[發明專利]工控流量監測方法、設備、存儲介質及裝置

在審

• 申請號: 202110288202.0
• 申請日: 2021-03-17
• 公開（公告）號: CN113098846A
• 公開（公告）日: 2021-07-09
• 發明（設計）人: 田龍
• 申請（專利權）人: 蘇州三六零智能安全科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/931
• 代理公司: 深圳市世紀恒程知識產權代理事務所 44287
• 代理人: 薛福玲

1.一種工控流量監測方法，其特征在于，應用于旁路監聽服務器，其中，所述旁路監聽服務器通過交換機鏡像端口與工控網絡中的交換機連接，所述工控流量監測方法包括以下步驟：

基于所述網絡交換機鏡像端口獲取所述工控網絡中的交換機的工控流量匹配的鏡像流量；

對所述鏡像流量進行異常檢測，以確定所述工控流量中是否存在異常流量；

若所述工控流量中存在異常流量，則通知所述工控網絡中的交換機進行安全防控。

2.如權利要求1所述的工控流量監測方法，其特征在于，所述對所述鏡像流量進行異常檢測，以確定所述工控流量中是否存在異常流量的步驟還包括：

對所述鏡像流量進行協議分析，以獲取所述工控流量對應的至少一工控協議報文；

分別對各所述工控協議報文進行報文解析，以獲取各所述工控協議報文中攜帶的至少一功能碼；

將各所述功能碼與預設功能碼黑名單進行匹配，生成第一匹配結果；

判斷與各所述功能碼分別對應的第一匹配結果中是否存在第一目標匹配結果，其中，所述第一目標匹配結果為匹配成功；

若存在第一目標匹配結果，則判定所述工控流量中存在異常流量，并將所述第一目標匹配結果對應的工控協議報文作為異常流量；以及，

若不存在第一目標匹配結果，判定所述工控流量中不存在異常流量。

3.如權利要求1所述的工控流量監測方法，其特征在于，所述對所述鏡像流量進行異常檢測，以確定所述工控流量中是否存在異常流量的步驟還包括：

對所述鏡像流量進行數據請求分析，以獲取所述工控流量對應的至少一數據請求；

判斷所述至少一數據請求中是否存在異常數據請求；

若存在異常數據請求，則判定所述工控流量中存在異常流量，并將所述異常數據請求為異常流量；以及，

若不存在異常數據請求，則判定所述工控流量中不存在異常流量。

4.如權利要求1所述的工控流量監測方法，其特征在于，所述對所述鏡像流量進行異常檢測，以確定所述工控流量中是否存在異常流量的步驟還包括：

對所述鏡像流量進行數據報文分析，以獲取所述工控流量對應的至少一數據報文；

分別對各所述數據報文進行報文解析，以獲取各所述數據報文中攜帶的至少一數據包；

統計各所述數據包的字符長度；

判斷各所述數據包的字符長度中是否存在異常字符長度；

若存在異常字符長度，則判定所述工控流量中存在異常流量，并將所述異常字符長度對應的數據包對應的數據報文作為異常流量；以及，

若不存在異常字符長度，則判定所述工控流量中不存在異常流量。

5.如權利要求1所述的工控流量監測方法，其特征在于，所述對所述鏡像流量進行異常檢測，以確定所述工控流量中是否存在異常流量的步驟還包括：

對所述鏡像流量執行指定IP查詢操作，以獲取所述工控流量中各源IP的端口信息；

根據所述各源IP的端口信息確定所述工控流量中是否存在異常流量。

6.如權利要求1至5任一項所述的工控流量監測方法，其特征在于，所述若所述工控流量中存在異常流量，則通知所述工控網絡中的交換機進行安全防控的步驟包括：

若所述工控流量中存在異常流量，則發送部署方案獲取請求至所述工控網絡中的交換機；

接收所述工控網絡中的交換機反饋的工控網絡部署方案；

根據所述異常流量及所述工控網絡部署方案生成第一安全防控策略；

發送所述第一安全防控策略至所述工控網絡中的交換機，以通知所述工控網絡中的交換機進行安全防控。

7.如權利要求6所述的工控流量監測方法，其特征在于，所述根據所述異常流量及所述工控網絡部署方案生成第一安全防控策略的步驟包括：

若所述異常流量為第一目標匹配結果對應的工控協議報文，則根據所述工控網絡部署方案確定所述第一目標匹配結果對應的工控協議報文對應的協議報文發送端及協議報文接收端；

根據所述協議報文發送端及協議報文接收端生成第一安全防控策略。