。
解决上述问题的其中一个现有的方式是，在生产、出厂产线台机时，就在产线台机的内部设置信息安全防护等级足够的安全防护系统。但该方式带来的额外的问题在于，设置安全等级足够高的安全防护系统会导致产线台机的内置系统过于冗杂，再加上系统需要充分考虑工作效率、产品质量的问题，系统本身就会变得十分庞大，并且导致操作难易度上升、维护成本增加。更重要的是，如果按照上述方式进行设置，每一个进入产线终端的信息数据流都会由其内部的安全防护系统先进行检测，若信息数据流不存在病毒，检测完毕后即可开始工作；若信息数据流存在病毒，常规的手段是阻止该信息数据流继续访问台机系统，由此，需要信息数据流的发出方先进行病毒查杀后再发送至产线台机进行检验，通过后才能开始工作。这种方式导致的是效率的严重下降，尤其是在面对紧急性任务时，甚至可能对企业造成经济损失。例如，企业已经与客户签订了相应交付产品的合约，但是近期由于产线紧张因此临近交付期限时才开始生产该产品，但在生产该产品的过程中产线台机检测到制作该产品的信息数据存在病毒，因此无法立即开始制造，从而导致原本就紧急的期限变得更加紧张，最终有可能导致无法按照期限交付产品，导致企业赔偿经济损失。
针对以上目前的现有技术无法保证产线台机的信息安全性或者在保证信息安全性的情况下导致工作效率下降、甚至工期延误的问题，本申请提出了一种产线终端系统，其通过在每个产线终端的数据接入口前以物理连接的方式配置一个无ip防护单元，该无ip防护单元能够对数据的安全性、紧急性进行初步的判断，并且基于其安全性、紧急性自行选择合适的数据传输路径，甚至在数据为紧急性时，即使其存在一定的安全风险，也能够通过无ip防护单元将数据暂时传输至产线终端以进行产品制备，使得产线终端可以“带毒运行”，并且在“带毒运行”的过程中，由安全等级更高的二级或三级终端根据后续方式对该“带毒运行”的产线终端进行特别处理，以保证该“带毒运行”的产线终端不会将病毒扩散出去，从而在保证工期顺利完成的前提下，也避免了“带毒紧急任务”中的病毒数据对所有的产线终端造成大面积污染，达到了既保证紧急任务顺利完成，也保证了生产线上的产线终端的信息安全的效果。
额外地，本申请的能够物理连接在一级终端的数据接入口以及输出口的无ip防护单元，利用无ip防护单元直接串联在一级终端的数据接口前方，无需管理分配IP，不改动网络，能集中管理，节约了管理成本，进而实现了企业对受保护设备的管理更加方便，同时节约了对设备管理方面的开支。
在硬件层面，无ip防护单元类似于家庭常用的“光猫”，无ip防护单元实质上相当于“数字调制调解器”。调制解调器是一种计算机硬件，能把计算机的数字信号翻译成可沿网络线路传送的脉冲信号，而这些脉冲信号又可被线路另一端的另一个调制解调器接收，并译成计算机可懂的语言。
在软件层面，无ip防护单元能够在其接入的终端发出数据时对数据包添加特殊标记，添加了特殊标记的数据包在流向其他任意一级终端或二级终端时均能够被接收端的无ip防护单元截获、识别、处理。带有特殊标记的数据包经过无ip防护单元时，无ip防护单元先检测该数据包的特殊标记，若特殊标记符合规则，则进入下一步，后续处理，否则将数据包发送至三级终端和/或二级终端进行病毒检测。接收端的无ip防护单元将带有特殊标记的数据包进行分析，提取数据包中发送端(终端)的IP地址和MAC地址并保存到无ip防护单元的数据类型历史中，其中，接收端的无ip防护单元将其接入的终端的IP地址作为自身的IP通讯地址。无ip防护单元赋予数据包的特殊标记是在发送数据包时一同发送一个探测数据包，探测数据包仅能够被无ip防护单元发送、接收、识别。
优选地，在所述终端向另一个终端传输数据时，传输路径至少包括：
第一路径：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至接收端；
第二路径：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元传输至接收端；
第三路径：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元传输至接收端但接收端进行数据隔离，并备份至二级终端，二级终端核验后解除接收端的数据隔离；
第四路径：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元传输至接收端但接收端进行数据隔离，并备份至二级终端，二级终端核验后继续保持接收端的数据隔离并向三级终端发送预警信息；
第五路径：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元直接传输至二级终端，二级终端传输至接收端；
第六路径：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元直接传输至二级终端，二级终端进行拦截并备份至三级终端。
通过上述方案，系统的一级终端、二级终端和三级终端在交互时能够根据数据是否存在安全威胁、数据是否紧急、数据是否带有病毒来选择合适的路径。并且，在数据即使具有安全威胁，甚至是存在病毒时，也能够以数据隔离的方式让某个一级终端继续接收该数据，以保证紧急任务能够按时完成，从而既能够将病毒的危害降至较低的水平，也能够保证任务在实现内交付，减少企业损失。
优选地，所述无ip防护单元至少能够基于自身的威胁信息库以及发送数据的特征内容判断发送数据的特征内容是否能够在威胁信息库中匹配成功，若匹配成功，则所述无ip防护单元判定发送数据存在安全威胁，若匹配不成功，则所述无ip防护单元判断发送数据不存在安全威胁。无ip防护单元对信息进行安全威胁检测，在初步判断数据的安全性，从而在后续的传输中选择合适的传输路径，以保证设备完全和数据传递及时性。
优选地，所述三级终端能够对所述无ip防护单元判断的发送数据的安全性进行验证，在判断不准确的情况下所述三级终端将所述无ip防护单元判断错误的要素反馈至所述无ip防护单元进行修正。具体而言，判断不准确的情况主要包括错判和漏判两种，错判在于将不是威胁信息的特征内容识别为威胁信息库中存在的威胁信息，三级终端的修正方式在于向所述无ip防护单元指出错判特征内容与威胁信息之间的差异，避免后续再次错判；漏判在于为威胁信息的特征内容未在威胁信息库中找到匹配项，若库中存在，则三级终端向所述无ip防护单元展示相似段，若库中不存在，则三级终端向威胁信息库中添加新的威胁信息。
优选地，所述无ip防护单元能够根据发送数据的生产任务信息判断发送数据的紧急性，其中，生产任务信息至少包括任务类型、任务时限以及任务数量，所述无ip防护单元基于任务类型、任务时限以及任务数量确定发送数据的紧急性。具体而言，所述无ip防护单元根据任务类型、任务数量与任务时限之间的冲突关系确定发送数据的紧急性，例如，结合当前工作效率，所述无ip防护单元根据任务类型确定以一个小时、半天、一天等时间单位能够完成多少任务量对完成总的任务数量所需要的总时长进行预估，并比较总时长与任务时限之间是否存在空余时间，若存在空余时间，且该空余时间到达一定预设量，则认为该生产任务不紧急；反之，则认为任务紧急。
优选地，所述三级终端能够对所述无ip防护单元判断的发送数据的紧急性进行验证，在判断不准确的情况下所述三级终端将所述无ip防护单元判断错误的要素反馈至所述无ip防护单元进行修正。具体而言，所述无ip防护单元在计算方面出现错误的概率较低，其可能出错的部分在于根据任务类型确定单位时间能够完成的任务量，所述三级终端能够根据大量的任务类型以及大量的完成每种任务类型所实际花费的时间验证所述无ip防护单元确定的单位时间内能够完成的任务量是否符合实际情况。
优选地，在发送数据的一个传输过程中，发送端的一级终端和/或二级终端连接的无ip防护单元称为第一无ip防护单元，接收端的一级终端和/或二级终端连接的无ip防护单元称为第二无ip防护单元。
优选地，若发送数据不存在安全威胁并且为紧急性数据的情况下，所述无ip防护单元选择的传输路径为：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至接收端。
优选地，若发送数据不存在安全威胁但为非紧急性数据的情况下，所述无ip防护单元选择的传输路径为：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元传输至接收端。
优选地，若发送数据存在安全威胁并且为紧急性数据的情况下，所述无ip防护单元选择的传输路径为：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元传输至接收端但接收端进行数据隔离，并备份至二级终端由所述二级终端进行核验，若不存在病毒信息则解除接收端的隔离，若存在病毒信息则保持接收端的隔离并向三级终端进行预警。
优选地，若发送数据存在安全威胁并且为非紧急性数据的情况下，所述无ip防护单元选择的传输路径为：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元直接传输至二级终端并由二级终端进行核验，若不存在病毒信息则由二级终端发送至接收端，若存在病毒信息则由二级终端进行拦截，并发送至三级终端。
优选地，基于上述逻辑，针对每种数据，本系统的无ip防护单元的不同路径选择方式至少包括：
当待发送数据不存在安全威胁并且为紧急性数据的情况时，待发送数据通过第一路径进行传输；
当待发送数据不存在安全威胁但为非紧急数据的情况时，待发送数据通过第二路径进行传输；
当待发送数据存在安全威胁但为紧急数据，并且未带病毒的情况时，待发送数据通过第三路径进行传输；
当待发送数据存在安全威胁但为紧急数据，但是带有病毒的情况时，待发送数据通过第四路径进行传输；
当待发送数据存在安全威胁且为非紧急数据，并且未带有病毒的情况时，待发送数据通过第五路径进行传输；
当待发送数据存在安全威胁且为非紧急数据，并且带有病毒的情况时，待发送数据通过第六路径进行传输。
优选地，所述无ip防护单元在判断发送和/或接收的数据为高危数据的情况下，所述无ip防护单元拒绝数据中的主要数据通过，但可通过数据中的额外标记，以使得所述无ip防护单元接入的一级终端能够形成反馈指令，所述反馈指令返回至发送端，所述发送端将数据发送至二级终端进行审查。额外标记是指所述无ip防护单元针对发送数据的安全性、紧急性添加的识别标记，其能够被另外的无ip防护单元识别、接收、解析。
本方案基于配置在每个终端之前的无ip防护单元，能够针对该终端发送端的信息进行针对化的记录保存，同时能够在后续终端向其余终端传输数据时直接利用自动形成的优化判断策略，在考虑信息紧急程度的基础上实现信息安全的同时允许部分数据可以在接收端带毒运行，在防止该终端感染其余设备的情况下，仍然可使接收端实现基本的工作，以保障数据传输的及时性和有效性。
附图说明
图1是本发明的基于策略学习的产线终端系统的一种优选实施方式下的简化关系结构示意图；
图2是本发明的基于策略学习的产线终端系统的一种优选实施方式下的传输路径示意图。
附图标记列表
100：一级终端；110：无ip防护单元；200：二级终端；300：三级终端。
具体实施方式
下面结合附图1-2对本发明进行详细说明。
实施例1
然而，在上述现有技术的方案中，都是对工业控制网络的控制终端进行防护，在工业生产系统中，还具有分布广泛、数量众多的、各个车间的、不同功能的产线台机终端，并且，该类产线台机终端与工业控制网络中的控制终端不同，该类终端往往功能简单、系统轻便，并且需要快速反应，避免造成产线台机运作缓慢导致的长时间等待，延误生产任务，因此，该类产线台机终端不能够像服务器、办公电脑一样配置安全防护软件、杀毒软件等，从而给攻击者提供了便利。或者，即使勉强在生产台机终端内部搭载了安全防护软件、系统，其安全防护软件的运转会严重影响生产台机终端的运行速度，甚至出现死机等情况，导致生产延误，严重情况甚至可能造成巨额经济损失；此外，对于配置在产线台机终端内的安全防护系统而言，由于自身具备网络地址，其也可能存在自身遭受网络攻击的情况，从而导致工业控制系统被成功袭击的可能性增加。由此，本申请提出了一种不仅能够对办公电脑进行网络安全防护还能够对产线台机进行网络安全防护的系统。根据图1示出的本申请的基于策略学习的产线终端系统的一种优选实施方式下的简化关系结构示意图，本申请的产线终端系统属于企业工厂的内部网络系统。
具体而言，在一个产线终端系统的安全防护网络中，优选设置一个三级终端300，三级终端300实质上是该产线终端系统以及构建的安全防护网络的具有最高管理权限的管理区，三级终端300能够对自身以及下级的所有终端进行网络数据访问控制以及内容审计。网络数据访问控制是指能够为一级终端100(例如生产线上的生产台机)提供有效阻断以及终端100之间的病毒交叉感染的保障，并且能够提供已感染的某个一级终端100可“带病工作”的保障。。
优选地，本申请的产线终端系统至少包括具有不同网络安全等级的一级终端100、二级终端200以及三级终端300，其中，一级终端100的网络安全等级较低甚至不具备网络安全防护能力，二级终端200具有中等网络安全防护能力，其防护能力与个人电脑、手机等设备的安全防护能力相当，三级终端300具有较高的网络安全等级，其防护能力与服务器、管控中心等重要部分的防护能力相当。
优选地，一级终端100主要包括企业生产工厂内的生产线上的台机等，生产台机具有一定的可操作性，例如输入生产参数、调节运作模式等，但由于生产需要，产线上的台机一般不具备高强度，甚至不具备任何网络安全防护能力。
优选地，二级终端200至少能够对传输内容进行初步审计与检测，其自身具有一定的安全等级。具体而言，二级终端200可以是按照产线、车间进行划分的管理内部生产线台机的办公电脑等，其自身具有一定的安全防护能力，但其防护能力有限，并不能够抵挡针对性的恶意的网络攻击。
优选地，若干个区域的若干个二级终端200再由三级终端300进行统一调控，当二级终端200无法对数据进行有效、准确的检测或者无法处理相关数据时，二级终端200向三级终端300寻求帮助，由三级终端300进行处理。
优选地，三级终端300可以是企业内部核心网络系统的服务器，其作为企业的数据中心，本身配备高强度的网络安全防护能力。
优选地，三级终端300能够对各级终端流转的数据信息进行储存，并且本申请的产线终端系统通过三级终端300与企业外部的其他网络空间进行信息交互。
优选地，本申请的产线终端系统的优势在于在每一个终端的数据接入口处都可以物理连接一个无ip防护单元110，即，在每一个终端数据流入或流出的接口处连接一个无ip防护单元110，无论是通过有线网络还是便携式存储设备向终端中输入数据时，数据都会优先通过无ip防护单元110，即使是数据按照第一路径进行传输时，由发送端传输至第一无ip防护单元，第一无ip防护单元传输至接收端，其中，第一无ip防护单元直接将数据传输至接收端也是指接收端的第二无ip防护单元不会对数据进行检测、拦截，但数据流仍会通过第二无ip防护单元，在流入接收端。
此外，目前现有的产线终端形式的一级终端100具有如下客观情况：一级终端100能够访问互联网、一级终端100无法安装杀毒软件或者安装后导致速度变慢、一级终端100存在安全漏洞，并且一级终端100数量多、种类多、布局分散，涉及各个生产车间，难以监管且自身缺乏安全防护。一级终端100的安全漏洞主要包括：病毒植入：植入病毒或木马，可能造成交叉感染；信息泄露：以一级终端100作为攻击跳板，向内部网络扩散，进而窃取相关系统内的重要数据，造成数据泄露、外流。
由此，需要对企业工厂的一级终端100进行安全防护，对设备进行安全防护的常见技术手段是为设备安装一个电子防火墙，即，在设备内部以软件形式配置一个防火墙，但该方案布置繁琐、维护繁琐，需要花费大量的人力和财力。并且，在配置过程中，需要针对防火墙系统额外分配相应的IP，由此可能导致具有IP的防火墙系统自身遭受网络攻击，从而导致安全防护失效。
基于上述问题，本申请提出了一种能够物理连接在一级终端100的数据接入口以及输出口的无ip防护单元110，利用无ip防护单元110直接串联在一级终端100的数据接口前方，无需管理分配IP，不改动网络，能集中管理，节约了管理成本。
优选地，无ip防护单元110能够在其接入的终端发出数据时对数据包添加特殊标记，添加了特殊标记的数据包在流向其他任意一级终端100或二级终端200时均能够被接收端的无ip防护单元110截获、识别、处理。
优选地，带有特殊标记的数据包经过无ip防护单元110时，无ip防护单元110先检测该数据包的特殊标记，若特殊标记符合规则，则进入下一步，后续处理，否则将数据包发送至三级终端300和/或二级终端200进行病毒检测。
优选地，接收端的无ip防护单元110将带有特殊标记的数据包进行分析，提取数据包中发送端(终端)的IP地址和MAC地址并保存到无ip防护单元110的数据类型历史中，其中，接收端的无ip防护单元110将其接入的终端的IP地址作为自身的IP通讯地址。
优选地，无ip防护单元110赋予数据包的特殊标记是在发送数据包时一同发送一个探测数据包，探测数据包仅能够被无ip防护单元110发送、接收、识别。
优选地，本申请的无ip防护单元110的优势在于，能够适用于各类已安装的、未安装的产线终端系统，在需要运用本申请的无ip防护单元110进行各类一级终端100的安全防护时，仅需要将本申请的无ip防护单元110通过物理桥接的方式连接至需要保护的一级终端100的数据接口前方，无需修改网络配置，无需更改网络拓扑，快速部署应用，能有效适应不同的现场环境。
无需在被保护设备上安装代理软件，也无需更改已有网络架构，解决了万物互联下设备安全难以集中管理，终端本身安全能力低的问题。
实施例2
本实施例是在实施例1的基础上进行改进和补充，重复的内容不再赘述。
实际应用场景中，产线终端不能够像服务器、管理办公电脑等一样配置安全防护软件、杀毒软件等，从而给攻击者提供了便利。或者，即使勉强在产线终端内部搭载了安全防护软件、系统，其安全防护软件的运转会严重影响产线终端的运行速度，甚至出现死机等情况，导致不能够及时完成生产任务，从而造成利益损失，此外，对于配置在产线终端内的安全防护系统而言，由于自身具备网络地址，其也可能存在自身遭受网络攻击的情况，从而导致产线台机不能够正常运转的可能性增加。由此，本申请提出了一种能够基于策略验证的信息处理方式对流入和/或流出一级终端100的数据信息进行安全验证以及信息及时展示的产线终端系统。
图1示出了本申请的基于策略学习的产线终端系统的一种优选实施方式下的简化关系结构示意图，其中，一种基于策略学习的产线终端系统，其包括：低网络安全防护等级或无网络安全防护能力的一级终端，中网络安全防护等级的二级终端，高网络安全防护等级的三级终端，每个一级终端以及二级终端的数据接入口前端均接入无ip防护单元，无ip防护单元基于策略学习的方式选择从发送端至接收端的传输路径，其中，在一级终端和/或二级终端向其他的一级终端和/或二级终端传输数据时，无ip防护单元能够基于发送数据的安全性及紧急性选择从发送端至接收端的传输路径，三级终端能够对无ip防护单元选择的传输路径进行验证，并将验证结果反馈至无ip防护单元以进行强化学习。
在信息输入现有的或常见的数据中心的服务器时，由于服务器的控制终端本身具有一定的信息检测能力，能够在一定程度上应对攻击者的网络攻击或者识别信息是否具有病毒，因此最容易遭受攻击或感染的终端是办公电脑或者生产线上的产线台机终端(相当于本申请的二级终端200、一级终端100)。例如从外部输入病毒信息至产线台机终端，或者篡改、感染从办公电脑发出的信息进而利用控制终端对于办公电脑、产线台机终端的信任导致整个系统受到感染，或者从一个产线台机感染其他与之连接的产线台机终端，都会对现有的生产系统造成一定的干扰，而本申请的产线终端系统即使在不同的一级终端100与另一个一级终端100之间进行信息传递时，也能够根据发送数据的安全性以及数据紧急性选择不同传输路径以及数据处理方式。根据图2示出的本申请的一种优选实施方式下的传输路径示意图，在一级终端100向另一个一级终端100进行数据传输时，本申请的产线终端系统的传输路径至少包括：
第一路径：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至接收端；
第二路径：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元传输至接收端；
第三路径：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元传输至接收端但接收端进行数据隔离，并备份至二级终端200，二级终端核验后解除接收端的数据隔离；
第四路径：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元传输至接收端但接收端进行数据隔离，并备份至二级终端200，二级终端核验后继续保持接收端的数据隔离并向三级终端300发送预警信息；
第五路径：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元直接传输至二级终端200，二级终端200传输至接收端；
第六路径：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元直接传输至二级终端200，二级终端200进行拦截并备份至三级终端300。
优选地，无ip防护单元110至少能够基于自身的威胁信息库以及发送数据的特征内容判断发送数据的特征内容是否能够在威胁信息库中匹配成功，若匹配成功，则无ip防护单元110判定发送数据存在安全威胁，若匹配不成功，则无ip防护单元110判断发送数据不存在安全威胁。
优选地，无ip防护单元110将待发送或待接收的数据包进行深度包检测，获取数据包中的数据内容，利用正则表达式算法，将获取的数据内容与威胁信息库中的内容进行对比，根据对比结果判断数据包是否存在安全威胁；无ip防护单元110将含有威胁字段的数据包定义为存在安全威胁；无ip防护单元110将不含有威胁特征库中的威胁字段的数据包定义为不存在安全威胁。
优选地，威胁信息库中的威胁字段至少包括：威胁信息的名称、别名、威胁类型、特异字符段。例如：威胁名称为Trojan/Agent的威胁信息，别名为代理木马，类型为木马病毒，特异字符段，以该威胁信息的特异字符段为例，代理木马的特异字符段包括：Trojan.PSW.WLOnline.du、Trojan.PSW.OnLineGames.cs和/或Trojan.Agent.amr等。
优选地，三级终端300能够对无ip防护单元110判断的发送数据的安全性进行验证，在判断不准确的情况下三级终端300将无ip防护单元110判断错误的要素反馈至无ip防护单元110进行修正。具体而言，判断不准确的情况主要包括错判和漏判两种，错判在于将不是威胁信息的特征内容识别为威胁信息库中存在的威胁信息，三级终端300的修正方式在于向无ip防护单元110指出错判特征内容与威胁信息之间的差异，避免后续再次错判；漏判在于为威胁信息的特征内容未在威胁信息库中找到匹配项，若库中存在，则三级终端300向无ip防护单元110展示相似段，若库中不存在，则三级终端300向威胁信息库中添加新的威胁信息。
优选地，若第一无ip防护单元确定发送数据不存在安全威胁时，第一无ip防护单元进一步验证待发送数据的紧急性。
优选地，若第一无ip防护单元确定发送数据存在安全威胁时，第一无ip防护单元在发送数据中添加额外标记后再进一步验证待发送数据的紧急性。
优选地，无ip防护单元110能够根据发送数据的生产任务信息判断发送数据的紧急性，其中，生产任务信息至少包括任务类型、任务时限以及任务数量，无ip防护单元110基于任务类型、任务时限以及任务数量确定发送数据的紧急性。具体而言，无ip防护单元110根据任务类型、任务数量与任务时限之间的冲突关系确定发送数据的紧急性，例如，结合当前工作效率，无ip防护单元110根据任务类型确定以一个小时、半天、一天等时间单位能够完成多少任务量对完成总的任务数量所需要的总时长进行预估，并比较总时长与任务时限之间是否存在空余时间，若存在空余时间，且该空余时间到达一定预设量，则认为该生产任务不紧急；反之，则认为任务紧急。
优选地，三级终端300能够对无ip防护单元110判断的发送数据的紧急性进行验证，在判断不准确的情况下三级终端300将无ip防护单元110判断错误的要素反馈至无ip防护单元110进行修正。具体而言，无ip防护单元110在计算方面出现错误的概率较低，其可能出错的部分在于根据任务类型确定单位时间能够完成的任务量，三级终端300能够根据大量的任务类型以及大量的完成每种任务类型所实际花费的时间验证无ip防护单元110确定的单位时间内能够完成的任务量是否符合实际情况。
优选地，第一无ip防护单元针对未带有额外标记的待发送数据的紧急性的处理方式为：
若为紧急数据，则第一无ip防护单元直接将数据发送至接收端；
若为非紧急数据，则第一无ip防护单元将数据发送至第二无ip防护单元进行检测通过后再传输至接收端。
优选地，第一无ip防护单元针对带有额外标记的待发送数据的紧急性的处理方式为：
若为紧急数据，则第一无ip防护单元直接将数据发送至接收端，接收端接收数据后第二无ip防护单元进行数据隔离，并将接收数据备份至二级终端200；
若为非紧急数据，则第一无ip防护单元优先将数据发送至二级终端200，经由二级终端200检测后再发送至接收端。
优选地，二级终端200基于比一级终端100安全等级更高的防护网络对待检测数据进行检测，其中，针对待检测紧急数据的检测处理方式为：
若待检测紧急数据带有病毒，二级终端200控制接收端的第二无ip防护单元继续保持数据隔离，并向三级终端300发送报警信息；
若待检测紧急数据不带病毒，二级终端200控制接收端的第二无ip防护单元解除数据隔离。
优选地，二级终端200针对待检测非紧急数据的检测处理方式为：
若待检测非紧急数据带有病毒，二级终端200向三级终端300发送报警信息；
若待检测非紧急数据不带病毒，二级终端200向接收端发送数据。
基于上述逻辑，针对一个一级终端100向另一个一级终端100发送信息的情况而言，传输路径的具体选择为：
当待发送数据不存在安全威胁并且为紧急性数据的情况时，待发送数据通过第一路径进行传输；
当待发送数据不存在安全威胁但为非紧急数据的情况时，待发送数据通过第二路径进行传输；
当待发送数据存在安全威胁但为紧急数据，并且未带病毒的情况时，待发送数据通过第三路径进行传输；
当待发送数据存在安全威胁但为紧急数据，但是带有病毒的情况时，待发送数据通过第四路径进行传输；
当待发送数据存在安全威胁且为非紧急数据，并且未带有病毒的情况时，待发送数据通过第五路径进行传输；
当待发送数据存在安全威胁且为非紧急数据，并且带有病毒的情况时，待发送数据通过第六路径进行传输。
具体而言，本申请的产线终端系统正是以不断对流经各个产线台机终端的数据信息进行验证的方式实现了，在紧急情况下，允许产线台机终端接受可能带有病毒或者实际上带有病毒的数据进行处理，例如在企业生产系统内，某些生产任务的紧急度是很高的，例如签订了相关交付合同，必须在时限内交付相关任务数量，否则面临赔偿的情况，此时若按照传统的网络布设方案，信息统一经过三级终端的病毒核验之后再转送至车间控制处的二级终端200，在时间上就会产生较大延迟，然而如果直接将数据传输至二级终端200，则如果数据带有病毒，则无法防止该被感染的二级终端200去传染其他终端，如果不含有病毒，则以二级终端200也不能执行相关的检测来进行确认。本方案基于配置在每个终端之前的最后一道网关，能够针对该终端发送端的信息进行针对化的记录保存，同时能够在后续终端向其余终端传输数据时直接利用自动形成的优化判断策略，在考虑信息紧急程度的基础上实现信息安全的同时允许部分数据可以在接收端带毒运行，在防止该终端感染其余设备的情况下，仍然可使接收端实现基本的工作，以保障数据传输的及时性和有效性。
优选地，无ip防护单元110在判断发送和/或接收的数据为高危数据的情况下，无ip防护单元110拒绝数据中的主要数据通过，但可通过数据中的额外标记，以使得无ip防护单元110接入的一级终端100能够形成反馈指令，反馈指令返回至发送端，发送端将数据发送至二级终端200进行审查。
在出现判断为可能的高危信息传输的情况下，终端前的无ip防护单元110拒绝通过主要数据，但是通过数据流转标记，以使得终端能够处理形成一个反馈指令，该指令向发送终端发送，通过发送终端的无ip防护单元110处理后发送端被控向另一个二级终端200发送该数据，二级终端200为网络安全等级更高的终端，该终端具备相对独立的网络防护，其能够接受一些带有病毒的数据，并且如果感染病毒或者遭受攻击，不会影响前段的其他设备正常运行，二级终端200可以进行更加细致的审查。
需要注意的是，上述具体实施例是示例性的，本领域技术人员可以在本发明公开内容的启发下想出各种解决方案，而这些解决方案也都属于本发明的公开范围并落入本发明的保护范围之内。本领域技术人员应该明白，本发明说明书及其附图均为说明性而并非构成对权利要求的限制。本发明的保护范围由权利要求及其等同物限定。
Claims (10)
1.一种基于策略学习的产线终端系统，其包括：
具有不同网络安全等级的一级终端(100)、二级终端(200)以及三级终端(300)，
其特征在于，
每个所述一级终端(100)以及所述二级终端(200)的数据接入口前端均接入无ip防护单元(110)，所述无ip防护单元(110)基于策略学习的方式选择发送数据从发送端至接收端的传输路径，其中，
在一级终端(100)和/或二级终端(200)向其他的一级终端(100)和/或二级终端(200)传输数据时，无ip防护单元(110)能够基于发送数据的安全性及紧急性选择从发送端至接收端的传输路径，所述三级终端(300)能够对所述无ip防护单元(110)选择的传输路径进行验证，并将验证结果反馈至所述无ip防护单元(110)以进行强化学习。
2.根据权利要求1所述的基于策略学习的产线终端系统，其特征在于，所述无ip防护单元(110)至少能够基于自身的威胁信息库以及发送数据的特征内容判断发送数据的特征内容是否能够在威胁信息库中匹配成功，
若匹配成功，则所述无ip防护单元(110)判定发送数据存在安全威胁，
若匹配不成功，则所述无ip防护单元(110)判断发送数据不存在安全威胁。
3.根据权利要求1或2所述的基于策略学习的产线终端系统，其特征在于，所述三级终端(300)能够对所述无ip防护单元(110)判断的发送数据的安全性进行验证，在判断不准确的情况下所述三级终端(300)将所述无ip防护单元(110)判断错误的要素反馈至所述无ip防护单元(110)进行修正。
4.根据权利要求1～3任一项所述的基于策略学习的产线终端系统，其特征在于，所述无ip防护单元(110)能够根据发送数据的生产任务信息判断发送数据的紧急性，其中，生产任务信息至少包括任务类型、任务时限以及任务数量，所述无ip防护单元(110)基于任务类型、任务时限以及任务数量确定发送数据的紧急性。
5.根据权利要求1～4任一项所述的基于策略学习的产线终端系统，其特征在于，所述三级终端(300)能够对所述无ip防护单元(110)判断的发送数据的紧急性进行验证，在判断不准确的情况下所述三级终端(300)将所述无ip防护单元(110)判断错误的要素反馈至所述无ip防护单元(110)进行修正。
6.根据权利要求1～5任一项所述的基于策略学习的产线终端系统，其特征在于，在发送数据的一个传输过程中，发送端的一级终端(100)和/或二级终端(200)连接的无ip防护单元(110)被配置为第一无ip防护单元，接收端的一级终端(100)和/或二级终端(100)连接的无ip防护单元(110)被配置为第二无ip防护单元。
7.根据权利要求1～6任一项所述的基于策略学习的产线终端系统，其特征在于，若发送数据不存在安全威胁并且为紧急性数据的情况下，所述无ip防护单元(110)选择的传输路径为：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至接收端；
若发送数据不存在安全威胁但为非紧急性数据的情况下，所述无ip防护单元(110)选择的传输路径为：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元传输至接收端。
8.根据权利要求1～7任一项所述的基于策略学习的产线终端系统，其特征在于，若发送数据存在安全威胁并且为紧急性数据的情况下，所述无ip防护单元(110)选择的传输路径为：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元传输至接收端但接收端进行数据隔离，并备份至二级终端(200)由所述二级终端(200)进行核验，若不存在病毒信息则解除接收端的隔离，若存在病毒信息则保持接收端的隔离并向三级终端(300)进行预警。
9.根据权利要求1～8任一项所述的基于策略学习的产线终端系统，其特征在于，若发送数据存在安全威胁并且为非紧急性数据的情况下，所述无ip防护单元(110)选择的传输路径为：由发送端传输至第一无ip防护单元，第一无ip防护单元传输至第二无ip防护单元，第二无ip防护单元直接传输至二级终端(200)并由二级终端(200)进行核验，若不存在病毒信息则由二级终端(200)发送至接收端，若存在病毒信息则由二级终端(200)进行拦截，并发送至三级终端(300)。
10.根据权利要求1～9任一项所述的基于策略学习的产线终端系统，其特征在于，所述无ip防护单元(110)在判断发送和/或接收的数据为高危数据的情况下，所述无ip防护单元(110)允许通过数据中的额外标记并拒绝通过数据中的主要数据，以使得所述无ip防护单元(110)接入的一级终端(100)能够形成反馈指令，所述反馈指令返回至发送端，所述发送端将数据发送至二级终端(200)进行审查。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202310933884.5A CN117061152A (zh) | 2023-07-27 | 2023-07-27 | 一种基于策略学习的产线终端系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202310933884.5A CN117061152A (zh) | 2023-07-27 | 2023-07-27 | 一种基于策略学习的产线终端系统 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN117061152A true CN117061152A (zh) | 2023-11-14 |
Family
ID=88656444
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202310933884.5A Pending CN117061152A (zh) | 2023-07-27 | 2023-07-27 | 一种基于策略学习的产线终端系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN117061152A (zh) |
-
2023
- 2023-07-27 CN CN202310933884.5A patent/CN117061152A/zh active Pending
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11641370B2 (en) | Attribute-based policies for integrity monitoring and network intrusion detection | |
| US11729183B2 (en) | System and method for providing secure in-vehicle network | |
| CN101159552B (zh) | 控制从计算机终端访问网络的方法和系统 | |
| EP2127311B1 (en) | System and method for adding context to prevent data leakage over a computer network | |
| EP2044515A2 (en) | System and method of securing networks against application threats | |
| EP2790354B1 (en) | Security management system having multiple relay servers, and security management method | |
| CN100559763C (zh) | 一种远程网络服务的完整性检验方法 | |
| CN108183921B (zh) | 经由边界网关进行信息安全性威胁中断的系统和方法 | |
| EP3433783A1 (en) | Rule enforcement in a network | |
| GB2495214A (en) | Firewalls for process control systems | |
| CN105260660A (zh) | 智能终端支付环境的监控方法、装置及系统 | |
| KR100989347B1 (ko) | 보안규칙 기반의 웹공격 탐지 방법 | |
| US20190394234A1 (en) | On-device network protection | |
| CN113382076A (zh) | 物联网终端安全威胁分析方法及防护方法 | |
| US20230119649A1 (en) | Intrusion detection and prevention system rule automation and optimization | |
| US11399036B2 (en) | Systems and methods for correlating events to detect an information security incident | |
| CN112202704A (zh) | 一种区块链智能合约安全防护系统 | |
| Hamad et al. | Red-Zone: Towards an Intrusion Response Framework for Intra-vehicle System. | |
| KR20240089282A (ko) | 차량 네트워크들을 위한 범용 침입 검출 및 방지 | |
| CN100471132C (zh) | 利用端口隔离以进行安全性封包转传的网络装置 | |
| Babbar et al. | Framework and methodological solutions for cyber security in Industry 4.0 | |
| Kim et al. | Abnormal traffic detection mechanism for protecting IIoT environments | |
| CN115510427B (zh) | 跨平台进程运行可信监控方法和系统 | |
| CN117061152A (zh) | 一种基于策略学习的产线终端系统 | |
| US20240137768A1 (en) | Automatic dynamic secure connection system and method thereof |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination |