一种工控设备防火墙的动态控制方法及系统

本发明涉及工业控制领域，具体涉及一种工控设备防火墙的动态控制方法及系统。

在工业控制网络的实际应用场景中，会在一些重要的工控主机或者内网处设置安全边界，也就是通常所说的工业控制网络中的工业防火墙，一般情况下，工业防火墙可以解决基本的网络安全性问题，在工业控制系统正常上线运行后，为了稳定起见，在较长的一段时间内都不会再调整工业防火墙以及工控设备的安全配置策略。

但是，在生产工艺流程改变以及优化，调整工控设备控制器中的控制逻辑时、在控制系统I/O点数增加，工控设备重新组态时、工控设备控制器内程序需要定期上载备份时以及工控系统硬件固件版本更新时，都需要特定主机访问特定服务器实现，因此，需要改变工控设备工业防火墙原有的安全配置策略，在此种情况下，通常是由管理人员直接对工控设备进行重新配置，而进行重新配置的通路也会长期开启，此时，任何服务器均可以随意更改工控设备的安全配置信息，导致防火墙网络安全防护功能失效，工控系统遭到PLC蠕虫、病毒，甚至恶意破坏或者渗透，进而导致设备数据程序被盗取、删除，更甚者导致工业系统或网络被迫中断，设备停产、经济损失以及人员伤亡等严重后果。

因此，本发明要解决的技术问题在于克服现有技术中的修改工控设备配置时，通路会长期开启，任何服务器可随意更改工控设备配置，导致防火墙网络安全防护功能失效，工控系统遭到蠕虫、病毒的恶意破坏的缺陷，从而提供一种工控设备防火墙的动态控制方法及系统。

根据第一方面，本发明实施例提供了一种工控设备防火墙的动态控制方法，包括：获取工控主机的安全运行状态及防火墙配置申请；当所述安全运行状态为安全时，根据所述防火墙配置申请向防火墙发送第一控制指令，所述第一控制指令用于指示所述防火墙允许对工控设备的参数配置的修改操作；当获取到修改工控设备配置操作的结束信息时，根据所述结束信息，向所述防火墙发送第二控制指令，所述第二控制指令用于指示所述防火墙禁止对工控设备的参数配置的修改操作。

结合第一方面，在第一方面第一实施方式中，所述安全运行状态是组态软件监测器在获取到工控主机发送的网络连接通知后，对工控主机进行安全状态评估所生成的；所述修改工控设备配置操作的结束信息是工控主机在获取到工控设备已保存配置数据的进程关闭通知，根据所述进程关闭通知所生成的。

结合第一方面第一实施方式，在第一方面第二实施方式中，所述对工控主机进行安全状态评估的步骤，具体包括：解析第一预设检查清单，得到多项评价指标；判断所述工控主机与各评价指标是否匹配，得到多个检查结果；根据预设策略以及多个检查结果，计算生成所述工控主机的安全运行状态。

结合第一方面，在第一方面第三实施方式中，在当获取修改工控设备配置操作的结束信息时，根据所述结束信息，向所述防火墙发送第二控制指令之前，所述动态控制方法还包括：获取防火墙根据所述第一控制指令反馈的应用结果；根据所述应用结果发送第一通知，所述第一通知用以告知用户执行对工控设备的参数配置的修改操作。

根据第二方面，本发明实施例提供了一种工控设备防火墙的动态控制方法，包括：获取服务器端发送的第一控制指令，所述第一控制指令为所述服务器根据获取到的工控主机的安全运行状态及防火墙配置申请所生成的；根据所述第一控制指令，允许对工控设备的参数配置的修改操作；当获取到服务器发送的第二控制指令时，禁止修改工控设备的参数配置，所述第二控制指令是所述服务器根据获取到的修改工控设备配置操作的结束信息所生成的。

结合第二方面，在第二方面第一实施方式中，在获取服务器端发送的第一控制指令之前，该方法还包括：初始化控制规则，所述控制规则用于禁止执行对工控设备的参数配置的修改操作。

结合第二方面第一实施方式，在第二方面第二实施方式中，所述允许对工控设备的参数配置的修改操作的步骤，具体包括：在防火墙上添加临时放行规则，所述临时放行规则用于生成临时修改通道，所述临时修改通道用于接收对工控设备的参数配置的修改操作对应的配置数据。

根据第三方面，本发明实施例提供了一种工控设备防火墙的动态控制系统，包括：服务器、防火墙，其中：所述服务器用于获取工控主机的安全运行状态及防火墙配置申请，当所述安全运行状态为安全时，根据所述防火墙配置申请向所述防火墙发送第一控制指令；所述防火墙用于根据所述第一控制指令，允许对工控设备的参数配置的修改操作；所述服务器用于当获取到修改工控设备配置操作的结束信息时，根据所述结束信息，向所述防火墙发送第二控制指令；所述防火墙用于当获取到服务器发送的第二控制指令时，禁止修改工控设备的参数配置。

结合第三方面，在第三方面第一实施方式中，该系统还包括：工控主机、组态软件监测器以及工控设备，其中：所述组态软件监测器用于当接收到进程创建通知时，根据所述进程创建通知获取对应进程以及进程程序文件；当根据所述进程程序文件，确定所述进程为目标配置变更程序时，开始监控工控主机；所述工控主机用于，根据所述组态软件，发送网络连接通知；所述组态软件监测器用于，当接收到所述网络连接通知时，解析第一预设检查清单，得到多项评价指标，判断所述工控主机与各评价指标是否匹配，得到多个检查结果；根据预设策略以及多个检查结果，计算生成所述工控主机的安全运行状态；所述工控主机用于根据所述第一控制指令，向所述工控主机发送对工控设备的参数配置的修改操作对应的配置数据；所述工控设备用于接收并保存所述配置数据；所述组态软件监测器用于获取进程关闭通知，根据所述进程关闭通知，生成修改工控设备配置操作的结束信息。

结合第三方面第一实施方式，在第三方面第二实施方式中，该系统还包括：所述组态软件监测器还用于在工控主机内注册进程创建通知回调函数；所述工控主机还用于，当接收到用户输入的组态软件的启动请求时，根据所述启动请求以及所述进程创建通知回调函数，生成进程创建通知。

结合第三方面第二实施方式，在第三方面第三实施方式中，该系统还包括：所述组态软件监测器还用于：解析所述进程程序文件，生成进程特征信息；当所述进程特征信息与第二预设检查清单中匹配时，确定所述进程为目标配置变更程序。

结合第三方面第三实施方式，在第三方面第四实施方式中，所述工控主机还用于，当获取到所述工控设备已保存配置数据后，生成进程关闭通知。

根据第四方面，本发明实施例提供了一种计算机设备，包括：至少一个处理器；以及与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器执行如第一方面或第一方面任一实施方式所述的工控设备防火墙的动态控制方法的步骤，以及第二方面或第二方面任一实施方式所述的工控设备防火墙的动态控制方法的步骤。

根据第五方面，本发明实施例提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如第一方面或第一方面任一实施方式所述的工控设备防火墙的动态控制方法的步骤，以及第二方面或第二方面任一实施方式所述的工控设备防火墙的动态控制方法的步骤。

本发明技术方案，具有如下优点：

本发明提供的一种工控设备防火墙的动态控制方法及系统，其中，该方法包括：获取工控主机的安全运行状态及防火墙配置申请；当安全运行状态为安全时，根据防火墙配置申请向防火墙发送第一控制指令，第一控制指令用于指示防火墙允许对工控设备的参数配置的修改操作；当获取到修改工控设备配置操作的结束信息时，根据结束信息，向防火墙发送第二控制指令，第二控制指令用于指示防火墙禁止对工控设备的参数配置的修改操作。通过实施本发明，可以解决相关技术中存在的管理人员直接修改工控设备配置，且进行重新配置的通路长期开启，导致的防火墙网络安全防护功能失效，工控系统容易遭到PLC蠕虫、病毒的恶意破坏的问题，可以实现动态修改工控设备的配置信息，有效提升工控设备的安全性，进一步地，通过技术手段实现了运维操作的安全放行，规范了对工控设备的安全配置及策略进行变更的操作流程，使安全运维透明、规范、自动化，提高了工作效率且降低业务风险；可以实现自动放行对业务系统特定工控设备的访问控制权限。

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中工控设备防火墙的动态控制方法的一个具体示例的流程图；

图2为本发明实施例中工控设备防火墙的动态控制方法的另一个具体示例的流程框图；

图3为本发明实施例中工控设备防火墙的动态控制系统的一个具体示例的原理框图；

图4为本发明实施例中工控设备防火墙的动态控制系统的另一个具体示例的原理框图；

图5为本发明实施例中工控设备防火墙的动态控制系统的一个具体示意图；

图6为本发明实施例中计算机设备的一个具体示例图。

下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，术语“中心”、“上”、“下”、“左”、“右”、“竖直”、“水平”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”、“第三”仅用于描述目的，而不能理解为指示或暗示相对重要性。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，还可以是两个元件内部的连通，可以是无线连接，也可以是有线连接。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

此外，下面所描述的本发明不同实施方式中所涉及的技术特征只要彼此之间未构成冲突就可以相互结合。

为了解决相关技术中存在的管理人员直接修改工控设备配置，且进行重新配置的通路长期开启，导致的防火墙网络安全防护功能失效，工控系统容易遭到PLC蠕虫、病毒的恶意破坏的技术问题，可以在防火墙(也可以是其他安全设备或软件)进行安全策略调整之前就进行有效的干预，保证可以执行正确的变更控制政策、过程和技术，那么就能避免以上情况的发生，或者可以在最大程度上减少由于安全问题而导致的经济损失，同时对安全做到可视和可控。

基于上述背景，本发明提供了一种工控设备防火墙的动态控制方法及系统，可以通过变更控制规则来规范配置修改流程以及记录防火墙的变更信息，上述变更信息可以包括变更人、变更内容、变更时间、变更原因和变更方法。可以将变更和流程紧密相连，并作为变更计划的一部分进行记录，目的是为了避免超过预定范围的变更，提高工作效率并降低业务风险。

本发明实施例提供了一种工控设备防火墙的动态控制方法，如图1所示，包括：

步骤S11：获取工控主机的安全运行状态及防火墙配置申请；在本实施例中，工控主机可以是能够访问工控设备中控制器，并修改控制器内控制逻辑的计算机设备，可以是采用总线结构，对生产过程及机电设备、工艺装备进行检测与控制的工具总称，工控主机上一般均安装有工控设备组态配置软件，用户可以通过上述工控设备组态配置软件，进而修改工控设备的配置参数等；安全运行状态可以是安装于工控主机上的组态软件监测器，在接收到工控主机发送的网络连接通知后，根据获取到的工控主机的安全信息等，进行评估后生成的信息，用以表征让工控主机的运行状态；防火墙配置申请可以是用户通过工控主机上的组态软件发起的对工控设备进行配置参数的修改的操作请求。

具体地，服务器接收组态软件监测器发送的安全运行状态信息，以及用户经由组态软件发送的对工控设参数配置的修改操作申请，服务器可以是安全管理服务器，用于根据获取到工控主机的安全运行状态信息，评估工控主机的运行状态的安全与否。

步骤S12：当安全运行状态为安全时，根据防火墙配置申请向防火墙发送第一控制指令，第一控制指令用于指示防火墙允许对工控设备的参数配置的修改操作；在本实施例中，当安全管理服务器根据安全运行状态，确定上述工控主机为安全时，说明此时的工控主机符合安全标准的要求，可以允许此工控主机接入工控设备，进而进行相应的配置参数的修改。具体地，当经过安全管理服务器的判断，认为工控主机的安全状态符合要求时，安全管理服务器可以根据组态软件发送的对工控设备的配置参数进行修改的操作申请，向工控设备对应的防火墙下发第一控制指令，所述第一控制指令可以是通知防火墙临时允许上述工控主机对工控设备的配置参数进行修改。

步骤S13：当获取到修改工控设备配置操作的结束信息时，根据结束信息，向防火墙发送第二控制指令，第二控制指令用于指示防火墙禁止对工控设备的参数配置的修改操作。在本实施例中，修改工控设备配置操作的结束信息可以是工控主机在获取到工控设备已保存配置数据的进程关闭通知，根据所述进程关闭通知所生成的。

本发明提供的一种工控设备防火墙的动态控制方法，包括：获取工控主机的安全运行状态及防火墙配置申请；当安全运行状态为安全时，根据防火墙配置申请向防火墙发送第一控制指令，第一控制指令用于指示防火墙允许对工控设备的参数配置的修改操作；当获取到修改工控设备配置操作的结束信息时，根据结束信息，向防火墙发送第二控制指令，第二控制指令用于指示防火墙禁止对工控设备的参数配置的修改操作。通过实施本发明，可以解决相关技术中存在的管理人员直接修改工控设备配置，且进行重新配置的通路长期开启，导致的防火墙网络安全防护功能失效，工控系统容易遭到PLC蠕虫、病毒的恶意破坏的问题，可以实现动态修改工控设备的配置信息，有效提升工控设备的安全性，进一步地，通过技术手段实现了运维操作的安全放行，规范了对工控设备的安全配置及策略进行变更的操作流程，使安全运维透明、规范、自动化，提高了工作效率且降低业务风险；可以实现自动放行对业务系统特定工控设备的访问控制权限。

作为本发明一个可选的实施方式，该工控设备防火墙的动态控制方法中，上述的安全运行状态是组态软件监测器在获取到工控主机发送的网络连接通知后，对工控主机进行安全状态评估所生成的；修改工控设备配置操作的结束信息是工控主机在获取到工控设备已保存配置数据的进程关闭通知，根据进程关闭通知所生成的。

作为本发明一个可选的实施方式，上述对工控主机进行安全状态评估的步骤，具体包括：

首先，解析第一预设检查清单，得到多项评价指标；在本实施例中，第一预设检查清单可以是根据工控系统预先设置的，用于判断对应的工控主机是否安全的检查列表，根据第一预设检查清单得到的多项评价指标可以包括：工控主机自带系统关键补丁的更新情况、工控主机自带系统中安全防护软件的部署情况、工控主机自带系统的自启动项病毒木马的存在情况、工控主机自带系统的高危服务的开启情况、系统的账户密码策略的设置情况等等。

其次，判断工控主机与各评价指标是否匹配，得到多个检查结果；在本实施例中，判断工控主机的运行情况与各评价指标是否匹配，实际上可以是判断工控主机自带系统是否更新关键补丁、工控主机自带系统中是否部署安全防护软件、工控主机自带系统的自启动项是否存在病毒木马、工控主机自带系统的高危服务是否开启、系统的账户密码策略的设置是否符合要求；例如，当工控主机自带系统已经更新关键补丁时，可以认为工控主机的运行情况与评价指标：工控主机自带系统关键补丁的更新情况相匹配，得到相匹配的检查结果，所述检查结果可以是各评价指标的具体得分。第一预设检查清单中的其他评价指标的判断方式与上述过程相似，在此不再赘述。

再次，根据预设策略以及多个检查结果，计算生成工控主机的安全运行状态。在本实施例中，预设策略可以是根据用户的防护需求而确定的各评价指标的重要程度，检查结果是组态软件监测器根据将工控主机的实际运行状态与第一预设检查清单进行比较后，得到的各评价指标中的评价分数；根据各项评价指标的评价分数以及各项评价指标的评价分数的权重，相加得到工控主机的安全评价分数，根据所述安全评价分数，得到工控主机的安全运行状态。

具体地，但工控主机的安全评价分数可以达到预设安全分数阈值时，可以认为工控主机的安全运行状态为安全，当没有达到预设安全分数阈值时，可以认为工控主机的安全运行状态为非安全，此时可以根据工控系统、工控设备的防护需求进行动态的配置修改以及调整。

本发明提供的一种工控设备防火墙的动态控制方法，组态软件监测器可以结合第一预设检查清单以及工控主机的运行状态，可以实现对工控主机是否安全的判断，继而可以根据判断结果实现对工控设备配置参数的修改操作的动态放行，有效提升工控设备的安全状态。

作为本发明一个可选的实施方式，在上述步骤S13，当获取修改工控设备配置操作的结束信息时，根据结束信息，向防火墙发送第二控制指令之前，动态控制方法还包括：

首先，获取防火墙根据第一控制指令反馈的应用结果；在本实施例中，安全管理服务器在向防火墙发送第一控制指令之后，会实时获取防火墙根据上述第一控制指令的反馈结果，也就是防火墙根据所述第一控制指令的执行结果。具体地，第一控制指令可以是安全管理服务器下发的允许工控主机对工控设备的配置参数进行临时修改的控制策略；当防火墙接收到安全管理服务器下发的允许工控主机工控设备的配置参数进行临时修改的指令信息时，防火墙会生成允许配置指令以及配置数据通行的临时通道，用于使工控设备的配置参数进行修改。

具体地，防火墙根据第一控制指令反馈的应用结果可以是，防火墙在接收到安全管理服务器下发的“允许工控主机对工控设备的配置参数进行临时修改”的控制策略后，上述控制策略的应用结果，例如可以是，防火墙已经根据接收到的控制策略进行相应的调整，已经添加临时放行通道。

其次，根据应用结果发送第一通知，第一通知用以告知用户执行对工控设备的参数配置的修改操作。在本实施例中，应用结果可以是上述实施例所述的方法中的防火墙对于接收到的安全管理服务器下发的控制策略的执行情况；第一通知可以是安全管理服务器在接收到上述应用结果之后生成的通知信息，将所述通知信息发送至工控主机上的组态软件监测器，用于通知用户可以通过工控主机上的组态软件，经由临时放行通道，对工控设备的配置参数进行修改。

具体地，安全管理服务器在接收到其下发的控制策略的应用结果之后，根据所述应用结果生成第一通知，将所述第一通知发送至工控主机上的组态软件监测器，用于通知工控主机可以对工控设备的配置参数进行修改。

本发明实施例提供了一种工控设备防火墙的动态控制方法，如图2所示，包括：

步骤S21：获取服务器端发送的第一控制指令，第一控制指令为服务器根据获取到的工控主机的安全运行状态及防火墙配置申请所生成的；在本实施例中，服务器可以是安全管理服务器，第一控制指令可以是安全管理服务器根据工控主机的运行状态以及组态软件监测器发送的防护墙配置申请所生成的。具体地，防火墙接收上述安全管理服务器发送的第一控制指令，防火墙根据所述第一控制指令中的控制策略，也就是安全管理服务器对防火墙的控制策略，具体可以是“允许工控主机对工控设备的配置参数进行临时修改”。

步骤S22：根据第一控制指令，允许对工控设备的参数配置的修改操作；在本实施例中，防护墙根据安全管理服务器下发的“允许工控主机对工控设备的配置参数进行临时修改”的控制策略，允许用户通过工控主机上的组态软件对工控设备的配置参数进行修改，也就是防火墙此时会临时允许对工控设备的配置参数进行修改的操作信息通过，也可以是临时允许操作数据通过，防火墙将上述操作信息或者是操作数据传输至对应的工控设备。

步骤S23：当获取到服务器发送的第二控制指令时，禁止修改工控设备的参数配置，第二控制指令是服务器根据获取到的修改工控设备配置操作的结束信息所生成的。在本实施例中，第二控制指令可以是安全管理服务器在接收到工控主机经由组态软件监测器下发的，对工控设备的配置参数进行修改的操作已经结束的通知信息后，生成的控制信息；修改工控设备配置操作的结束信息可以是，在已经完成修改工控设备的配置参数时，工控主机上的组态软件监测器生成的结束信息。

具体地，在组态软件监测器监测到工控主机上的组态软件已经完成对工控设备配置参数的修改之后，组态软件监测器生成“修改工控设备配置操作的结束信息”，并将所述结束信息发送至安全管理服务器，安全管理服务器根据获取到的结束信息生成第二控制指令，当防火墙接收到上述第二控制指令时，会禁止任何设备对工控设备配置参数的任何修改，此时，也会删除防火墙根据所述第一控制指令生成的临时放行通道，保证工控设备的安全运行，防火墙的安全防护功能也能得以实现。

本发明实施例提供的一种工控设备防火墙的动态控制方法，包括：防火墙获取服务器端发送的第一控制指令，根据第一控制指令，防火墙此时临时允许对工控设备的参数配置的修改操作，当防火墙接收到服务器发送的第二控制指令时，此时禁止任何设备对工控设备的配置参数进行修改。通过实施本发明，可以解决相关技术中存在的管理人员直接修改工控设备配置，且进行重新配置的通路长期开启，导致的防火墙网络安全防护功能失效，工控系统容易遭到PLC蠕虫、病毒的恶意破坏的问题，可以实现动态修改工控设备的配置信息，有效提升工控设备的安全性，进一步地，通过技术手段实现了运维操作的安全放行，规范了对工控设备的安全配置及策略进行变更的操作流程，使安全运维透明、规范、自动化，提高了工作效率且降低业务风险；可以实现自动放行对业务系统特定工控设备的访问控制权限。

作为本发明一个可选的实施方式，在上述步骤S21，获取服务器端发送的第一控制指令之前，该动态控制方法还包括：初始化控制规则，控制规则用于禁止执行对工控设备的参数配置的修改操作。在本实施例中，在上述实施例所述的工控设备防火墙的动态控制方法中，首先需要初始化防火墙的控制规则，初始化后的控制规则可以是防火墙默认禁止任何计算机设备等对工控设备的配置参数的修改操作，也就是说，当工控系统中执行上述实施例中所述的工控设备防火墙的动态控制方法时，需要初始化现有工控系统中的控制规则，也就是将所述控制规则修改为默认禁止任何计算机设备对工控系统中的工控设备的配置参数进行修改。

本发明实施例提供的一种工控设备防火墙的动态控制方法，结合默认禁止任何计算机设备对工控系统中的工控设备的配置参数进行修改的控制规则，可以有效提升工控设备的运行安全，用户无需任何改变，由系统后台识别潜在的配置参数的变更行为，并基于工控主机的安全状态，自动放行对目标业务系统特定设备的访问控制权限。

作为本发明一个可选的实施方式，在上述步骤S22中，允许对工控设备的参数配置的修改操作的步骤，具体包括：在防火墙上添加临时放行规则，临时放行规则用于生成临时修改通道，临时修改通道用于接收对工控设备的参数配置的修改操作对应的配置数据。在本实施例中，当防火墙接收到安全管理器下发的第一控制指令时，根据所述第一控制指令解析生成安全管理服务器对防火墙的控制策略为“允许工控主机对工控设备的配置参数进行临时修改”，此时，防火墙会自动添加临时放行规则，也就是根据所述临时放行规则，在防火墙生成临时放行通道，上述临时放行通道用于允许配置指令以及配置数据通行，也就是说，工控设备可以通过临时放行通道接收工控主机的配置数据或者是配置指令，工控设备可以根据上述配置数据或者是配置指令对工控设备的参数配置进行修改。

本发明实施例提供了一种工控设备防火墙的动态控制系统，如图3及图4所示，包括：服务器33、防火墙34，其中：

服务器33用于获取工控主机31的安全运行状态及防火墙配置申请，当安全运行状态为安全时，根据防火墙配置申请向防火墙34发送第一控制指令；所述服务器33也就是安全管理服务器33，详细实施内容可参见上述方法实施例中步骤S11以及步骤S21的相关描述。

防火墙34用于根据第一控制指令，允许对工控设备35的参数配置的修改操作；详细实施内容可参见上述方法实施例中步骤S12以及步骤S22的相关描述。

服务器33用于当获取到修改工控设备配置操作的结束信息时，根据结束信息，向防火墙34发送第二控制指令；详细实施内容可参见上述方法实施例中步骤S13的相关描述。

防火墙34用于当获取到服务器33发送的第二控制指令时，禁止修改工控设备的参数配置。详细实施内容可参见上述方法实施例中步骤S23的相关描述。

本发明提供的一种工控设备防火墙的动态系统，包括：服务器33、防火墙34，服务器33用于获取工控主机31的安全运行状态及防火墙配置申请，当安全运行状态为安全时，根据防火墙配置申请向防火墙34发送第一控制指令；防火墙34用于根据第一控制指令，允许对工控设备的参数配置的修改操作；服务器33用于当获取到修改工控设备配置操作的结束信息时，根据结束信息，向防火墙34发送第二控制指令；防火墙34用于当获取到服务器33发送的第二控制指令时，禁止修改工控设备的参数配置。

通过实施本发明，可以解决相关技术中存在的管理人员直接修改工控设备配置，且进行重新配置的通路长期开启，导致的防火墙网络安全防护功能失效，工控系统容易遭到PLC蠕虫、病毒的恶意破坏的问题，可以实现动态修改工控设备的配置信息，有效提升工控设备的安全性，进一步地，通过技术手段实现了运维操作的安全放行，规范了对工控设备的安全配置及策略进行变更的操作流程，使安全运维透明、规范、自动化，提高了工作效率且降低业务风险；可以实现自动放行对业务系统特定工控设备的访问控制权限。

作为本发明一个可选的实施方式，如图4所示，该动态控制系统还包括：工控主机31、组态软件监测器32以及工控设备35，其中：

组态软件监测器32用于当接收到进程创建通知时，根据进程创建通知获取对应进程以及进程程序文件；当根据进程程序文件，确定进程为目标配置变更程序时，开始监控工控主机31；在本实施例中，组态软件监测器32在工控主机31内注册进程创建通知回调函数；当用户启动工控主机31上的组态配置软件时，也就是说，当工控主机31接收到用户输入的组态软件的启动请求时，会根据预设注册的进程创建通知回调函数，生成进程创建通知，并将所述进程创建通知发送至组态软件监测器32。

具体地，当组态软件监测器32接收到进程创建通知时，可以确定此时有用户需要工控系统中的某一工控设备35的配置参数进行修改；此时，组态软件监测器32会根据进程创建通知获取对应的进程以及进程程序文件。具体地，进程用以表征组态软件发起修改对应工控设备35的配置参数的请求，进程程序文件可以是可执行文件，上述可执行文件一般会包括文件版本信息、内部名称信息、产品名称信息以及厂商信息等等。

具体地，组态软件监测器32会根据获取到的进程程序文件对进程进行判断，当根据所述可执行文件确定所述进程为修改工控设备35的配置参数时，开始对工控主机31进行网络监控。

工控主机31用于，根据组态软件，发送网络连接通知；在本实施例中，当用户启动所述组态软件时，组态软件会生成网络连接请求，而对工控主机31进行网络监控的组态软件监测器32会立即接收到网络连接通知。

组态软件监测器32用于，当接收到网络连接通知时，解析第一预设检查清单，得到多项评价指标，判断工控主机与各评价指标是否匹配，得到多个检查结果；根据预设策略以及多个检查结果，计算生成工控主机的安全运行状态；在本实施例中，当组态软件监测器监测到工控主机发起网络请求时，会根据预先设置的第一预设检查清单对所述工控主机的运行状态进行安全评估，具体执行过程可以参见上述方法实施例中步骤“对工控主机进行安全状态评估”部分的相应描述，在此不再赘述。

工控主机31用于根据第一控制指令，工控设备用于接收并保存配置数据；向工控设备发送对工控设备的参数配置的修改操作对应的配置数据；在本实施例中，防火墙根据所述第一控制指令会获取到安全管理服务器下发的管理策略，当防火墙根据第一控制指令，临时允许工控主机对工控设备的配置参数进行修改后，会生成对于安全管理服务器下发的管理策略的应用结果，或者是执行结果；将所述执行结果反馈至安全管理服务器，当安全管理服务器在接收到应用策略的反馈结果后，会生成第一通知，将所述第一通知发送至组态软件监测器，也可以是直接发送至组态软件，用于提示用户此时可是对工控设备执行修改配置参数的操作。此时，用户可以通过工控主机上的组态软件更新工控设备的配置，也就是将修改工控设备的配置参数对应的配置数据发送至工控设备。工控设备在接收到上述配置数据时，会根据所述配置数据解析出更新后的配置参数，继而进行相应修改。

组态软件监测器32用于获取进程关闭通知，根据进程关闭通知，生成修改工控设备35配置操作的结束信息。在本实施例中，当工控主机上的组态软件完成对工控设备配置参数的修改后，组态软件会关闭，当所述组态软件关闭后，会根据预设注册的进程关闭通知回调函数生成进程关闭通知，并将所述进程关闭通知发送至组态软件监测器32。

当组态软件监测器32接收到上述进程关闭通知时，会自动生成修改工控设备配置操作的结束信息，所述结束信息用以表征此时用户对工控设备的配置参数的修改操作已经完成，此前防火墙34临时创建临时放行通道可以关闭，防火墙34恢复至默认禁止任一计算机设备对工控设备的配置参数进行修改的状态。

作为本发明一个可选的实施方式，该动态控制系统中的组态软件监测器32还用于，在工控主机31内注册进程创建通知回调函数；工控主机31还用于，当接收到用户输入的组态软件的启动请求时，根据启动请求以及进程创建通知回调函数，生成进程创建通知。

作为本发明一个可选的实施方式，该动态控制系统中的组态软件监测器32还用于，解析进程程序文件，生成进程特征信息；当进程特征信息与第二预设检查清单中匹配时，确定进程为目标配置变更程序。

作为本发明一个可选的实施方式，该动态控制系统中的工控主机31，还用于，当获取到工控设备35已保存配置数据的通知信息后，生成进程关闭通知。

以下，结合一具体实施例，详细描述该系统的功能，如图4及图5所示，该动态控制系统可以包括工控主机31、组态软件监测器32、服务器33、防火墙34以及工控设备35，该系统的执行过程可以是如下所述：

首先需要初始化防火墙34的控制规则，使防火墙34的控制规则修改为默认禁止任何计算机设备对工控设备的配置参数进行修改，以及在工控主机31行配置组态软件监测器32。在用户想要通过工控主机31对工控设备的配置参数进行修改时，用户会启动工控主机31上的组态软件，上述组态软件可以是能够对工控设备的配置参数进行修改的功能软件；在用户启动组态软件时，会生成进程创建通知发送至组态软件监测器32；当组态软件监测器32接收到进程创建通知后，会根据所述进程创建通知获取对应进程以及进程程序文件，进而根据所述进程程序文件判断所述进程是否为配置变更进程，当为配置变更进程时，组态软件监测器32会开启对工控主机31的网络监控。

进一步地，当用户通过工控主机31上的组态软件发起网络连接时，组态软件监测器32会根据网络连接通知评估对应工控主机31运行状态的安全情况。继而组态软件监测器32会向安全管理服务器33发送初步评估结果以及接收到的工控主机31发送的配置变更申请；当安全管理服务器33接收到初步评估结果时，会根据所述初步评估结果计算生成工控主机31的安全评价分数，当根据所述安全评价分数确定所述工控主机31为安全时，向防火墙34下发第一控制指令，第一控制指令用于命令防火墙34可以临时允许工控主机31对工控设备的配置参数进行修改。

当防火墙34接收到所述第一控制指令时，也就是接收到安全管理服务器33下发的控制策略时，会根据所述控制策略执行相应的命令，例如，添加临时的放行规则，也就是创建临时放行通道，用于工控主机31发送的配置数据的通过。当防火墙34已经添加临时放行规则后，会向安全管理服务器33进行反馈，也就是反馈控制策略的应用结果。当安全管理服务器33接收到所述反馈结果后，会生成第一通知，用于通知用户可以通过组态软件对工控设备的配置参数进行修改；所述第一通知会发送至组态软件监测器32，也就是发送至工控主机31。

当用户接收到第一通知时，会在组态软件上更新工控设备35的配置参数，继而组态软件会将更新后的配置参数，也就是配置指令与配置数据，通过防火墙34创建的临时放行通道，发送至工控设备35，工控设备35在接收到配置指令与配置数据，会保存更新后的配置参数。在用户配置完成后，会关闭组态软件，此时，工控主机31会向组态软件监测器32发送进程关闭通知，用以表征当前时刻用户已经完成对工控设备的配置参数的修改；当组态软件监测器32接收到进程关闭通知时，会生成配置操作结束信息，并发送至安全管理服务器33；在安全管理服务器33接收到配置操作结束通知时，会生成第二控制指令，用于命令防火墙34进行任意计算机设备对工控设备的配置参数进行修改，也就是下发进行修改配置参数的控制策略；当防火墙34接收到上述控制策略后，会将之前添加的临时放行规则删除，临时放行通道关闭，此时，防火墙34可以重新恢复至进行任意计算机设备对工控设备的配置参数进行修改的状态。

本发明实施例还提供了一种计算机设备，如图6所示，该计算机设备可以包括处理器41和存储器42，其中处理器41和存储器42可以通过总线或者其他方式连接，图6中以通过总线连接为例。

处理器41可以为中央处理器(Central Processing Unit，CPU)。处理器41还可以为其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等芯片，或者上述各类芯片的组合。

存储器42作为一种非暂态计算机可读存储介质，可用于存储非暂态软件程序、非暂态计算机可执行程序以及模块，如本发明实施例中的工控设备防火墙的动态控制方法对应的程序指令/模块。处理器41通过运行存储在存储器42中的非暂态软件程序、指令以及模块，从而执行处理器的各种功能应用以及数据处理，即实现上述方法实施例中的工控设备防火墙的动态控制方法。

存储器42可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储处理器41所创建的数据等。此外，存储器42可以包括高速随机存取存储器，还可以包括非暂态存储器，例如至少一个磁盘存储器件、闪存器件、或其他非暂态固态存储器件。在一些实施例中，存储器42可选包括相对于处理器41远程设置的存储器，这些远程存储器可以通过网络连接至处理器41。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

所述一个或者多个模块存储在所述存储器42中，当被所述处理器41执行时，执行如图1以及图2所示实施例中的工控设备防火墙的动态控制方法。

上述计算机设备具体细节可以对应参阅图1以及图2所示的实施例中对应的相关描述和效果进行理解，此处不再赘述。

可选地，本发明实施例还提供了一种非暂态计算机可读介质，非暂态计算机可读存储介质存储计算机指令，计算机指令用于使计算机执行如上述实施例中任意一项描述的工控设备防火墙的动态控制方法，其中，存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)、随机存储记忆体(Random Access Memory，RAM)、快闪存储器(FlashMemory)、硬盘(Hard Disk Drive，缩写：HDD)或固态硬盘(Solid-State Drive，SSD)等；存储介质还可以包括上述种类的存储器的组合。

显然，上述实施例仅仅是为清楚地说明所作的举例，而并非对实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。而由此所引伸出的显而易见的变化或变动仍处于本发明创造的保护范围之中。