[发明专利]一种工业流量检测的方法、装置、设备及介质

说明书

本公开提供一种工业流量检测的方法、装置、设备及介质，其中，工业流量检测方法包括：对工业流量中的报文进行协议识别，得到所述报文的协议，所述报文的协议用对应的协议号表示；根据所述报文的源地址、目的地址及所述协议号，在预生成的多级链表中查找第一级链表正式节点；若查找到第一级链表正式节点，则根据所述第一级链表正式节点的匹配深度，提取所述报文的深度内容特征；根据每级链表正式节点的匹配深度，将所述深度内容特征与所述多级链表中多个级别的链表正式节点的深度内容特征进行逐级匹配，若满足匹配条件，则允许报文通过。本公开通过提取工业流量中报文的深度内容特征，对工业流量进行解析和识别。

技术领域

本公开涉及工业安全技术领域，具体涉及一种工业流量检测的方法、装置、设备及介质。

背景技术

在工业生产中广泛应用工业控制系统，工业控制系统的工作过程会产生工业流量数据，为了确保工业生产的安全性和稳定性，需要对工业流量数据进行检测，判定工业流量数据是正常数据或异常数据。

现有的用于检测异常流量数据的技术主要可以分为三类：一是基于端口的方法，根据流量数据中的端口号来检查报文；二是基于流量特征统计的方法，通过机器学习算法将流量分为已知类别；三是基于原始有效载荷的方法，通过深度学习来学习流量数据的内在特征。以上三类方法均不能对动态端口报文、多协议共用端口报文进行准确检测，也不能对工业流量进行多级检测。

发明内容

有鉴于此，本公开至少提供一种工业流量检测的方法、装置、设备及介质，以有效解决工业流量检测中无法对动态端口报文、多协议共用端口报文进行准确区分的问题。

第一方面，提供一种工业流量检测的方法，所述方法包括：对工业流量中的报文进行协议识别得到所述报文的协议，所述报文的协议用对应的协议号表示；根据所述报文的源地址、目的地址及所述协议号，在预生成的多级链表中查找第一级链表正式节点；若查找到第一级链表正式节点，则根据所述第一级链表正式节点的匹配深度，提取所述报文的深度内容特征；根据每级链表正式节点的匹配深度，将所述深度内容特征与所述多级链表中多个级别的链表正式节点的深度内容特征进行逐级匹配，若满足匹配条件，则允许报文通过。

第二方面，提供一种工业流量检测装置，所述装置包括：协议识别模块，用于对工业流量中的报文进行协议识别得到所述报文的协议，所述报文的协议用对应的协议号表示；一级查找模块，用于根据所述报文的源地址、目的地址及所述协议号，在预生成的多级链表中查找第一级链表正式节点；特征提取模块，用于查找到第一级链表正式节点时，根据所述第一级链表正式节点的匹配深度，提取所述报文的深度内容特征；多级匹配模块，用于根据每级链表正式节点的匹配深度，将所述深度内容特征与所述多级链表中多个级别的链表正式节点的深度内容特征进行逐级匹配，若满足匹配条件，则允许报文通过。

第三方面，提供一种电子设备，所述设备包括存储器、处理器，所述存储器用于存储可在处理器上运行的计算机指令，所述处理器用于在执行所述计算机指令时实现本公开任一实施例所述的方法。

第四方面，提供一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现本公开任一实施例所述的方法。

本公开实施例依托检测设备中预先通过学习工业流量生成的多级链表，通过提取工业流量中报文的深度内容特征，对工业流量进行识别和解析，由于通过协议号而不是端口对报文进行标记，实现对动态端口报文和共用同一个端口的多种协议报文的检验，同时实现对工业流量多级匹配深度的检验。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本说明书。

附图说明

为了更清楚地说明本公开一个或多个实施例或相关技术中的技术方案，下面将对实施例或相关技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本公开一个或多个实施例中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。