[发明专利]transaction级别的Modbus协议工控异常行为检测方法、系统

说明书

本申请涉及一种transaction级别的Modbus协议工控异常行为检测方法、系统、计算机设备和存储介质。所述方法包括：通过获取Modbus数据包，区分请求包和响应包，根据transaction的ID将请求包与响应包进行匹配，并且记录匹配的transaction的起始时间和结束时间，再根据起始时间和结束时间为特征，训练检测初始化模型，得到检测目标模型，通过检测目标模型进行异常行为检测并进行异常告警，基于transaction级别学习transaction的行为过程以及相应的时间特征，从而获取检测目标模型，检测目标模型的使用过程中能够在检测到transaction异常行为则发出异常警告，实现了Modbus中transaction级别的入侵行为异常检测。

技术领域

本申请涉及网络安全技术领域，特别是涉及一种transaction级别的Modbus协议工控异常行为检测方法、系统、计算机设备和存储介质。

背景技术

Modbus协议是一种应用广泛的工业通信协议。鉴于传统的工控环境，以及时效性的考虑，Modbus常以明文传输。近年来，工控系统频繁遭受安全攻击，攻击对象往往都是工控设备，使得工控设备隐藏的安全问题非常多。为了降低工控系统的安全隐患，出现了许多工控通信安全保护产品，例如入侵监测审计类的产品通过旁路接入交换机，对工控环境零风险，此类的产品，其流量数据包的检测基本都离不开五元组的匹配过程，包括源IP、目的IP、目的端口、工控协议、指令，也有一些产品可能会额外增加流量异常的检测。

然而，相关技术中的工控入侵检测大多都是对单条的工控设备指令进行解析匹配，虽然一般都包括基本的五元组，但是缺乏上下文，无法对较复杂的入侵行为进行检测分析，比如：入侵者从当前的时间段中截取所有的端到端的请求响应包，在其中一个事务(transaction)中将请求包篡改为这个时间段的另一个事务transaction的请求包，或者将其中一个事务transaction的响应包篡改为另一个事务transaction的响应包，以此可以欺骗简单的五元组匹配过程，进而可以触发不可预知的破坏动作，其中，上述事务特指Modbus中的会话。又比如：攻击者对工控网发动洪水或分布式拒绝服务(Distributed Denial ofService，简称DDoS)攻击造成工控网瘫痪，进而使得设备的请求指令无法得到及时响应。

针对相关技术中，工控入侵检测无法对较复杂的入侵行为进行检测问题，目前尚未提出有效的解决方案。

发明内容

基于此，有必要针对上述技术问题，提供一种transaction级别的Modbus协议工控异常行为检测方法、系统、计算机设备和存储介质。

根据本发明的一个方面，提供了一种transaction级别的Modbus协议工控异常行为检测方法，包括以下步骤：

获取Modbus数据包，区分请求包和响应包；

根据transaction的ID将所述请求包与所述响应包进行匹配，并且记录所述匹配的所述transaction的起始时间和结束时间；

根据所述起始时间和所述结束时间为特征，训练检测初始化模型，得到检测目标模型；

通过所述检测目标模型进行异常行为检测，并进行异常告警。

在其中一个实施例中，所述根据所述起始时间和所述结束时间训练检测初始化模型，得到检测目标模型包括：

根据所述起始时间和所述结束时间确定所述transaction的响应时间，所述响应时间为所述请求包与所述响应包之间的时间间隔；

根据所述响应时间为特征，训练所述检测初始化模型，得到所述检测目标模型。

在其中一个实施例中，所述根据所述起始时间和所述结束时间训练检测初始化模型，得到检测目标模型包括：

根据聚类算法确定聚类起始时间段和聚类结束时间段；