具体实施方式

以下结合附图1-3对本申请作进一步详细说明。

本申请实施例公开一种工控主机软件加固方法；该方法基于工控主机系统，工控主机系统的载体可以为电脑；电脑上运行有工控主机软件，主机软件的运行状态通过电脑的显示屏进行显示，用户可根据显示屏的显示获知工控主机软件的运行状态及运行结果，并可通过鼠标或键盘等外设设备实现对工控主机软件的操作和控制。

如图1所示，该方法包括以下步骤：

S10，扫描磁盘信息并根据扫描结果建立白名单数据库。

具体来说，在工控主机处于初始状态时，也即首次投入使用时，利用磁盘扫描技术对工控主机对应的磁盘信息进行快速扫描，获取磁盘信息内对应的工控主机正常工作过程中需要运行的进程数据，继而将获取的进程数据进行单独存储建立白名单数据库；其中，白名单数据库包括当前磁盘信息所对应的所有进程数据，也即需要运行的进程数据均存储在白名单数据库内。

S20，判断申请运行的进程数据是否位于白名单数据库之内。

具体来说，若当前申请运行的进程数据位于白名单数据库之内，则直接允许该进程数据正常运行，以便于工控主机软件可以正常工作；若申请运行的进程数据位于白名单数据库之外则判定为未知进程数据，发送与该进程数据相对应的弹框界面信息至显示屏，显示屏对接收到的弹框界面信息进行显示；如图2所示，弹框界面包括用于供用户输入验证信息的身份验证区域以及供用户进行选择的允许区域和拒绝区域。

S30，验证用户身份并根据用户选择的区域对数据进程进行管理。

用户通过键盘在身份验证区域输入账号及密码后，可以通过点击“Enter”键的方式将填写的资料上传，电脑在接收到身份验证信息后，会根据预设的合法数据库对接收到的身份验证信息进行验证，合法数据库中预先存储有具备权限的账号及对应的密码，若在合法数据库中查询到与接收到的身份验证信息相一致的账号密码，则判定当前用户具备权限，否则判定当前用户不具备权限。针对具有权限的用户，接收用户通过鼠标点击选择的区域信息，若用户选择允许区域，则允许当前进程数据正常运行并关闭弹框界面；若用户选择拒绝区域，则拒绝进程数据的运行并关闭弹框界面；在实际操作过程中，用户可根据实际情况进行判断，例如当前进程为用户明确已知的安全进程，则可选择允许，否则选择拒绝以保证系统的安全性。

利用扫描本地磁盘的方式，在离线环境下创建与当前工控主机软件对应的白名单数据库，用于对未被授权的进程进行拦截，达到了对工控主机软件进行安全加固的效果；由于白名单数据库为通过扫描磁盘信息的方式获得，与当前工控主机软件具有较高的匹配度和契合度，可以有效的针对未被允许的进程数据进行拦截，从而提升了工控主机软件的安全性；同时，仅具备权限的用户可以对进程进行管理的设置，减少了无关人员干涉运行数据进程的可能，从而进一步提升了工控主机软件的安全性。

在一个实施例中，考虑到工控主机软件始终处于离线工作状态难以对白名单数据库进行联网更新的情况，在用户选择允许区域允许当前进程数据正常运行之后，还可以将被允许的进程数据添加到预设的待调整数据库中，继而记录进程数据被允许的次数，当待调整数据库内某一进程数据累积被用户允许的次数达到预设的第一标准值时，将该进程数据添加到白名单数据库中；例如，预设的第一标准值为3次，则某一进程数据的运行请求被用户点击允许的次数累积达到3次时，则判定该进程为合法进程并将该进程数据添加到白名单数据库内；根据记录用户实际操作的方式，来判断进程数据的安全性，当某一进程数据被用户多次验证为安全进程数据时，将该进程数据自动添加到白名单数据库，从而达到了在离线状态下自动对白名单数据库进行更新完善的效果，且更新内容与当前主机工控软件具有较高的匹配度，随着使用时间的推移，白名单数据库可以不断更新，减少了用户需要反复针对明确已知安全的进程数据进行验证的可能，从而提升了用户在实际操作过程中的便捷度。

在一个实施例中，考虑到需要用户进行判定的进程会随着时间的推移而不断增加，导致用户后期需要验证的进程数据较多的情况，在用户选择拒绝区域拒绝进程数据的运行之后，还可以将被拒绝的进程数据添加到预设的待调整数据库内，继而记录进程数据被拒绝的次数，当待调整数据库内某一进程数据被用户拒绝的次数累积达到预设的第二标准值时，将该进程数据添加到预设的黑名单数据库中；例如，预设的第二标准值为2次，则当某一进程数据的运行请求被用户点击拒绝的次数累积达到2次时，即判定该进程为不合法进程并将该进程数据添加到黑名单数据库内；将被拒绝的进程数据存储在待调整数据库的设置，还具有对被拒绝的进程数据进行记录的作用，减少了用户对某一明确已知合法的进程数据进行操作时，失误拒绝该合法的进程数据后难以再次找到该进程数据的可能，从而提升了用户操作过程中的容错性。

在创建黑名单数据库之后，发送并显示与进程数据相对应的弹框界面的步骤还可以被执行为：若当前申请运行的进程数据位于白名单数据库之外，则首先判断该进程数据是否位于黑名单数据库之内，若该进程数据为黑名单数据库内的进程数据，则直接拒绝该进程数据的运行请求；若该进程数据位于黑名单数据库之外，也即当前申请运行的进程数据既不位于白名单数据库内，也不位于黑名单数据库内，则发送并显示与进程数据相对应的弹框界面，将该进程数据的合法性交由具备权限的用户来判断；通过记录用户实际操作行为的方式，将多次被拒绝的进程数据添加到黑名单数据库内，而位于黑名单数据库内的进程数据会被自动拒绝运行，减少了需要用户处理的进程数量，从而提升了用户操作过程中的便捷度。

在一个实施例中，考虑到不具备权限的不法分子可能会通过猜解密码的方式获得验证权限的情况，在接收到用户输入的验证信息并根据预设的合法数据库判断验证信息的合法性之后，还可以执行：若验证信息的验证结果为不合法，则记录当前用户输入的验证信息不合法这一情况出现的次数；当验证信息不合法出现的次数达到预设的第一安全值时，将该身份验证区域锁定以阻止当前用户继续进行身份验证的操作，从而减少了不法分子通过不断尝试猜解密码的方式获得验证权限的可能，进一步提高了工控主机软件的安全性。

在将身份验证区域锁定时，可以利用设置在电脑显示屏上的摄像头对键盘操作区域进行拍摄以获得影像信息，继而将获取的影像信息存储在预设的异常数据库内，从而达到了对异常情况进行取证的效果，以便于具备权限的用户可以通过查看异常数据库内被拍摄的影像信息的方式，快速获知身份验证区域被锁定的原因，继而根据实际情况做出相应的调整；例如，通过查看影像信息的方式得知身份验证区域被锁定的原因为外来人员潜入进行密码猜解，则可通过加强安保的方式来减少外来人员的进入，从而进一步加强工控主机软件的安全性。

在一个实施例中，考虑到不法分子可能会通过远程操作的方式窃取用户身份权限的情况，将拍摄获得的影像信息存储至预设的异常数据库的步骤可以被具体执行为：首先利用图像人脸识别的技术，识别拍摄获得的影像信息内是否包含有人像信息，若影像信息内包含有人像信息，则说明当前显示屏的前方确实存在操作人员，将携带有具体操作人员的图像信息存储至预设的异常数据库，以便于用户后期的查看及取证；若影像信息内未包含人像信息，也即当前显示屏的前方不存在操作人员，则判定出现不法分子通过远程手段尝试获取验证身份的情况，此时在预设的合法信息数据库内对应查询与当前用户对应的联系方式，合法信息数据库内预存储有所有具备权限的用户的账号及与账号对应的联系方式，联系方式可以为用户的手机号码；根据获取到的联系方式向用户发送与账号异常相关的报警信息，以提醒用户更改自己的密码以提高安全性；需要说明的是，若不法分子输入的账号在合法信息数据库中未能查询到，则不发送报警信息。针对判定为不法分子远程攻击的影像信息，取消将影像信息添加到异常数据库的动作，减少了异常数据库内的无效数据量。

在一个实施例中，考虑到在受到恶意攻击时，非法进程数据的申请会出现异常导致用户难以处理的情况；在发送并显示进程数据相对应的弹框界面之后，还可以记录同时显示的弹框界面的数量，当同时显示的弹框界面数量达到预设的第二安全值时，将现有弹框界面中最先出现的弹框界面关闭并拒绝与被关闭弹框对应的进程数据；例如，预设的第二安全值为三个，则允许同时出现的弹框数量的最大值为两个，当同时出现的弹框数量达到三个时，第一个出现的弹框会被自动关闭并拒绝与被关闭弹框对应的进程数据；通过设置第二安全值的方式，减少了工控主机软件在受到恶意攻击时，出现大量的弹框导致工控主机软件因系统过载而宕机的可能，从而进一步提升了工控主机软件的安全性。

进一步的，在发送并显示进程数据相对应的弹框界面之后，还可以记录预设周期内显示的弹框界面的数量，若预设周期内显示的弹框界面的数量大于预设的合理值，则将预设周期内显示的弹框界面关闭并拒绝与被关闭弹框对应的进程数据；例如，预设周期为0.1秒，预设的合理值2个，则若在0.1秒的检测周期内出现的弹框数量达到三个时，自动将这三个弹框界面关闭并拒绝与被关闭弹框界面对应的进程数据；通过设置合理值的方式，减少了工控主机软件在受到恶意攻击时，因短时间内申请运行的进程数据的数量激增，导致工控主机软件因受到短时数据冲击而宕机的可能，从而进一步提升了工控主机软件的安全性。

进一步的，在发送并显示进程数据相对应的弹框界面之后，还可以记录每一弹框界面的显示时间，当某一弹框界面持续显示的时间达到预设的极限值时，将该弹框界面关闭并拒绝与被关闭弹框对应的进程数据；例如，预设的极限值为一小时，若某一弹框界面持续显示一小时后仍未被关闭，则自动将该弹框界面关闭并拒绝与被关闭弹框对应的进程数据；从而减少了由于无人操作导致弹框界面长时间显示占用系统资源的可能，降低了工控主机软件的数据处理压力。

本申请实施例的实施原理为：利用扫描本地磁盘的方式，在离线环境下创建与当前工控主机软件对应的安全白名单数据库，用于对未被授权的进程进行拦截，由于白名单数据库为扫描磁盘信息的方式获得，与当前工控主机软件具有较高的匹配度和契合度，可以有效的针对未被允许的进程数据进行拦截，从而提升了工控主机软件的安全性；同时，针对不属于白名单数据库内的进程数据，具备权限的用户可以根据实际情况允许或拒绝当前进程数据，保证了工控主机软件的顺利运行，同时仅具备权限的用户可以对进程进行管理的设置，进一步加强了工控主机软件的安全性。

基于上述方法，本申请实施例还公开一种工控主机软件加固系统。

如图3所示，该系统包括以下模块：

磁盘信息扫描模块310，用于扫描工控主机在初始状态下的磁盘信息并根据扫描结果获取磁盘信息内的所有进程数据；

数据库建立模块320，用于根据进程信息建立白名单数据库，白名单数据库内包含有当前磁盘信息所对应的所有进程数据；

弹框数据管理模块330，用于若申请运行的进程数据位于白名单数据库之内，则允许进程数据正常运行；若申请运行的进程数据位于白名单数据库之外，则发送并显示与进程数据相对应的弹框界面，弹框界面包括用于供用户输入验证信息的身份验证区域以及供用户进行选择的允许区域和拒绝区域；

进程数据管理模块340，用于接收用户输入的验证信息并根据预设的合法数据库判断验证信息的合法性；若验证信息合法且用户的选择为允许区域，则允许进程数据正常运行并关闭弹框界面；若验证信息合法且用户的选择为拒绝区域，则拒绝进程数据的运行并关闭弹框界面。

在一个实施例中，进程数据管理模块340还用于，将被允许的进程数据添加到预设的待调整数据库并记录进程数据被允许的次数；当某一进程数据被允许的次数达到预设的第一标准值时，将进程数据添加到白名单数据库。

在一个实施例中，进程数据管理模块340还用于，将被拒绝的进程数据添加到预设的待调整数据库并记录进程数据被拒绝的次数；当某一进程数据被拒绝的次数达到预设的第二标准值时，将进程数据添加到预设的黑名单数据库中。

弹框数据管理模块330还用于，查询进程数据是否位于黑名单数据库内；若进程数据位于黑名单数据库之内，则直接拒绝进程数据；若进程数据位于黑名单数据库之外，则发送并显示与进程数据相对应的弹框界面。

在一个实施例中，进程数据管理模块340还用于，若验证信息不合法，则记录当前用户输入的验证信息不合法出现的次数；当验证信息不合法出现的次数达到预设的第一安全值时，将身份验证区域锁定并利用摄像设备对操作台处进行拍摄以获得影像信息；将影像信息存储至预设的异常数据库。

在一个实施例中，进程数据管理模块340还用于，识别影像信息内是否包含有人像信息；若包含，则将影像信息存储至预设的异常数据库；否则在预设的合法信息数据库中对应查询与当前用户对应的联系方式，根据联系方式向当前用户发送与账号异常相关的报警信息。

在一个实施例中，弹框数据管理模块330还用于记录同时显示的弹框界面的数量；当同时显示的弹框界面数量达到预设的第二安全值时，将现有弹框界面中最先出现的弹框界面关闭并拒绝与被关闭弹框对应的进程数据。

在一个实施例中，弹框数据管理模块330还用于记录预设周期内显示的弹框界面的数量；若预设周期内显示的弹框界面的数量大于预设的合理值，则将预设周期内显示的弹框界面关闭并拒绝与被关闭弹框对应的进程数据。

本申请实施例还公开一种计算机设备。

具体来说，该计算机设备包括存储器和处理器，存储器上存储有能够被处理器加载并执行上述工控主机软件加固方法的计算机程序。

本申请实施例还公开一种计算机可读存储介质。

具体来说，该计算机可读存储介质，其存储有能够被处理器加载并执行如上述工控主机软件加固方法的计算机程序，该计算机可读存储介质例如包括：U盘、移动硬盘、只读存储器(Read-OnlyMemory，ROM)、随机存取存储器(RandomAccessMemory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

本具体实施例仅仅是对本发明的解释，其并不是对本发明的限制，本领域技术人员在阅读完本说明书后可以根据需要对本实施例做出没有创造性贡献的修改，但只要在本发明的权利要求范围内都受到专利法的保护。