[发明专利]面向工业控制网络的安全数据采集与异常检测方法与系统

摘要

本发明公开了一种面向工业控制网络的安全数据采集与异常检测方法与系统，该方法包括安全数据采集与异常检测两部分。安全数据采集基于弹性采集策略采集工业控制网络中多层次、多种类的安全数据，并形成统一格式的安全报文。异常检测对安全报文进行分析，通过配置基线检测发现工业控制网络中资产配置异常，通过控制操作一致性检测发现工业控制网络中的操作行为异常。本发明面向工业控制网络，能够在保障工业控制网络可用性和可靠性的基础上，提升工业控制网络抵抗APT攻击的能力。

主权项

1.一种面向工业控制网络的安全数据采集与异常检测方法，其特征在于，包括安全数据采集步骤和异常检测步骤；所述安全数据采集步骤以工业控制网络中的资产为采集目标，基于弹性数据采集策略进行多种类数据采集和多层次数据采集，并生成安全报文，将安全报文储存在分布式数据库中；所述异常检测步骤对安全报文进行资产配置基线检测和控制操作一致性检测，并实时输出异常检测结果；所述多种类数据采集包含针对主机类设备的多类型数据采集、针对网络类设备的多类型数据采集以及针对控制类设备的多类型数据采集；所述针对控制类设备的多种类数据采集是采集资产的硬件型号信息、设备组态信息和I/O点数据变化信息；所述弹性数据采集策略根据资产的功能、用途及安全等级确定初始的数据种类和数据采集频率，并根据被采集对象的运行负荷以及当前网络的拥塞状况动态调整数据采集策略：如果被采集对象的运行负荷超过阈值，或者当前网络持续拥塞，则减少采集的数据种类并降低数据采集频率，以优先保证工业控制网络的可用性；所述控制操作一致性检测针对关键操作命令在控制子网安全报文、监管子网安全报文和业务子网安全报文之间建立关联关系，并检测被关联报文中操作数据的一致性，如果操作数据存在不一致，则触发操作异常报警。