[发明专利]一种交换机信息采集分析系统及方法

说明书

本发明公开了一种交换机信息采集分析系统及方法，通过三种方式采集工业控制系统内部交换机的所有信息；对采集到的数据报文依据过滤规则甄别和筛选，并按照预定的日志规范进行报文重组；将重组后的格式化日志发送至消息总线，由分析单元消费后进行安全分析，将分析结果存入存储单元。本方法可兼容市面上大多数厂商及型号的交换机，实现对工业控制系统内交换机设备的实时监测与预警。

技术领域

本发明涉及信息安全技术领域，具体涉及一种交换机信息采集分析系统及方法。

背景技术

随着计算机及网络技术的快速发展，网络攻击技术也同样发展迅速。近年来，国际上相继发生乌克兰大面积停电(2015年)、美国东部互联网服务瘫痪(2016年)、全球爆发勒索病毒(2017年)等事件，皆造成了相当恶劣的影响。工业控制系统已成为国际网络战的重要攻击目标，工业控制系统安全防护承受巨大压力，需要建立一套成熟的网络安全监管措施。从网络攻击接触、准备和打击三个阶段来看，分别呈现出接触手段隐秘、攻击平台建立迅速、综合打击能力强等特点，这些特点也决定了网络的安全防护必须及早开展，最好在接触之前和接触中发现风险，抑制网络攻击行为。

以网络为中心是工业控制系统的一个重要特征。在工控系统内，交换机是网络中数据传输的一种重要通信枢纽设备。入侵工控系统通常通过在内网交换机接入非授权的终端设备执行危险操作或植入病毒，预防和监测是否有非法设备接入、交换机是否工作正常，对保障工业控制系统正常运行至关重要。

针对此类情况，急需一种安全防护手段，即能够全面监测工控系统内部网络拓扑，及时发现内网交换机接入非法设备，又能实时采集内网交换机产生的安全事件、操作行为和运行信息，并通过分析与告警，在接触前和接触时对安全隐患进行实时监视与预警。

发明内容

为解决现有技术中的不足，本发明提供一种交换机信息采集分析系统及方法，能够全面监测工控系统内部网络拓扑，及时发现内网交换机接入非法设备，又能实时采集内网交换机产生的安全事件、操作行为和运行信息，并通过分析与告警，在接触前和接触时对安全隐患进行实时监视与预警。

为了实现上述目标，本发明采用如下技术方案：一种交换机信息采集分析系统，其特征在于：包括若干交换机、与所述交换机连接的采集单元一、采集单元二、重组单元、分析单元、存储单元和展示模块；

所述采集单元一采集交换机的拓扑信息、运行信息、操作行为和安全事件，采集单元二接收交换机的安全事件；采集单元一将采集到的拓扑信息直接存入存储单元，供展示模块调用，其他采集信息分别由采集单元一和采集单元二传输给重组单元；

重组单元用于对采集到的数据报文依据过滤规则甄别和筛选，并按照预定的日志规范进行报文重组，得到格式化的日志信息；重组单元通过消息总线将格式化的日志信息发送给分析单元；

分析单元用于对格式化的日志信息进行安全分析，将分析结果存入存储单元。

前述的一种交换机信息采集分析系统，其特征在于：所述拓扑信息获取过程如下：

1)将交换机设备信息录入存储单元的交换机设备资产表和交换机SNMP参数表；

2)由展示模块优先绘制出交换机设备，默认为离线状态，离线设备以颜色填充；

3)采集单元一检测交换机是否在线，若在线状态则实时更新至存储单元的交换机设备资产表，由展示模块获取在线状态并以颜色填充在线交换机；

4)读取在线交换机SNMP参数，存入交换机SNMP参数表；

5)读取在线设备每个网口的MAC地址表获取对端设备MAC地址，通过比对系统交换机设备资产表中所有主机设备的MAC地址来判断此MAC地址是否合法，分别绘制合法主机设备和非法主机设备，并绘制连线连接所属交换机。

前述的一种交换机信息采集分析系统，其特征在于：采集方式分别为：