[發明專利]網絡的通信數據檢測方法、裝置以及機器可讀存儲介質

有效

• 申請號: 201811399478.0
• 申請日: 2018-11-22
• 公開（公告）號: CN109660518B
• 公開（公告）日: 2020-12-18
• 發明（設計）人: 王高杰;李思齊;王智民;何志福
• 申請（專利權）人: 北京六方云信息技術有限公司;北京六方云科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F16/28
• 代理公司: 北京潤平知識產權代理有限公司 11283
• 代理人: 肖冰濱;王曉曉

1.一種工業控制系統網絡的通信數據檢測方法，其特征在于，該方法包括：

接收通信數據，該通信數據包括具有有效載荷的數據報文；

基于至少一個數據檢測模型，依次以所述有效載荷的長度、所述有效載荷的固定字段以及所述有效載荷的可變字段進行匹配，在有任意匹配不成功時，判斷該數據報文異常，所述數據檢測模型通過以下方式建立：

接收多個樣本通信數據，該多個樣本通信數據中的每個樣本通信數據包括具有有效載荷的樣本數據報文；

根據所述樣本數據報文的有效載荷的長度將所述多個樣本數據報文劃分到至少一個長度模型；

對于所述至少一個長度模型中的每個長度模型，根據所述多個樣本數據報文的有效載荷的相似度進行聚類，形成至少一組所聚類的有效載荷；

對于所述至少一組所聚類的有效載荷中的每組所聚類的有效載荷的可變字段，計算并存儲正則表達式以生成所述數據檢測模型。

2.根據權利要求1所述的工業控制系統網絡的通信數據檢測方法，其特征在于，所述根據所述多個樣本數據報文的有效載荷的相似度進行聚類包括：

建立一個類簇，將多個有效載荷的其中一個有效載荷存儲至該類簇，并作為該類簇的聚類序列；

對所述多個有效載荷的剩余的每個有效載荷執行以下操作以生成至少一個類簇，作為所述至少一組所聚類的有效載荷：

依次與當前每個類簇的聚類序列計算相似度；

在該有效載荷與任一個類簇的相似度大于等于閾值時，將該有效載荷存儲至該類簇，并將該有效載荷和該類簇的聚類序列的最長公共子序列替換為該類簇的聚類序列；

在該有效載荷與當前每個類簇的聚類序列的相似度均小于閾值時，建立新的類簇，并將該有效載荷存儲至該新的類簇，并作為該新的類簇的聚類序列。

3.根據權利要求2所述的工業控制系統網絡的通信數據檢測方法，其特征在于，所述有效載荷和所述聚類序列的相似度d通過以下公式計算：

其中，L為所述有效載荷或所述聚類序列的長度，len(s)為所述有效載荷和所述聚類序列的最長公共子序列的長度。

4.根據權利要求1或2所述的工業控制系統網絡的通信數據檢測方法，其特征在于，該方法還包括：

將所述至少一組所聚類的有效載荷的每組所聚類的有效載荷的最長公共子序列作為每組所聚類的有效載荷的固定字段。

5.根據權利要求4所述的工業控制系統網絡的通信數據檢測方法，其特征在于，基于至少一個數據檢測模型，依次以所述有效載荷的長度、所述有效載荷的固定字段以及所述有效載荷的可變字段進行匹配包括：

將所述有效載荷的長度與所述至少一個長度模型的有效載荷的長度進行匹配，找到匹配的長度模型；

基于匹配的長度模型，將所述有效載荷的固定字段與所述每組所聚類的有效載荷的固定字段進行匹配，找到匹配的所聚類的有效載荷；

基于匹配的所聚類的有效載荷，將所述有效載荷的可變字段與所述正則表達式進行匹配。

6.根據權利要求1所述的工業控制系統網絡的通信數據檢測方法，其特征在于，該方法還包括：

接收第一預定時間內平均誤報次數的輸入；

檢測所述數據檢測模型，當所述數據檢測模型在第二預定時間內誤報次數與所述第二預定時間內報文的比例小于所述第一預定時間內平均誤報次數與所述第一預定時間內報文的比例時，建立所述數據檢測模型完成。