[發明專利]一種網絡數據包的分析系統和分析方法

在審

• 申請號: 201711214998.5
• 申請日: 2017-11-28
• 公開（公告）號: CN107959678A
• 公開（公告）日: 2018-04-24
• 發明（設計）人: 吳波;徐超;李葉飛;葛崇慧;厲文婕;陳輝
• 申請（專利權）人: 江蘇方天電力技術有限公司;國網江蘇省電力有限公司;國家電網公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 南京縱橫知識產權代理有限公司32224
• 代理人: 董建林,張賞

技術領域

本發明涉及一種網絡數據包的分析系統和分析方法，屬于網絡數據監控技術領域。

背景技術

電力系統中通常包括多個業務應用系統，各業務應用系統之間通過發送數據包來傳遞信息，數據包中包含多種網絡信息，是分析網絡狀況的有效資源，但現有技術并未對數據包進行分析，無法了解網絡的狀況。

發明內容

本發明所要解決的技術問題是克服現有技術的缺陷，提供一種網絡數據包的分析系統和分析方法，使得電力系統可以根據數據包了解各種接口的調用關系，進而獲取電力系統的網絡安全狀況。

為解決上述技術問題，本發明提供一種網絡數據包的分析系統，包括：

待識別數據包抓取單元，用于通過Libpcao抓取待識別數據包；

數據信息獲取單元，用于通過分析獲取所述待識別數據包的數據信息；

待識別數據包判斷單元，用于根據識別的數據信息判斷所述待識別數據包與預設的應用層協議鏈接的關系，并根據所述關系判斷所述待識別數據包是否屬于正常數據包。

前述的Libpcao是unix平臺/linux平臺下的網絡數據包捕獲函數。

前述的應用層協議是承載在TCP協議或UDP協議之上的協議，TCP協議或UDP協議的負載即為應用層協議分析的對象。

前述的待識別數據包抓取單元，數據信息獲取單元和待識別數據包判斷單元的實現通過程序來指令相關的硬件來完成。

前述的程序存儲于計算機的可讀取存儲介質中，所述存儲介質包括ROM/RAM、磁盤和光盤。

網絡數據包的分析方法，包括以下步驟：

1）待識別數據包抓取單元利用Libpcao抓取待識別數據包；

2）數據信息獲取單元通過分析獲取所述待識別數據包的數據信息；

3）待識別數據包判斷單元根據識別出的數據信息判斷待識別數據包與預設的應用層協議鏈接的關系，并根據所述關系判斷待識別數據包是否屬于正常數據。

前述的步驟2）中，獲取待識別數據包的數據信息的具體過程如下：

2-1）根據基本協議的協議結構，生成協議腳本；

2-2）根據協議腳本生成語句表和邏輯樹；

2-3）載入待識別數據包，獲取待識別數據包的協議名稱，根據協議名稱查找對應的協議腳本，并獲取相應的語句表和邏輯樹，對待識別數據包進行解析，識別出待識別數據包的數據信息；所述數據信息包括源主機IP地址、目的主機IP地址、源主機端口和目的主機端口。

前述的步驟3）中，判斷待識別數據包與預設的應用層協議鏈接的關系，具體過程如下：

3-1）判斷數據信息與預設的應用層協議鏈接的信息是否相同：如果相同，則所述待識別數據包屬于所述應用層協議鏈接，如果不同，則將所述待識別數據包與所述應用層協議鏈接進行預設次數的匹配；

3-2）如果在預設次數內匹配不成功，則所述待識別數據包不屬于所述應用層協議鏈接；如果在預設次數內匹配成功，則對TCP協議或UDP協議的負載進行模式匹配；

3-3）如果模式匹配成功，則所述待識別數據包屬于所述應用層協議鏈接，如果模式匹配不成功，則所述待識別數據包不屬于所述應用層協議鏈接。

前述的步驟3）中，判斷待識別數據包是否屬于正常數據的判斷準則為：

如果所述待識別數據包屬于所述應用層協議鏈接，則所述待識別數據包為正常數據包；

如果所述待識別數據包不屬于所述應用層協議鏈接，則所述待識別數據包為異常數據包。

前述的預設次數為10次。

本發明的有益效果為：

本發明通過Libpcao抓取待識別數據包，通過分析獲取待識別數據包的數據信息，根據數據信息判斷待識別數據包與預設的應用層協議鏈接的關系，并根據關系判斷待識別數據包是否屬于正常數據包，使得電力系統可以根據數據包了解各種接口的調用關系，進而獲取電力系統的網絡安全狀況。

附圖說明

圖1為本發明的網絡數據包的分析方法流程圖；

圖2為本發明的網絡數據包的分析系統結構圖。

具體實施方式

下面對本發明作進一步描述。以下實施例僅用于更加清楚地說明本發明的技術方案，而不能以此來限制本發明的保護范圍。

如圖2所示，本發明的網絡數據包的分析系統包括：

待識別數據包抓取單元，用于通過Libpcao抓取待識別數據包。