基于动态评估的PLC零信任访问控制方法及系统与流程

本技术涉及工控系统网络安全及零信任访问的，具体涉及基于动态评估的plc零信任访问控制方法及系统。

背景技术：

1、可编程逻辑控制器（plc）在工业控制系统中承担现场控制的核心职能，但大量存量plc的通信协议在设计之初并未充分考虑强身份认证、细粒度授权和传输层安全防护。某些设备默认信任同一控制网段内的访问主体，某些协议以功能码和寄存器地址为主要操作对象，缺少对访问者身份和操作意图的验证能力。当攻击者通过工程站主机、上位机漏洞或远程链路进入控制网络后，传统边界防护难以阻止其继续横向移动及后续高危操作。

2、现有工业防护系统通常依赖网络分区、工业防火墙和白名单等实现安全控制。上述方法能够在一定程度上限制来源地址、端口范围和远程登录行为，但仍然存在以下不足。静态白名单通常只关注某个设备是否可以访问某个plc，却无法判断同一通信连接中的不同协议动作是否具有不同风险。状态读取、参数写入和程序下载在网络层可能使用相同端口，但在工业安全语义上差异巨大；一次性登录认证无法持续验证后续操作是否仍然符合授权范围，攻击者盗用合法账号或控制合法工程站后，可以在认证通过后执行超出工单范围的操作；传统防火墙规则很难自动理解工单、资产画像和运行上下文之间的关系，导致安全策略过粗而无法阻断细粒度越权行为，或过严而影响正常生产运维。

3、零信任安全思想强调不因网络位置而默认信任任何主体，要求持续验证访问行为与授权上下文的一致性。然而，通用信息系统中的零信任方案不能直接迁移到plc场景。一方面，plc资源受限且生命周期长，不能假设所有设备都能升级固件、安装代理或支持现代加密认证；另一方面，工业通信行为具有强协议语义和强生产约束，访问风险不仅取决于用户身份，还取决于具体功能码、寄存器区间、程序块类型、操作值、维护时间窗口和被访问资产的重要度。

4、因此，亟需一种不依赖plc自身安全能力、又能理解工业协议意图和运维上下文的轻量级零信任访问控制方案。

技术实现思路

1、本技术提出基于动态评估的plc零信任访问控制方法及系统，用于解决上述现有技术的缺陷。

2、根据本技术实施例的第一方面，提供一种基于动态评估的plc零信任访问控制方法，包括：

3、在可编程逻辑控制器通信入口侧部署策略执行点，对进入可编程逻辑控制器通信路径的工业协议报文进行深度解析，将所述工业协议报文映射为工业操作事件以及生成工业操作事件序列；

4、基于所述工业操作事件序列，构建访问主体与可编程逻辑控制器资产对象之间的动态二部图，并通过动态图表示学习得到访问主体的主体画像和资产对象的资产画像；

5、获取运维授权上下文，结合所述主体画像和所述资产画像，生成形式化策略约束；

6、利用上下文门控连续信任评分模型，根据所述工业操作事件、所述主体画像、所述资产画像以及所述形式化策略约束，计算当前访问事件的风险值；

7、以生产扰动为约束条件，采用约束强化学习根据所述当前访问事件的风险值和所述形式化策略约束选择访问处置动作；

8、将所述形式化策略约束和所述访问处置动作经策略验证与规则编译后，转换为工业网关、工业防火墙或软件定义网络节点可执行的微隔离规则。

9、在一些实施方式中，所述工业操作事件表示为包含访问主体、目标可编程逻辑控制器或其逻辑对象、工业协议、协议动作、对象地址或变量标签、操作值或操作载荷、授权上下文以及访问时间的八元组结构。

10、在一些实施方式中，所述动态二部图由访问主体节点集合、可编程逻辑控制器资产对象节点集合、时间窗口内的工业操作边集合以及边属性和上下文属性集合构成，

11、其中，所述动态二部图的每条边由所述工业操作事件诱导生成。

12、在一些实施方式中，所述形式化策略约束至少包括被授权主体集合、目标资产集合、允许动作集合、对象地址范围、授权时间窗口、前置上下文条件以及允许访问的最大风险上界。

13、在一些实施方式中，所述连续信任评分模型的风险因子至少包括身份可信度、设备指纹可信度、协议动作风险、对象敏感度、工单一致性、历史行为偏离度、网络路径可信度、资产重要度和工况状态，所述方法还包括：

14、通过由访问上下文生成的门控向量对所述风险因子向量进行逐元素加权，所述连续信任评分模型对各风险因子在当前场景下的贡献程度进行动态调整。

15、在一些实施方式中，所述方法还包括：

16、将当前访问事件的风险因子向量与由访问上下文生成的门控向量进行逐元素相乘，得到加权后的风险因子向量；

17、将所述加权后的风险因子向量进行线性加权求和以及添加偏置处理，并经归一化函数处理得到所述当前访问事件的风险值。

18、在一些实施方式中，所述访问处置动作选自一个动作集合，所述动作集合至少包括无条件放行、只读降权、限制对象地址范围、要求二次确认、阻断写入、阻断程序下载、隔离会话和触发人工复核。

19、在一些实施方式中，所述方法还包括：

20、通过受约束强化学习确定所述访问处置动作；

21、其中，所述访问处置动作的优化目标为在满足生产扰动不超过预设阈值的约束条件下，最大化累积奖励，所述累积奖励用于综合反映安全收益、生产连续性损失、误报成本和策略稳定性。

22、在一些实施方式中，所述策略验证包括冲突检测、冗余检测和过度授权检测，所述方法还包括：

23、基于两个策略在同一访问空间上给出相反处置时判定为策略冲突，并阻止策略下发；

24、基于某一策略的访问空间被另一策略完全覆盖且处置一致时，判定为策略冗余，并合并或删除冗余策略；

25、基于策略允许的空间超出工单授权空间或最小权限空间时，判定为策略过度授权，并缩小策略范围至最小权限空间。

26、根据本技术第二方面提供一种基于动态评估的plc零信任访问控制系统，包括：

27、协议意图抽象模块，用于在可编程逻辑控制器通信入口侧部署策略执行点，对进入可编程逻辑控制器通信路径的工业协议报文进行深度解析，将所述工业协议报文映射为工业操作事件以及生成工业操作事件序列；

28、主体与资产画像模块，用于基于所述工业操作事件序列，构建访问主体与可编程逻辑控制器资产对象之间的动态二部图，并通过动态图表示学习得到访问主体的主体画像和资产对象的资产画像；

29、策略合成模块，用于获取运维授权上下文，结合所述主体画像和所述资产画像，生成形式化策略约束；

30、工单约束解析模块，用于利用上下文门控连续信任评分模型，根据所述工业操作事件、所述主体画像、所述资产画像以及所述形式化策略约束，计算当前访问事件的风险值；

31、处置策略优化模块，用于以生产扰动为约束条件，采用约束强化学习根据所述当前访问事件的风险值和所述形式化策略约束选择访问处置动作；

32、策略验证编译模块，用于将所述形式化策略约束和所述访问处置动作经策略验证与规则编译后，转换为工业网关、工业防火墙或软件定义网络节点可执行的微隔离规则。

33、本技术实施例的基于动态评估的plc零信任访问控制方法及系统的有益效果，至少包括：

34、本技术实施例不要求改造plc硬件、升级plc固件或在plc中安装安全代理，能够适配大量老旧plc和私有协议设备。本技术实施例通过协议意图抽象把网络报文转换为工业操作事件，使访问控制粒度从ip端口提升到功能码、寄存器、程序块和变量标签层面。本技术实施例通过动态二部图行为画像学习访问主体与plc资产对象之间的正常关系，能够发现合法地址发起的异常高危操作和跨资产横向移动。本技术实施例通过工单约束策略合成使运维授权范围与真实plc通信行为自动对齐，解决一次性登录认证无法约束后续操作的问题。本技术实施例通过上下文门控连续信任评分实现随会话变化的风险评估，能够在不同运维场景和不同资产等级下自适应调整风险因子权重。本技术实施例通过约束强化学习优化处置动作，能够在保障安全收益的同时降低对生产连续性的干扰。本技术实施例通过可验证策略编译将高层零信任策略转化为可执行规则，并在下发前完成冲突检测和最小权限校验，增强策略执行的可审计性和可回滚性。