[发明专利]工控流量监测方法、设备、存储介质及装置

说明书

本发明公开了一种工控流量监测方法、设备、存储介质及装置，相较于现有的仅对工控流量的流量大小进行异常监测，本发明中，通过基于网络交换机镜像端口获取工控网络中的交换机的工控流量匹配的镜像流量；对镜像流量进行异常检测，以确定工控流量中是否存在异常流量；若工控流量中存在异常流量，则通知工控网络中的交换机进行安全防控，通过网络交换机镜像端口来获取工控网络中的交换机的工控流量匹配的镜像流量，可实现在不破坏工控网络的工作状态下对工控流量进行深层次异常检测分析，从而优化工控流量监测过程，进一步提高安全防控效果。

技术领域

本发明涉及工控技术领域，尤其涉及一种工控流量监测方法、设备、存储介质及装置。

背景技术

目前，目前市面上有很多针对传统互联网流量的异常流量监测系统，传统互联网流量的异常流量检测手段一般包括异常域名、异常URL、异常DNS等检测手段，而针对工控流量，由于工业控制中的工控流量大多是由工控设备按照生产工艺自动产生，与大部分由人为产生的互联网流量有极大的区别，因此传统的互联网流量检测手段无法检测出工控流量中的异常流量。

从工控流量中发现异常流量是保护工控系统的手段之一，因此充分了解工业控制系统流量的特点有利于更好地开发有效的威胁检测手段。目前大部分的研究都是基于在不同时间尺度上对工控流量波动幅度进行周期性观察，仅仅是对工控流量的流量大小进行异常监测，却没有对工控流量进行深层次监测分析。

上述内容仅用于辅助理解本发明的技术方案，并不代表承认上述内容是现有技术。

发明内容

本发明的主要目的在于提供一种工控流量监测方法、设备、存储介质及装置，旨在解决如何优化工控流量监测过程的技术问题。

为实现上述目的，本发明提供一种工控流量监测方法，应用于旁路监听服务器，其中，所述旁路监听服务器通过交换机镜像端口与工控网络中的交换机连接，所述工控流量监测方法包括以下步骤：

基于所述网络交换机镜像端口获取所述工控网络中的交换机的工控流量匹配的镜像流量；

对所述镜像流量进行异常检测，以确定所述工控流量中是否存在异常流量；

若所述工控流量中存在异常流量，则通知所述工控网络中的交换机进行安全防控。

此外，为实现上述目的，本发明还提出一种工控流量监测设备，所述工控流量监测设备包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的工控流量监测程序，所述工控流量监测程序配置为实现如上文所述的工控流量监测方法的步骤。

此外，为实现上述目的，本发明还提出一种存储介质，所述存储介质上存储有工控流量监测程序，所述工控流量监测程序被处理器执行时实现如上文所述的工控流量监测方法的步骤。

此外，为实现上述目的，本发明还提出一种工控流量监测装置，所述工控流量监测装置包括：获取模块、检测模块和防控模块；

获取模块，用于基于所述网络交换机镜像端口获取所述工控网络中的交换机的工控流量匹配的镜像流量；

检测模块，用于对所述镜像流量进行异常检测，以确定所述工控流量中是否存在异常流量；

防控模块，用于若所述工控流量中存在异常流量，则通知所述工控网络中的交换机进行安全防控。

本发明提出的工控流量监测方法，通过基于网络交换机镜像端口获取工控网络中的交换机的工控流量匹配的镜像流量；对镜像流量进行异常检测，以确定工控流量中是否存在异常流量；若工控流量中存在异常流量，则通知工控网络中的交换机进行安全防控，相比现有技术中仅对工控流量的流量大小进行异常监测，本发明提出的工控流量监测方法通过网络交换机镜像端口来获取工控网络中的交换机的工控流量匹配的镜像流量，可实现在不破坏工控网络的工作状态下对工控流量进行深层次异常检测分析，从而优化工控流量监测过程，进一步提高安全防控效果。