[发明专利]工业网络流量监测审计方法、装置及系统

说明书

本发明提供了一种工业网络流量监测审计方法、装置及系统，涉及工业控制的技术领域，应用于终端设备，包括：采集工业交换机的镜像流量；基于工业交换机的端口确定镜像流量的工控协议，并根据与工控协议对应的协议规范解析所述工控协议，得到协议解析信息；基于协议解析信息处理镜像流量，得到工业交换机的资产档案；接收工控系统导出的变量信息，并基于变量信息匹配资产档案中的工业行为；基于预设管理策略，将变量信息以及工业行为确定为第一处理数据，并将第一处理数据发送至工业网络监测审计平台，以使工业网络监测审计平台进行工业网络流量监测审计。本发明分布式的工业网络流量监测审计装置成本低，部署方便，且具有稳定性和实用性。

技术领域

本发明涉及工业控制技术领域，尤其是涉及一种工业网络流量监测审计方法、装置及系统。

背景技术

任何的网络攻击行为，甚至是人为的不规范操作都可以在网络流量中体现，工业流量监测审计设备基于对工业控制协议的通信报文进行深度解析，通过实时动态分析、数据流监控、网络行为审计等技术，快速识别工业控制网络中存在的异常行为，实现实时检测针对工业协议的网络攻击、非法设备接入以及蠕虫、病毒等恶意软件的传播的行为并实时报警，同时详实记录一切网络通信行为，为工业控制系统的安全事故调查提供坚实的基础。

但是面对大型的生产企业，生产车间多、工控系统数量大、工业生产网络庞杂、工业数据流量大，传统的做法需要在各分散点部署非常多的监测审计设备，并需要额外的设备(如管理平台)实现多台监测审计设备间的信息共享和联动。该做法带来了实施难度大和高昂的安全投入，成为企业工业信息安全建设的障碍。

发明内容

本发明的目的在于提供一种工业网络流量监测审计方法、装置及系统，增加稳定性和实用性，且降低实施难度、节约设备成本。

本发明提供的一种工业网络流量监测审计方法，其中，应用于终端设备，包括：采集工业交换机的镜像流量；基于所述工业交换机的端口确定所述镜像流量的工控协议，并根据与工控协议对应的协议规范解析所述工控协议，得到协议解析信息；基于所述协议解析信息处理所述镜像流量，得到所述工业交换机的资产档案；接收工控系统导出的变量信息，并基于所述变量信息匹配所述资产档案中的工业行为；基于预设管理策略，将所述变量信息以及所述工业行为确定为第一处理数据，并将所述第一处理数据发送至工业网络监测审计平台，以使所述工业网络监测审计平台进行工业网络流量监测审计。

本发明提供的一种工业网络流量监测审计方法，其中，应用于工业网络监测审计平台，包括：接收终端设备上传的第一处理数据；对所述第一处理数据进行解析还原，得到原始行为；基于所述第一处理数据提取特征，并基于所述特征生成与当前工业控制网络环境对应的白名单安全策略规则；基于所述白名单安全策略规则对所述原始行为进行监测审计。

进一步的，基于所述白名单安全策略规则对所述原始行为进行监测审计，包括：判断所述原始行为是否符合所述白名单安全策略规则，将不符合所述白名单安全策略规则的原始行为确定为告警事件，并生成告警信息；对所述告警信息进行核查，判断所述告警事件是否为误报；若确定所述告警事件为非误报，则基于所述告警事件生成网络告警分布图。

进一步的，在生成网络告警分布图之后，还包括：基于所述网络告警分布图和所述告警信息的威胁程度，生成风险报告。

本发明提供的一种工业网络流量监测审计装置，其中，应用于终端设备，包括：采集模块，用于采集工业交换机的镜像流量；确定解析模块，用于基于所述工业交换机的端口确定所述镜像流量的工控协议，并根据与工控协议对应的协议规范解析所述工控协议，得到协议解析信息；处理模块，用于基于所述协议解析信息处理所述镜像流量，得到所述工业交换机的资产档案；接收匹配模块，用于接收工控系统导出的变量信息，并基于所述变量信息匹配所述资产档案中的工业行为；确定发送模块，用于基于预设管理策略，将所述变量信息以及所述工业行为确定为第一处理数据，并将所述第一处理数据发送至工业网络监测审计平台，以使所述工业网络监测审计平台进行工业网络流量监测审计。