[发明专利]工控流量监测方法、设备、存储介质及装置

权利要求书

1.一种工控流量监测方法，其特征在于，应用于旁路监听服务器，其中，所述旁路监听服务器通过交换机镜像端口与工控网络中的交换机连接，所述工控流量监测方法包括以下步骤：

基于所述网络交换机镜像端口获取所述工控网络中的交换机的工控流量匹配的镜像流量；

对所述镜像流量进行异常检测，以确定所述工控流量中是否存在异常流量；

若所述工控流量中存在异常流量，则通知所述工控网络中的交换机进行安全防控。

2.如权利要求1所述的工控流量监测方法，其特征在于，所述对所述镜像流量进行异常检测，以确定所述工控流量中是否存在异常流量的步骤还包括：

对所述镜像流量进行协议分析，以获取所述工控流量对应的至少一工控协议报文；

分别对各所述工控协议报文进行报文解析，以获取各所述工控协议报文中携带的至少一功能码；

将各所述功能码与预设功能码黑名单进行匹配，生成第一匹配结果；

判断与各所述功能码分别对应的第一匹配结果中是否存在第一目标匹配结果，其中，所述第一目标匹配结果为匹配成功；

若存在第一目标匹配结果，则判定所述工控流量中存在异常流量，并将所述第一目标匹配结果对应的工控协议报文作为异常流量；以及，

若不存在第一目标匹配结果，判定所述工控流量中不存在异常流量。

3.如权利要求1所述的工控流量监测方法，其特征在于，所述对所述镜像流量进行异常检测，以确定所述工控流量中是否存在异常流量的步骤还包括：

对所述镜像流量进行数据请求分析，以获取所述工控流量对应的至少一数据请求；

判断所述至少一数据请求中是否存在异常数据请求；

若存在异常数据请求，则判定所述工控流量中存在异常流量，并将所述异常数据请求为异常流量；以及，

若不存在异常数据请求，则判定所述工控流量中不存在异常流量。

4.如权利要求1所述的工控流量监测方法，其特征在于，所述对所述镜像流量进行异常检测，以确定所述工控流量中是否存在异常流量的步骤还包括：

对所述镜像流量进行数据报文分析，以获取所述工控流量对应的至少一数据报文；

分别对各所述数据报文进行报文解析，以获取各所述数据报文中携带的至少一数据包；

统计各所述数据包的字符长度；

判断各所述数据包的字符长度中是否存在异常字符长度；

若存在异常字符长度，则判定所述工控流量中存在异常流量，并将所述异常字符长度对应的数据包对应的数据报文作为异常流量；以及，

若不存在异常字符长度，则判定所述工控流量中不存在异常流量。

5.如权利要求1所述的工控流量监测方法，其特征在于，所述对所述镜像流量进行异常检测，以确定所述工控流量中是否存在异常流量的步骤还包括：

对所述镜像流量执行指定IP查询操作，以获取所述工控流量中各源IP的端口信息；

根据所述各源IP的端口信息确定所述工控流量中是否存在异常流量。

6.如权利要求1至5任一项所述的工控流量监测方法，其特征在于，所述若所述工控流量中存在异常流量，则通知所述工控网络中的交换机进行安全防控的步骤包括：

若所述工控流量中存在异常流量，则发送部署方案获取请求至所述工控网络中的交换机；

接收所述工控网络中的交换机反馈的工控网络部署方案；

根据所述异常流量及所述工控网络部署方案生成第一安全防控策略；

发送所述第一安全防控策略至所述工控网络中的交换机，以通知所述工控网络中的交换机进行安全防控。

7.如权利要求6所述的工控流量监测方法，其特征在于，所述根据所述异常流量及所述工控网络部署方案生成第一安全防控策略的步骤包括：

若所述异常流量为第一目标匹配结果对应的工控协议报文，则根据所述工控网络部署方案确定所述第一目标匹配结果对应的工控协议报文对应的协议报文发送端及协议报文接收端；

根据所述协议报文发送端及协议报文接收端生成第一安全防控策略。