[發明專利]工業控制網絡行為監測方法、裝置、以及系統

在審

• 申請號: 201710174219.7
• 申請日: 2017-03-22
• 公開（公告）號: CN106998326A
• 公開（公告）日: 2017-08-01
• 發明（設計）人: 潘岸;姜煒
• 申請（專利權）人: 北京匡恩網絡科技有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 北京潤平知識產權代理有限公司11283
• 代理人: 許冠男,金旭鵬

1.一種工業控制網絡行為監測方法，其特征在于，所述方法包括：

獲取所述工業控制網絡中的網絡包；

對所述網絡包進行協議匹配，以識別所述網絡包的工業協議；

根據所述工業協議對所述網絡包進行深度解析，以獲得所述網絡包的工業協議行為數據；以及

根據所述工業協議行為數據和工業行為模型庫進行數據分析，以確定所述工業協議行為數據是否異常。

2.根據權利要求1所述的方法，其特征在于，所述方法還包括：在所述工業協議行為數據異常的情況下，上報異常的工業協議行為數據。

3.根據權利要求1所述的方法，其特征在于，所述工業行為模型庫根據以下步驟建立：

獲取所述工業控制網絡中的多個建模網絡包；

對所述多個建模網絡包中的每一個建模網絡包進行協議匹配，以識別所述每一個建模網絡包的建模工業協議；

根據所述建模工業協議分別對每一個所述建模網絡包進行深度解析，以獲得所述多個建模網絡包的多個建模工業協議行為數據；

根據智能算法和所述多個建模工業協議行為數據，確定多個工業協議行為類別以及對應于每個工業協議行為類別的可信范圍；以及

存儲所述多個工業協議行為類別以及對應于每個工業協議行為類別的可信范圍。

4.根據權利要求3所述的方法，其特征在于，所述根據所述工業協議行為數據和工業行為模型庫進行數據分析，以確定所述工業協議行為數據是否異常，包括：

根據智能算法和所述工業協議行為數據，確定所述工業協議行為數據在所述工業行為模型庫中的對應的工業協議行為類別；

將所述工業協議行為數據與所確定的工業協議行為類別對應的可信范圍進行比較；以及

在所述工業協議行為數據不滿足所述可信范圍的情況下，確定所述工業協議行為數據異常。

5.根據權利要求4所述的方法，其特征在于，所述智能算法包括關聯挖掘、序列挖掘、分類算法、以及聚類算法中的至少一者。

6.根據權利要求5所述的方法，其特征在于，所述工業協議行為數據包括工業行為的操作對象信息、操作目標信息、對應的行為信息、以及行為發生時間信息，以及所述建模工業協議行為數據包括建模工業行為的操作對象信息、操作目標信息、對應的行為信息、以及行為發生時間信息。

7.一種工業控制網絡行為監測裝置，其特征在于，所述裝置包括：

獲取模塊，用于獲取所述工業控制網絡中的網絡包；

協議識別模塊，用于對所述網絡包進行協議匹配以識別所述網絡包的工業協議；

深度解析模塊，用于根據所述工業協議對所述網絡包進行深度解析以獲得所述網絡包的工業協議行為數據；以及

異常分析模塊，用于根據所述工業協議行為數據和工業行為模型庫進行數據分析以確定所述工業協議行為數據是否異常。

8.根據權利要求7所述的裝置，其特征在于，所述裝置還包括：工業行為模型庫，所述工業行為模型庫包括：

建模數據獲取單元，用于獲取所述工業控制網絡中的多個建模網絡包；

建模數據協議識別單元，用于對所述多個建模網絡包中的每一個建模網絡包進行協議匹配以識別所述每一個建模網絡包的建模工業協議；

建模數據深度解析單元，用于根據所述建模工業協議分別對每一個所述建模網絡包進行深度解析以獲得所述多個建模網絡包的多個建模工業協議行為數據；

建模數據確定單元，用于根據智能算法和所述多個建模工業協議行為數據確定多個工業協議行為類別以及對應于每個工業協議行為類別的可信范圍；以及

建模數據存儲單元，用于存儲所述多個工業協議行為類別以及對應于每個工業協議行為類別的可信范圍。

9.根據權利要求8所述的裝置，其特征在于，所述異常分析模塊還包括：

協議類別確定單元，用于根據智能算法和所述工業協議行為數據確定所述工業協議行為數據在所述工業行為模型庫中的對應的工業協議行為類別；

比較單元，用于將所述工業協議行為數據與所確定的工業協議行為類別對應的可信范圍進行比較；以及

異常確定單元，用于在所述工業協議行為數據不滿足所述可信范圍的情況下確定所述工業協議行為數據異常。

10.一種工業控制網絡行為監測系統，其特征在于，所述系統包括：

可編程控制器，用于生成所述工業控制網絡中的網絡包；

網絡設備，用于傳輸所述網絡包；以及

根據權利要求7-9中任一項權利要求所述的工業控制網絡行為監測裝置，所述工業控制網絡行為監測裝置與所述網絡設備連接。