[发明专利]一种工控安全态势感知方法、装置及介质

权利要求书

1.一种工控安全态势感知方法，其特征在于，包括：

分别建立通信行为基线和工控行为基线；

采集工控系统的流量数据；

将所述流量数据解析为网络通信数据和工控协议数据；

在所述网络通信数据不符合所述通信行为基线或所述工控协议数据不符合所述工控行为基线的情况下，确定异常行为；

确定异常行为后，包括：

识别与所述异常行为对应的资产；

获取与所述资产直接关联的范围；

根据所述范围发送第二告警信号并在可视化界面中显示；

设置各所述异常行为与用于表征各所述异常行为对应后果的各告警数据的第一对应关系；

依据所述第一对应关系在可视化界面中显示与所述异常行为对应的目标告警数据。

2.根据权利要求1所述的工控安全态势感知方法，其特征在于，所述分别建立通信行为基线和工控行为基线，包括：

获取预设时间内所述流量数据中的正常流量数据；

将所述正常流量数据解析为正常网络通信数据和正常工控协议数据；

根据所述正常网络通信数据建立所述通信行为基线；

根据所述正常工控协议数据建立所述工控行为基线。

3.根据权利要求1或2所述的工控安全态势感知方法，其特征在于，在所述网络通信数据不符合所述通信行为基线或所述工控协议数据不符合所述工控行为基线的情况下，确定异常行为后，还包括：

根据预先设置的报警策略发送第一告警信号。

4.根据权利要求2所述的工控安全态势感知方法，其特征在于，所述根据所述正常网络通信数据建立所述通信行为基线前，还包括：

对所述正常网络通信数据和所述正常工控协议数据进行预处理。

5.根据权利要求1所述的工控安全态势感知方法，其特征在于，还包括：

设置各所述网络通信数据与各通信资产的第二对应关系和各所述工控协议数据与各工控资产的第三对应关系；

根据所述第二对应关系和所述第三对应关系，在可视化界面中显示与所述异常行为对应的目标通信资产和目标通信行为或与所述异常行为对应的目标工控资产和目标工控行为。

6.一种工控安全态势感知装置，其特征在于，包括：

第一建立模块，用于分别建立通信行为基线和工控行为基线；

采集模块，用于采集工控系统的流量数据；

第一解析模块，用于将所述流量数据解析为网络通信数据和工控协议数据；

确定模块，用于在所述网络通信数据不符合所述通信行为基线或所述工控协议数据不符合所述工控行为基线的情况下，确定异常行为；

识别模块，用于识别与异常行为对应的资产；

第二获取模块，用于获取与资产直接关联的范围；

第二发送模块，用于根据范围发送第二告警信号并在可视化界面中显示；

还包括：

第一设置模块，用于设置各异常行为与用于表征各异常行为对应后果的各告警数据的第一对应关系；

第一显示模块，用于依据第一对应关系在可视化界面中显示与异常行为对应的目标告警数据。

7.一种工控安全态势感知装置，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至5任一项所述的工控安全态势感知方法的步骤。

8.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至5任一项所述的工控安全态势感知方法的步骤。