触摸屏用户操作的审计日志记录

触摸屏用户操作的审计日志记录

核心概念与必要性

审计日志是工业控制系统安全运行的"黑匣子"。触摸屏作为人机交互的核心入口，完整记录谁、何时、做了什么操作，既是合规要求（如等保2.0、IEC 62443），也是故障追溯与责任认定的关键依据。

第一阶段：规划日志要素

明确需要捕获的最小信息集，避免数据冗余或遗漏。

确定 日志存储策略：本地循环缓存 + 定期归档至服务器，本地保留7天循环覆盖，服务器保留180天。

第二阶段：触摸屏端配置实施

2.1 启用系统级审计功能

以主流品牌为例，通用配置逻辑如下：

进入 触摸屏的系统设置界面，定位 "安全"或"审计"配置页。

勾选 "启用操作审计"总开关。

设置 审计级别为"详细"（捕获所有触控、数值修改、导航跳转），或按需选择"标准"（仅记录写操作）。

2.2 配置用户认证触发

强制 所有操作绑定登录会话：

1. 打开 用户管理配置
2. 勾选 "操作前必须登录"
3. 取消勾选 "允许匿名访问"
4. 设置 会话超时时间为15分钟无操作自动注销

配置 登录失败处理：连续5次失败锁定账户30分钟，并触发日志标记为安全事件。

2.3 定义需审计的操作类型

排除 高频只读操作（如数值刷新显示）以降低存储压力，但保留 查询类操作的记录（如查看历史报警、导出报表）。

第三阶段：日志数据结构设计

3.1 本地缓存格式

采用CSV便于应急导出，字段顺序固定：

Timestamp,UserID,UserName,StationIP,ScreenName,ControlID,ActionType,OldValue,NewValue,Result,Detail
2024-01-15T09:23:45.123+08:00,OP001,张三,192.168.1.100,MainScreen,TIC101_Set,ValueWrite,120,125,Success,WithinRange
2024-01-15T09:24:12.456+08:00,OP001,张三,192.168.1.100,RecipeManage,RCP001_Delete,RecipeDelete,[BinaryData],NULL,Success,AutoBackupCreated

3.2 服务器归档格式

采用 JSON结构化存储，支持扩展字段：

{
  "eventId": "EVT-20240115-001234",
  "timestamp": "2024-01-15T09:23:45.123+08:00",
  "source": {
    "deviceType": "TouchPanel",
    "model": "TP-1200",
    "serialNo": "SN2023A001",
    "ipAddress": "192.168.1.100",
    "macAddress": "00:1A:2B:3C:4D:5E"
  },
  "principal": {
    "userId": "OP001",
    "userName": "张三",
    "role": "Operator",
    "authMethod": "Password+RFID",
    "sessionId": "SID-abc123"
  },
  "operation": {
    "screen": "MainScreen",
    "controlId": "TIC101_Set",
    "controlType": "NumericInput",
    "action": "ValueWrite",
    "oldValue": 120,
    "newValue": 125,
    "unit": "°C",
    "limits": {"min": 80, "max": 150}
  },
  "result": {
    "status": "Success",
    "code": 0,
    "message": "Value updated"
  },
  "context": {
    "alarmActive": ["A_HighTemp"],
    "mode": "Auto",
    "recipeLoaded": "RCP_Standard"
  }
}

第四阶段：网络传输与服务器集成

4.1 实时上传机制

配置 触摸屏网络参数：

1. 设置 服务器地址为 192.168.1.200:502
2. 选择 协议为 MQTT over TLS（端口8883）或 OPC UA（端口4840）
3. 上传 触发条件：立即上传 + 批量缓存（网络中断时本地存储，恢复后补传）

启用 传输加密：证书指纹绑定服务器，拒绝 自签名证书。

4.2 服务器端接收处理

# 日志接收服务示例（Python）
import json
import hashlib
from datetime import datetime

def process_audit_log(payload_bytes):
    # 校验签名防篡改
    signature = payload_bytes[-32:]
    data = payload_bytes[:-32]
    if hashlib.sha256(data).digest() != signature:
        raise SecurityException("Log integrity check failed")

    event = json.loads(data)

    # 写入时序数据库（如InfluxDB）
    point = {
        "measurement": "audit_log",
        "tags": {
            "user_id": event["principal"]["userId"],
            "device_ip": event["source"]["ipAddress"],
            "action_type": event["operation"]["action"]
        },
        "fields": {
            "event_json": json.dumps(event),
            "result_code": event["result"]["code"]
        },
        "time": event["timestamp"]
    }
    write_to_influxdb(point)

    # 实时异常检测
    if is_suspicious(event):
        alert_security_team(event)

第五阶段：日志查询与分析

5.1 基础检索界面

提供 多维度过滤：

5.2 关联分析功能

实现 操作链追溯：选中单条记录，一键展开 该用户会话期内的全部操作序列。

实现 值变更趋势：针对连续数值修改，绘制 修改历史曲线，标注每次修改的操作人与时间点。

第六阶段：安全加固与维护

6.1 防篡改机制

6.2 定期维护任务

每周 执行：

• 检查 本地存储使用率，低于20%时扩展容量或缩短保留周期
• 验证 服务器归档完整性，抽样比对 本地原始记录

每月 执行：

• 审计 休眠账户，禁用 90天未登录用户
• 更新 证书有效期监控，预警 30天内到期证书

典型故障排查速查