楼宇网关的网络安全防护方法、装置、设备及存储介质.pdf

(19)国家知识产权局(12)发明专利申请(10)申请公布号CN115955349A(43)申请公布日2023.04.11(21)申请号202211652304.7(22)申请日2022.12.21(71)申请人日立楼宇技术（广州）有限公司地址510660广东省广州市广州高新技术产业开发区科学城南翔三路2号(72)发明人陈辉余佳鑫马鹏宇李棉刘苑洪黄俊杰叶创国(74)专利代理机构北京品源专利代理有限公司11332专利代理师初春(51)Int.Cl.H04L9/40(2022.01)权利要求书5页说明书21页附图5页(54)发明名称楼宇网关的网络安全防护方法、装置、设备及存储介质(57)摘要本申请公开了一种楼宇网关的网络安全防护方法、装置、设备及存储介质，其中该方法包括：当楼宇网关接入至VPN网络以后，在楼宇系统中对包含所述楼宇控制器的系统内设备以及第三方标准设备进行设备探测，以构建本地合法设备集；构建所述本地合法设备集的访问控制规则；基于所述访问控制规则确定所述本地合法设备集中各合法设备的资源预留信息；基于所述资源预留信息确定攻击防护参数；采用所述攻击防护参数对各合法设备进行攻击防护处理。从而有效提升楼宇系统子网的安全防护和自适应水平。CN115955349ACN115955349A权利要求书1/5页1.一种基于楼宇网关的网络安全防护方法，其特征在于，所述方法应用于楼宇网关中，一个所述楼宇网关对应一个或多个楼宇站点，所述楼宇站点包括一个或多个楼宇终端设备以及与各所述楼宇终端设备连接的楼宇控制器，所述楼宇终端设备通过所述楼宇控制器接入至所述楼宇网关中；所述方法包括：当楼宇网关接入至VPN网络以后，在楼宇系统中对包含所述楼宇控制器的系统内设备以及第三方标准设备进行设备探测，以构建本地合法设备集；构建所述本地合法设备集的访问控制规则；基于所述访问控制规则确定所述本地合法设备集中各合法设备的资源预留信息；基于所述资源预留信息确定攻击防护参数；采用所述攻击防护参数对各合法设备进行攻击防护处理。2.根据权利要求1所述的方法，其特征在于，当对系统内设备进行设备探测时，所述当楼宇网关接入至VPN网络以后，在楼宇系统中对包含所述楼宇控制器的系统内设备以及第三方标准设备进行设备探测，以构建本地合法设备集，包括：创建组播组，所述组播组内的设备包括若干楼宇控制器；扫描本地子网设备，以获取本地子网内已占用的IP地址集，并基于所述已占用的IP地址集生成空闲IP地址集合；在所述组播组内以组播方式发送设备查询命令，并接收所述组播组内各设备基于所述设备查询命令返回的应答指令；基于所述应答指令确定已登记设备以及未登记设备；将所述已登记设备加入本地合法设备集，并标记为系统内设备；对所述未登记设备，则基于所述空闲IP地址集合进行内网地址分配，并将已完成内网地址设置的未登记设备作为已登记设备加入所述本地合法设备集。3.根据权利要求2所述的方法，其特征在于，所述设备查询命令包括VPN子网网段、楼宇网关自身的IP地址；所述基于所述应答指令确定已登记设备以及未登记设备，包括：识别所述应答指令为登记应答指令或第一分配请求应答指令，其中，所述登记应答指令为所述设备判断本机的网络参数与所述VPN子网网段的网络参数相匹配时，向所述楼宇网关返回的应答信息；所述第一分配请求应答指令为所述设备判断本机的网络参数与所述VPN子网网段的网络参数不匹配时，向所述楼宇网关返回的应答信息；将发送所述第一分配请求应答指令的设备作为未登记设备；将发送所述登记应答指令的设备作为候选已登记设备，并向所述候选已登记设备发送登记确认信息，若在发出所述登记确认信息的设定确认时长内收到任一所述候选已登记设备发送的第二分配请求应答指令，则将发送所述第二分配请求应答指令的设备作为未登记设备；将没有发送所述第二分配请求应答指令的设备作为已登记设备。4.根据权利要求2或3所述的方法，其特征在于，所述对所述未登记设备，则基于所述空闲IP地址集合进行内网地址分配，并将已完成内网地址设置的未登记设备作为已登记设备加入所述本地合法设备集，包括：针对任一未登记设备，获取该未登记设备的原IP地址和MAC地址；2CN115955349A权利要求书2/5页从所述空闲IP地址集合中选取一空闲IP地址作为目标空闲IP地址；根据该未登记设备的原IP地址和MAC地址，以及该目标空闲IP地址生成分配确认信息，并将所述分配确认信息以组播的方式在所述组播组内发送；接收基于所述分配确认信息的登记响应信息，其中，所述登记响应信息为所述组播组内的设备收到所述分配确认信息以后，将其携带的原IP地址和MAC地址与自身的IP地址和MAC地址比较，并在比较一致时根据该分配确认信息中携带的目标空闲IP地址设置自身的内网LAN口网络参数后向楼宇网关返回的信息；将发送所述