面向多源操作系统的电力监控主机加固方法与流程

本发明涉及电力监控主机安全防护，具体涉及面向多源操作系统的电力监控主机加固方法。

背景技术：

1、电力监控主机常搭载windows、linux等多源异构操作系统，是电力工控系统的关键节点。目前行业内多采用基于ip、端口的传统网络层微隔离方案开展安全防护，该方式仅能管控基础网络连接，无法解析iec 104、61850等电力专用规约的语义特征，难以精准区分正常业务流量与恶意横向渗透攻击，防护粒度粗放。同时，现有防护策略缺乏跨平台适配能力，针对不同操作系统需单独编写、配置过滤规则，部署流程繁琐，策略无法统一管控与批量生效。传统方案既无法满足电力场景下进程级的精细化隔离需求，也存在多系统适配性差、防护有效性不足的问题，难以应对日趋复杂的工控网络安全威胁，亟须提出适配多源操作系统、结合电力规约语义的主机加固方案。

2、现有技术存在无法识别电力规约语义、难以区分业务流量与攻击流量，且策略无法在多类操作系统统一生效的技术问题。

技术实现思路

1、本申请提供了面向多源操作系统的电力监控主机加固方法，用于针对解决现有技术存在无法识别电力规约语义、难以区分业务流量与攻击流量，且策略无法在多类操作系统统一生效的技术问题。

2、鉴于上述问题，本申请提供了面向多源操作系统的电力监控主机加固方法。

3、本申请提供了面向多源操作系统的电力监控主机加固方法，所述方法包括：

4、采集电力监控主机上各进程的进程间通信行为和网络通信行为，构建进程通信观测记录集合；根据所述进程通信观测记录集合，以进程为节点、允许通信关系为边，构建主机内进程通信图谱；对所述主机内流经各监听端口的通信报文进行深度解析，识别电力规约报文中的规约语义特征，并将所述规约语义特征关联到所述主机内进程通信图谱中对应边的属性上，形成增强进程通信图谱；基于所述增强进程通信图谱，以最小化特权原则推导各进程允许发起和允许接收的通信对端及端口范围，生成主机内进程级微隔离白名单策略；识别所述电力监控主机的操作系统类型，当识别为第一类型操作系统时，将所述主机内进程级微隔离白名单策略转换为与第一类型操作系统对应的第一过滤规则并下发生效，当识别为第二类型操作系统时，将所述主机内进程级微隔离白名单策略转换为与第二类型操作系统对应的第二过滤规则并下发生效。

5、本申请中提供的一个或多个技术方案，至少具有如下技术效果或优点：

6、采集电力监控主机上各进程的进程间通信行为和网络通信行为，构建进程通信观测记录集合；构建主机内进程通信图谱；对所述主机内流经各监听端口的通信报文进行深度解析，识别电力规约报文中的规约语义特征，并将所述规约语义特征关联到所述主机内进程通信图谱中对应边的属性上，形成增强进程通信图谱；生成主机内进程级微隔离白名单策略；识别所述电力监控主机的操作系统类型，当识别为第一类型操作系统时，将所述主机内进程级微隔离白名单策略转换为与第一类型操作系统对应的第一过滤规则并下发生效，当识别为第二类型操作系统时，将所述主机内进程级微隔离白名单策略转换为与第二类型操作系统对应的第二过滤规则并下发生效。达到了实现基于规约语义的进程级微隔离与跨系统策略适配，提高了电力监控主机的安全防护能力与加固通用性的技术效果。

1.面向多源操作系统的电力监控主机加固方法，其特征在于，所述方法包括：

2.如权利要求1所述的面向多源操作系统的电力监控主机加固方法，其特征在于，构建主机内进程通信图谱，包括：

3.如权利要求2所述的面向多源操作系统的电力监控主机加固方法，其特征在于，构建主机内进程通信图谱之后，还包括：

4.如权利要求1所述的面向多源操作系统的电力监控主机加固方法，其特征在于，对所述主机内流经各监听端口的通信报文进行深度解析，包括：

5.如权利要求4所述的面向多源操作系统的电力监控主机加固方法，其特征在于，将所述规约语义特征关联到所述主机内进程通信图谱中对应边的属性上，包括：

6.如权利要求1所述的面向多源操作系统的电力监控主机加固方法，其特征在于，以最小化特权原则推导各进程允许发起和允许接收的通信对端及端口范围，包括：

7.如权利要求1所述的面向多源操作系统的电力监控主机加固方法，其特征在于，当识别为第一类型操作系统时，将所述主机内进程级微隔离白名单策略转换为与第一类型操作系统对应的第一过滤规则并下发生效，包括：

8.如权利要求1所述的面向多源操作系统的电力监控主机加固方法，其特征在于，当识别为第二类型操作系统时，将所述主机内进程级微隔离白名单策略转换为与第二类型操作系统对应的第二过滤规则并下发生效，包括：

9.如权利要求1所述的面向多源操作系统的电力监控主机加固方法，其特征在于，所述方法还包括策略验证步骤：

10.如权利要求9所述的面向多源操作系统的电力监控主机加固方法，其特征在于，若遍历所述阻断日志后未发现任何被阻断连接记录的规约语义特征存在于所述允许规约类型列表中，则判定无属于允许通信范围的业务通信被阻断，将所述主机内进程级微隔离白名单策略切换为强制拦截模式正式生效。