[发明专利]Modbus报文检测方法、装置、电子设备及存储介质

权利要求书

1.一种Modbus报文检测方法，其特征在于，所述方法包括：

按照设定的访问控制列表ACL策略，对接收的Modbus报文进行过滤；

若所述ACL策略过滤不通过，则丢弃所述Modbus报文，产生告警日志；

若所述ACL策略过滤通过，则按照设定的协议栈指纹策略，对所述Modbus报文进行过滤；

若所述协议栈指纹策略过滤不通过，则执行丢弃所述Modbus报文，产生告警日志的步骤；

若所述协议栈指纹策略过滤通过，则按照设定的深度报文检测DPI规则，对所述Modbus报文进行过滤；

若所述DPI规则过滤不通过，则执行丢弃所述Modbus报文，产生告警日志的步骤；

若所述DPI规则过滤通过，则判断所述Modbus报文的操作类型；

若所述操作类型为读操作，则确定所述Modbus报文检测通过；

若所述操作类型为写操作，则按照设定的字序顺序，排列组合所述Modbus报文中多个字节的值，获得所述Modbus报文对应的点值数据，其中，所述点值数据为所述Modbus报文中多个字节的值经排列组合后的十进制数值；

判断所述Modbus报文对应的点值数据是否在设定的阈值范围内；

若所述Modbus报文对应的点值数据在所述设定的阈值范围内，则确定所述Modbus报文检测通过；

若所述Modbus报文对应的点值数据不在所述设定的阈值范围内，则执行丢弃所述Modbus报文，产生告警日志的步骤。

2.如权利要求1所述的方法，其特征在于，所述Modbus报文中包含有标识信息，所述标识信息用于标识所述Modbus报文所属的业务类型；所述设定的字序顺序为至少一条字序排列规则的集合；

按照设定的字序顺序，排列组合所述Modbus报文中多个字节的值，获得所述Modbus报文对应的点值数据的步骤，包括：

将所述设定的字序顺序包含的至少一条字序排列规则中，与所述Modbus报文包含的标识信息对应的字序排列规则作为目标字序排列规则；

根据所述Modbus报文包含的点地址以及点类型，确定所述Modbus报文中的多个字节为目标字节集合，其中，所述Modbus报文包括至少一段编码，所述点地址表征对应编码在所述Modbus报文中的首地址，所述点类型表征所述Modbus报文的字符类型；

按照所述目标字序排列规则，组合所述目标字节集合包含的多个字节的值，得到所述Modbus对应的编码值；

解析所述编码值，得到所述Modbus报文对应的点值数据。

3.如权利要求2所述的方法，其特征在于，所述标识信息为所述Modbus报文中包含的源IP、点地址或者功能码。

4.如权利要求1-3任一项所述的方法，其特征在于，按照设定的访问控制列表ACL策略，对接收的Modbus报文进行过滤的步骤，包括：

解析所述Modbus报文，获得所述Modbus报文对应的报文要素信息，其中，所述报文要素信息包含所述Modbus报文对应的源IP、源端口信息、目标IP、目标端口信息及协议类型中的至少之一；

判断所述报文要素信息与所述设定的ACL策略是否匹配；

若所述报文要素信息与所述设定的ACL策略匹配，则确定所述ACL策略过滤通过；

若所述报文要素信息与所述设定的ACL策略不匹配，则确定所述ACL策略过滤不通过。

5.如权利要求1-3任一项所述的方法，其特征在于，按照设定的协议栈指纹策略，对所述Modbus报文进行过滤的步骤，包括：

判断所述Modbus报文包含的目标端口与设定的端口是否匹配；

若所述目标端口与所述设定的端口不匹配，则确定所述协议栈指纹策略过滤不通过；

若所述目标端口与所述设定的端口匹配，则判断所述Modbus报文的报文特征与设定的Modbus协议特征是否匹配；

若所述Modbus报文的报文特征与所述设定的Modbus协议特征不匹配，则确定所述协议栈指纹策略过滤不通过；

若所述Modbus报文的报文特征与所述设定的Modbus协议特征匹配，则确定所述协议栈指纹策略过滤通过。