[发明专利]基于旁路技术的工控网络流量分析安全检测系统及方法

说明书

本发明公开了基于旁路技术的工控网络流量分析安全检测系统及方法，通讯模块采用旁路技术接入工控网络，采集工控网络流量数据；大数据转发模块利用Kafka分布式消息转发订阅框架构建包括数据采集层、数据缓存层、数据转发层三个层次的大数据模型；字段解码模块对数据转发层发送的工控网络流量数据进行字段解码；安全检测模块对字段解码后的流量数据进行安全检测。本发明对工控网络原有结构不产生任何影响；选用Kafka分布式消息转发订阅框架对采集的工控网络流量数据进行缓存与转发，隔离数据采集端与处理端速率的差异，解决当前工控网络安全研究所面临的通信流量规模大、协议种类繁多、生成速度快等问题。

技术领域

本发明涉及信息技术领域，尤其涉及基于旁路技术的工控网络流量分析安全检测系统及方法。

背景技术

工控网络发展至今，大多使用专有的设备和通信协议，通过与外部网络隔离获得“隐蔽安全”，以此避免遭受各种网络攻击。但随着两化深度融合，网络通信技术在工控网络中大规模运用，传统与外网隔离的工控网络已然无法满足生产需求。为了维护工控网络的安全，首先即需采集网络中的流量数据进行安全分析，现有技术中一般使用串联监控模式对网络流量进行采集与监控，即通过网关、网桥或者代理服务器的模式监控网络，该种方式对网络的正常运行会产生影响，且当监控器故障时会影响到网络中通信流量的正常传输。

传统的信息网络采用的安全策略总是按照机密性、完整性、可用性的优先级设计方案，而在工控网络中，考虑顺序是与之颠倒的。确保工业设施的可用性是首要任务，而工控网络中传播的测量结果或传感器数据的机密性是最无需担忧的问题。由于工控网络关注系统可用性和高正常运行时间的要求，传统串联监控模式所具有的缺点是工控网络完全无法接受的，即，传统的串联监控方法无法实现对工控网络的安全检测。

发明内容

本发明提供了一种基于旁路技术的工控网络流量分析安全检测系统及方法，用以解决或者至少部分解决现有技术中无法实现对工控网络的安全检测的技术问题。

为了解决上述技术问题，本发明第一方面提供了基于旁路技术的工控网络流量分析安全检测系统，包括：

通讯模块，用于采用旁路技术接入工控网络，采集工控网络流量数据，包括原始通信数据、网络会话日志和网络应用日志；

大数据转发模块，用于利用Kafka分布式消息转发订阅框架构建包括数据采集层、数据缓存层、数据转发层三个层次的大数据模型，其中，数据采集层通过接入通讯模块，利用Kafka的生产者功能，编写程序实时读取通讯模块采集的工控网络流量数据；数据缓存层用于对工控网络流量数据中的多源数据进行融合；数据转发层用于利用Kafka的消费者功能，编写程序实时消费工控网络原始数据，同时在大数据集群中多个节点上部署消费者程序，读取Kafka中的相同消息，并将消息中携带的工控网流量数据发送给字段解码模块；

字段解码模块，用于对数据转发层发送的工控网络流量数据进行字段解码；

安全检测模块，用于对字段解码后的流量数据进行安全检测。

在一种实施方式中，通讯模块包括串口通讯单元、GSM通讯单元、LTE通讯单元以及移动监控终端。

在一种实施方式中，字段解码模块根据预设时间间隔对对数据转发层发送的工控网络流量数据进行字段解码。

在一种实施方式中，安全检测模块，包括：

攻击行为检测模块，用于对字段解码后的流量数据采用通信协议进行识别，根据预训练的模型对字段解码后的流量数据进行检测，检测其是否受到攻击；

异常行为检测模块，用于对字段解码后的流量数据采用的通信协议进行行为分析，利用机器学习和数据分析算法识别其行为是否异常；

基线式检测模块，用于离线分析海量的工控网络流量数据，判断预设基线式检测检测项是否正常；

安全分析模块，用于构建三层工控网络安全态势感知模型，对工控网络的安全态势进行感知。