[发明专利]报文检测方法、装置、系统及存储介质

说明书

本申请公开一种报文检测方法、装置、系统及存储介质，该方法包括：接收多路工业现场总线信号；对所述多路工业现场总线信号进行在线实时解码得到报文数据；根据所述报文数据判断是否存在恶意的总线网络入侵行为。相比现有的总线诊断工具，本申请方案可以更有效的对工业现场总线网络的报文进行检测，提升了工业现场总线网络的信息安全，满足了工业现场总线网络的安全防护需求。

技术领域

本申请涉及工业控制技术领域，尤其涉及一种报文检测方法、装置、系统及存储介质。

背景技术

随着自动化技术的发展，现场总线技术被广泛应用于工业控制系统中，它将控制器、输入和输出模块、传感器和执行机构等现场设备相互连接，构成了现场总线控制系统。当前市场主流现场总线系统包括:Profibus、Modbus、CAN、FF等。此外，市场上还存在一些针对特定行业应用而开发的行业性较强的特殊现场总线规范，如构成列车通信网络的WTB及MVB总线。

对于不同种类的现场总线，当前市场上已有厂商推出针对特定总线的诊断工具，例如对于市场保有量较大、应用较广泛的Profibus-DP总线的诊断工具等。这些诊断工具通常由PC端诊断程序和专用总线接口模块组成。总线接口模块一端接入现场总线系统，一端通过USB端口与PC机相连，完成从总线上获取报文，并将总线报文通过 USB端口传送给PC端诊断程序。最后由运行在PC上的诊断程序完成总线诊断功能。

由于功能定位等因素，现有技术的主要局限在于：

1.总线诊断工具仅适用于检测工业现场总线运行中的常规通信错误，而不能监测识别恶意的总线入侵行为并报警；

2.总线诊断工具一般是针对某种特定的现场总线而设计，无法同时监测多种现场总线；

3.总线诊断工具通常采用“实时获取总线报文-离线解析”的方式完成诊断功能，无法反应现场总线的实时运行状态；

4.诊断工具通常仅在需要分析已发生的总线错误时使用，而错误的重现通常是困难的。当总线网络发生不可重现的瞬时错误时，诊断工具所能起到作用将变得微乎其微；

5.恶意的总线入侵行为通常是不可预知、不可复现的，因而试图通过诊断工具发现恶意入侵行为的方法是不可行的。

综上所述，现有的总线诊断技术并不能适用于工业现场总线网络的信息安全防护。

发明内容

本申请的主要目的在于提供一种适用于工业现场总线网络的报文检测方法、装置、系统及存储介质，旨在提升工业现场总线网络的信息安全。

为实现上述目的，本申请提供一种报文检测方法，所述方法应用于报文检测装置，所述方法包括以下步骤：

接收多路工业现场总线信号；

对所述多路工业现场总线信号进行在线实时解码得到报文数据；

根据所述报文数据判断是否存在恶意的总线网络入侵行为。

可选地，所述接收多路工业现场总线信号的步骤之后还包括：

对所述工业现场总线信号进行电平转换；

所述对所述多路工业现场总线信号进行在线实时解码得到报文数据的步骤包括：

对电平转换后的多路工业现场总线信号进行在线实时解码得到报文数据。

可选地，所述根据所述报文数据判断是否存在恶意的总线网络入侵行为的步骤包括：

采用深度报文检测技术，将所述报文数据与预设的恶意特征库比对；

根据比对结果检测是否存在隐藏在所述报文数据中的恶意代码攻击。

可选地，所述方法还包括：

在检测到所述报文数据存在恶意的总线网络入侵行为时进行报警。

可选地，所述在检测到所述报文数据存在恶意的总线网络入侵行为时进行报警的步骤包括：