[发明专利]应用于工业控制环境的攻击监测方法、系统

权利要求书

1.一种应用于工业控制环境的攻击监测方法，其特征在于，包括以下步骤：

S1：采集工业控制网络中的网络报文；

S2：解析所述网络报文中的IP协议网络包，从所述IP协议网络包中提取出主机请求信息及其对应的主机响应信息，所述主机请求信息包括源IP地址、源MAC地址，所述主机响应信息包括目的IP地址、目的MAC地址；

S3：判断所述IP协议网络包的发生时间是否处于预设的学习期内，若在学习期内，则将所述主机请求信息及其对应的主机响应信息记录至知识库中；若不在学习期内，则解析所述网络报文中的ARP协议网络包，提取ARP协议网络包的操作码，然后再根据所述ARP协议网络包的操作码构建由请求信息形成的请求队列和响应信息形成的响应队列的双队列模式；

S4：周期性地遍历所述响应队列中的响应信息，查找每条响应信息是否在所述请求队列存在对应的请求信息，如果存在对应的请求信息，则构建HASH表，将所述对应的请求信息作为HASH表的key值，将所述响应信息作为HASH表的List值；如果不存在对应的请求信息，则将相应的响应信息加入可疑主机响应信息表中；

S5：遍历所述HASH表，再根据统计每条请求信息对应的响应信息的个数与预设阈值来判断是否存在ARP攻击行为。

2.根据权利要求1所述的攻击监测方法，其特征在于，还包括步骤S6：遍历所述可疑主机响应信息表，从中提取出每条响应信息的源IP地址、源MAC地址，并根据源IP地址、源MAC地址生成ARP攻击告警信息。

3.根据权利要求1所述的攻击监测方法，其特征在于，所述步骤S3中，根据所述ARP协议网络包的操作码构建由请求信息形成的请求队列和响应信息形成的响应队列的双队列模式的步骤具体为：如果操作码为P₁，从所述ARP协议网络包中提取出源IP地址、源MAC地址和目的IP地址，并作为请求信息加入请求队列中，如果操作码为P₂，从所述ARP协议网络包中提取出源IP地址、源MAC地址、目的IP地址和目的MAC地址，并作为响应信息加入响应队列中。

4.根据权利要求3所述的攻击监测方法，其特征在于，还包括：请求队列中加入请求信息时，记录请求信息的加入时间；响应队列中加入响应信息时，记录响应信息的加入时间。

5.根据权利要求1所述的攻击监测方法，其特征在于，所述步骤S5中，根据统计每条请求信息对应的响应信息的个数与预设阈值来判断是否存在ARP攻击行为的步骤具体为：如果响应信息的个数大于1个，提取每条响应信息中的目的IP地址和目的MAC地址作为待查主机响应信息，将待查主机响应信息与知识库中的主机响应信息进行对比，如果在知识库中不存在与待查主机响应信息相同的主机响应信息，则将相应的响应信息加入可疑主机响应信息表中；如果响应信息的个数为1个，则判定不存在ARP攻击行为。