[发明专利]一种GE私有协议深度识别方法及装置

说明书

一种GE私有协议深度识别方法及装置，对GE与PLC端口通讯的协议类型进行识别，当GE与PLC端口通讯的协议类型识别为公有协议时，根据公有协议的类型采用对应的识别引擎进行数据处理；当GE与PLC端口通讯的协议类型识别为私有协议时，在沙箱虚拟环境中进行GE和PLC通讯，将通讯流量镜像后通过报文逆向算法进行私有协议动作还原；对还原后的私有协议动作进行模拟验证，将验证后的私有协议动作放入工业协议识别引擎库，同时建立指令标识规则。本发明能够让管理直观看到协议交互过程；看到危险发生时时间、IP源、危险原因，能够及时告警；能够识别GE与PLC交互的方法，对PLC行为完全分析。

技术领域

本发明涉及通讯协议处理技术领域，具体涉及一种GE私有协议深度识别方法及装置。

背景技术

自从第一台PLC在GM公司汽车生产线上首次应用成功以来，PLC凭借其方便性、可靠性以及低廉的价格得到了广泛的应用。但PLC是一个黑盒子，不能实时直观地观察控制过程。计算机技术的发展和普及，为PLC又提供了新的技术手段，通过计算机可以实施监测PLC的控制过程和结果，但是各PLC通讯介质和通讯协议又各不相同。

目前，业内对于GE(工业以太网)的私有协议识别仅基于端口或者无法识别。整个过程通过PC电脑端控制PLC，旁路部署协议审计设备；端口认识到GE协议或者仅仅识别为TCP/IP协议以及端口号，协议本身公开资源非常少，了解协议仅通过界面操作协议，协议本身通过审计无法识别。即无法识别GE私有协议内容；无法识别通过PC电脑端操作PLC协议的关键数值；对于黑客入侵PC电脑端操作PLC导致恶意事件发生时，没有提供朔源的能力；对于误操作，恶意操作PLC行为无法审计，仅能记录源IP到目的IP的会话记录。

发明内容

为此，本发明提供一种GE私有协议深度识别方法及装置，实现GE与PLC交互识别和PLC操控行为完全分析，使协议交互过程相对于管理人员透明化。

为了实现上述目的，第一方面，本发明提供一种GE私有协议深度识别方法，包括以下步骤：

对GE与PLC端口通讯的协议类型进行识别，所述协议类型包括公有协议和私有协议；

当所述GE与PLC端口通讯的协议类型识别为公有协议时，根据所述公有协议的类型采用对应的识别引擎进行数据处理；

当所述GE与PLC端口通讯的协议类型识别为私有协议时，在沙箱虚拟环境中进行GE和PLC通讯，将通讯流量镜像后通过报文逆向算法进行私有协议动作还原；

对还原后的私有协议动作进行模拟验证，将验证后的私有协议动作放入工业协议识别引擎库，同时建立指令标识规则。

作为GE私有协议深度识别方法的优选方案，所述公有协议包括EGD和MODBUS；

当所述GE与PLC端口通讯的协议类型识别为EGD协议时，采用EGD识别引擎进行数据处理；

当所述GE与PLC端口通讯的协议类型识别为MODBUS协议时，采用MODBUS识别引擎进行数据处理。

作为GE私有协议深度识别方法的优选方案，所述私有协议包括SRTP；

当所述GE与PLC端口通讯的协议类型识别为SRTP协议时，在沙箱虚拟环境中进行GE和PLC通讯，将通讯流量镜像后通过报文逆向算法进行私有协议动作还原。

作为GE私有协议深度识别方法的优选方案，将通讯流量镜像后通过报文序列逆向算法或指令序列逆向算法进行私有协议特征逆向；

对于逆向的私有协议进行流模拟还原，获得私有协议动作还原数据，通过协议动作还原数据进行模拟的指令协议发送。

作为GE私有协议深度识别方法的优选方案，通过指令验证遍历，将所有的GE与PLC通讯操作流量进行完整验证。