[發明專利]工業主機行為數據的邊緣聚合探針裝置及其方法

有效

• 申請號: 202211319252.1
• 申請日: 2022-10-26
• 公開（公告）號: CN115460066B
• 公開（公告）日: 2023-01-03
• 發明（設計）人: 周磊;姜雙林;王蒙
• 申請（專利權）人: 北京安帝科技有限公司
• 主分類號: H04L41/0631
• 分類號: H04L41/0631;H04L43/12;H04L9/40
• 代理公司: 北京星通盈泰知識產權代理有限公司 11952
• 代理人: 葛戰波

1.一種工業主機行為數據的邊緣聚合探針裝置，其特征在于，包括：探針接口、流緩存單元、行為事件聚合單元、特征碼提取單元、通訊接口；

所述探針接口用于攔截和記錄工業主機的行為動作指令及其指令參數，按照時序形成行為數據流，并發送給流緩存單元；

所述流緩存單元用于對所述工業主機的行為動作指令及其指令參數形成的行為數據流，按照數據流的輸入時序進行緩存；

所述行為事件聚合單元針對所述流緩存單元緩存的行為數據流，根據預定義的事件鏈，將緩存的行為數據流中的行為動作指令參照事件鏈的行為節點進行智能匹配，從而基于行為動作指令之間的匹配度，以事件為單位，對與同一事件關聯的行為動作指令進行事件聚合，形成事件行為簇；

所述特征碼提取單元針對每個事件行為簇中的行為動作指令及其指令參數，將其轉化為特征碼；

所述通訊接口，用于以每個事件行為簇為單位，將事件行為簇相關的特征碼的數組上傳到工業主機的后臺或者云端。

2.根據權利要求1所述的工業主機行為數據的邊緣聚合探針裝置，其特征在于，通過嵌入該工業主機操作系統內核的鉤子函數實現所述探針接口。

3.根據權利要求2所述的工業主機行為數據的邊緣聚合探針裝置，其特征在于，所述流緩存單元在工業主機的內存中開辟緩存區，并獲得緩存區的配置路徑，進而依照行為數據流的輸入時序，將行為數據流寫入配置路徑對應的緩存區。

4.根據權利要求3所述的工業主機行為數據的邊緣聚合探針裝置，其特征在于，所述預定義的事件鏈是由工業主機在各種運行狀態下的行為節點及行為節點之間關系所形成的拓撲網絡。

5.根據權利要求4所述的工業主機行為數據的邊緣聚合探針裝置，其特征在于，所述行為事件聚合單元按照行為數據流中緩存的時序順序，提取其中任意2個行為動作指令和，對照所述事件鏈，確定在該事件鏈中連接行為動作指令和的全部匹配拓撲，將行為動作指令和的全部匹配拓撲分別記為，..，匹配拓撲的總數量表示為, 且每個匹配拓撲的長度表示為,……，緩存的行為數據流中的行為動作指令和的匹配度為：

進而，判斷行為動作指令和的匹配度是否高于預設的一個事件關聯閾值，如果高于該事件關聯閾值，則認為以上2個行為動作指令和是與同一事件關聯的。

6.一種針對工業主機行為數據的邊緣聚合方法，其特征在于，包括以下步驟：

步驟S1：通過置于工業主機的探針接口，攔截和記錄工業主機的行為動作指令及其指令參數，按照時序形成行為數據流；

步驟S2：通過流緩存單元，對所述工業主機的行為動作指令及其指令參數形成的行為數據流，按照數據流的輸入時序進行緩存；

步驟S3：通過行為事件聚合單元，針對所述流緩存單元緩存的行為數據流，根據預定義的事件鏈，將緩存的行為數據流中的行為動作指令參照事件鏈的行為節點進行智能匹配，從而基于行為動作指令之間的匹配度，以事件為單位，對與同一事件關聯的行為動作指令進行事件聚合，形成事件行為簇；

步驟S4：通過特征碼提取單元，針對每個事件行為簇中的行為動作指令及其指令參數，將其轉化為特征碼，并將特征碼的數組上傳給工業主機的后臺或云端。

7.根據權利要求6所述的針對工業主機行為數據的邊緣聚合方法，其特征在于，步驟S1中通過嵌入該工業主機操作系統內核的鉤子函數實現所述探針接口。

8.根據權利要求7所述的針對工業主機行為數據的邊緣聚合方法，其特征在于，步驟S2中通過所述流緩存單元在工業主機的內存中開辟緩存區，并獲得緩存區的配置路徑，進而依照行為數據流的輸入時序，將行為數據流寫入配置路徑對應的緩存區。

9.根據權利要求8所述的針對工業主機行為數據的邊緣聚合方法，其特征在于，步驟S3中所述預定義的事件鏈是由工業主機在各種運行狀態下的行為節點及行為節點之間關系所形成的拓撲網絡。

10.根據權利要求9所述的針對工業主機行為數據的邊緣聚合方法，其特征在于，步驟S3中，通過所述行為事件聚合單元，按照行為數據流中緩存的時序順序，提取其中任意2個行為動作指令和，對照所述事件鏈，確定在該事件鏈中連接行為動作指令和的全部匹配拓撲，將行為動作指令和的全部匹配拓撲分別記為，..，匹配拓撲的總數量表示為, 且每個匹配拓撲的長度表示為,……，緩存的行為數據流中的行為動作指令和的匹配度為：

進而，判斷行為動作指令和的匹配度是否高于預設的一個事件關聯閾值，如果高于該事件關聯閾值，則認為以上2個行為動作指令和是與同一事件關聯的。