[發明專利]工控系統專用協議識別方法與系統

在審

• 申請號: 201611144643.9
• 申請日: 2016-12-13
• 公開（公告）號: CN106789416A
• 公開（公告）日: 2017-05-31
• 發明（設計）人: 張環宇;殷新兵
• 申請（專利權）人: 中興軟創科技股份有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06
• 代理公司: 江蘇致邦律師事務所32230
• 代理人: 閆東偉

1.一種工控系統專用協議識別方法，其特征在于，包括下述步驟：

首先，對工控系統專用協議進行分析，建立協議特征庫；

然后，對于輸入的協議，根據協議特征庫進行匹配。

2.根據權利要求1所述的工控系統專用協議識別方法，其特征在于，所述協議特征庫包括三種對應關系和三種特征，三種對應關系包括：端口號與協議的對應；特殊字符串與協議的對應以及流量特征與協議的對應，三種特征包括端口號、特有字符串和流量特征。

3.根據權利要求1所述的工控系統專用協議識別方法，其特征在于，對于輸入的協議還包括下述步驟：先提取端口號時，對報文進行協議分析，然后得到傳輸層的協議端口號；通過分析協議的報文中的特有字符串；分析工控協議的流量特征，包括包傳輸時間、長度、包間隔時間或者帶寬特征。

4.根據權利要求1所述的工控系統專用協議識別方法，其特征在于，在進行特征匹配時，首先，進行端口號的匹配，如果成功則輸出是工控協議，如果失敗則進入下一步內容匹配，通過KMP算法將協議和協議特征庫中的特有字符串進行匹配，如果成功則輸出是工控協議，如果失敗則進行流量匹配，將協議與特征庫中的流量特征進行匹配，如果成功則輸出該協議為工控協議；如果三種匹配都不能完成，則輸出該協議不是工控協議。

5.根據權利要求1-4中任意一項所述的工控系統專用協議識別方法，其特征在于，所述方法更加包括：

對于失敗的協議，進行端口號、特有字符串和流量特征的提取，通過機器學習的方法判斷是否是新的特征，如果是則加入協議特征庫，否則放棄。

6.一種工控系統專用協議識別系統，其特征在于，包括用于構建協議特征庫的模塊以及用于協議匹配的模塊，其中：

用于構建協議特征庫的模塊被設置成用于對工控系統專用協議進行分析，建立協議特征庫，其中協議特征庫包括三種對應關系和三種特征，三種對應關系包括：端口號與協議的對應；特殊字符串與協議的對應以及流量特征與協議的對應，三種特征包括端口號、特有字符串和流量特征；

用于協議匹配的模塊，被設置成用于對于輸入的協議，根據協議特征庫進行匹配。

7.根據權利要求6所述的工控系統專用協議識別系統，其特征在于，所述用于協議匹配的模塊被設置成按照下述方式進行匹配：首先，進行端口號的匹配，如果成功則輸出是工控協議，如果失敗則進入下一步內容匹配，通過KMP算法將協議和協議特征庫中的特有字符串進行匹配，如果成功則輸出是工控協議，如果失敗則進行流量匹配，將協議與特征庫中的流量特征進行匹配，如果成功則輸出該協議為工控協議；如果三種匹配都不能完成，則輸出該協議不是工控協議。

8.根據權利要求6或7所述的工控系統專用協議識別系統，其特征在于，所述系統更加包括：

用于對于失敗的協議，進行端口號、特有字符串和流量特征的提取，通過機器學習的方法判斷是否是新的特征的模塊，其中如果判斷為是則加入協議特征庫，否則放棄。