[发明专利]一种交换机信息采集分析系统及方法

权利要求书

1.一种交换机信息采集分析系统，其特征在于：包括若干交换机、与所述交换机连接的采集单元一、采集单元二、重组单元、分析单元、存储单元和展示模块；

所述采集单元一采集交换机的拓扑信息、运行信息、操作行为和安全事件，采集单元二接收交换机的安全事件；采集单元一将采集到的拓扑信息直接存入存储单元，供展示模块调用，其他采集信息分别由采集单元一和采集单元二传输给重组单元；

重组单元用于对采集到的数据报文依据过滤规则甄别和筛选，并按照预定的日志规范进行报文重组，得到格式化的日志信息；重组单元通过消息总线将格式化的日志信息发送给分析单元；

分析单元用于对格式化的日志信息进行安全分析，将分析结果存入存储单元；

所述拓扑信息获取过程如下：

将交换机设备信息录入存储单元的交换机设备资产表和交换机SNMP参数表；

由展示模块优先绘制出交换机设备，默认为离线状态，离线设备以颜色填充；

采集单元一检测交换机是否在线，若在线状态则实时更新至存储单元的交换机设备资产表，由展示模块获取在线状态并以颜色填充在线交换机；

读取在线交换机SNMP参数，存入交换机SNMP参数表；

5）读取在线设备每个网口的MAC地址表获取对端设备MAC地址，通过比对系统交换机设备资产表中所有主机设备的MAC地址来判断此MAC地址是否合法，分别绘制合法主机设备和非法主机设备，并绘制连线连接所属交换机。

2.根据权利要求1所述的一种交换机信息采集分析系统，其特征在于：采集方式分别为：

采集单元一通过SNMP TRAP方式被动接收交换机的部分安全事件和所有操作行为信息，其中部分安全事件包括：IP、MAC地址冲突和非法设备接入；

采集单元一通过SNMP协议主动轮询交换机的拓扑信息，通过SNMP、IP协议族命令结合存储单元的交换机设备资产表自动发现系统内的交换机、与交换机相连的活跃主机设备以及它们之间的互连关系；同时，采集单元一还可通过SNMP协议主动轮询交换机运行信息以及安全事件类的部分信息，安全事件类的部分信息包括CPU利用率超过阈值和内存使用率超过阈值；

采集单元二通过SYSLOG协议被动接收交换机的其余安全事件，包括电源模块故障和CPU温度超过阈值。

3.一种交换机信息采集分析方法，其特征是：包括步骤：

步骤一，采集工业控制系统内部交换机的相关信息；

步骤二，通过对采集到的交换机相关信息依据过滤规则甄别和筛选，并按照交换机日志规范进行报文重组，得到格式化的日志信息；

步骤三，将重组后的格式化日志信息发送至消息总线，对其进行安全分析后将分析结果存入存储单元；

所述相关信息包括交换机的拓扑信息，所述拓扑信息获取过程如下：

1）将交换机设备信息录入交换机设备资产表和交换机SNMP参数表；

2）优先绘制出交换机设备，默认为离线状态，离线设备以颜色填充；

3）检测交换机是否在线，若在线状态则实时更新至交换机设备资产表，获取在线状态并以颜色填充在线交换机；

4）读取在线交换机SNMP参数，存入交换机SNMP参数表；

5）读取在线设备每个网口的MAC地址表获取对端设备MAC地址，通过比对交换机设备资产表中所有主机设备的MAC地址来判断此MAC地址是否合法，分别绘制合法主机设备和非法主机设备，并绘制连线连接所属交换机。

4.根据权利要求3所述的一种交换机信息采集分析方法，其特征是：所述相关信息包括交换机的安全事件，所述安全事件包括下述中的一种：IP、MAC地址冲突、电源模块故障、CPU温度超过阈值、CPU利用率超过阈值、内存使用率超过阈值以及非法设备接入。

5.根据权利要求3所述的一种交换机信息采集分析方法，其特征是：所述相关信息包括交换机的操作行为，所述操作行为包括下述中的一种：用户、口令管理、用户登录、用户操作。