[發明專利]工業主機行為數據的邊緣聚合探針裝置及其方法

有效

• 申請號: 202211319252.1
• 申請日: 2022-10-26
• 公開（公告）號: CN115460066B
• 公開（公告）日: 2023-01-03
• 發明（設計）人: 周磊;姜雙林;王蒙
• 申請（專利權）人: 北京安帝科技有限公司
• 主分類號: H04L41/0631
• 分類號: H04L41/0631;H04L43/12;H04L9/40
• 代理公司: 北京星通盈泰知識產權代理有限公司 11952
• 代理人: 葛戰波

本發明屬于工業網絡安全領域，具體公開了一種工業主機行為數據的邊緣聚合探針裝置及其方法。本申請利用探針對工業主機的行為數據流進行監測，并且基于邊緣計算機制的智能匹配運算，對該工業主機的行為數據流進行事件聚合，從而基于該事件聚合結果進行工業主機信息安全風險的分析判斷并提供安全防護。本發明能夠適應現有工業主機的數據流規模和復雜性動態性程度，為工業主機信息安全風險的分析判斷和安全防護提供了有效的前端保障。

技術領域

本發明涉及工業網絡安全領域，具體涉及一種工業主機行為數據的邊緣聚合探針裝置及其方法。

背景技術

隨著智慧工廠的建立和普及，工業系統的數字化、智能化、網絡化的屬性持續增強。相應地，工業系統的信息安全的重要性日益凸顯，得到越來越廣泛的關注。然而，目前工業系統的信息安全尚存在較多的漏洞和短板，特別是工業主機作為智慧工廠中生產設施和信息系統的結合點，更是各種網絡攻擊的聚焦點，非常容易成為系統中的薄弱環節。

目前，工業主機的網絡安全防護仍然采取較為單一和固化的模式，以白名單機制作為主要手段。白名單機制是基于工控主機的設備運行狀態是有限的以及在特定的設備運行狀態下工控主機所允許的主機行為是有限的基本假設，將特定設備運行狀態下被允許的主機行為納入白名單，而將其他的主機行為識別為異常行為并加以阻止，從而避免這些異常行為給工業主機的硬件、固件、軟件、數據等方面的可用性、保密性、完整性帶來安全風險。

然而，隨著面向工業主機的數據流的規模逐漸增大，復雜程度持續提升，動態性不斷增強，以上白名單的傳統手段由于效率較低，靈活性不足，已經不能滿足工業主機的安全防護需求。

發明內容

針對上述現有技術的不足，本申請提供一種工業主機行為數據的邊緣聚合探針裝置及其方法。本申請利用探針對工業主機的行為數據流進行監測，并且基于邊緣計算機制的智能匹配運算，對該工業主機的行為數據流進行事件聚合，從而基于該事件聚合結果進行工業主機信息安全風險的分析判斷并提供安全防護。

第一方面本申請提出了一種工業主機行為數據的邊緣聚合探針裝置，包括：探針接口、流緩存單元、行為事件聚合單元、特征碼提取單元、通訊接口；

所述探針接口用于攔截和記錄工業主機的行為動作指令及其指令參數，按照時序形成行為數據流，并發送給流緩存單元；

所述流緩存單元用于對所述工業主機的行為動作指令及其指令參數形成的行為數據流，按照數據流的輸入時序進行緩存；

所述行為事件聚合單元針對所述流緩存單元緩存的行為數據流，根據預定義的事件鏈，將緩存的行為數據流中的行為動作指令參照事件鏈的行為節點進行智能匹配，從而基于行為動作指令之間的匹配度，以事件為單位，對與同一事件關聯的行為動作指令進行事件聚合，形成事件行為簇；

所述特征碼提取單元針對每個事件行為簇中的行為動作指令及其指令參數，將其轉化為特征碼；

所述通訊接口，用于以每個事件行為簇為單位，將事件行為簇相關的特征碼的數組上傳到工業主機的后臺或者云端。

優選的是，通過嵌入該工業主機操作系統內核的鉤子函數實現所述探針接口。

優選的是，所述流緩存單元在工業主機的內存中開辟緩存區，并獲得緩存區的配置路徑，進而依照行為數據流的輸入時序，將行為數據流寫入配置路徑對應的緩存區。

優選的是，所述預定義的事件鏈是由工業主機在各種運行狀態下的行為節點及行為節點之間關系所形成的拓撲網絡。

優選的是，所述行為事件聚合單元按照行為數據流中緩存的時序順序，提取其中任意2個行為動作指令和，對照所述事件鏈，確定在該事件鏈中連接行為動作指令和的全部匹配拓撲，將行為動作指令和的全部匹配拓撲分別記為，..，匹配拓撲的總數量表示為, 且每個匹配拓撲的長度表示為,……，緩存的行為數據流中的行為動作指令和的匹配度為：