[发明专利]一种工控入侵检测与审计方法和计算机可读存储介质

说明书

本申请提供一种工控入侵检测与审计方法和计算机可读存储介质，该方法包括获取检测报文所属的会话信息；根据检测报文所属的会话信息，确定检测报文所属的目标审计进程和目标入侵检测进程；将检测报文以及所属的会话信息发送给目标审计进程；获取目标审计进程返回的第一报文消息；其中，第一报文消息包括检测报文、所属的会话信息以及工控协议要素，工控协议要素通过目标审计进程根据检测报文以及所属的会话信息进行工控协议识别解析获得；将第一报文消息发送给目标入侵检测进程，以使目标入侵检测进程根据检测报文、工控协议要素以及预设的攻击检测规则库进行攻击入侵检测，从而极大地提高工控入侵检测与审计的可靠性。

技术领域

本申请涉及网络安全技术领域，具体而言，涉及一种工控入侵检测与审计方法和计算机可读存储介质。

背景技术

在工控环境中，工控入侵检测与审计设备从交换机镜像口采集工控流量，进行工控协议审计、工控协议入侵检测，作为工控环境的安全设备，其作用越来越大。

工控入侵检测与审计设备的两个核心功能，针对工控协议的协议审计、针对工控协议的入侵检测，这两个功能都涉及到工控协议的协议解析还原，因此，为提高处理性能，一般会把入侵检测、安全审计两个功能点放在同一个线程或者同一个进程中进行，以达到“一次协议解析，两次功能使用”的目的。

但是入侵检测和安全审计采用同一线程或进程时，当处理不当导致进程崩溃，则会导致入侵检测和安全审计所有业务中断，从而存在工控系统可靠性差的问题。

发明内容

本申请实施例的目的在于提供一种工控入侵检测与审计方法和计算机可读存储介质，用以解决目前工控入侵检测与审计设备采用同一进程带来的可靠性差的问题。

第一方面，本发明提供一种工控入侵检测与审计方法，该方法应用于综合调度单元，该方法包括：获取检测报文所属的会话信息；根据检测报文所属的会话信息，确定检测报文所属的目标审计进程和目标入侵检测进程；其中，每个会话信息对应一个审计进程和一个入侵检测进程，不同的会话信息对应的审计进程和入侵检测进程不同；将检测报文以及所属的会话信息发送给目标审计进程；获取目标审计进程返回的第一报文消息；其中，第一报文消息包括检测报文、所属的会话信息以及工控协议要素，工控协议要素通过目标审计进程根据检测报文以及所属的会话信息进行工控协议识别解析获得；将第一报文消息发送给目标入侵检测进程，以使目标入侵检测进程根据检测报文、工控协议要素以及预设的攻击检测规则库进行攻击入侵检测。

上述设计的工控入侵检测与审计方法，本方案通过综合调度单元实现报文信息的收集与分发，并管理入侵检测和安全审计两个业务的进程，并且本方案设计的综合调度单元管理的入侵检测与安全审计进程分别独立，使得即使一个业务进程崩溃也不会影响另外一个业务进行；同时每个会话信息均对应一个进程，使得即使一个会话信息的进程崩溃也不会影响到其他会话信息的安全审计与入侵检测，从而极大地提高工控入侵检测与审计的可靠性。

在第一方面的可选实施方式中，根据检测报文所属的会话信息，确定检测报文所属的目标审计进程和目标入侵检测进程，包括：判断检测报文所属的会话信息是否为已创建的会话信息；若判定检测报文所属的会话信息为已创建的会话信息，则获取检测报文所属的会话信息中的第一进程标识和第二进程标识；根据第一进程标识在多个审计进程中查找目标审计进程，并根据第二进程标识在多个入侵检测进程中查找目标入侵检测进程。

在第一方面的可选实施方式中，其中，会话信息包括检测报文所属的源IP地址和目的IP地址；在判断检测报文所属的会话信息是否为已创建的会话信息之后，该方法还包括：若判定检测报文所属的会话信息未创建，则获取当前审计进程的第一总个数以及当前入侵检测进程的第二总个数；根据第一总个数、检测报文所属的源IP地址以及目的IP地址，计算检测报文所属的目标审计进程；根据第二总个数、检测报文所属的源IP地址以及目的IP地址，计算检测报文所属的目标入侵检测进程。