一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统与方法与流程

1.本发明涉及烟草行业工控系统安全领域，尤其是一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统与方法。


背景技术：

2.随着新一代信息技术的快速演进，网络安全威胁和风险不断涌现、基于传统边界安全模型的解决方案难以应对。
3.通过近年来国家局每年针对烟草行业的检查结果分析，工控系统身份认证管理存在重大缺失，不满足国家、行业相关安全要求。为了烟草行业支撑数字化业务，工业控制系统需要将业务和数据开放，这种大量的、复杂的访问需求导致物理边界在某种程度上已经失去了既有的安全边界的属性。在无边界化趋势下，安全风险的产生主要来自于身份、权限、业务。现有的安全机制都是基于边界安全体系进行构建的，对身份、权限和业务暴露面方面缺乏针对性的、细粒度的控制措施，难以应对这些威胁，安全架构亟需升级。
4.烟草工控系统在使用过程中，存在弱密码、账号共用、密码轮换周期太长等身份安全问题，一旦这种安全风险发生，会极大影响业务生产过程中的操作审计、责任界定等生产风险。如图1所示，现有的车间身份认证与访问管理方案：“访问者”直接通过身份认证、权限分配来访问应用(wincc、pms等)数据库，只要“访问者”获得访问身份，就可以通过该身份来访问应用数据库，不会在访问中持续对该身份进行验证，导致当别人获取到访问身份信息就可以登陆访问数据库，存在安全风险。
5.因此，迫切需要深入研究烟草行业工控系统身份认证与访问管理的安全问题，实现和工控场景紧密结合的身份认证与访问管理解决方案。


技术实现要素：

6.本发明的发明目的在于：针对上述存在的问题，提出一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统与方法，采用零信任架构，整合车间现有安全资源、信息化资源，把网络作为环境的一部分，将车间的人员、应用和设备等全面身份化，再基于不同类别的身份和访问环境从信任评估模块获取信任评分，根据信任评分控制访问，有效的增强烟草行业车间工控系统的安全性。
7.本发明采用的技术方案如下：
8.本发明一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统，包括设置在访问者和应用数据库之间的监测模块、信任评估模块、动态访问控制模块和网络控制模块；
9.所述监测模块，通过环境感知、多因子认证、安全审计、流量监测的方式持续对“访问者”的身份、访问环境、访问内容和访问行为数据进行监测和收集；
10.所述信任评估模块，用于接收监测模块收集的数据，对数据进行处理和信任评分，
并将评分发送到动态访问控制模块；
11.所述动态访问控制模块，用于根据信任评分生成相关的访问策略作用于网络控制模块；
12.所述网络控制模块，用于负责根据访问策略转发流量，进行流量控制。
13.以上系统，解决了烟草行业工业控制系统大量的、复杂的访问需求导致传统的基于物理边界的安全防护机制在某种程度上失去了既有的安全边界的属性，边界防护失效的问题，通过将安全措施从网络转移到具体的人员、设备和业务资产，在网络边界之上叠加基于身份的逻辑边界，实现基于身份的、细粒度的动态访问控制机制，以增加工控系统的安全性。
14.作为优选，所述监测模块包括环境感知系统、多因子认证系统、安全审计系统和流量监测系统；所述环境感知系统，用于检查“访问者”的访问环境；所述多因子认证系统，用于对用户的身份进行认证；所述安全审计系统，用于对数据库和被访问资源进行安全审计，对用户的访问行为进行审计；所述流量监测系统，用于对系统中所有的流量进行检测。
15.作为优选，系统中的流量传输进行加密。
16.本发明一种用于实现烟草行业车间级工控系统身份认证与访问管理的方法，包括以下步骤：
17.步骤一：将车间的人员、应用和设备全面身份化，建立初始信任；
18.步骤二：通过环境感知、多因子认证、安全审计、流量监测的方式对“访问者”的身份、访问环境、访问内容和访问行为数据进行采集和监测；
19.步骤三：对采集的数据进行处理和信任评分；
20.步骤四：根据信任评分设置访问策略和权限；
21.步骤五：根据访问策略进行流量控制。
22.作为优选，通过环境感知、多因子认证、安全审计、流量监测的方式持续对“访问者”进行数据采集和评估，从而控制流量。
23.作为优选，所述步骤四中，手动设置访问策略和权限。
24.作为优选，所述步骤一中，将车间的人员、应用和设备全面身份化的方法：建立统一的身份认证机制，给人员、应用和设备分配相应的身份编码。
25.作为优选，所述步骤三具体包括：
26.s1：接收从访问端的环境感知、多因子认证、安全审计、流量监测获取的用户身份认证数据和行为监测数据；
27.s2：对接收到的数据进行数据清洗，保留ip地址、证书、用户指纹关键信息作为下一步的计算输入；
28.s3：使用贝叶斯网络进行系统威胁概率p计算；
29.s4：将评估分数基数j设置为0至100分，使用系统威胁概率p乘以评估分数基数j得到评估分数f＝j*p。
30.作为优选，在用户第一次进行访问时，不产生行为监测数据，行为监测数据置初始值。
31.作为优选，所述步骤四具体包括：
32.s10：接收信任评分；
33.s20：设定阈值wr、ww、wx
…
(wr《ww《wx
…
)；
34.s30：将信任分和wx比较；如果信任分》wx，则将被访问内容的权限全部赋予“访问者”；否则将信任分和ww比较；如果信任分》ww，则将被访问内容的部分权限赋予“访问者”；否则将信任分和wr比较；如果信任分》wr，则将被访问内容的部分权限赋予“访问者”；否则将触发终止访问条件，生产终止访问策略；
35.s40：根据信任评分和分配的权限进行访问策略配置，并将策略发送到网络控制模块。
36.综上所述，由于采用了上述技术方案，本发明的有益效果是：
37.1、本发明解决现有的车间身份认证与访问管理方案存在边界防护失效、访问有安全风险的问题，设计了一种解决车间工控系统身份认证与访问管理的系统与方法，有效的增强烟草行业车间工控系统的安全性。
38.2、本发明结合零信任技术，通过将安全措施从网络转移到具体的人员、设备和业务资产，在网络边界之上叠加基于身份的逻辑边界，实现基于身份的、细粒度的动态访问控制机制，以增加工控系统的安全性。
附图说明
39.本发明将通过例子并参照附图的方式说明，其中：
40.图1是现有的车间身份认证与访问管理方案示意图。
41.图2是本发明一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统结构示意图。
42.图3是实施例中监测模块、信任评估模块和动态访问控制模块的数据处理流程图。
具体实施方式
43.本说明书中公开的所有特征，或公开的所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以以任何方式组合。
44.本说明书(包括任何附加权利要求、摘要)中公开的任一特征，除非特别叙述，均可被其他等效或具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子而已。
45.如图2所示，本发明公开了一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统，包括设置在访问者和应用数据库之间的监测模块、信任评估模块、动态访问控制模块和网络控制模块；
46.所述监测模块，通过环境感知、多因子认证、安全审计、流量监测的方式持续对“访问者”的身份、访问环境、访问内容和访问行为数据进行监测和收集；
47.所述信任评估模块，用于接收监测模块收集的数据，对数据进行处理和信任评分，并将评分发送到动态访问控制模块；
48.所述动态访问控制模块，用于根据信任评分生成相关的访问策略作用于网络控制模块；
49.所述网络控制模块，用于负责根据访问策略转发流量，进行流量控制。
50.在用于实现烟草行业车间级工控系统身份认证与访问管理的系统中，监测模块包
括环境感知系统、多因子认证系统、安全审计系统和流量监测系统；所述环境感知系统，用于检查“访问者”的访问环境；所述多因子认证系统，用于对用户的身份进行认证；所述安全审计系统，用于对数据库和被访问资源进行安全审计，对用户的访问行为进行审计；所述流量监测系统，用于对系统中所有的流量进行检测。系统中的流量传输进行加密，通过链路加密、密钥设施等方式加密，优先采用rs256进行加密。
51.用于实现烟草行业车间级工控系统身份认证与访问管理的系统运行的具体流程为：
52.第一步：确定车间现有的安全资源和信息化资源，确定接入到系统的子系统；确认设备、应用和人员的初始信任；
53.第二步：将车间的人员、应用和设备等全面身份化；建立统一的身份认证机制，给人员、应用和设备分配相应的身份编码，建立初始信任；
54.第三步：信任评估模块接入环境感知系统检查“访问者”的访问环境；接入流量检测系统对系统中所有的流量进行检测；接入安全审计系统，对数据库和被访问资源进行安全审计，对用户的访问行为进行审计，所有的审计信息都会被接入到信任评估模块对当前的“访问者”进行信任评分；
55.第四步：信任评估模块将评分传给动态访问控制模块，动态访问控制模块可手动设置访问策略和权限，也可根据配评分动态设置；设置完成后将控制命令传递给网络控制模块进行流量控制；
56.第五步：环境感知、多因子认证、安全审计、流量监测等系统持续对“访问者”进行评估，再反作用于网络控制模块进行控制。
57.本发明一种用于实现烟草行业车间级工控系统身份认证与访问管理的方法，包括以下步骤：
58.步骤一：将车间的人员、应用和设备全面身份：将车间的人员、应用和设备全面身份化的方法：建立统一的身份认证机制，给人员、应用和设备分配相应的身份编码，建立初始信任；
59.步骤二：通过环境感知、多因子认证、安全审计、流量监测的方式持续对“访问者”的身份、访问环境、访问内容和访问行为数据进行采集和监测；
60.步骤三：对采集的数据进行处理和信任评分；
61.步骤四：根据信任评分设置访问策略和权限，或者手动设置访问策略和权限；
62.步骤五：根据访问策略进行流量控制。
63.如图3所示，信任评估模块：
64.s1：从访问端的环境感知、多因子认证等第三方集成模块获取用户的身份认证数据，身份认证数据包括设备检测数据和用户检测数据；在用户第一次进行访问时，不产生行为监测数据，行为监测数据置初始值；
65.s2：对接收到的数据进行数据清洗，保留ip地址、证书、用户指纹等关键信息作为下一步的计算输入；
66.s3：使用贝叶斯网络进行系统威胁概率p计算；
67.s4：将评估分数基数j设置为0至100分，使用系统威胁概率p乘以评估分数基数j得到评估分数f＝j*p。
68.动态访问控制模块：
69.s10：从信任评估模块接收信任评分；
70.s20：设定阈值wr、ww、wx
…
(wr《ww《wx
…
)；
71.s30：将信任分和wx比较，如果信任分》wx，则将被访问内容的权限全部赋予“访问者”，全部权限有文件的删除、执行等会对原有系统造成影响的操作，否则将信任分和ww比较；如果信任分》ww，则将被访问内容的部分权限赋予“访问者”，否则将信任分和wr比较；如果信任分》wr，则将被访问内容的部分权限赋予“访问者”，如查看等，否则将触发终止访问条件，生产终止访问策略；
72.s40：根据信任评分和分配的权限进行访问策略配置，并将策略发送到网络控制模块。
73.本发明一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统，采用零信任架构，整合车间现有安全资源、信息化资源，通过把网络作为环境的一部分，将车间的人员、应用和设备等全面身份化，再基于不同类别的身份和访问环境从信任评估模块获取信任评分，信任评估模块将评分发送到动态访问控制模块，动态访问控制模块生成相关的访问策略作用于网络控制模块，网络控制模块负责根据策略转发流量。
74.同时信任评估模块会通过环境感知、多因子认证、安全审计、流量监测等方式持续对“访问者”的身份、访问环境、访问内容和访问行为进行持续的评估，当评分低于某个阈值时，会切断“访问者”的连接，并提示进行再认证，以形成访问控制闭环。
75.以身份、访问环境和访问内容为“访问者”进行信任评分，基于信任评分生成动态策略，基于动态策略持续进行访问管理。
76.本发明并不局限于前述的具体实施方式。本发明扩展到任何在本说明书中披露的新特征或任何新的组合，以及披露的任一新的方法或过程的步骤或任何新的组合。