[发明专利]基于网络链路获取单个工控协议流量的方法

说明书

本发明公开了基于网络链路获取单个工控协议流量的方法，包括，通过对工控协议数据包的分析，在设备上记录设备IP和统计设备单个协议单位时间内的数据包的数量和大小，计算网络设备互联实时流量；所述设备IP分为：源IP和目的IP；所述源IP为访问来源设备IP，所述目的IP为被访问设备IP；所述记录设备IP和统计设备单个协议单位时间内的数据包的数量和大小的方法为：在设备存储器中建立数组来分别记录所述源IP、所述源IP的设备发出的数据包的数量和大小、目的IP和所述目的IP的设备收到的数据包的数量和大小。

技术领域

本申请涉及工业网络领域，尤其涉及基于网络链路获取单个工控协议流量的方法。

背景技术

网络威胁分析主要集中于单个数据包内容分析，但是工控网络协议不包含用户信息，只包含大量的设备参数信息。因此，对于工业协议应用数据包分析方法效果并不好。工业网络协议数据量大小是基本稳定的，如果发生攻击行为，协议数据包可能会异常增大或减小，对工业协议流量大小的分析是威胁分析的重要手段，因此，本发明主要解决工业网络环境中基于网络链路获取单个工业协议流量大小，实时监控网络链路异常。

如何设计工业网络环境中对单个工业协议流量大小检测，实时监控单个工业协议流量大小分析成为研究的重点。

通过对国内外论文、学术会议、科技文献、专利等等数据库的检索发现：第一，网略威胁的分析集中于单个数据包内容；第二，工控网略协议包含大量的设备参数信息，不包含用户信息；第三，如果发生攻击行为，数据包大小会发生异常变化。所以针对工控环境下基于时间窗口的获取单个工控协议流量大小的方法还处于探索阶段。

公开号为CN109862045B公开一种基于SDN的工业控制系统动态防御方法及装置，主要步骤包括：软件定义白名单协议模块采用偏移量机器学习分类方法自动识别工控私有协议，软件定义服务端口模块对工控协议高危端口进行混淆欺骗，软件定义纵深防御模块采用虚拟化安全引擎服务编排技术动态调度工业控制系统通信网络流量实现多层防御。

目前现有技术存在以下问题：

1、工控环境被攻击时不能监测单个流量情况；

2、工控环境下流量大小检测，及实时监控单个协议流量大小。

发明内容

有鉴于此，本发明提供一种基于网络链路获取单个工控协议流量的方法，包括：通过对工控协议数据包的分析，在设备上记录设备IP和统计设备单个协议单位时间内的数据包的数量和大小，计算网络设备互联实时流量；

所述设备IP分为：源IP和目的IP；所述源IP为访问来源设备IP，所述目的IP为被访问设备IP；

所述记录设备IP和统计设备单个协议单位时间内的数据包的数量和大小的方法为：在设备存储器中建立数组来分别记录所述源IP、所述源IP的设备发出的数据包的数量和大小、目的IP和所述目的IP的设备收到的数据包的数量和大小。

优选的，所述数组为二维数组。

优选的，由于网络连接分为源IP的设备和目的IP的设备，且具有双向性，所以，要在所述源IP的设备存储器中建立一个出栈数组和一个入栈数组。

优选的，所述源IP的出栈数组为二维数组，所述源IP的入栈数组为二维数组。

优选的，所述源IP的出栈数组的第一维向量记录所述目的IP的地址，所述源IP的出栈数组的第二维向量记录所述源IP的设备发出的数据包的大小。

优选的，由于网络连接分为源IP的设备和目的IP的设备，且具有双向性，所以，要在所述目的IP的设备存储器中建立一个出栈数组和一个入栈数组。

优选的，所述目的IP的出栈数组为二维数组，所述目的IP的入栈数组为二维数组。