[发明专利]用于网络入侵检测的系统、方法和器件

权利要求书

1.一种装置(205)，包括：

至少一个存储器(252)，配置为存储计算机可执行指令；以及至少一个处理器(250)，配置为访问所述至少一个存储器(252)并执行所述计算机可执行指令以：

识别(520)通信，所述通信包括(i)由所述装置(205)接收的通信或(ii)由所述装置(205)生成的通信中的一个；

识别与所述通信关联的类型；

至少部分基于所述所识别的类型来确定(525)用于所述通信的可接受内容的列表；

至少部分基于所述所确定的列表来分析(530)所述通信的内容；以及

至少部分基于所述分析来确定(535)所述内容是否为可接受的内容。

2.如权利要求1的所述的装置(205)，其中所述至少一个处理器(250)配置为通过执行所述计算机可执行指令以进行以下动作来识别与所述通信关联的所述类型：

识别(505)与所述通信关联的通信链路；以及

至少部分基于所述所识别的通信链路来识别所述类型。

3.如权利要求2所述的装置(205)，其中所述可接受内容的列表包括与(i)用于所述所识别的通信链路的所建立的标准、(ii)用于装置消息的所建立的标准、或(iii)用于装置消息元数据的所建立的标准中的至少一个关联的白名单。

4.如权利要求3所述的装置(205)，其中所述至少一个处理器(250)配置为通过执行所述计算机可执行指令来分析所述内容以确定所述内容是否遵从所述所建立的标准。

5.如权利要求1所述的装置(205)，其中所述至少一个处理器(250)配置为通过执行所述计算机可执行指令来分析所述内容以进行所述通信的深度包检验。

6.如权利要求1所述的装置(205)，其中确定所述内容是不可接受的内容，以及其中所述至少一个处理器(250)还配置为至少部分基于所述确定来执行所述计算机可执行指令以指示(540)控制动作。

7.如权利要求6所述的装置(205)，其中所述通信包括由所述装置(205)接收的通信，以及

其中所述至少一个处理器(250)还配置为执行所述计算机可执行指令以识别所述通信的始发装置作为无效装置。

8.如权利要求6所述的装置(205)，其中所述控制动作包括至管理控制器(225)的告警消息的所述通信。

9.如权利要求1所述的装置(205)，其中所述通信包括第一通信，以及

其中所述至少一个处理器(250)进一步配置为执行所述计算机可执行指令以：

接收(440)由另一装置(105)输出的告警消息，其中由所述另一装置(105)基于第二通信的分析来生成所述告警消息；以及

分析(445)所述告警消息以识别(450)安全风险。

10.如权利要求1所述的装置(205)，其中所述装置(205)包括以下之一：(i)变电站控制装置、(ii)变电站自动化装置、(iii)分布自动化装置、(iv)公用事业现场力量装置、(v)高级计量体系装置、(vi)工业控制装置、或(vii)医学装置。