CN109861972B

CN109861972B - 一种工业信息控制一体化平台的安全架构系统

Info

Publication number: CN109861972B
Application number: CN201811568805.0A
Authority: CN
Inventors: 张正峰; 郭进民; 姚正; 李军岐
Original assignee: Shaanxi Shangluo Power Generation Co ltd
Current assignee: Shaanxi Shangluo Power Generation Co ltd
Priority date: 2018-12-21
Filing date: 2018-12-21
Publication date: 2022-09-09
Anticipated expiration: 2038-12-21
Also published as: CN109861972A

Abstract

本发明涉及一种工业信息控制一体化平台的安全架构系统，包括：工厂底层控制网络层，及，信息应用管理网络层；所述工厂底层控制网络层通过接口机及隔离网闸，将工厂的生产数据单向传输给所述信息应用管理网络层；将所述信息应用管理网络层的所有硬件资源进行虚拟化，生成虚拟机；对任意虚拟机之间的信息交互，采用虚拟化安全软件DCS来侦测、阻止来自平台内部的非法入侵访问。本发明提供的技术方案，结合了传统工业信息控制系统的边界防护措施和私有云平台中内部虚拟机的隔离防护措施的双重优点，完全继承了传统信息控制系统优秀的边界防护功能，同时也彻底克服了传统信息控制系统内部安全防护薄弱的缺点，系统安全性高，用户体验度好。

Description

一种工业信息控制一体化平台的安全架构系统

技术领域

本发明涉及网络架构技术领域，具体涉及一种工业信息控制一体化平台的安全架构系统。

背景技术

传统的工业信息控制平台的安全架构的特点如下：

首先，依靠在工厂底层控制系统与企业上层信息管理系统之间增设单向隔离网闸来保证控制底层控制系统不受信息管理系统的非法入侵。

其次，依靠各种边界安全防护设备，例如硬件防火墙、审计系统、白名单技术，对来自信息控制系统外部的非法侵入检查、防护。

最后，信息系统内部的安全防护主要依靠系统管理员手工建立的基于物理服务器、胖客户端(传统的PC机)之上的防病毒软件来保护系统不受非法入侵访问。

当前工厂信息控制系统的规模、应用模式日趋庞大、复杂，内部用户的有意、无意的非法侵入大幅增加，上述传统的安全架构虽然对信息控制系统的边界起到较好的保护，但是对于来自系统内部的非法侵入，起不到很好的防护，已经不能完全满足系统内部的防护需求。

发明内容

有鉴于此，本发明的目的在于克服现有技术的不足，提供一种工业信息控制一体化平台的安全架构系统，以解决现有技术中工业信息控制一体化平台的安全架构内部安全防护薄弱的问题。

为实现以上目的，本发明采用如下技术方案：

一种工业信息控制一体化平台的安全架构系统，包括：

工厂底层控制网络层，及，信息应用管理网络层；

所述工厂底层控制网络层通过接口机及隔离网闸，将工厂的生产数据单向传输给所述信息应用管理网络层；

将所述信息应用管理网络层的所有硬件资源进行虚拟化，生成虚拟机；

对任意虚拟机之间的信息交互，采用虚拟化安全软件DCS来侦测、阻止来自平台内部的非法入侵访问。

优选地，所述虚拟机包括以下项中的至少一项：

虚拟服务器、虚拟客户机、虚拟交换机、虚拟存储设备。

优选地，所有客户端均为瘦客户端；

所述瘦客户端本地不存储任何数据，不部署任何所需应用软件；

所述瘦客户端作为最终用户的人机交互界面，根据登录用户的授权来访问系统所分配的虚拟机。

优选地，

所述信息应用管理网络层采用预设安全策略防止外部非法用户登录；

所述预设安全策略，包括以下项中的至少一项：

防火墙、安全协议、单点登录、用户身份识别、IP地址控制。

优选地，所述信息应用管理网络层按照组织架构的元素、功能、工作流三个层次，可依据不同控制粒度选择，为不同人员分配不同的管理权限，以此来保障应用层数据操作权限的安全性。

优选地，所述虚拟机的配置以及动作行为受所述平台的虚拟机管理软件管控。

优选地，所述采用虚拟化安全软件DCS来侦测、阻止来自平台内部的非法入侵访问，包括：

针对所述平台的Hypervisor层及重要的虚拟主机，提供基于虚拟主机的入侵检测、防护、系统审计及加固功能，防止虚拟服务器被恶意攻击及入侵；

依靠安全锁定技术保护虚拟主机，保障系统最小权限的安全运行环境；

所述平台的虚拟机的虚拟桌面采用无代理病毒防护模式。

优选地，所述安全锁定技术包括以下项中的至少一项：

网络环境锁定、应用环境锁定、系统环境锁定、安全实时监控及告警。

优选地，采用预设边界防护策略，保证所述信息应用管理网络层接入外部互联网的安全性。

优选地，所述预设边界防护策略，包括以下项中的至少一项：

边界入侵检测、硬件防火墙、审计功能、SLVPN技术。

本发明采用以上技术方案，至少具备以下有益效果：

本发明提供的这种安全架构系统结合了传统工业信息控制系统的边界防护措施和私有云平台中内部虚拟机的隔离防护措施的双重优点，完全继承了传统信息控制系统优秀的边界防护功能，同时也彻底克服了传统信息控制系统内部安全防护薄弱的缺点，系统安全性高，用户体验度好。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例提供的一种工业信息控制一体化平台的安全架构系统的示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将对本发明的技术方案进行详细的描述。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所得到的所有其它实施方式，都属于本发明所保护的范围。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

参见图1，本发明一实施例提供的一种工业信息控制一体化平台的安全架构系统，包括：

工厂底层控制网络层1，及，信息应用管理网络层2；

所述工厂底层控制网络层通过接口机3及隔离网闸4，将工厂的生产数据单向传输给所述信息应用管理网络层2；

将所述信息应用管理网络层2的所有硬件资源进行虚拟化，生成虚拟机；

需要说明的是，所述任意虚拟机之间的信息交互，包括：虚拟服务器之间的信息交互，虚拟客户端之间的信息交互，虚拟服务器与虚拟客户端之间的信息交互。

优选地，所述虚拟机包括以下项中的至少一项：

虚拟服务器、虚拟客户机、虚拟交换机、虚拟存储设备。可以理解的是，所述硬件资源包括：物理服务器、桌面一体机、存储设备、网络等。将接入系统平台中的所有物理服务器、桌面一体机、存储设备、网络等硬件资源全部全部虚拟化为标准的虚拟服务器及虚拟客户端。

优选地，所有客户端均为瘦客户端。

优选地，所述瘦客户端本地不存储任何数据，不部署任何所需应用软件；

需要说明的是，所述系统分配的虚拟机可以是属于个人用户的虚拟机，或者平台中其它的虚拟服务器。

优选地，所述虚拟机管理软件为vSphere Standard软件，vSphere Standard软件的新建、调度、管理、监控虚拟机的功能，可以完全防止平台中每一台虚拟机文件异常变化，最终实现所有虚拟机配置标准化、自动化，行为集中自动监视。

优选地，

所述预设安全策略，包括以下项中的至少一项：

需要说明的是，本发明提供的这种安全架构系统，信息应用管理网络层的安全策略采用包含页面元素、功能、工作流三个层次，可依据不同控制粒度选择使用，并能将系统用户和角色管理与企业人力资源管理融为一体。同时采用防火墙、安全协议、单点登录、用户身份识别、IP地址控制等防止外部非法用户登陆系统；采用组织机构单元(机构、部门、岗位、人员)权限分配架构，实现集中管理、分级授权、分级负责，保证了数据操作权限的安全性。

所述平台的虚拟机的虚拟桌面采用无代理病毒防护模式。

需要说明的是，1、虚拟平台底层服务器上不安装任何防护软件，而是可以在一台特定的虚拟桌面虚机上部署DCS安全监控代理。

2、DCS安全监控代理通过命令行或者API接口访问虚拟平台底层配置文件/日志、VM配置文件。

3、DCS管理控制台上启用预定义的虚拟平台IDS策略监视配置/日志/访问操作。

4、针对虚拟平台配置变更可以生成预定义的监控报告。

另外，可以理解的是，针对虚拟化环境，一台物理服务器往往需要承载大量的虚拟主机，因此当所有的主机都发起病毒扫描时，将形成的扫描风暴势必成为一场灾难，因此必须有效降低虚拟化环境的病毒扫描负载，否则将会直接影响到整个虚拟化平台的使用效率。

虚拟化安全软件通过提供虚拟安全设备SVA并与VMware的软件定义网络平台NSX集成，提供无代理的虚拟化服务器病毒防护，通过集成，完成虚拟化架构下的自动安全策略分配到NSX定义的组，而无须关心策略分配到那个虚拟机。

优选地，所述安全锁定技术包括以下项中的至少一项：

可以理解的是，针对虚拟主机的保护主要依靠安全锁定技术，即保障系统最小权限的安全运行环境。考虑到服务器主机的特殊性(并不能总是及时更新补丁)，本发明提供的安全架构系统采用更严格的基于白名单及行为特征的系统加固及防护技术。

1、网络环境锁定：DCS_SA主机防护软件提供了基于主机的防火墙访问控制功能,可以通过策略管理服务器针对虚拟终端制定统一的虚拟主机防火墙规则，并且自动下发到终端进行执行，且不允许终端用户随意修改。通过防火墙策略限定终端用户能不能访问某些特定资源、或者进行特定网络连接(如基于IP、端口、应用程序等参数)。通过该功能，可以限制服务器主机上的端口开放和访问情况，确保服务器上只开放允许的服务端口，并进行细粒度的访问控制管理，有效控制恶意代码在网络内部的传播和扩散。

2、应用环境锁定：提供了基于进程、文件级别的应用程序控制及保护功能，可以自动收集并识别业务终端上运行的业务进程及服务，并根据进程的继承和调用关系，采用进程白名单技术，在确保业务进程和业务操作正常运行的前提下，阻止可信范围之外的其它应用程序的安装和运行。

3、系统环境锁定：提供了基于系统的加固和锁定功能，可以限制系统配置设置、文件系统以及对服务器的访问及操作。新系统架构平台充分利用该功能逐一锁定服务器，并确保对面向公众和关键任务服务器执行了适当的更改控制。

4、安全实时监控及告警：安全监控及告警模块提供了基于主机的安全监控和入侵检测功能，安全监控模块同时提供了一个由应该受到监控的最常见安全事件组成的大型知识库，在该库中提供了一些最佳实践监控规则集合。系统维护人员可以从该库中选择一组检测规则应用于一组服务器，实现针对当前一些常见安全攻击、安全风险及威胁的检测及监控，及时掌握服务器主机当前面临的威胁及风险情况。

边界入侵检测、硬件防火墙、审计功能、SLVPN技术。

可以理解的是，本发明提供的这种安全架构系统的边界防护策略仍采用传统方案，例如增加边界入侵检测、硬件防火墙、审计功能、SLVPN技术等，保证了新系统平台接入外部互联网的高安全性。同时在信息应用管理层网络层与工厂控制网络层之间采用专用的数据正向型横向隔离网闸以及数据接口机，以确保工厂的生产数据只能单向流入信息管理应用网络，保护工业控制系统的高度安全性、可靠性。

由上述技术方案可知，本发明提供的这种安全架构系统，同时拥有了可靠地边界防护以及内部虚拟机之间高可靠性的安全防护，系统架构简化，安全管理实现了自动化，运行可靠，能够进一步提高信息控制系统整体设备的可靠性，间接降低了运维成本。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性。术语“多个”指两个或两个以上，除非另有明确的限定。

Claims

1.一种工业信息控制一体化平台的安全架构系统，其特征在于，包括：

工厂底层控制网络层，及，信息应用管理网络层；

所述工厂底层控制网络层通过接口机及隔离网间，将工厂的生产数据单向传输给所述信息应用管理网络层；

对任意虚拟机之间的信息交互，采用虚拟化安全软件DCS来侦测、阻止来自平台内部的非法入侵访问；

所述预设安全策略，包括以下项中的至少一项：

防火墙、安全协议、单点登录、用户身份识别、IP地址控制；

所述信息应用管理网络层按照组织架构的元素、功能、工作流三个层次，可依据不同控制粒度选择，为不同人员分配不同的管理权限，以此来保障应用层数据操作权限的安企性；

所述虚拟机的配置以及动作行为受所述平台的虚拟机管理软件管控；所述虚拟机管理软件能够防止平台中每一台虚拟机文件异常变化；

所述虚拟机包括以下项中的至少一项：

虚拟服务器、虚拟客户机、虚拟交换机、虚拟存储设备；

所有客户端均为瘦客户端；

2.根据权利要求1所述的系统，其特征在于，所述采用虚拟化安全软件DCS来侦测、阻止来自平台内部的非法入侵访问，包括：

所述平台的虚拟机的虚拟桌面采用无代理病毒防护模式。

3.根据权利要求2所述的系统，其特征在于，所述安全锁定技术包括以下项中的至少一项：

4.根据权利要求1所述的系统，其特征在于，

采用预设边界防护策略，保证所述信息应用管理网络层接入外部互联网的安全性。

5.根据权利要求4所述的系统，其特征在于，所述预设边界防护策略，包括以下项中的至少一项：

边界入侵检测、硬件防火墙、审计功能、SLVPN技术。