一种PLC安全访问控制实现方法与流程

本发明涉及工业控制安全，尤其涉及一种plc安全访问控制实现方法。

背景技术：

1、可编程逻辑控制器（plc）对于国防军工、关键基础设施以及重大装备具有至关重要的作用，该系统安全可靠的运行直接决定了国家和人民的安全。近几年来，随着国家工业化的大力发展，国产化plc在市场上已经占有一席之地。但是，国产化plc产品仍存在安全能力缺乏的问题。尤其是针对工业控制系统的过程监控层、现场控制层和现场设备层而进行的上位机攻击、工业协议攻击和控制逻辑攻击，以此通过非法地址访问、非法控制命令下发等手段达到控制和损害工业生产的目的。

2、随着plc产品的发展与应用，在满足plc产品的功能要求外，国内外的工控企业也越来越重视设备的安全防护。但是大多数企业仍然通过定制满足通信协议的以被动防护技术为主的安全网关产品或工业防火墙等方案，在不更改plc系统的软硬件的情况下获得系统的安全防护。由于近年来一系列针对工业控制系统的病毒攻击和网络威胁，各个厂家逐渐意识到可信plc产品对于保护工控系统安全的重要性。一些企业通过plc外接可信模块的方式实现安全可信功能，这种方式能够实现一定程度的安全防护功能。但是，如果移除或替换可信模块后，就可以跳过plc的安全检查，使得这种可信实现方案起不到有效的作用。

3、国内对于plc安全访问控制的研究取得了一定的成果，但更多的是利用以被动防护技术为主的边界防护方法。针对上述问题，本发明提出的一种plc安全访问控制实现方法完全脱离了如防火墙需要设置安全域的被动式边界防护方法，而是采取“零信任”的方式对任何访问请求采取持续验证的方式。该方法以持续性信任评估和动态授权的方式作为plc主动防护的指导思想，通过主动获取第三方设备请求信息并进行信任评估的方式可以提前筛选出异常访问请求，并且这种信任评估和动态授权是持续性的，可以极大地提高plc的安全性。

技术实现思路

1、本发明的目的是针对第三方设备访问plc时的请求合法性问题而提出的一种plc安全访问控制实现方法。本发明包含访问管理模块和访问评估模块。访问管理模块内置于plc，主要作用为转发访问请求信息和控制通信的建立或断开，第三方设备通过以太网向plc发送的请求都要先经过访问管理模块的处理。访问评估模块由计算机中的可信任软件组成，该模块包含策略管理器、策略决策器和策略信息库。策略管理器用于接收并分析访问管理模块转发来的请求信息，并将其转发给策略决策器。策略决策器用于对策略管理器发送来的信息的合法性进行评估。策略信息库主要用于为策略决策器提供信任评估的根据，由白名单属性集构成。该方法包含以下步骤：

2、步骤1，当第三方设备访问plc时，plc中的访问管理模块会接管访问请求并将请求信息发送给策略管理器。

3、步骤2，策略管理器会分析第三方设备请求信息，并将分析结果转发给策略决策器。

4、步骤3，策略决策器根据策略信息库中的白名单属性集对访问请求的合法性进行评估，并将结果反馈给策略管理器。如果所述访问请求被判定为合法请求，策略管理器向访问管理模块下发建立通信的指令；否则，策略管理器向访问管理模块下发拒绝通信的指令。

5、步骤4，如步骤3所述，若访问管理模块接收到建立通信的指令，则会建立访问主体与plc之间的通信，并且策略决策器会对第三方设备请求信息进行持续性信任评估以及动态授予其访问plc的权力；否则，访问管理模块会拒绝第三方设备的访问请求。

6、其中，所述步骤1中，所述访问管理模块先接管第三方设备发送过来的访问请求，并且转发给策略管理器。并且，如果收到策略管理器下发的信任证书和建立通信的命令，则根据信任证书建立第三方设备与plc之间的通信；如果收到策略管理器下发的拒绝通信的命令，则拒绝第三方设备的访问请求。

7、所述步骤2中，所述策略管理器的功能进一步包括，分析访问管理模块发送来的第三方设备请求信息，并将分析结果转发给策略决策器；同时，负责向访问管理模块下发建立或拒绝第三方设备与plc通信的指令，如果可以建立通信，那么策略管理器将为第三方设备生成用于建立通信的信任证书。

8、所述步骤3中，所述策略信息库包含用于策略决策器对第三方设备请求合法性进行评估的白名单属性集，所述访问白名单属性主要包含第三方设备身份属性、通信协议属性、访问资源属性和操作属性，主要执行步骤为：当策略决策器接收到第三方设备的请求时，会根据第三方设备的请求信息对策略信息库中的白名单属性集进行查询，判断第三方设备请求信息是否包含异常属性并进行信任评估。若评估结果为合法请求，策略决策器会向策略管理器下发允许建立通信的命令，否则，下发拒绝通信的命令。

9、所述步骤4的最主要特征在于，所述策略决策器会对第三方设备请求信息持续进行信任评估，进一步包括，在建立通信过程中，策略决策器会对第三方设备的每个请求信息进行评估，一旦发现第三方设备的请求信息不符合策略信息库中的访问策略，则会指导策略管理器拒绝第三方设备与plc建立通信，以此实现持续验证、动态授权的访问控制方式。

10、与现有技术相比，本发明存在以下至少一种技术效果：

11、本发明针对现有plc访问控制技术存在盲目信任边界防护而出现无法应对第三方设备异常请求的问题，提出一种plc安全访问控制实现方法，通过将“持续验证，永不信任”的主动防护思想与plc安全访问技术相结合，可以较好的实现对第三方设备请求的合法性进行有效评估，将攻击行为拒之门外，从而达到保护plc的目的。

技术特征：

1.一种plc安全访问控制实现方法，其特征在于，本发明包含访问管理模块和访问评估模块。访问管理模块内置于plc，主要作用为转发访问请求信息和控制通信的建立或断开，第三方设备通过以太网向plc发送的请求都要先经过访问管理模块的处理。访问评估模块由计算机中的可信软件组成，该模块包含策略管理器、策略决策器和策略信息库。策略管理器用于接收并分析访问管理模块转发来的请求信息，并将其转发给策略决策器。策略决策器用于对策略管理器发送来的信息的合法性进行评估。策略信息库主要用于为策略决策器提供信任评估的根据，由白名单属性集构成。该方法包含以下步骤：步骤1，当第三方设备访问plc时，plc中的访问管理模块会接管访问请求并将请求信息发送给策略管理器。步骤2，策略管理器会分析第三方设备请求信息，并将分析结果转发给策略决策器。步骤3，策略决策器根据策略信息库中的白名单属性集对访问请求的合法性进行评估，并将结果反馈给策略管理器。如果所述访问请求被判定为合法请求，策略管理器向访问管理模块下发建立通信的指令；否则，策略管理器向访问管理模块下发拒绝通信的指令。步骤4，如步骤3所述，若访问管理模块接收到建立通信的指令，则会建立访问主体与plc之间的通信，并且策略决策器会对第三方设备请求信息进行持续性信任评估以及动态授予其访问plc的权限；否则，访问管理模块会拒绝第三方设备的访问请求。

技术总结
本发明公开了一种PLC安全访问控制实现方法，该方法涉及工业控制安全技术领域。当第三方设备向PLC发送访问请求时，PLC中的访问管理模块会接管访问请求并将该请求信息发送给策略管理器；策略管理器会分析第三方设备请求信息，并将其转发给策略决策器；策略决策器根据策略信息库中的白名单属性集对访问请求的合法性进行判断并将结果反馈给策略管理器，策略管理器根据反馈的结果将拒绝或通过的指令下发给访问管理模块，访问管理模块根据策略管理器下发的指令决定是否建立通信。若访问主体与PLC成功通信，则策略决策器会对访问主体属性进行持续性的评估和动态授权。本发明利用对访问主体属性的信任评估和动态授权的主动防护方式来实现PLC的访问控制，一定程度上避免了异常访问行为，以此保证PLC的安全运行。

技术研发人员：赵德政,郭肖旺,徐新鹏,熊毅
受保护的技术使用者：中电智能科技有限公司
技术研发日：
技术公布日：2024/7/29