[发明专利]一种基于最优通信路径的工业网络防御方法和系统

权利要求书

1.一种基于最优通信路径的工业网络防御方法，其特征在于，包括如下步骤：

步骤S1：获取当前工控系统的网络拓扑图；

步骤S2：从步骤S1获取的网络拓扑图中提取所有的终端设备节点，使用设备关键性评估方法PIEU获取所提取的终端设备节点的关键程度，并为终端设备节点的关键程度分配对应的指标值，将所有终端设备节点两两组合成节点对，并按节点对中两个终端设备节点的指标值之和大小，对节点对进行降序排列；

步骤S3：按步骤S2得到的排列顺序，重复使用最短路径查找算法SPFA获取每个节点对通信时的最优通信路径。

2.根据权利要求1所述的基于最优通信路径的工业网络防御方法，其特征在于，步骤S1包括以下子步骤：

S101：获取工业网络所处局域网的网段号，并向该网段号内的所有设备节点发送状态确认请求，并根据所有设备节点收到该状态确认请求后返回的响应信息，确定该网段号内所有处于开机状态的设备节点，并获取所有处于开机状态的设备节点的IP地址；

S102：获取步骤S101中确定的所有处于开机状态的设备节点的基本信息；

S103：根据步骤S101得到的所有处于开机状态的设备节点的IP地址对每个设备节点进行路由追踪操作，以获得到达所有处于开机状态的设备节点的完整路径信息；

S104：根据步骤S102获得的所有处于开机状态的设备节点的设备类型，在预先设置的、可缩放的矢量图形格式SVG的设备图标库中获取所有处于开机状态的设备节点的图标，并利用获取的这些图标、步骤S102获得的所有处于开机状态的设备节点的基本信息、以及步骤S103获得的完整路径信息，使用Python pyecharts工具库的关系图功能模块生成工控系统的网络拓扑图。

3.根据权利要求1或2所述的基于最优通信路径的工业网络防御方法，其特征在于，

工控系统中的设备节点是服务器、客户端、工控设备、路由器、或交换机；

终端设备节点是客户端、服务器、或工控设备；

设备节点的基本信息包括设备节点的MAC地址、操作系统信息、设备名称、工作组信息、以及设备类型。

4.根据权利要求2所述的基于最优通信路径的工业网络防御方法，其特征在于，

步骤S101具体是根据互联网控制报文协议ICMP并利用Python Scapy工具库构造状态确认请求报文并发送给设备节点，并从设备节点返回的响应信息中获取设备节点的IP地址；

步骤S102具体是通过地址解析协议ARP获取设备节点的MAC地址；通过简单网络管理协议SNMP获取开通SNMP服务的设备节点的设备类型和操作系统信息，通过网上基本输入输出系统NETBIOS协议获取设备名称和工作组信息；

步骤S103具体是根据网际互连协议IP构造数据报文并将其发送给该设备节点，从该设备节点回应的答复报文中截取出路由信息，所有设备节点对应的路由信息构成完整路径信息。

5.根据权利要求2所述的基于最优通信路径的工业网络防御方法，其特征在于，步骤S3包括以下子步骤：

S301：对步骤S1获得的网络拓扑图上的设备节点进行漏洞扫描，根据扫描发现的已知漏洞，采用线性加权的方式确定每个设备节点的已知漏洞指数值；

S302：对步骤S1获得的网络拓扑图上的设备节点进行漏洞挖掘，根据挖掘过程发现的未知漏洞的通用漏洞评分系统CVSS值确定每个设备节点的未知漏洞指数值；

S303：对步骤S1获得的网络拓扑图上的设备节点进行安全功能测试，并根据测试结果确定每个设备节点的安全功能指数值；

S304：根据设备节点在步骤S301确定的已知漏洞指数值、步骤S302确定的未知漏洞指数值和步骤S303确定的安全功能指数值，最终确定每个设备节点的安全性系数；

S305：从步骤S1获得的网络拓扑图中提取图数据结构；

S306：按步骤S2排列的节点对顺序，重复使用SPFA算法在步骤S305提取的图数据结构上进行节点对间通信路径的搜索，以获取每个节点对的最优通信路径。