[发明专利]一种检测工控协议是否存在异常的方法及装置

说明书

本发明实施例提供一种检测工控协议是否存在异常的方法及装置，所述方法包括：获取工控协议的通信报文；所述通信报文是具有相同报文长度、且达到预设数量的多个通信报文；对所有通信报文进行多序列比对，并根据多序列比对结果，获取序列内容可变的目标字段；确定所有目标字段分别对应的分类类型，对每类目标字段分别进行语义推断，将每类语义推断结果与预设异常检测规则进行比对，并根据语义推断比对结果确定所述工控协议是否存在异常；其中，所述分类类型是基于报文格式进行划分的，所述预设异常检测规则包括与预设分类类型对应的预设语义约束关系。所述装置执行上述方法。本发明实施例提供的方法及装置，能够全面地检测工控协议是否存在异常。

技术领域

本发明涉及工控网络安全技术领域，尤其涉及一种检测工控协议是否存在异常的方法及装置。

背景技术

随着工控技术的发展，工控网络极易发生高危安全风险，因此，对这些高危安全风险进行识别显得尤为重要。

现有技术通常针对工控环境或工控协议进行高危安全风险的识别，对于工控环境，通常是基于工控行业的应用场景来实现的，例如针对石化行业有对应的高危安全风险的识别方法，由于该识别方法与石化行业应用场景密切相关，因此，无法将该方法应用到其他工控行业的应用场景，即具有较大的应用局限性，对于工控协议，通过提取工控行为特征，从而生成检测规则，例如，对于Modbus请求报文，必须有响应报文，但是，该检测方法无法全面、准确地检测到潜在的工控网络安全风险。

因此，如何避免上述缺陷，准确、高效、全面地检测工控协议是否存在异常，进而，确定是否存在工控网络安全风险，成为亟须解决的问题。

发明内容

针对现有技术存在的问题，本发明实施例提供一种检测工控协议是否存在异常的方法及装置。

本发明实施例提供一种检测工控协议是否存在异常的方法，包括：

获取工控协议的通信报文；所述通信报文是具有相同报文长度、且达到预设数量的多个通信报文；

对所有通信报文进行多序列比对，并根据多序列比对结果，获取序列内容可变的目标字段；

确定所有目标字段分别对应的分类类型，对每类目标字段分别进行语义推断，将每类语义推断结果与预设异常检测规则进行比对，并根据语义推断比对结果确定所述工控协议是否存在异常；其中，所述分类类型是基于报文格式进行划分的，所述预设异常检测规则包括与预设分类类型对应的预设语义约束关系。

本发明实施例提供一种检测工控协议是否存在异常的装置，包括：

获取单元，用于获取工控协议的通信报文；所述通信报文是具有相同报文长度、且达到预设数量的多个通信报文；

对比单元，用于对所有通信报文进行多序列比对，并根据多序列比对结果，获取序列内容可变的目标字段；

检测单元，用于确定所有目标字段分别对应的分类类型，对每类目标字段分别进行语义推断，将每类语义推断结果与预设异常检测规则进行比对，并根据语义推断比对结果确定所述工控协议是否存在异常；其中，所述分类类型是基于报文格式进行划分的，所述预设异常检测规则包括与预设分类类型对应的预设语义约束关系。

本发明实施例提供一种电子设备，包括：存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其中，

所述处理器执行所述程序时实现如下方法步骤：

获取工控协议的通信报文；所述通信报文是具有相同报文长度、且达到预设数量的多个通信报文；

对所有通信报文进行多序列比对，并根据多序列比对结果，获取序列内容可变的目标字段；