[发明专利]一种基于工艺流程并网络流量的实时数据采集方法

权利要求书

1.一种基于工艺流程并网络流量的实时数据采集方法，其特征在于，所述方法包括以下过程：

在工业控制网络交换机进行网络流量镜像采集，进行旁路部署获取工业旁路流量；将采集流量引入Suricata流量分析引擎框架，Suricata对流经流量进行数据采集操作；基于Suricata流量分析引擎，针对不同工艺采用的不同工控协议进行协议解析；对Suricata协议解析日志通过Logstash进行日志数据收集，并将收集数据转存至ElasticSearch数据库；基于工艺流程，将工艺控制变量与协议解析所得参数进行匹配，并进行可视化界面展示；

通过对工业控制网络核心交换机进行流量镜像处理，对通过核心交换机的全流量进行采集；

通过Suricata框架对流量进行数据采集，流量通过Suricata解析框架进行协议识别，Suricata可具备识别HTTP, SSL, SMTP, FTP, SSH, DNS协议，识别Modbus，S7工控协议。

2.根据权利要求1所述的一种基于工艺流程并网络流量的实时数据采集方法，其特征在于，所述针对不同工控采用的不同工控协议与其对应的Suricata解析框架也不同，需根据工艺信息进一步配置。

3.根据权利要求1所述的一种基于工艺流程并网络流量的实时数据采集方法，其特征在于，所述Suricata对流经流量进行数据采集操作，采集流量通过Suricata解析框架进行协议解析，解析流经数据包的时间戳、源端口、源IP、目的端口、目的IP、传输协议信息。

4.根据权利要求1所述的一种基于工艺流程并网络流量的实时数据采集方法，其特征在于，所述协议解析包括对工控协议的语句级解析，通过对工控环境数据包提取，并结合工艺流程，分析工艺参数对应的数据包及具体数据所在片段，并通过修改Suricata框架，将具体参数名及对应参数以日志形式输出。

5.根据权利要求1所述的一种基于工艺流程并网络流量的实时数据采集方法，其特征在于，所述日志数据收集过程包括通过Logstash将Suricata输出日志进行缓存，以及格式转换，然后存入ElasticSearch数据库。

6.根据权利要求5所述的一种基于工艺流程并网络流量的实时数据采集方法，其特征在于，所述存入ElasticSearch数据库，包括存入数据库的协议解析参数与工艺流程控制变量相对应，通过查看工艺变量名称便可查看其关联协议解析变量。

7.根据权利要求6所述的一种基于工艺流程并网络流量的实时数据采集方法，其特征在于，所述工艺变量信息包含：变量名称、数据类型、格式、地址信息、数值。

8.根据权利要求5所述的一种基于工艺流程并网络流量的实时数据采集方法，其特征在于，所述存入ElasticSearch数据库中存储的工业变量信息及其关联的协议解析参数通过web前端界面进行分组处理并实时展示。