[发明专利]报文识别方法、系统、装置及存储介质

说明书

本发明公开了报文识别方法、系统、装置及存储介质，涉及计算机领域。该方法包括：根据预设的工序定义报文执行的业务逻辑；获取报文组合，报文组合包含至少两个互相关联的报文；对报文组合中的全部报文进行多包关联分析，将报文组合还原成应用层协议；判断应用层协议是否匹配业务逻辑，如果不匹配，则判定报文组合非法，阻断报文组合。本发明能够实现对报文的业务逻辑进行识别，在工控网络环境中，业务逻辑相对固定，因此，本发明可以适用于工控网络环境，能够识别并阻断所有不属于正常业务的数据包和数据流，并能识别并阻断单包合法，业务逻辑非法的报文，或者单包组合非法的报文等。

技术领域

本发明涉及计算机领域，尤其涉及报文识别方法、系统、装置及存储介质。

背景技术

目前的非法报文识别，主要是基于五元组的方式过滤非法报文，或者使用深度包解析的方式，基于工控协议内部字段对报文进行过滤，或者通过自学习的方式，自动建模添加位置策略。

然而，上述方式只能对非法报文进行识别，不能对报文合法，但业务逻辑非法的报文进行识别和阻断。

发明内容

本发明所要解决的技术问题是针对现有技术的不足，提供报文识别方法、系统、装置及存储介质。

本发明解决上述技术问题的技术方案如下：

一种报文识别方法，包括：

根据预设的工序定义报文执行的业务逻辑；

获取报文组合，所述报文组合包含至少两个互相关联的报文；

对所述报文组合中的全部报文进行多包关联分析，将所述报文组合还原成应用层协议；

判断所述应用层协议是否匹配所述业务逻辑，如果不匹配，则判定所述报文组合非法，阻断所述报文组合。

本发明的有益效果是：本发明提供的报文识别方法，通过定义报文的业务逻辑，然而对报文进行多包关联分析，与业务逻辑进行匹配，能够实现对报文的业务逻辑进行识别，在工控网络环境中，业务逻辑相对固定，因此，本发明可以适用于工控网络环境，能够识别并阻断所有不属于正常业务的数据包和数据流，并能识别并阻断单包合法，业务逻辑非法的报文，或者单包组合非法的报文等，提高了工控网络环境下报文识别的精确度和实用性。

本发明解决上述技术问题的另一种技术方案如下：

一种报文识别系统，包括：

定义单元，用于根据预设的工序定义报文执行的业务逻辑；

获取单元，用于获取报文组合，所述报文组合包含至少两个互相关联的报文；

还原单元，用于对所述报文组合中的全部报文进行多包关联分析，将所述报文组合还原成应用层协议；

判断单元，用于判断所述应用层协议是否匹配所述业务逻辑，如果不匹配，则判定所述报文组合非法，阻断所述报文组合。

本发明解决上述技术问题的另一种技术方案如下：

一种存储介质，所述存储介质中存储有指令，当计算机读取所述指令时，使所述计算机执行如上述技术方案所述的报文识别方法。

本发明解决上述技术问题的另一种技术方案如下：

一种报文识别装置，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序，实现如上述技术方案所述的报文识别方法。

本发明附加的方面的优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明实践了解到。

附图说明