[发明专利]报文识别方法、装置、终端设备以及存储介质

权利要求书

1.一种报文识别方法，其特征在于，所述报文识别方法包括以下步骤：

获取待识别的工业网络报文；

将所述待识别的工业网络报文结合预设的工业敏感操作特征库进行敏感操作比对检测，得到工业敏感操作检测结果；所述预设的工业敏感操作特征库包含工业协议特征信息和工业敏感操作特征信息。

2.如权利要求1所述的报文识别方法，其特征在于，所述获取待识别的工业网络报文的步骤之前还包括：

在离线状态下，对预先采集的工业网络样本报文进行特征提取，建立工业敏感操作特征库。

3.如权利要求2所述的报文识别方法，其特征在于，所述在离线状态下，对预先采集的工业网络样本报文进行特征提取，建立工业敏感操作特征库的步骤包括：

在离线状态下，从所述预先采集的工业网络样本报文中提取工业协议特征信息和工业敏感操作报文；

从所述工业敏感操作报文中提取工业敏感操作特征信息；

将所述工业协议特征信息和所述工业敏感操作特征信息融合，建立工业敏感操作特征库。

4.如权利要求1所述的报文识别方法，其特征在于，所述将所述待识别的工业网络报文结合预设的工业敏感操作特征库进行敏感操作比对检测，得到工业敏感操作检测结果的步骤包括：

将所述待识别的工业网络报文进行特征提取，获取待比对检测的特征信息；将所述待比对检测的特征信息结合所述工业协议特征信息和所述工业敏感操作特征信息进行多线程一次性敏感操作比对检测，得到工业敏感操作检测结果；或

将所述工业协议特征信息和所述工业敏感操作特征信息使用超有限自动机进行加载，得到加载结果；

将所述待比对检测的特征信息结合所述加载结果进行一次性敏感操作比对检测，得到工业敏感操作检测结果。

5.如权利要求4所述的报文识别方法，其特征在于，所述将所述工业协议特征信息和所述工业敏感操作特征信息使用超有限自动机进行加载，得到加载结果再将所述特征信息结合所述加载结果进行一次性敏感操作比对检测，得到工业敏感操作检测结果的步骤包括：

将所述工业协议特征信息和所述工业敏感操作特征信息通过超有限自动机进行编译压缩，生成有向图；

将所述特征信息结合所述有向图进行一次性敏感操作比对检测，获得工业敏感操作检测结果。

6.如权利要求1所述的报文识别方法，其特征在于，所述将所述工业网络报文结合预设的工业敏感操作特征库进行敏感操作比对检测，得到工业敏感操作检测结果的步骤之后还包括：

若基于所述工业敏感操作检测结果识别所述工业网络报文是工业敏感操作报文，则记录所述工业网络报文；

基于所述工业网络报文输出告警；或

阻断所述工业网络报文的传输过程。

7.如权利要求1所述的报文识别方法，其特征在于，所述将所述工业网络报文结合预设的工业敏感操作特征库进行敏感操作比对检测，得到工业敏感操作检测结果的步骤之后还包括：

若基于所述工业敏感操作检测结果识别所述工业网络报文不是工业敏感操作报文，则对所述工业网络报文不作传输约束。

8.一种报文识别装置，其特征在于，所述报文识别装置包括：

获取模块，用于获取待识别的工业网络报文；

检测模块，用于将所述待识别的工业网络报文结合预设的工业敏感操作特征库进行敏感操作比对检测，得到工业敏感操作检测结果。

9.一种终端设备，其特征在于，所述终端设备包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的报文识别程序，所述报文识别程序被所述处理器执行时实现如权利要求1-7中任一项所述的报文识别方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有报文识别程序，所述报文识别程序被处理器执行时实现如权利要求1-7中任一项所述的报文识别方法的步骤。