[发明专利]报文识别方法、装置、终端设备以及存储介质

说明书

本发明公开了一种报文识别方法、装置、终端设备以及存储介质，所述报文识别方法涉及网络安全领域，所述报文识别方法在建立工业敏感操作特征库的前提下，通过获取待识别的工业网络报文，将所述待识别的工业网络报文结合所述工业敏感操作特征库进行敏感操作比对检测，得到工业敏感操作检测结果，若基于所述工业敏感操作检测结果识别所述工业网络报文是工业敏感操作报文，则对所述工业网络报文进行处理。本发明解决了识别报文中的敏感操作耗时过长的技术问题，在兼顾工业生产安全性的前提下保障了工业生产的正常运行。

技术领域

本发明涉及网络安全领域，尤其涉及一种报文识别方法、装置、终端设备以及存储介质。

背景技术

随着互联网技术在工业生产中日益普及，工业生产也不得不面临各种各样的网络安全问题。其中一种网络安全问题就是，攻击者通过入侵网络，在网络中对工业执行设备下发危险或不合规范的敏感操作，这些敏感操作大部份会直接影响甚至破坏工业生产，造成巨大经济损失。为确保工业生产免受此种攻击或威胁，在工业网络报文中有必要对这些工业敏感操作进行识别和处理。

现有技术中通用的工业报文识别方法，是先通过端口号或特征比对的方式来识别工业网络报文中的工业协议，再根据识别的工业协议规约对协议进行解析，然后再将解析出来的工业操作指令逐一比对，以获取是否为敏感操作。这种方式需要进行协议识别、协议解析、指令匹配三次操作，大大消耗了检测的时间，而对于工业生产网络其中一个指标就是实时性要求较高，所以现有技术对于工业报文中敏感操作的识别方法会对工业生产造成较大影响，甚至因为指令执行不及时而导致生产停产等重大事故。因此，现有技术的应用具有一定的局限性。

上述内容仅用于辅助理解本发明的技术方案，并不代表承认上述内容是现有技术。

发明内容

本发明的主要目的在于提供一种报文识别方法、装置、终端设备以及存储介质，旨在解决识别报文中的敏感操作耗时过长的技术问题。

为实现上述目的，本发明提供一种报文识别方法，所述报文识别方法包括：

获取待识别的工业网络报文；

将所述待识别的工业网络报文结合预设的工业敏感操作特征库进行敏感操作比对检测，得到工业敏感操作检测结果；所述预设的工业敏感操作特征库包含工业协议特征信息和工业敏感操作特征信息。

可选地，所述方法还包括：

若基于所述工业敏感操作检测结果识别所述工业网络报文是工业敏感操作报文，则对所述工业网络报文进行处理。

可选地，所述获取待识别的工业网络报文的步骤之前还包括：

在离线状态下，对预先采集的工业网络样本报文进行特征提取，建立工业敏感操作特征库。

可选地，所述在离线状态下，对预先采集的工业网络样本报文进行特征提取，建立工业敏感操作特征库的步骤包括：

在离线状态下，从所述预先采集的工网络样本报文中提取工业协议特征信息和工业敏感操作报文；

从所述工业敏感操作报文中提取工业敏感操作特征信息；

将所述工业协议特征信息和所述工业敏感操作特征信息融合，建立工业敏感操作特征库。

可选地，所述将所述待识别的工业网络报文结合预设的工业敏感操作特征库进行敏感操作比对检测，得到工业敏感操作检测结果的步骤包括：

将所述待识别的工业网络报文进行特征提取，获取待比对检测的特征信息；所述待比对检测的特征信息包括工业协议特征信息和工业敏感操作特征信息；

获取预设的工业敏感操作特征库内的工业协议特征信息和工业敏感操作特征信息；

做如下处理：

将所述特征信息结合所述工业协议特征信息和所述工业敏感操作特征信息进行多线程一次性敏感操作比对检测，得到工业敏感操作检测结果；或