[发明专利]工业网络流量监测审计方法、装置及系统

权利要求书

1.一种工业网络流量监测审计方法，其特征在于，应用于终端设备，包括：

采集工业交换机的镜像流量；

基于所述工业交换机的端口确定所述镜像流量的工控协议，并根据与工控协议对应的协议规范解析所述工控协议，得到协议解析信息；

基于所述协议解析信息处理所述镜像流量，得到所述工业交换机的资产档案；

接收工控系统导出的变量信息，并基于所述变量信息匹配所述资产档案中的工业行为；

基于预设管理策略，将所述变量信息以及所述工业行为确定为第一处理数据，并将所述第一处理数据发送至工业网络监测审计平台，以使所述工业网络监测审计平台进行工业网络流量监测审计。

2.一种工业网络流量监测审计方法，其特征在于，应用于工业网络监测审计平台，包括：

接收终端设备上传的第一处理数据；

对所述第一处理数据进行解析还原，得到原始行为；

基于所述第一处理数据提取特征，并基于所述特征生成与当前工业控制网络环境对应的白名单安全策略规则；

基于所述白名单安全策略规则对所述原始行为进行监测审计。

3.根据权利要求2所述的工业网络流量监测审计方法，其特征在于，基于所述白名单安全策略规则对所述原始行为进行监测审计，包括：

判断所述原始行为是否符合所述白名单安全策略规则，将不符合所述白名单安全策略规则的原始行为确定为告警事件，并生成告警信息；

对所述告警信息进行核查，判断所述告警事件是否为误报；

若确定所述告警事件为非误报，则基于所述告警事件生成网络告警分布图。

4.根据权利要求3所述的工业网络流量监测审计方法，其特征在于，在生成网络告警分布图之后，还包括：

基于所述网络告警分布图和所述告警信息的威胁程度，生成风险报告。

5.一种工业网络流量监测审计装置，其特征在于，应用于终端设备，包括：

采集模块，用于采集工业交换机的镜像流量；

确定解析模块，用于基于所述工业交换机的端口确定所述镜像流量的工控协议，并根据与工控协议对应的协议规范解析所述工控协议，得到协议解析信息；

处理模块，用于基于所述协议解析信息处理所述镜像流量，得到所述工业交换机的资产档案；

接收匹配模块，用于接收工控系统导出的变量信息，并基于所述变量信息匹配所述资产档案中的工业行为；

确定发送模块，用于基于预设管理策略，将所述变量信息以及所述工业行为确定为第一处理数据，并将所述第一处理数据发送至工业网络监测审计平台，以使所述工业网络监测审计平台进行工业网络流量监测审计。

6.一种工业网络流量监测审计装置，其特征在于，应用于工业网络监测审计平台，包括：

接收模块，用于接收终端设备上传的第一处理数据；

解析还原模块，用于对所述第一处理数据进行解析还原，得到原始行为；

生成模块，用于基于所述第一处理数据提取特征，并基于所述特征生成与当前工业控制网络环境对应的白名单安全策略规则；

监测审计模块，用于基于所述白名单安全策略规则对所述原始行为进行监测审计。

7.一种工业网络流量监测审计系统，包括：终端设备和工业网络监测审计平台；

所述终端设备，用于采集工业网络流量，并对所述工业网络流量进行初步处理，得到第一处理数据；

所述工业网络监测审计平台，用于对所述第一处理数据进行解析还原得到工业网络流量的原始行为，并对所述原始行为进行监测审计。

8.根据权利要求7所述的工业网络流量监测审计系统，所述工业网络监测审计平台包括以下至少一种：分布式操作系统、分布式程序设计语言、分布式文件系统和分布式数据库系统。

9.一种电子设备，包括存储器、处理器，所述存储器中存储有可在所述处理器上运行的计算机程序，其特征在于，处理器执行计算机程序时实现如权利要求1至4任一项所述的方法。

10.一种具有处理器可执行的非易失的程序代码的计算机可读介质，其特征在于，所述程序代码使所述处理器执行如权利要求1至4任一项所述的方法。