一种工业数字化集成平台的数据安全控制系统的制作方法

本发明涉及工业互联网安全与数据安全交叉，具体为一种工业数字化集成平台的数据安全控制系统。

背景技术：

1、工业数字化集成平台通常需要汇聚来自不同厂商、不同年代设备产生的海量异构数据，这些设备普遍采用面向服务架构的跨平台工业互联协议、串行或以太网通用工业总线协议以及特定厂商专用的可编程逻辑控制器通信协议等多种私有或半封闭协议进行通信，各协议在报文结构、指令编码及语义定义上互不兼容，由此形成的数据孤岛现象严重制约了平台对数据进行统一治理的能力，与此同时，工业互联网场景天然存在跨车间、跨企业乃至供应链上下游的数据交互需求，随着操作技术系统与信息技术系统的深度融合，传统依靠物理隔离构建的静态安全边界逐渐消失，数据在多主体、多系统间流转已成为常态，这对数据在采集、传输、共享及访问全过程中的安全防护能力提出了更高要求；

2、目前工业数字化集成平台普遍采用的数据安全管理方案大致包含以下环节：首先由边缘采集设备将各类工业协议报文原样转发或做简单格式转换后汇聚至中心数据平台，其次在数据落地存储或进入数据湖之后，由后台数据治理模块通过人工规则或离线批处理方式对数据进行分类分级标注，再次，针对跨组织数据共享场景，接收方仅需通过单一组织内部预设的角色权限即可获得数据访问权限，访问决策与数据本身的流向记录相互独立、互不关联，最后，对于零信任安全能力的引入，现有方案通常在具备一定算力的信息技术终端上安装客户端代理软件，由该软件采集主机行为数据并上报至策略中心进行信任评估，而对算力受限、系统封闭的操作技术现场设备则普遍采取划分独立网段并辅以防火墙隔离的粗粒度静态防护方式；

3、上述现有方案存在如下技术缺陷，其一，由于采用先采集汇聚、后分类分级的后置处理策略，数据在采集、传输及初步存储阶段尚未完成敏感度标定，导致高密级数据在该阶段处于无差别防护状态，极易被恶意截获或越权访问，形成安全防护空档期，其二，由于访问控制手段仅局限于单一组织内部的权限判定，与数据流向的全程追踪相互割裂，一旦数据跨越系统边界共享给第三方，便丧失了对其后续二次调用、转发及滥用行为进行穿透式审计的能力，存在较大的数据泄露与责任追溯困难的风险，其三，由于大量老旧工业控制设备算力孱弱、操作系统封闭，无法承载传统零信任体系所要求的客户端代理软件，导致零信任安全策略无法下推至设备细粒度管控层面，只能退化为网段级的粗粒度防护，难以满足工业现场对精细化安全管控的实际需求，为此，我们提出一种工业数字化集成平台的数据安全控制系统。

技术实现思路

1、本发明的目的在于提供一种工业数字化集成平台的数据安全控制系统。

2、本发明要解决的技术问题是：现有工业数字化集成平台的数据安全管理方案中，异构工业协议数据在采集阶段缺乏统一语义解析能力，导致敏感数据分类分级滞后于数据采集与传输环节，数据跨越操作技术系统与信息技术系统边界及跨组织流转后，访问控制与数据流向溯源相互割裂，无法对数据接收方的后续处理行为进行穿透式审计，传统零信任架构所依赖的客户端代理软件无法在大量老旧、封闭的工业控制终端上部署，致使零信任安全策略无法下沉到设备级细粒度管控层面。

3、为解决上述技术问题，本发明提供一种工业数字化集成平台的数据安全控制系统，该系统包括边缘采集层、边界网关层和云端管理层，所述边缘采集层用于对现场设备发送的原始工业协议报文进行深度包检测和协议语义解析，得到标准化语义模型，并根据该标准化语义模型中的设备特征标识、指令类型编码和阈值范围编码生成数据安全指纹，将该数据安全指纹与依据预设分类分级策略确定的敏感度等级标签绑定至原始工业协议报文的扩展头部字段，形成标定数据包，从而实现数据在生成瞬间即完成安全标定的即采即标效果，所述边界网关层用于在标定数据包发生跨域传输行为时，基于该标定数据包携带的数据血缘标签和敏感度等级标签、发起访问请求的主体属性、访问发生的环境属性以及请求执行的操作属性进行访问决策判定，在判定结果为允许访问时于数据血缘标签中追加本次流转的路径节点信息，并生成本次访问的处理日志，同时，所述边界网关层还用于在内核网络协议栈的数据包处理钩子点处注入探针程序，采集现场设备的通信行为特征并建立基线行为模型，实时计算当前通信行为相对于基线行为模型的偏离度评分，在偏离度评分超过预设阈值时生成并下发微隔离规则，实现设备级零信任微隔离，所述云端管理层用于对边界网关层生成的处理日志通过预设的智能合约进行防篡改存证，并提供审计溯源查询功能。

4、采用上述技术方案，与现有技术相比，本发明的有益效果在于：

5、1.本发明通过边缘采集侧的语义解析与指纹生成机制，消除了数据在采集与传输阶段的安全防护空档期，使敏感数据自产生之初即处于可标定、可管控的状态，通过将访问控制决策与数据血缘标签深度融合并借助分布式账本进行防篡改存证，实现了跨组织数据流转的全程可溯、责任可究；

6、2.本发明通过在网关内核层利用轻量化探针程序建立设备基线行为模型并动态生成微隔离规则，在不改动工业终端设备的前提下将零信任安全策略下沉至设备细粒度层面，兼顾了安全防护的精细度与对老旧设备的弱侵入适配能力，上述三个模块以数据安全指纹和敏感度等级标签作为共用纽带相互联动，三者共同构成覆盖数据产生、流转到访问管控全过程的闭环安全防护体系。

1.一种工业数字化集成平台的数据安全控制系统，其特征在于，包括：边缘采集层，用于对现场设备发送的原始工业协议报文进行深度包检测和协议语义解析，得到标准化语义模型，并根据所述标准化语义模型中的设备特征标识、指令类型编码和阈值范围编码生成数据安全指纹，将所述数据安全指纹与依据预设分类分级策略确定的敏感度等级标签绑定至所述原始工业协议报文的扩展头部字段，形成标定数据包；

2.根据权利要求1所述的一种工业数字化集成平台的数据安全控制系统，其特征在于，所述边缘采集层具体用于：依据所述原始工业协议报文的端口特征、报文头特征码和功能码，判定所述原始工业协议报文所属的协议类型，调用与该协议类型相匹配的语义解析模板，将所述原始工业协议报文按照统一的语义表达规范进行字段拆解和语义转换，得到包含设备标识、指令类型、数据值和时间戳的所述标准化语义模型。

3.根据权利要求1所述的一种工业数字化集成平台的数据安全控制系统，其特征在于，所述边缘采集层还用于：将所述标准化语义模型中的设备特征标识、指令类型编码、阈值范围编码和采集时间戳进行拼接后输入预设的哈希函数进行运算，得到所述数据安全指纹；

4.根据权利要求1所述的一种工业数字化集成平台的数据安全控制系统，其特征在于，所述边界网关层具体用于：采集发起访问请求的主体属性、包含所述数据血缘标签和所述敏感度等级标签在内的客体属性、访问发生的环境属性以及请求执行的操作属性这四类属性信息，依据预设的属性组合判定规则，在允许访问和拒绝访问两种决策状态中确定本次访问的决策结果；

5.根据权利要求4所述的一种工业数字化集成平台的数据安全控制系统，其特征在于，所述云端管理层具体用于：将包含所述四类属性信息、所述决策结果和更新后的数据血缘标签快照的处理日志提交至预先部署的分布式账本网络，通过预设的智能合约逻辑对所述处理日志进行防篡改存证；

6.根据权利要求1所述的一种工业数字化集成平台的数据安全控制系统，其特征在于，所述边界网关层具体用于：在系统运行的初始阶段，持续采集与所述边界网关层连接的现场设备的通信协议类型、访问频率、报文长度分布和访问时段这多个维度的行为特征，基于统计方法建立所述基线行为模型，得到各行为特征维度对应的均值和标准差；

7.根据权利要求6所述的一种工业数字化集成平台的数据安全控制系统，其特征在于，所述边界网关层还用于：将生成的所述微隔离规则以程序映射表的形式下发并挂载至所述数据包处理钩子点，使匹配所述微隔离规则的流量按照预设的规则动作进行处理，所述规则动作为丢弃动作和限速动作中的一种；

8.一种工业数字化集成平台的数据安全控制方法，其特征在于，包括：对现场设备发送的原始工业协议报文进行深度包检测和协议语义解析，得到标准化语义模型；

9.根据权利要求8所述的一种工业数字化集成平台的数据安全控制方法，其特征在于，生成所述数据安全指纹的步骤包括：将所述设备特征标识、所述指令类型编码、所述阈值范围编码和采集时间戳进行拼接后输入预设的哈希函数进行运算，得到所述数据安全指纹；