[发明专利]工控网络异常检测方法、装置、电子设备及存储介质

权利要求书

1.一种工控网络异常检测方法，其特征在于，包括：

获取设定时段内工控网络的网络流量；

根据所述网络流量的不同指标，建立不同维度的工控基线；

根据所述不同维度的工控基线，检测所述工控网络是否异常。

2.如权利要求1所述的工控网络异常检测方法，其特征在于，所述工控基线包括会话基线、流量基线、指令基线中的至少之一；所述会话基线用于限制网络连接关系的正确性；所述流量基线用于限制流量比特率BPS大小的正确性；所述指令基线用于限制工控协议指令的正确性。

3.如权利要求2所述的工控网络异常检测方法，其特征在于，在所述工控基线包括会话基线时，根据所述网络流量的不同指标，建立不同维度的工控基线，包括：

解析所述网络流量，得到所述网络流量中携带的源IP地址、目的IP地址和目的端口，关联所述源IP地址、目的IP地址和目的端口生成所述会话基线；

根据所述不同维度的工控基线，检测所述工控网络是否异常，包括：

获取最新的网络流量；

解析所述最新的网络流量，得到所述最新的网络流量中携带的最新源IP地址、最新目的IP地址和最新目的端口；

若所述最新源IP地址、最新目的IP地址和最新目的端口，与所述会话基线中记载的所述源IP地址、目的IP地址和目的端口不匹配，确定所述工控网络异常。

4.如权利要求2所述的工控网络异常检测方法，其特征在于，在所述工控基线包括流量基线时，根据所述网络流量的不同指标，建立不同维度的工控基线，包括：

解析所述网络流量，得到所述网络流量中携带的目的IP地址、目的端口和指定时长内的流量BPS大小，关联所述目的IP地址、目的端口和指定时长内的流量BPS大小生成所述流量基线；

根据所述不同维度的工控基线，检测所述工控网络是否异常，包括：

获取最新的网络流量；

解析所述最新的网络流量，得到所述最新的网络流量中携带的最新目的IP地址、最新目的端口和最新流量BPS大小；

若所述流量基线中不存在所述最新目的IP地址和最新目的端口，或所述最新流量BPS大小与所述流量基线中存在的所述最新目的IP地址和最新目的端口对应的流量BPS大小不匹配，确定所述工控网络异常。

5.如权利要求2所述的工控网络异常检测方法，其特征在于，在所述工控基线包括指令基线时，根据所述网络流量的不同指标，建立不同维度的工控基线，包括：

解析所述网络流量，得到所述网络流量中携带的目的IP地址、目的端口和各工控协议承载的指令，关联所述目的IP地址、目的端口和所述指令生成所述指令基线；

根据所述不同维度的工控基线，检测所述工控网络是否异常，包括：

获取最新的网络流量；

解析所述最新的网络流量，得到所述最新的网络流量中携带的最新目的IP地址、最新目的端口和各工控协议承载的最新指令；

若所述指令基线中不存在所述最新目的IP地址和最新目的端口，或所述最新指令与所述指令基线中存在的所述最新目的IP地址和最新目的端口对应的指令不匹配，确定所述工控网络异常。

6.如权利要求1-5任一项所述的工控网络异常检测方法，其特征在于，所述获取设定时段内工控网络的网络流量，包括：

通过架设于所述工控网络的入口设备和所述工控网络的出口设备之间的旁路设备，获取设定时段内工控网络的网络流量。

7.一种工控网络异常检测方法，其特征在于，包括：

获取设定时段内工控网络的网络流量；

解析所述网络流量，得到所述网络流量中携带的目的IP地址、目的端口和指定时长内的流量比特率BPS大小，关联所述目的IP地址、目的端口和指定时长内的流量BPS大小生成流量基线；

根据所述流量基线检测所述工控网络是否异常。