[发明专利]一种检测工控协议是否存在异常的方法及装置

权利要求书

1.一种检测工控协议是否存在异常的方法，其特征在于，包括：

获取工控协议的通信报文；所述通信报文是具有相同报文长度、且达到预设数量的多个通信报文；

对所有通信报文进行多序列比对，并根据多序列比对结果，获取序列内容可变的目标字段；

确定所有目标字段分别对应的分类类型，对每类目标字段分别进行语义推断，将每类语义推断结果与预设异常检测规则进行比对，并根据语义推断比对结果确定所述工控协议是否存在异常；其中，所述分类类型是基于报文格式进行划分的，所述预设异常检测规则包括与预设分类类型对应的预设语义约束关系。

2.根据权利要求1所述的检测工控协议是否存在异常的方法，其特征在于，所述分类类型包括功能码字段、对应的预设语义约束关系为指定位置字节的字节数值不同、且字节数值为预设数值；相应的，所述将每类语义推断结果与预设异常检测规则进行比对，并根据语义推断比对结果确定所述工控协议是否存在异常，包括：

若判断获知存在不符合与功能码字段对应的预设语义约束关系的语义推断结果，则可直接确定工控协议存在异常。

3.根据权利要求2所述的检测工控协议是否存在异常的方法，其特征在于，所述分类类型还包括计数器字段、对应的预设语义约束关系为指定位置字节的字节数值依次递增；相应的，所述将每类语义推断结果与预设异常检测规则进行比对，并根据语义推断比对结果确定所述工控协议是否存在异常，包括：

若判断获知存在不符合与计数器字段对应的预设语义约束关系的语义推断结果，可直接确定工控协议存在异常。

4.根据权利要求3所述的检测工控协议是否存在异常的方法，其特征在于，所述分类类型还包括会话协商字段、对应的预设语义约束关系为在不同的TCP连接中，指定位置字节的字节数值每次都不相同，且在固定的TCP连接中，指定位置字节的字节数值每次都保持不变；相应的，所述将每类语义推断结果与预设异常检测规则进行比对，并根据语义推断比对结果确定所述工控协议是否存在异常，包括：

若判断获知存在不符合与会话协商字段对应的预设语义约束关系的语义推断结果，可直接确定工控协议存在异常。

5.根据权利要求4所述的检测工控协议是否存在异常的方法，其特征在于，所述分类类型还包括固定数值范围内的数字字段、对应的预设语义约束关系为指定位置字节的字节数值在固定数值范围内；相应的，所述将每类语义推断结果与预设异常检测规则进行比对，并根据语义推断比对结果确定所述工控协议是否存在异常，包括：

若判断获知存在不符合与固定数值范围内的数字字段对应的预设语义约束关系的语义推断结果，可直接确定工控协议存在异常。

6.根据权利要求1至5任一所述的检测工控协议是否存在异常的方法，其特征在于，所述预设异常检测规则还包括与预设序列异常特征；相应的，所述方法还包括：

识别所有通信报文的序列特征，若检测到至少一个序列特征与所述预设序列异常特征相对应，则确定所述工控协议存在异常。

7.根据权利要求1至5任一所述的检测工控协议是否存在异常的方法，其特征在于，所述对所有通信报文进行多序列比对，包括：

采用多重序列比对MSA算法对所有通信报文进行多序列比对。

8.一种检测工控协议是否存在异常的装置，其特征在于，包括：

获取单元，用于获取工控协议的通信报文；所述通信报文是具有相同报文长度、且达到预设数量的多个通信报文；

对比单元，用于对所有通信报文进行多序列比对，并根据多序列比对结果，获取序列内容可变的目标字段；

检测单元，用于确定所有目标字段分别对应的分类类型，对每类目标字段分别进行语义推断，将每类语义推断结果与预设异常检测规则进行比对，并根据语义推断比对结果确定所述工控协议是否存在异常；其中，所述分类类型是基于报文格式进行划分的，所述预设异常检测规则包括与预设分类类型对应的预设语义约束关系。