[發明專利]報文獲取方法、裝置、系統及計算機存儲介質

有效

• 申請號: 201711449234.4
• 申請日: 2017-12-27
• 公開（公告）號: CN109981529B
• 公開（公告）日: 2021-11-12
• 發明（設計）人: 唐文
• 申請（專利權）人: 西門子(中國)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京康信知識產權代理有限責任公司 11240
• 代理人: 趙冬梅

1.一種報文獲取方法，其特征在于，該方法包括：

獲取一個報文文件，所述報文文件包含了實時捕獲到的運營技術OT網絡中的至少一個報文；

對所述報文文件進行入侵檢測，若未檢測到異常，則不存儲所述報文文件，否則將所述報文文件存儲到一個存儲系統中，并在所述報文文件的摘要中添加所述報文文件在所述存儲系統中的索引，且所述報文文件的摘要包含所述報文文件的文件特征以及所述報文文件包含的至少一個報文中每一個的報文特征；

將所述報文文件的摘要存儲到一個搜索引擎中；

接收一個報文的分析請求，所述分析請求指示要獲取的報文所具有的報文特征；

根據所述分析請求指示的要獲取的報文所具有的報文特征，在所述搜索引擎中查找到對應的摘要；

若查找到對應的摘要，則根據查找到的摘要中包含的報文文件在所述存儲系統中的索引，在所述存儲系統中查找到對應的報文文件，并在查找到的報文文件中查找到對應的至少一個報文；

將查找到的至少一個報文存儲到所述搜索引擎中，以使得此后能夠根據所述報文特征在所述搜索引擎中直接查找到對應的報文。

2.根據權利要求1所述的方法，其特征在于，所述將查找到的至少一個報文存儲到所述搜索引擎中為：將查找到的至少一個報文的數據載荷存儲到所述搜索引擎中，以使得此后能夠根據所述報文特征在所述搜索引擎中直接查找到對應的報文的數據載荷；

或者，所述將查找到的至少一個報文存儲到所述搜索引擎中為：將查找到的至少一個報文的數據載荷解析后得到的信息存儲到所述搜索引擎中，以使得此后能夠根據所述報文特征在所述搜索引擎中直接查找到對應的報文解析后的信息。

3.根據權利要求1或2所述的方法，其特征在于，所述報文文件的摘要進一步包括所述報文文件包含的至少一個報文中每一個報文在所述報文文件中的索引；

且，所述在查找到的報文文件中查找到對應的至少一個報文之前進一步包括：

根據所述要獲取的報文所具有的報文特征，在查找到的摘要中查找到對應報文的索引，根據查找到的索引，在查找到的報文文件中查找到對應的報文。

4.根據權利要求1或2所述的方法，其特征在于，所述獲取一個報文文件之后、將所述報文文件存儲到一個存儲系統中之前進一步包括：為所述報文文件生成摘要；

且，所述報文文件的摘要包含的所述報文文件的文件特征包括：所述報文文件中包含的報文的數量，且，所述報文文件包含的至少一個報文中每一個的報文特征包括：每一個報文的源和目的IP地址、源和目的端口號、協議類型、時間戳；

或者，所述報文文件的摘要包含的所述報文文件的文件特征包括：所述報文文件中包含的報文的數量和所述報文文件中包含的會話的數量，且，所述報文文件包含的至少一個報文中每一個的報文特征包括：每一個報文的源和目的IP地址、源和目的端口號、協議類型、時間戳，每一個會話的源和目的IP地址、源和目的端口號、協議類型，以及每個會話包含的所有報文在報文文件中的索引，每個會話的起始時間和結束時間。

5.根據權利要求1或2所述的方法，其特征在于，所述獲取一個報文文件之后進一步包括：

在所述報文文件或/和所述報文文件的摘要中，查找預定義的網絡威脅相關特征；

對于查找到的每一網絡威脅相關特征，在一個特征庫中查找該網絡威脅相關特征的歷史活動數據和背景數據，所述歷史活動數據為：具有該網絡威脅相關特征的歷史網絡活動的數據，所述背景數據為用于識別該網絡威脅相關特征對應主體的屬性的數據；

建立一個數據項，所述數據項包括網絡威脅相關特征及其對應的歷史活動數據和背景數據；

建立一個數據項列表，將所述數據項列表添加到搜索引擎中，以使得能夠根據網絡威脅相關特征在所述數據項列表中查找到對應的歷史活動數據和背景數據。