[發明專利]一種KNXnet/IP協議入侵檢測方法、裝置、設備及介質

有效

• 申請號: 202010437099.7
• 申請日: 2020-05-21
• 公開（公告）號: CN111565196B
• 公開（公告）日: 2022-02-01
• 發明（設計）人: 程學;范淵
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 巴翠昆

1.一種KNXnet/IP協議入侵檢測方法，其特征在于，包括：

獲取目標網絡系統的KNXnet/IP協議數據包；

解析出所述KNXnet/IP協議數據包中的服務類型字段，得到對應的服務類型；所述服務類型字段為所述KNXnet/IP協議數據包中KNXnet協議數據的head頭中的字段；

根據所述服務類型對所述KNXnet/IP協議數據包繼續解析，得到解析后的所述KNXnet/IP協議數據包；

利用所述KNXnet/IP協議數據包對應的五元組和目標標識篩選出解析后的所述KNXnet/IP協議數據包中的會話組，得到對應的會話數據；

利用預設檢測策略對所述會話數據進行匹配，若所述會話數據與所述預設檢測策略不匹配，則判定所述目標網絡系統存在入侵風險；所述預設檢測策略為與所述KNXnet協議數據的目標關鍵字段對應的檢測策略；

其中，所述方法還包括根據所述服務類型確定所述預設檢測策略。

2.根據權利要求1所述的KNXnet/IP協議入侵檢測方法，其特征在于，所述獲取目標網絡系統的KNXnet/IP協議數據包，包括：

采集所述目標網絡系統中的流量數據；

利用預設端口號對所述流量數據進行過濾，得到對應的所述KNXnet/IP協議數據包。

3.根據權利要求1所述的KNXnet/IP協議入侵檢測方法，其特征在于，還包括：

利用五元組匹配策略對所述KNXnet/IP協議數據包進行匹配，若所述KNXnet/IP協議數據包與所述五元組匹配策略無法匹配，則生成對應的五元組級別告警，若所述KNXnet/IP協議數據包與所述五元組匹配策略匹配，則進入根據所述服務類型對所述KNXnet/IP協議數據包繼續解析的步驟，以利用預設檢測策略對所述會話數據進行匹配。

4.根據權利要求3所述的KNXnet/IP協議入侵檢測方法，其特征在于，還包括：

根據所述服務類型確定所述五元組匹配策略。

5.根據權利要求1所述的KNXnet/IP協議入侵檢測方法，其特征在于，還包括：

所述預設檢測策略支持用于對所述預設檢測策略以及所述會話數據進行匹配的比較操作字符。

6.根據權利要求1至5任一項所述的KNXnet/IP協議入侵檢測方法，其特征在于，所述判定所述目標網絡系統存在入侵風險之后，還包括：

根據匹配結果向用戶終端發送對應等級的告警信息。

7.一種KNXnet/IP協議入侵檢測裝置，其特征在于，包括：

協議數據包獲取模塊，用于獲取目標網絡系統的KNXnet/IP協議數據包；

第一數據解析模塊，解析出所述KNXnet/IP協議數據包中的服務類型字段，得到對應的服務類型；所述服務類型字段為所述KNXnet/IP協議數據包中KNXnet協議數據的head頭中的字段；

第二數據解析模塊，用于根據所述服務類型對所述KNXnet/IP協議數據包繼續解析，得到解析后的所述KNXnet/IP協議數據包；

會話數據獲取模塊，用于利用所述KNXnet/IP協議數據包對應的五元組和目標標識篩選出解析后的所述KNXnet/IP協議數據包中的會話組，得到對應的會話數據；

會話數據檢測模塊，用于利用預設檢測策略對所述會話數據進行匹配，若所述會話數據與所述預設檢測策略不匹配，則判定所述目標網絡系統存在入侵風險；所述預設檢測策略為與所述KNXnet協議數據的目標關鍵字段對應的檢測策略；

所述KNXnet/IP協議入侵檢測裝置，還包括預設檢測策略確定模塊，用于根據所述服務類型確定所述預設檢測策略。

8.根據權利要求7所述的KNXnet/IP協議入侵檢測裝置，其特征在于，所述協議數據包獲取模塊，包括：

數據采集子模塊，用于采集所述目標網絡系統中的流量數據；

數據過濾子模塊，用于利用預設端口號對所述流量數據進行過濾，得到對應的所述KNXnet/IP協議數據包。