[發(fā)明專利]基于旁路技術(shù)的工控網(wǎng)絡(luò)流量分析安全檢測系統(tǒng)及方法

在審

• 申請?zhí)枺?/td>: 202211636451.5
• 申請日: 2022-12-20
• 公開（公告）號(hào): CN115632883A
• 公開（公告）日: 2023-01-20
• 發(fā)明（設(shè)計(jì)）人: 馬超;張典;石小川
• 申請（專利權(quán)）人: 武漢大學(xué)
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;H04L43/04;H04L43/12;H04L49/90;G06F18/241;G06N3/04;G06N20/00
• 代理公司: 武漢科皓知識(shí)產(chǎn)權(quán)代理事務(wù)所(特殊普通合伙) 42222
• 代理人: 羅飛

1.基于旁路技術(shù)的工控網(wǎng)絡(luò)流量分析安全檢測系統(tǒng)，其特征在于，包括：

通訊模塊，用于采用旁路技術(shù)接入工控網(wǎng)絡(luò)，采集工控網(wǎng)絡(luò)流量數(shù)據(jù)，包括原始通信數(shù)據(jù)、網(wǎng)絡(luò)會(huì)話日志和網(wǎng)絡(luò)應(yīng)用日志；

大數(shù)據(jù)轉(zhuǎn)發(fā)模塊，用于利用Kafka分布式消息轉(zhuǎn)發(fā)訂閱框架構(gòu)建包括數(shù)據(jù)采集層、數(shù)據(jù)緩存層、數(shù)據(jù)轉(zhuǎn)發(fā)層三個(gè)層次的大數(shù)據(jù)模型，其中，數(shù)據(jù)采集層通過接入通訊模塊，利用Kafka的生產(chǎn)者功能，編寫程序?qū)崟r(shí)讀取通訊模塊采集的工控網(wǎng)絡(luò)流量數(shù)據(jù)；數(shù)據(jù)緩存層用于對工控網(wǎng)絡(luò)流量數(shù)據(jù)中的多源數(shù)據(jù)進(jìn)行融合；數(shù)據(jù)轉(zhuǎn)發(fā)層用于利用Kafka的消費(fèi)者功能，編寫程序?qū)崟r(shí)消費(fèi)工控網(wǎng)絡(luò)原始數(shù)據(jù)，同時(shí)在大數(shù)據(jù)集群中多個(gè)節(jié)點(diǎn)上部署消費(fèi)者程序，讀取Kafka中的相同消息，并將消息中攜帶的工控網(wǎng)流量數(shù)據(jù)發(fā)送給字段解碼模塊；

字段解碼模塊，用于對數(shù)據(jù)轉(zhuǎn)發(fā)層發(fā)送的工控網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行字段解碼；

安全檢測模塊，用于對字段解碼后的流量數(shù)據(jù)進(jìn)行安全檢測。

2.如權(quán)利要求1所述的基于旁路技術(shù)的工控網(wǎng)絡(luò)流量分析安全檢測系統(tǒng)，其特征在于，通訊模塊包括串口通訊單元、GSM通訊單元、LTE通訊單元以及移動(dòng)監(jiān)控終端。

3.如權(quán)利要求1所述的基于旁路技術(shù)的工控網(wǎng)絡(luò)流量分析安全檢測系統(tǒng)，其特征在于，字段解碼模塊根據(jù)預(yù)設(shè)時(shí)間間隔對對數(shù)據(jù)轉(zhuǎn)發(fā)層發(fā)送的工控網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行字段解碼。

4.如權(quán)利要求1所述的基于旁路技術(shù)的工控網(wǎng)絡(luò)流量分析安全檢測系統(tǒng)，其特征在于，安全檢測模塊，包括：

攻擊行為檢測模塊，用于對字段解碼后的流量數(shù)據(jù)采用通信協(xié)議進(jìn)行識(shí)別，根據(jù)預(yù)訓(xùn)練的模型對字段解碼后的流量數(shù)據(jù)進(jìn)行檢測，檢測其是否受到攻擊；

異常行為檢測模塊，用于對字段解碼后的流量數(shù)據(jù)采用的通信協(xié)議進(jìn)行行為分析，利用機(jī)器學(xué)習(xí)和數(shù)據(jù)分析算法識(shí)別其行為是否異常；

基線式檢測模塊，用于離線分析海量的工控網(wǎng)絡(luò)流量數(shù)據(jù)，判斷預(yù)設(shè)基線式檢測檢測項(xiàng)是否正常；

安全分析模塊，用于構(gòu)建三層工控網(wǎng)絡(luò)安全態(tài)勢感知模型，對工控網(wǎng)絡(luò)的安全態(tài)勢進(jìn)行感知。

5.如權(quán)利要求1所述的基于旁路技術(shù)的工控網(wǎng)絡(luò)流量分析安全檢測系統(tǒng)，其特征在于，預(yù)訓(xùn)練的模型為預(yù)先通過大量已經(jīng)標(biāo)注的工控網(wǎng)流量數(shù)據(jù)訓(xùn)練好的機(jī)器學(xué)習(xí)模型或者深度學(xué)習(xí)模塊，檢測的攻擊包括Web攻擊、應(yīng)用層攻擊、端口/服務(wù)掃描攻擊。

6.如權(quán)利要求1所述的基于旁路技術(shù)的工控網(wǎng)絡(luò)流量分析安全檢測系統(tǒng)，其特征在于，異常行為檢測模塊具體用于：

通過預(yù)訓(xùn)練完畢的機(jī)器學(xué)習(xí)或深度學(xué)習(xí)模型對字段解碼后的流量數(shù)據(jù)進(jìn)行檢測，檢測其所處時(shí)刻的工控系統(tǒng)的行為；

統(tǒng)計(jì)固定時(shí)間段某行為出現(xiàn)次數(shù)，并與固定時(shí)刻出現(xiàn)次數(shù)閾值進(jìn)行比對，判斷固定時(shí)間的工控網(wǎng)絡(luò)行為是否為異常。

7.如權(quán)利要求4所述的基于旁路技術(shù)的工控網(wǎng)絡(luò)流量分析安全檢測系統(tǒng)，其特征在于，所述系統(tǒng)還包括攻擊溯源模塊，用于根據(jù)攻擊行為檢測模塊、異常行為檢測模塊、基線式檢測模塊以及安全分析模塊的結(jié)果對工控網(wǎng)絡(luò)攻擊進(jìn)行回溯，并生成工控網(wǎng)絡(luò)安全分析報(bào)告。

8.如權(quán)利要求7所述的基于旁路技術(shù)的工控網(wǎng)絡(luò)流量分析安全檢測系統(tǒng)，其特征在于，所述系統(tǒng)還包括異常報(bào)警模塊，用于根據(jù)生成的工控網(wǎng)絡(luò)安全分析報(bào)告發(fā)出報(bào)警信息并執(zhí)行相應(yīng)的動(dòng)作。