CN111624937B 一种工控系统plc动态度量的保护方法及工控系统plc （宁波和利时信息安全研究院有限公司）

一种工控系统PLC动态度量的保护方法及工本发明提供一种工控系统PLC动态度量的保控制器PLC运行状态下，基于访问控制ABAC机制储于可信硬件平台的度量策略对待度量数据进数据库中事件对应的可信数据对度量值进行计的动作，并生成包含不符合预期结果的审计日2在可信可编程逻辑控制器PLC运行状态下，基于访问控制ABAC机制获取任意事件发生调用存储于可信硬件平台的度量策略，基于所述度量策略对所述待度量数据进行度查询预先存储于可信基准数据库中所述事件对应的可信数据对所述度量值进行计算，若不符合预期，根据安全可信策略执行相应的动作，并生成其中，若所述任意事件为主体访问客体的访问请求时，所获取主体访问客体的访问请求，并确定所述访问请求的类型，所将所述主体的属性信息、所述客体的属性信息和所述访问请求的类所述调用存储于可信硬件平台的度量策略，基于所述度量策略对所若所述度量数据为所述主体的属性信息、所述客体的属性信息和所述访问请求的类若所述任意事件包括主体访问客体的访问请求时，所述查询预查询预先存储于可信基准数据库中所述主体访问客体的访问请求对应的第一考核项计算所述第一考核项系数和所述第一度量值所述在可信可编程逻辑控制器PLC运行状态下，基于访问控制ABAC机制获取任意事件发生按照设定周期，根据访问控制ABAC机制从指定地址读取待度量数据，所待度量数据包括所述代码区域中所述指定地址上存储的PLC业务程序代码、内核操作程序3.根据权利要求2所述的方法，其特征在于，所述调用存储于可信硬件平台的度量策3若所述度量数据为所述PLC业务程序代码、内核操作程序系统4.根据权利要求3所述的方法，其特征在于，若所述任意事件包括度量系统运行环境查询预先存储于可信基准数据库中所述度量系统运行环境计算所述第二考核项系数和所述第二度量值在可信可编程逻辑控制器PLC运行状态下，获取业务运行过程中待加密的第一重要数将所述第二重要数据文件与所述PLC的关键数据若不一致，确定所述第二重要数据文件对应的事件不所述安全可信策略固件用于，若所述任意事件为主体访问客体的访问信息和所述访问请求的类型打包作为所述待度所述可信计算固件用于，基于所述控制逻辑运算固件调用存储于可信4所述安全可信策略固件还用于，若所述任意事件为度量系统运行环境时，指定地址指向用于存储PLC业务程序代码、内核操作程序系统OS代码和计算固件代码的代程中加密的重要数据文件，并基于国密的SM2/SM4算法对所述加密的重要数据文件进行解密，得到第二重要数据文件；将所述第二重要数据文件与所述PLC的关键数据文件进行比5[0001]本发明涉及工控技术领域，尤其涉及一种工控系统PLC动态度量的保护方法及工[0005]有鉴于此，本发明实施例提供一种工控系统PLC动态度量的保护方法及工控系统[0007]本发明实施例一方面公开了一种工控系统PLC动态度量的保护方法，所述方法包[0008]在可信可编程逻辑控制器PLC运行状态下，基于访问控制ABAC机制获取任意事件[0010]查询预先存储于可信基准数据库中所述事件对应的可信数据对所述度量值进行6所述待度量数据包括所述代码区域中所述指定地址上存储的PLC业务程序代码、内核操作[0024]可选的，若所述任意事件包括主体访问客体的访问请求和/或度量系统运行环境[0025]查询预先存储于可信基准数据库中获取所述主体访问客体的访问请求对应的第一考核项系数和/或所述度量系统运行环境对应[0026]计算所述第一考核项系数和所述第一度量值的乘积得到第一可信值，和/或计算所述第二考核系数和所述第二度量值的乘积得到第[0028]在可信可编程逻辑控制器PLC运行状态下，获取业务运行过程中待加密的第一重[0029]在可信可编程逻辑控制器PLC运行状态下，获取业务运行过程中加密的重要数据[0033]本发明实施例第二方面公开了一种工控系统PLC，所述工控系统PLC包括：可信7属性信息和所述访问请求的类型打包作为所述述指定地址指向用于存储PLC业务程序代码、内核操作程序系统OS代码和计算固件代码的内核操作程序系统OS代码和/或计算固件代码的度量策略，分别对所述PLC业务程序代码、密的第一重要数据文件，基于国密的SM2/SM4算法对所述待加密的第一重要数据文件进行[0043]基于上述本发明实施例提供的一种工控系统PLC动态度量的8[0051]图7为本发明实施例提供的另一种工控系统PLC动态度量的保护方法的流程示意[0053]图9为本发明实施例提供的又一种工控系统PLC动态度量的保护方法的流程示意[0054]图10为本发明实施例提供的再一种工控系统PLC动态度量的保护方法的流程示意[0055]图11为本发明实施例提供的再一种工控系统PLC动态度量的保护方法的流程示意9[0065]在本发明实施例中，可信硬件平台20用于调用国密SM2/SM4算法，根据指定的事[0069]在本发明实施例中，可信PLC10是指将可信计算技术和ABAC技术融入可编程逻辑[0072]其中，可信固件11和业务固件12分别独立占用一个硬件中央处理器(central安全可信策略，基于控制逻辑运算固件由访问控制固件13获取主体访问客体的访问请求111用于，基于业务固件12中的控制逻辑运算固件由访问控制固件13获取主体访问客体的[0098]可信计算固件112用于，基于控制逻辑运算固件调用存储于可信硬件平台20中对[0104]第一考核项系数是根据安全可信策略中主体访问客体的访问请求对应的数据确不符合预期结果的审计日志发送至PLC的安全管理码和计算固件代码的代码区域，待度量数据包括代码区域中指定地址上存储的PLC业务程作程序系统OS代码和计算固件代码的代码区域，读取代码区域中指定地址上存储的PLC业程序系统OS代码和/或计算固件代码作为度量数据，并将待度量数据传递给可信计算固件核操作程序系统OS代码和/或计算固件代码设置与度量系统运重要数据文件，并基于国密的SM2/SM4算法对重要文件进行加密处理，得到重要文件的密[0131]基于上述本发明实施例公开的一种工控系统PLC，本发明实施例还对应公开了一访问客体的访问请求和/或度量系统运行环境发生时对应访问请求和/或度量系统运行环境对应的度量策略，分别对与该度量策略所对应的主体访[0149]在具体实现步骤S606的过程中，根据安全可信策略的动作执行阻断或不阻断操[0150]需要说明的是，上述本发明实施例公开的工控系统PLC动态度量的保护方法的具体执行过程，与上述本发明实施示出的工控系统PLC中的各个单元具体的原理和执行过程[0157]需要说明的是，钩子函数可在输入类文件的读入操作或输出类文件的写入操作进程优先级等至少一个或多个的组合和访问请求的类型打包作为待度[0172]将主体的属性信息f1、客体的属性信息f2和访问请求的类应的第一考核项系数之间的对应关系预先存储至可信[0182]在具体实现步骤S707的过程中，将第一考核系数和第一度量值代入公式(1)进行问请求时，通过安全可信策略固件获取主体访问客体的访问请求发生时对应的待度量数码和计算固件代码的代码区域，待度量数据包括代码区域中指定地址上存储的PLC业务程[0198]在具体实现步骤S802的过程中，根据可信硬件平台中预先存储的与PLC业务程序[0205]在具体实现步骤S904的过程中，将第二考核系数和第二度量值代入公式(2)进行图9中步骤S905计算得到的第二可信值代入公式(3)进行逻辑与/或运算，得到第三可信值[0220]其中，F为度量系统运行环境和/或主体访问客体的访问[0224]在具体实现步骤S13的过程中，允许执行主体访问客体的访问请求和度量系统运重要数据文件，并基于国密的SM2/SM4算法对重要文件进行加密处理，得到重要文件的密[0250]基于国密的SM2/SM4算法，利用SM2/SM4的加密函数和预设的密钥K对技术人员想利用SM2/SM4的加密函数和与加密文件所匹配的密钥K，对工程文件a对应的密文C进行解重要数据文件，并基于国密的SM2/SM4算法对重要文件进行加密处理，得到重要文件的密[0254]对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发