(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111622849.9 (22)申请日 2021.12.28 (71)申请人 中核武汉 核电运行技 术股份有限公 司 地址 430223 湖北省武汉市东湖新 技术开 发区民族大道1021号 (72)发明人 张登　梁景煊　高汉军　尹飞　 孙代杰　 (74)专利代理 机构 核工业专利中心 1 1007 代理人 李东斌 (51)Int.Cl. G06Q 50/06(2012.01) H04L 9/40(2022.01) (54)发明名称 基于行为白名单自学习的核电工控网络边 界安全管理方法 (57)摘要 本发明提供了一种基于行为白名单自学习 的核电工控网络边界安全管 理方法， 包括如下步 骤： 步骤S1： 获取核电工控边界资产信息； 步骤 S2： 建立与资产网络的数据连接； 步骤S3： 判断是 否需要通过学习添加新的白名单， 若是则进入步 骤S41， 若否则进入步骤S42； 步骤S41： 进入学习 模式， 在学习模式下不对任何行为做阻断； 步骤 S42： 进入管理模式， 在管理模式下阻断所有未被 记录在白名单中的行为。 本发明提供的基于行为 白名单自学习的核电工控网络边界安全管理方 法有效提升对核电工控网络边界的网络安全管 理精度。 权利要求书1页 说明书4页 附图1页 CN 114387126 A 2022.04.22 CN 114387126 A 1.一种基于行为白名单自学习的核电工控网络边界安全管理方法， 其特征在于， 包括 如下步骤： 步骤S1： 获取核电工控边界资产信息； 步骤S2： 建立与资产网络的数据连接； 步骤S3： 判断是否需要通过学习添加新的白名单， 若是则进入步骤S41， 若否则进入步 骤S42； 步骤S41： 进入学习模式， 在学习模式下不对 任何行为做阻断； 步骤S42： 进入管理模式， 在管理模式下阻断所有未被记录在白名单中的行为。 2.根据权利要求1所述的基于行为白名单自学习的核电工控网络边界安全管理方法， 其特征在于， 还包括步骤S 5： 判断是否需要手动修改白名单， 若 是， 白名单更新， 管 理模式下 使用更新后的管理规则； 若否， 生成日志， 记录白名单变化。 3.根据权利要求1所述的基于行为白名单自学习的核电工控网络边界安全管理方法， 其特征在于， 所述学习模式 中， 记录资产信息并加入白名单。 4.根据权利要求3所述的基于行为白名单自学习的核电工控网络边界安全管理方法， 其特征在于， 所述资产信息包括资产的进程运行情况、 资产间数据交互情况、 资产间流量大 小。 5.根据权利要求1所述的基于行为白名单自学习的核电工控网络边界安全管理方法， 其特征在于， 所述管理模式中， 判断是否发现未被记录在白名单内的行为或是异常大小流 量， 若是， 阻断该 行为生成告警； 若否， 生成日志， 记录资产行为。 6.根据权利要求1所述的基于行为白名单自学习的核电工控网络边界安全管理方法， 其特征在于， 所述核电工控边界资产信息包括资产类型、 物理位置、 网络信息、 互联关系、 安 装程序。权　利　要　求　书 1/1 页 2 CN 114387126 A 2基于行为白名单自学习的核电工控网 络边界安全 管理方法 技术领域 [0001]本发明涉及核电运行技术领域， 尤其涉及 一种基于行为白名单自学习的核电工控 网络边界安全管理方法。 背景技术 [0002]电力监控系统可划分为生产控制大区和信息管理大区两个大区， 其中信息管理大 区可分为生产管理区(安全区 Ⅲ)和管理信息区(安全区 Ⅳ)。 工控边界即工业控制系统边 界， 是工业控制系统中与管理信息区或其他外部网络相连接的设备及系统， 对于核电厂的 工业控制系统而言， 其 边界即是指安全区 Ⅲ。 [0003]核电工控系统网络边界作为核电工控系统与外界网络的交界处， 具有资产数量相 对少， 网络访问关系相对固定， 运行进程相对固定等特征， 针对这些特性提升管理方法的细 致化与自动化， 可以有效提升核电工控网络的安全性。 [0004]目前已有多种技术以及平台被用于核电厂的网络安全管控， 但该类方法以核电厂 工控系统网络全局为对象， 对核电工控系统网络的各个部分并无针对性。 发明内容 [0005]本发明的目的在于克服现有技术中所述的缺陷， 从而提供一种基于行为白名单自 学习的核电工控网络边界安全管理方法， 该基于行为白名单自学习的核电工控网络边界安 全管理方法有效提升对核电工控网络边界的网络安全管理精度。 [0006]为了实现上述目的， 本发明提供如下技 术方案： [0007]一种基于行为白名单自学习的核电工控网络边界安全管理方法， 包括如下步骤： [0008]步骤S1： 获取核电工控边界资产信息； [0009]步骤S2： 建立与资产网络的数据连接； [0010]步骤S3： 判断是否需要通过学习添加新 的白名单， 若是则进入步骤S41， 若否则进 入步骤S42； [0011]步骤S41： 进入学习模式， 在学习模式下不对 任何行为做阻断； [0012]步骤S42： 进入管理模式， 在管理模式下阻断所有未被记录在白名单中的行为。 [0013]进一步的， 还包括步骤S5： 判断是否需要手动修改白名单， 若是， 白名单更新， 管理 模式下使用更新后的管理规则； 若否， 生成日志， 记录白名单变化。 [0014]进一步的， 所述学习模式 中， 记录资产信息并加入白名单。 [0015]进一步的， 所述资产信息包括资产的进程运行情况、 资产间数据交互情况、 资产间 流量大小。 [0016]进一步的， 所述管理模式中， 判断是否发现未被记录在白名单内的行为或是异常 大小流量， 若是， 阻断该 行为生成告警； 若否， 生成日志， 记录资产行为。 [0017]进一步的， 所述核电工控边界资产信息包括资产类型、 物理位置、 网络信息、 互联 关系、 安装程序。说　明　书 1/4 页 3 CN 114387126 A 3