[发明专利]一种基于Lua的工控私有协议检测方法及装置

说明书

本发明实施例公开了一种基于Lua的工控私有协议检测方法及装置，其中，所述方法包括：利用UI组件以可视化的方式进行组态和Lua编程，定义工控私有协议；其中，所述工控私有协议包括协议格式和扩展的检测逻辑；触发预设的Lua虚拟机启动，并加载定义的所述工控私有协议包括的协议格式和扩展的检测逻辑；基于预设的工控DPI引擎和所述Lua虚拟机实现协议的解析和检测。采用本发明所述的基于Lua的工控私有协议检测方法，能够从工控私有协议的定义到过滤规则的生成形成一体化过程，用户无需更多的介入，大大节省了用户的精力和时间，更加直观和易用性更强，且不需要公开私有协议内容，也不需要重新编码工控DPI引擎解码和检测逻辑。

技术领域

本发明实施例涉及工业控制网络安全技术领域，具体涉及一种基于Lua的工控私有协议检测方法和装置和一种基于Lua的工控私有协议定制方法和装置。另外，还涉及一种电子设备和存储介质。

背景技术

近年来，随着工业互联网技术的快速发展，工业化与信息化进程的不断融合，越来越多的信息技术应用到了工业领域。工业自动化是在工业生产中广泛采用自动控制、自动调整装置，用以代替人工操纵机器和机器体系进行加工生产的趋势。与此同时，由于工业控制系统广泛采用通用软硬件和网络设施以及与企业管理信息系统的集成，导致工业控制系统越来越开放，并且与企业内网和互联网产生了数据交换。所以针对工业控制设备开启了工控漏洞检测，针对工业控制设备的漏洞检测全球上比较权威的就是Wurldtech的Achilles，是针对工业控制设备对工控协议实现进行漏洞检测，然而目前很多工控协议都是私有协议对外并不公开，所以Achilles漏洞检测产品引入了用户自定义的功能以实现对私有协议的漏洞检测。现有的工业网络安全检测设备中，对于工控私有协议的检测大都是通过自学习或者自定义方式，形成工业控制网络的行为特征规则(一般是类似Snort的规则)，行为特征规则一般包括网络数据中的源IP，目的IP，协议名称，详细协议数据，然后逐渐生成特定场景的工业协议行为特征库，然后再利用工业DPI引擎和行为特征规则对工业现场网络进行检测。

但是，工业私有协议的检测通常需要DPI开发人员了解该协议的细节，然而对于工控场景中存在的大量工控私有协议，工控DPI引擎就不能够有效的对其控制细节进行监测，同时硬编码的协议定义在修改协议格式或者检测逻辑时，需要重新编码DPI并且升级工控DPI引擎版本，非常麻烦。对于采用类似Snort规则的表达方式，协议逻辑在表达上有限，目前采用自学习或者自定义的方式，完整而全面的学习过程很难界定，使用者在形成工控安全行为基线规则或者检测规则的基线上有较大的难度。

发明内容

为此，本发明实施例提供一种基于Lua的工控私有协议检测方法，以解决现有技术中工控私有协议检测方式繁琐，且效率低下，已经无法有效满足当前用户的实际需求的问题。

为了实现上述目的，本发明实施例提供如下技术方案：

第一方面，本发明实施例提供的一种基于Lua的工控私有协议检测方法，包括：利用UI组件以可视化的方式进行组态和Lua编程，定义工控私有协议；其中，所述工控私有协议包括协议格式和扩展的检测逻辑；触发预设的Lua虚拟机启动，并加载定义的所述工控私有协议包括的协议格式和扩展的检测逻辑；基于预设的工控DPI引擎和所述Lua虚拟机实现协议的解析和检测。

进一步的，所述利用UI组件以可视化的方式进行组态和Lua编程，定义工控私有协议，具体包括：预先生成基本逻辑单元组件；利用UI组件进行工控协议的组态定义，形成Lua脚本语言描述的协议格式；利用Lua脚本语言编程实现扩展的私有协议数据复杂检测逻辑；利用组态的方式形成工控协议的snort规则；利用Snort规则和扩展的关键字以及Lua脚本语言描述的协议格式进行组合形成工控协议安全规则。